Application Security Engineer

Adtech Holding — международная группа компаний, занимающихся созданием и развитием продуктов на базе передовых технологий в области интернет-рекламы.

Почти всё, что мы защищаем, написано у нас: сервисы, через которые идут трафик и деньги рекламодателей, публичные API, кабинеты клиентов.

Отдельной функции application security в компании пока нет. Вы её построите для команды около 40 разработчиков — начиная с инвентаризации поверхности атаки и приоритетов.

Задачи

• Security review сервисов, интеграций и публичных API до выхода в прод, включая ручной разбор критичного кода.
• Threat modeling новых фич вместе с продуктовыми командами на этапе дизайна.
• Проверки в цикле разработки: статический анализ, зависимости, поиск секретов — покрытие, правила, разбор находок с командами.
• Создание единого процесса управления уязвимостями: реестр, приоритеты, SLA, ретест, bug bounty.
• Обеспечение безопасности AI-интеграций и правил доступа технических и агентских учётных записей.
• Проведение пентестов и аудитов: постановка, приёмка, доведение находок до системного исправления.
• Разработка и поддержание стандартов и практик для разработчиков: требований по безопасной разработке, гайдлайны, обучение команд.

Кого ищем

• Опыт работы в application security от 3 лет: ревью кода и архитектуры, SAST, DAST, SCA, OWASP.
• Уверенные навыки ручного тестирования и работы со статическим анализом, включая написание собственных правил.
• Понимание механики авторизации: OAuth, OIDC, JWT, scope-токенов, делегирование прав.
• Умение читать код на PHP, Go и JavaScript и автоматизировать задачи на Python или Bash.
• Умение добиваться результата от команд без прямого подчинения, в том числе через security champions.
• Интерес к безопасности LLM-приложений: prompt injection, доступ агентов к данным.
• Русский и английский языки на рабочем уровне.

Нужно знать

• Ручное тестирование — Burp Suite или ZAP.
• Статический анализ.
• Проверка зависимостей.
• Поиск секретов в коде.
• Учёт уязвимостей.
• OWASP Top 10.
• OWASP API Security Top 10.
• OWASP Top 10 for LLM Applications.
• ASVS.

Наш стек

• Языки: PHP (Symfony), Go, JavaScript/TypeScript, Python.
• Данные: PostgreSQL, MySQL, ClickHouse.
• Сборка: Docker, GitLab/GitHub, TeamCity.
• Безопасность: SonarQube, Nessus.
• ОС: Linux.

Плюсом будет

• AdTech или другой high-load.
• DevSecOps.
• Тестирование LLM-приложений.
• Bug bounty или CTF.
• OSWE или GWEB.

Мы предлагаем

• Систему льгот «кафетерий», которая позволяет выбрать бонусы, подходящие именно вашему образу жизни и потребностям.
• Медицинскую страховку.
• Полностью оплачиваемый больничный (10 рабочих дней в год).
• 5 дополнительных оплачиваемых выходных дней в год.
• Квартальные и годовые бонусы за результаты работы.
• Компенсацию изучения английского и других языков.
• Бюджет на профессиональные тренинги и конференции.
• Корпоративные мероприятия, завтраки и обеды в офисе.