استخدام کارشناس ارزیابی امنیتی و تست نفوذ (Security Assessment & Penetration Testing)پژوهش و توسعه ناجی
درباره موقعیت شغلی
درباره شرکت
موقعیت مکانی
نوع همکاری
خدمت سربازی
حقوقاستخدام کارشناس ارزیابی امنیتی و تست نفوذ (Security Assessment & Penetration Testing)
محل کار: تهران
نوع همکاری: تمام‌وقت، حضوری
ساعت کاری: 15:30-07:30
سطح ارشدیت: Mid-Level / Senior
تعداد موردنیاز: چند نفر در حوزه‌های تخصصی مختلف
نوع همکاری: تمام‌وقت، حضوری
ساعت کاری: 15:30-07:30
سطح ارشدیت: Mid-Level / Senior
تعداد موردنیاز: چند نفر در حوزه‌های تخصصی مختلف
شرح موقعیت شغلی
اگر به دنیای امنیت سایبری علاقه‌مندی، از کشف آسیب‌پذیری‌ها لذت می‌بری و دوست داری دانش فنی خودت رو در پروژه‌های واقعی به چالش بکشی، خوشحال می‌شیم در تیم ما همکارمون باشی.
ما برای توسعه تیم ارزیابی امنیتی خودمون به دنبال جذب چند نیروی متخصص و باتجربه در حوزه‌های مختلف امنیت اطلاعات و تست نفوذ هستیم.
حوزه‌های فعالیت تیم شامل ارزیابی امنیتی وب‌اپلیکیشن‌ها وAPI، اپلیکیشن‌های موبایل Android و iOS، بررسی امنیت سورس‌کد (Source Code Review)، ارزیابی امنیت شبکه، سرورها و زیرساخت است.
با توجه به تنوع پروژه‌ها، برای هر یک از این حوزه‌ها به دنبال افراد دارای تخصص و تجربه مرتبط هستیم. بنابراین لازم نیست متقاضی در تمام زمینه‌های ذکرشده تخصص داشته باشه؛ داشتن دانش عمیق و تجربه عملی در یک یا چند حوزه تخصصی مرتبط، اولویت اصلی ماست.
حوزه‌های تخصصی و مهارت‌های موردنیاز
۱. ارزیابی امنیتی Web Application و API
- تسلط به مفاهیم امنیت وب‌اپلیکیشن‌ها و API.
- آشنایی با آسیب‌پذیری‌های رایج و روش‌های شناسایی و بهره‌برداری از آن‌ها.
- شناخت آسیب‌پذیری‌هایی مانند SQL Injection ،XSS ،SSRF ،IDOR ،CSRF ،Authentication/Authorization Bypass Insecure Deserialization و سایر موارد مرتبط.
- تجربه کار باBurp Suite ،OWASP ZAP، Acunetix ،SQLmap ،Nuclei و ابزارهای مشابه.
- آشنایی با OWASP Top 10 ،OWASP API Security Top 10 ،OWASP WSTG و OWASP ASVS
۲. ارزیابی امنیتی اپلیکیشن‌های موبایل (Mobile Application Security)
- تجربه ارزیابی امنیتی اپلیکیشن‌های Android و/یا iOS
- آشنایی با روش‌های تحلیل استاتیک و داینامیک (Static & Dynamic Analysis)
- آشنایی با بررسی امنیت ارتباطات، ذخیره‌سازی اطلاعات، مکانیزم‌های احراز هویت و کنترل دسترسی در اپلیکیشن‌های موبایل.
- تجربه کار با ابزارهایی مانند MobSF ،Frida ،JADX ،APKTool ،objection و Burp Suite.
- آشنایی با OWASP MASVS و OWASP MASTG
۳. بررسی امنیت سورس‌کد (Source Code Security Review)
- تجربه بررسی امنیتی سورس‌کد و شناسایی آسیب‌پذیری‌های امنیتی در کد برنامه‌ها.
- آشنایی با آسیب‌پذیری‌های رایج در زبان‌ها و Frameworkهای برنامه‌نویسی.
- توانایی تحلیل کد، شناسایی الگوهای ناامن برنامه‌نویسی و بررسی مسیرهای ورود و پردازش داده‌ها.
- آشنایی با مفاهیم SAST ،Secure Coding و .Secure SDLC
- تجربه کار با ابزارهایی مانند SonarQube ،Semgrep ،Checkmarx ،Fortify و ابزارهای مشابه مزیت محسوب می‌شود.
۴. ارزیابی امنیت شبکه، سرور و زیرساخت (Network & Infrastructure Security)
- تجربه ارزیابی امنیت شبکه و شناسایی سرویس‌ها و نقاط ضعف امنیتی.
- آشنایی با ارزیابی امنیتی سیستم‌عامل‌های Linux و Windows و سرویس‌های زیرساختی.
- آشنایی با آسیب‌پذیری‌های زیرساختی، تنظیمات ناامن و روش‌های Hardening
- تجربه کار با ابزارهایی مانند Nmap ،Nessus ،Nuclei و ابزارهای مشابه.
- آشنایی با متدولوژی‌های PTES و استانداردهای مرتبط با NIST.
مهارت‌های مشترک مورد انتظار
- آشنایی با اصول و استانداردهای امنیت اطلاعات و متدولوژی‌های ارزیابی امنیتی متناسب با حوزه تخصصی.
- توانایی تحلیل آسیب‌پذیری‌ها، ارزیابی میزان ریسک و ارائه راهکارهای اصلاحی (Remediation)
- توانایی تهیه گزارش‌های فنی و تخصصی همراه با شواهد، مراحل بازتولید (PoC) و جزئیات فنی.
- توانایی تعیین سطح اهمیت آسیب‌پذیری‌ها و ارائه پیشنهادهای کاربردی برای رفع آن‌ها.
- توانایی تعامل مؤثر با تیم تولید و توسعه نرم‌افزار.
- پیگیری اصلاح آسیب‌پذیری‌ها و انجام تست مجدد (Retest).
- توانایی انتقال مفاهیم فنی به شکلی شفاف و قابل درک برای تیم‌های فنی و مدیریتی.
شرایط و الزامات
- حداقل ۲ سال سابقه فعالیت مرتبط در حوزه امنیت اطلاعات، ارزیابی امنیتی یا تست نفوذ.
- تجربه عملی در یک یا چند حوزه تخصصی ذکرشده.
- توانایی انجام مستقل فعالیت‌های ارزیابی امنیتی متناسب با سطح تخصص.
- علاقه‌مندی به تحقیق، یادگیری و به‌روزرسانی دانش فنی در حوزه امنیت سایبری.
- آشنایی با حداقل یکی از زبان‌های برنامه‌نویسی مزیت محسوب می‌شود.
مدرک تحصیلی: رشته‌های کامپیوتر، فناوری اطلاعات، امنیت اطلاعات و رشته‌های مرتبط مزیت محسوب می‌شوند.
مزیت محسوب می‌شود اگر:
- دارای مدارک و گواهینامه‌های تخصصی امنیت سایبری مانند OSCP، CEH، eWPT، eCPPT و سایر مدارک معتبر باشید.
- دوره‌های تخصصی امنیت وب، API، موبایل، شبکه یا زیرساخت را گذرانده باشید.
- سابقه فعالیت در پروژه‌های واقعی ارزیابی امنیتی و تست نفوذ داشته باشید.
- با مفاهیم SAST، DAST، DevSecOps و Secure SDLC آشنا باشید.
- سابقه فعالیت در حوزه Bug Bounty یا Vulnerability Research داشته باشید.
- دارای نمونه کار یا سوابق فنی قابل ارائه در حوزه تخصصی خود باشید.
مزایای همکاری با ما
- حقوق و مزایای متناسب با تخصص و تجربه
- پرداخت کارانه و پاداش عملکرد
- بیمه تأمین اجتماعی و بیمه تکمیلی
- سرویس ناهار
- هدایا و تشویقات مناسبتی
- کمک‌هزینه فعالیت‌های ورزشی و تفریحی
- فرصت یادگیری و ارتقای دانش تخصصی
- فعالیت در پروژه‌های متنوع و چالش‌برانگیز امنیتی
- همکاری با تیمی متخصص و فراهم بودن فرصت رشد و پیشرفت شغلی
نکته مهم
جذب نیرو برای حوزه‌های تخصصی مختلف به‌صورت مجزا انجام می‌شود. متقاضیان می‌توانند با توجه به تخصص و تجربه خود در یک یا چند حوزه اعلام‌شده اقدام کنند و تسلط به تمام حوزه‌ها و ابزارهای ذکرشده الزامی نیست.
اگر فکر می‌کنی تجربه و مهارتت با یکی از موقعیت‌های شغلی ما همخوانی داره، خوشحال می‌شیم رزومه‌ات رو برای ما ارسال کنی.
