Специалист по статическому анализу и экспертизе кода
Описание
Компания АО НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, как обязательной, так и в рамках добровольной системы сертификации (СДС). Основные направления Центра оценки соответствия и тестирования: Проведение внешнего и внутреннего тестирования на проникновение, анализа защищённости информационных систем, анализ кода и проверка безопасности ПО. Сертификация по требованиям ФСТЭК России. Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России). Проведение тематических исследований по требованиям ФСБ России. Проведение оценки по требованиям стандарта платформы Цифрового Рубля. Принятие участия в разработке стандартов в области защиты информации (в рамках в рабочей группы ТК-362). Внедрение процессов безопасной разработки по требованиям ГОСТ Р 56939-2024. Обязанности: Проведение статического кода для различных языков программирования (C/C++, Java, Python, Go, C#, JavaScript и др.) с использованием специализированных инструментов и техник. Проведение экспертизы кода для различных языков программирования (C/C++, Java, Python, Go, C#, JavaScript и др.). Проведение дизассемблирования и декомпиляции бинарных файлов для последующего анализа восстановленного кода. Проведение подконтрольной сборки программного обеспечения, верификация конфигурации сборки, зависимостей и результатов сборки. Ручная разметка результатов срабатываний инструментов статического анализа и выявление дефектов, связанных с безопасностью (ГОСТ Р 71207–2024, CWE Top 25, SANS Top 25). Анализ ошибок первого и второго рода, настройка правил и контекста для повышения точности анализа. Консультирование Заказчика по вопросам безопасного программирования и устранения выявленных дефектов. Интеграция инструментов статического анализа в конвейер разработки (CI/CD) Заказчика. Сравнение и оценка различных инструментов статического анализа. Подготовка отчетов о результатах анализа кода, включая классификацию дефектов и рекомендации по исправлению. Наши ожидания: Понимание этапов компиляции и оптимизации программ, понимание различий между компилируемыми и интерпретируемыми языками программирования. Умение работать с компилируемыми языками, интерпретируемыми языками программирования, языками программирования, компилируемыми в промежуточное представление, средами выполнения кода. Уверенное знание как минимум одного компилируемого и одного интерпретируемого языка (например, Go и C# или C++ и Python) и понимание их экосистем, включая библиотеки, фреймворки и инструменты разработки. Понимание принципов разработки ПО, архитектурных паттернов и методологий (ООП, SOLID), а также DevSecOps-практик. Понимание этапов жизненного цикла программного обеспечения, отличие SDLC от SSDLC. Работа с инструментами статического анализа кода (SonarQube, Semgrep, PVS-Studio, Svace, АК-ВС 3, PT Application Inspector, Solar appScreener и др.). Понимание принципов безопасного кодирования для различных языков и технологий. Знание основных классов дефектов (CWE), уязвимостей и методов их эксплуатации. Понимание принципов разработки безопасного программного обеспечения. Умение четко и структурированно документировать техническую отчетную документацию и рекомендации. Развитые аналитические навыки, способность к самостоятельному обучению и исследованию новых технологий и инструментов. Умение работать в команде и эффективно взаимодействовать с другими специалистами. Будет плюсом: Знание английского языка на уровне понимания зарубежных стандартов. Опыт работы с системами контроля версий (Git, SVN). Знание стандартов в области информационной безопасности и защиты информации. Умение писать скрипты на Python, Bash или других языках для автоматизации задач. Желание в развитии методологии и стандартов статического анализа кода. Мы предлагаем: Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом. Участие в интересных проектах и задачах, связанных с информационной безопасностью. Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста. Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой). Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00). Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный). Оплату мобильной связи. Частичную компенсацию ДМС и абонемента в фитнес-клуб. Корпоративная пенсионная программа (дополнительные перечисления взносов работодателем в НПФ). Возможность внутреннего обучения, повышения квалификации в учебном центре компании. Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик. Место работы: м. Электрозаводская / м. Преображенская площадь.