DevSecOps-специалист
Описание
Компания АО «НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, аттестации и лицензировании, а также разрабатывает собственные инструменты анализа кода и тестирования безопасности программного обеспечения. Обязанности: Проектирование, настройка и сопровождение безопасного конвейера CI/CD для команд, разрабатывающих инструменты анализа кода и тестирования. Встраивание в конвейер инструментов статического и композиционного анализа, поиска секретов в коде, динамического анализа и фаззинг-тестирования, в том числе инструментов собственной разработки компании. Настройка security gates на этапах слияния изменений и выпуска версий, формирование критериев их прохождения совместно с командой разработки. Развёртывание, настройка и сопровождение инфраструктуры разработки и инструментов анализа (системы контроля версий, сборочные агенты, репозитории артефактов, системы управления дефектами). Обеспечение безопасности самого конвейера, включая изоляцию сборочных агентов, управление секретами, разграничение доступа, контроль целостности и подпись выпускаемых артефактов. Организация и регулярное обновление локальных зеркал репозиториев зависимостей и баз данных уязвимостей для работы в изолированном контуре. Автоматизация формирования перечня заимствованных компонентов (SBOM), сбора и агрегации результатов анализа, оповещения ответственных о выявленных дефектах. Подготовка тестовых стендов и окружений, контейнеризация сервисов и описание инфраструктуры в виде кода. Апробация собственных инструментов компании в реальном конвейере и передача обратной связи командам разработки. Участие во внедрении процессов безопасной разработки по ГОСТ Р 56939-2024 и подготовке артефактов, подтверждающих их выполнение. Документирование конфигурации конвейера, подготовка инструкций и консультирование разработчиков. Наши ожидания: Высшее/неоконченное техническое образование. Практический опыт построения и сопровождения конвейеров CI/CD (GitLab CI, Jenkins или аналоги). Уверенные навыки администрирования Linux, в том числе отечественных дистрибутивов (Astra Linux, РЕД ОС, Альт). Понимание сетевых технологий (TCP/IP, DNS, HTTP, VPN) и принципов сегментации сети. Опыт работы с контейнеризацией и оркестрацией (Docker, Kubernetes), а также с инструментами описания инфраструктуры в виде кода (Ansible, Terraform или аналоги). Опыт встраивания в конвейер инструментов анализа безопасности (SAST, SCA, DAST, поиск секретов) и работы с их результатами. Опыт работы с репозиториями артефактов (Nexus, Artifactory или аналоги) и системами управления секретами (HashiCorp Vault или аналоги). Понимание систем сборки (Make, CMake, Maven, Gradle и др.) и уверенная работа с Git. Навыки написания скриптов автоматизации на Bash и Python. Умение документировать технические решения и доступно объяснять их разработчикам. Будет плюсом: Знание ГОСТ Р 56939-2024, ГОСТ Р 71207-2024 и требований ФСТЭК России к безопасной разработке программного обеспечения. Опыт работы в изолированных контурах без доступа к сети Интернет. Опыт работы с системами агрегации результатов анализа и управления уязвимостями (DefectDojo или аналоги). Опыт настройки фаззинг-тестирования в конвейере (libFuzzer, AFL++). Опыт работы с системами мониторинга (Prometheus, Grafana, Zabbix). Знание английского языка на уровне чтения технической документации. Желание участвовать в развитии собственных инструментов анализа кода и тестирования. Мы предлагаем: Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом. Участие в интересных проектах и задачах, связанных с информационной безопасностью, включая развитие собственных инструментов анализа кода и тестирования. Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста. Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой). Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00). Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный). Оплату мобильной связи. Частичную компенсацию ДМС и абонемента в фитнес-клуб. Корпоративную пенсионную программу (дополнительные перечисления взносов работодателем в НПФ). Возможность внутреннего обучения, повышения квалификации в учебном центре компании. Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик. Место работы: м. Электрозаводская / м. Преображенская площадь.