DevSecOps Engineer

Привет! Мы команда DevSecOps-инженеров приложения Drivee, и мы в поисках сотрудника в нашу команду.
Ты будешь заниматься задачами по автоматизации процессов безопасности и поддержания инфраструктуры безопасности. Еще у нас есть блок задач (20%) по безопасной разработке и обучению разработчиков правилам безопасного кодирования/программирования, есть возможность непосредственно “руками” поучаствовать в выполнении интересных для тебя задач.
В нашей команде сейчас 3 человека. Мы улучшаем процессы ИБ и создаем классную атмосферу, где обмениваемся опытом и поддерживаем друг друга. Ценим инициативность, ответственность, стремление к росту и умение договариваться. Если тебе это близко — будем рады видеть тебя в команде!
Наш стек:
• Бэкенд разработка на Go, PHP, клиентская часть на Kotlin+SWIFT;
• DevOps и SRE практики;
• Self Managed k8s, Ingress Nginx;
• Kafka, Redis, MySQL, ClickHouse;
• Neuvector, Casdoor, OpenSearch, PostgreSQL;
• SemGrep, Owasp ZAP, Burp Suite;
• VictoriaMetrics, Grafana, Loki, AlertManager, onCall;
• Github, Argo CD, Ansible, GitOps, IaC, helm, kustomize.
Зоны ответственности:
• Внедрение практик безопасности на всех этапах CI/CD;
• Инвентаризация активов и проведение аудитов в области соответствия требованиям безопасности;
• Управление уязвимостями и их приоритизация совместно с командами разработки;
• Настройка и поддержка мониторинга безопасности (SIEM, IDS/IPS, IAM);
• Внедрение инструментов для защиты больших языковых моделей от специфических атак (Prompt Injection, Model Inversion);
• Автоматизация проверок кода и инфраструктуры (SAST, DAST, SCA);
• Проведение обучений сотрудников из отделов инфраструктуры и разработки относительно применения безопасных практик;
• Ведение технической документации на внедряемые и обслуживаемые решения.
Нам важно увидеть:
• Инфраструктура: хороший уровень знания Linux, Docker, Kubernetes (K8s);
• CI/CD инструменты + основы GitOps;
• Знание подсистем безопасности - LSM, eBPF, Cgroups и т.д.;
• Secrets management: HashiCorp Vault;
• Языки программирования: Python, Go или Bash (для написания скриптов автоматизации);
• Инфраструктура как код (IaC): Ansible, Terraform;
• Знание сетей (модель OSI и тд), виртуализации, опыт работы с облачными провайдерами инфраструктуры;
• Понимание работы принципов работы алерт-систем ИБ;
• Знание принципов внедрения систем аутентификации, авторизации и разграничения доступа.
Будет большим плюсом:
• Знание Ansible и написания ролей/плейбуков;
• Знания по работе с Kubernetes, в том числе в части безопасности;
• Практический опыт работы в обеспечении безопасности контейнерной инфраструктуры и систем оркестрации (hardening k8s, runtime security, network policy, RBAC, secret management, container security);
• Понимание принципов построения гибридных архитектур (Облако/OnPremise);
• Понимание правил обработки и хранения различных типов информации и данных;
• Опыт работы с UNIX/Linux системами и понимание внутренних механизмов безопасности ОС;
• Опыт написания Security - автоматизации / Production кода любого профиля;
• Знание основных принципов безопасности веб-приложений, CWE, OWASP;
• Опыт построения CI/CD с использованием DevSecOps продуктов;
• Знание отраслевых требований и стандартов - ФСТЭК, PCI-DSS;
• Опыт работы с любого типа РСУБД “руками”.
• Опыт разработки проектных решений и рабочей документации.
*Мы стараемся отвечать на все присланные нам резюме, но, если вам не поступил ответ в течение 2 и более недель, значит мы перешли к финальным этапам отбора. Спасибо за ваш интерес!