Kitsoft — українська GovTech-компанія, яка допомагає створювати цифрові держави нового покоління. Ми понад 11 років розробляємо та впроваджуємо цифрові сервіси для мільйонів людей, змінюючи те, як громадяни взаємодіють із державою — швидко, зручно та прозоро.
Швидше за все, ти вже знаєш або користуєшся нашими продуктами: послуги на порталах Дія, Київ Цифровий, єПідприємець, цифрові державні сервіси для громад, бізнесу, військових і соціальної сфери. Наші рішення використовують понад 20+ мільйонів українців.
Окремий фокус — Liquio, наша AI-driven low-code платформа для створення та масштабування державних послуг. Саме на Liquio побудовані сотні сервісів в Україні, і сьогодні ми виводимо цю платформу на міжнародні ринки, допомагаючи іншим країнам запускати цифрові сервіси швидко, безпечно та відповідно до міжнародних стандартів.
Ми масштабуємо український досвід цифрової стійкості у світ. У нас складні та амбітні проєкти, сильна команда, культура розвитку й реального впливу.
Ми розширюємо команду кібербезпеки Kitsoft і формуємо напрям Red Team, який відповідатиме за практичну перевірку захищеності програмних продуктів, вебсервісів та інфраструктури. Шукаємо спеціалістів, які вміють мислити як потенційний зловмисник, досліджувати складні технічні системи та перевіряти, наскільки ефективно реалізовані механізми їхнього захисту.
Що робить наш Penetration Tester / Red Team Specialist:
Проводити penetration testing програмних продуктів: вебзастосунків, API, мобільних клієнтів та інших компонентів цифрових сервісів.
Перевіряти захищеність інфраструктури, мережевих сервісів, конфігурацій серверів і хмарних компонентів.
Розробляти та відтворювати сценарії атак для перевірки стійкості систем до реальних загроз.
Досліджувати логіку роботи застосунків, механізми автентифікації й авторизації, керування сесіями та розмежування доступу.
Виконувати ручний аналіз безпеки, перевіряти результати автоматизованого сканування та підтверджувати можливість експлуатації виявлених проблем.
Готувати технічні звіти за результатами перевірок із доказами, оцінкою ризиків і практичними рекомендаціями щодо виправлення.
Розробляти скрипти та вдосконалювати інструменти, що автоматизують повторювані завдання під час тестування.
Відстежувати нові техніки атак, вразливості та експлойти, застосовувати їх для актуалізації методик перевірки.
Співпрацювати з командами розробки, DevOps та інфраструктури під час аналізу результатів і повторної перевірки виправлень.
Брати участь у розвитку методології offensive security та процесів перевірки захищеності в компанії.
Які професійні навички і досвід важливі:
Від 2 років практичного досвіду у penetration testing, application security або суміжному напрямі.
Розуміння методологій тестування безпеки та вміння самостійно проводити перевірки, а не лише запускати автоматизовані сканери.
Практичний досвід пошуку й експлуатації вразливостей у вебзастосунках та API, зокрема проблем контролю доступу, ін'єкцій, обходу механізмів захисту й помилок бізнес-логіки.
Знання підходів OWASP до оцінювання безпеки вебзастосунків та API.
Досвід роботи з Burp Suite або аналогічними інструментами аналізу HTTP-трафіку та тестування вебзастосунків.
Навички використання Nmap та інших інструментів дослідження мережевих сервісів і поверхні атаки.
Володіння Python, Bash або іншою мовою сценаріїв для написання допоміжних інструментів та автоматизації перевірок.
Розуміння принципів роботи HTTP/HTTPS, TCP/IP, DNS, SQL та механізмів автентифікації й авторизації.
Здатність аналізувати технічні результати, визначати реальний вплив вразливостей і зрозуміло пояснювати ризики.
Уміння документувати результати роботи та аргументовано обґрунтовувати рекомендації.
Буде плюсом:
Досвід тестування мобільних застосунків Android та iOS.
Практика оцінювання безпеки Docker, Kubernetes, Linux-систем і хмарної інфраструктури.
Досвід реверс-інжинірингу, аналізу бінарних файлів або fuzz-тестування.
Знання інструментів Metasploit, Frida, MobSF, G
