Специалист по безопасной разработке (Appsec, статика)
Описание
Обязанности: Проводить статический анализ C/C++ кода с использованием инструментов (SVACE, codechecker, SonarQube, АК-ВС-3, semgrep, bandit, njsscan и др.) — разметка ложных срабатываний, идентификация критических уязвимостей, включая CVE-уязвимости; Разрабатывать, тестировать и подготавливать патчи безопасности для устранения выявленных уязвимостей; Взаимодействовать с upstream-разработчиками: подавать баг-репорты, сопровождать исправления, участвовать в обсуждении CVE и релизных процессах; Участвовать в кластерах LVC (ИСП РАН) — sdl-dpi, sdl-dpdk — в роли куратора-специалиста по статическому анализу и CVE, обеспечивая: Проведение разметки результатов статического и композиционного анализа, предоставленной участниками консорциума LVC; Агрегацию, анализ и интерпретацию данных о выявленных уязвимостях; Координацию рабочих процессов, включая планирование спринтов, приоритизацию целей и отчётность по результатам; Бэкпортирование исправлений в стабильные и поддерживаемые ветки ПО, обеспечивая совместимость. Требования: Глубокое знание C/C++, понимание типичных уязвимостей (переполнения буфера, use-after-free, race conditions, инъекции и др.); Опыт работы с инструментами статического анализа (SAST) и композиционного анализа (SCA); Навыки анализа и разметки результатов SAST/SCA — умение отличать истинные уязвимости от ложных срабатываний; Опыт подготовки и тестирования патчей, бэкпортирования исправлений в стабильные ветки. Будет плюсом: Знание стандартов безопасной разработки (ГОСТ 56939-2024, ГОСТ Р 71207-2024). Опыт работы с SBOM (SPDX, CycloneDX); Опыт автоматизации процессов (Python, Bash, CI/CD — Jenkins, GitLab CI); Понимание Linux-систем, сборки с помощью CMake/Make, работа с пакетными менеджерами; Участие в open-source проектах или патчинге ядра/библиотек. Условия: Трудоустройство в аккредитованную ИТ компанию с полным соблюдением ТК РФ; Гибкий график работы 5/2 с плавающим началом рабочего дня (с 9 до 11 часов); Гибридный, либо удаленный формат работы (офисы в г. Москва, Санкт-Петербург или Пенза); ДМС (со стоматологией) после 3 месяцев работы в компании; Доплата больничных до полной суммы ежемесячного дохода (до 21 дня в год); Игровые комнаты, тренажерный зал, душевые, корпоративная футбольная команда, квизы, комнаты отдыха в офисе; Возможности для профессионального развития: внутренние и внешние конференции, обучения и тренинги, собственная библиотека.