Security Engineer, Offensive Security

О позиции

Команда безопасности Liftoff защищает клиентов, пользователей и сотрудников компании. Наш стек охватывает всю инфраструктуру — от web и mobile приложений до облачных систем и IT-инфраструктуры. В роли Security Engineer вы будете самостоятельно планировать внутренние penetration test'ы across application, cloud и infrastructure security, работать с инженерными командами над remediation и retesting, а также развивать направление AI-assisted offensive security инструментария. Роль требует глубокого понимания attack surface мобильного рекламного бизнеса и способности безопасно валидировать эксплойты без disruption production environments.

Чем заниматься

• Независимое планирование и execution internal penetration tests across applications, APIs, cloud infrastructure и корпоративные системы
• Определение scope тестирования и rules of engagement с system owners, оценка production risk, выбор безопасных методов валидации уязвимостей
• Сочетание hands-on testing с source-code review и architectural analysis для выявления уязвимостей и демонстрации реалистичных attack paths
• Партнёрство с engineering командами для объяснения findings, согласования practical fixes, tracking remediation и retesting для подтверждения resolved risk
• Поддержание knowledge базы систем Liftoff и attack surface, повторный анализ high-risk attack paths при изменениях систем, превращение confirmed findings в repeatable tests
• Разработка security testing инструментов и workflows, combining hands-on assessments с ongoing automated testing и remediation validation
• Развитие self-service security testing через reusable tests, documented assessment workflows и clear remediation guidance
• Поддержка annual third-party penetration test для independent validation и audit requirements
• Ведение adoption AI-assisted offensive security tooling: evaluation platforms, building workflows для code analysis, test generation и finding triage, measurement coverage accuracy и effort saved
• Партнёрство с Detection & Response для превращения validated attack paths в detection improvements и incident-response exercises
• Работа across application, cloud и infrastructure security в зависимости от priorities, включая на участие в on-call и incident-response rotation

Что ждут

• 5+ лет experience in security engineering, включая substantial hands-on penetration testing приложений и инфраструктуры
• Excellent judgment в prioritizing testing by risk, assessing production impact, safely validating exploits без unnecessary disruption
• Опыт independently owning assessments и partnering с engineering teams от initial findings through remediation и retesting
• Написание production-quality code для security tools и automation, review pull requests, navigation large unfamiliar codebases
• Strong understanding application и API security, authentication и authorization, network security, common vulnerability classes
• Hands-on experience assessing cloud и infrastructure security, включая identity и access controls, configuration, attack paths
• Ability быстро понимать complex systems и architecture, contribute across application, cloud и infrastructure security
• Practical software engineering habits: testing, observability, version control, peer code review, continuous integration, blameless postmortems
• Сильные technical writing skills: clear assessment plans, proposals, reproducible findings, runbooks, post-incident reviews
• Willingness share security team's on-call и incident-response responsibilities, включая occasional off-hours response

Будет плюсом

• Опыт работы с Go, Python, Clojure или JavaScript; ability work across languages важнее specific language
• Experience building AI-assisted security testing workflows и measuring accuracy usefulness их results
• Experience securing large-scale cloud systems, mobile advertising или других high-volume SaaS environments

Условия

• Конкурентоспособная зарплата в диапазоне $184,000–$250,000 годовой плюс bonus
• Equity package для долгосрочной мотивации
• Comprehensive benefits включая medical coverage, wellness stipends и дополнительные perks
• Fast-paced collaborative innovative work environment с empowered growth opportunities
• Широкий attack surface для тестирования с доступом к source code и engineering context
• Возможность ownership внутренней offensive security capability с room to grow
• Партнёрство с engineering командами, которые ценят security и остаются involved through remediation
• Hands-on техническая работа по investigation сложных систем и building tools для эффективности тестирования
• Диверсифицированное глобальное присутствие в 74 странах

Навыки

• Penetration Testing
• Application Security
• API Security
• Cloud Security
• Infrastructure Security
• Network Security
• Go
• Python
• JavaScript
• Clojure
• Vulnerability Assessment
• Source Code Review
• Incident Response
• AWS
• Kubernetes
• Security Automation

Могут спросить на собеседовании

1. Расскажите о наиболее сложной уязвимости, которую вы обнаружили и помогли исправить в production-среде. Как оценили риск и какие шаги предприняли?
2. Как вы подходите к оценке attack surface большой SaaS-платформы? Какие инструменты и методы используете для сканирования и анализа?
3. Приведите пример, когда вам пришлось отказаться от эксплуатации уязвимости из-за производственных рисков. Чем руководствовались?
4. Какой подход вы предлагаете для внедрения AI-assisted security testing workflows? Как измеряете эффективность и точность результатов?
5. Опишите ситуацию conflict между security goals и business deadlines. Как нашли компромисс?