Application Security Engineer — AdTech Holding

Adtech Holding — международная группа компаний, которая разрабатывает и развивает продукты в сфере интернет-рекламы с использованием современных технологий.

Практически все системы, которые мы защищаем, созданы внутри компании: сервисы, обрабатывающие рекламный трафик и бюджеты рекламодателей, публичные API, личные кабинеты клиентов.

Выделенного направления application security в компании ещё нет. Вам предстоит выстроить его с нуля для команды из примерно 40 разработчиков — от инвентаризации поверхности атаки до расстановки приоритетов.

Задачи

• Security review сервисов, интеграций и публичных API перед выводом в продакшен, включая ручной анализ критичного кода.
• Threat modeling новых функций совместно с продуктовыми командами на стадии проектирования.
• Встраивание проверок в цикл разработки: статический анализ, контроль зависимостей, поиск секретов — обеспечение покрытия, настройка правил, разбор результатов с командами.
• Выстраивание единого процесса управления уязвимостями: реестр, приоритизация, SLA, ретест, bug bounty.
• Обеспечение безопасности AI-интеграций и контроль доступа технических и агентских учётных записей.
• Организация пентестов и аудитов: постановка задач, приёмка результатов, доведение находок до системного устранения.
• Формирование и поддержка стандартов безопасной разработки: требования, гайдлайны, обучение команд.

Кого ищем

• Опыт в application security от 3 лет: ревью кода и архитектуры, SAST, DAST, SCA, OWASP.
• Уверенное владение ручным тестированием и инструментами статического анализа, включая создание собственных правил.
• Понимание механизмов авторизации: OAuth, OIDC, JWT, scope-токены, делегирование прав.
• Способность читать код на PHP, Go и JavaScript и автоматизировать задачи на Python или Bash.
• Умение добиваться результатов от команд без прямого подчинения, в том числе через security champions.
• Интерес к безопасности LLM-приложений: prompt injection, доступ агентов к данным.
• Русский и английский языки на рабочем уровне.

Нужно знать

• Ручное тестирование — Burp Suite или ZAP.
• Статический анализ.
• Проверка зависимостей.
• Поиск секретов в коде.
• Учёт уязвимостей.
• OWASP Top 10.
• OWASP API Security Top 10.
• OWASP Top 10 for LLM Applications.
• ASVS.

Наш стек

• Языки: PHP (Symfony), Go, JavaScript/TypeScript, Python.
• Данные: PostgreSQL, MySQL, ClickHouse.
• Сборка: Docker, GitLab/GitHub, TeamCity.
• Безопасность: SonarQube, Nessus.
• ОС: Linux.

Плюсом будет

• AdTech или другой high-load.
• DevSecOps.
• Тестирование LLM-приложений.
• Bug bounty или CTF.
• OSWE или GWEB.

Мы предлагаем

• Гибкую систему льгот «кафетерий», позволяющую подобрать бонусы под ваш стиль жизни и потребности.
• Медицинскую страховку.
• Полностью оплачиваемый больничный (10 рабочих дней в год).
• 5 дополнительных оплачиваемых выходных дней в год.
• Квартальные и годовые бонусы по итогам работы.
• Компенсацию изучения английского и других языков.
• Бюджет на профессиональное обучение и конференции.
• Корпоративные мероприятия, завтраки и обеды в офисе.