Senior Offensive Security Engineer

О позиции

Group 1001 — технологически ориентированное семейство страховых компаний, объединяющее финансовую стабильность с глубокой экспертизой в страховании. Мы ценим сотрудничество, коммуникацию, фокус на бизнесе и результативность. В этой роли вы станете техническим владельцем программы offensive security: будете планировать пентесты, проводить операции red/purple team, управлять приватной программой bug bounty и снижать внешнюю поверхность атаки компании. Вы отчитываетесь перед AVP Security Lifecycle & Architecture и тесно взаимодействуете с архитектурой безопасности, Detection Engineering, Threat & Fraud Defense и Audit. При утверждении дополнительной должности вы также сможете руководить и менторить второго инженера offensive security.

Чем заниматься

• Планировать, масштабировать, выполнять и отчитываться о пентестах в средах Azure, AWS, GCP, на endpoint, внутренних web/desktop приложениях и API с четкими приоритизированными рекомендациями по исправлению. Встраиваться в команды разработки, изучать их графики релизов, интегрировать тестирование в циклы доставки и помогать зрелеть практикам application security и SDLC. Руководить и проводить квартальные операции red team и purple team для имитации тактик реальных противников и проверки обнаружения, реакции и общей устойчивости. Управлять приватной программой bug bounty: стратегия, масштаб, триаж уязвимостей, валидация severity, координация исправлений с внутренними командами. Эксплуатировать корпоративную платформу непрерывного мониторинга attack surface, триажить внешние находки и драйвить закрытие remediation. Оверсеев третьих вендоров по тестированию: определять масштаб и цели ежегодного внешнего пентеста, пересматривать deliverables, обеспечивать соответствие результатов внутренним приоритетам и регуляторным ожиданиям. Валидировать remediation через ретестинг, отслеживать findings до закрытия с owners приложений, инфраструктуры и безопасности. Транслировать offensive findings в defensive улучшения через работу с Security Architecture, Detection Engineering, Threat & Fraud Defense и Audit. Разрабатывать и улучшать offensive tooling, техники и процессы для повышения эффективности программы. Отслеживать и отчитывать metrics программы, reduction risk и улучшения security posture, презентовать результаты техническим командам и senior leadership. Предоставлять техническое лидерство, коучинг и направление работы другим членам команды offensive security при её росте.

Что ждут

• 8+ лет hands-on опыта в penetration testing, red teaming или эквивалентных offensive security ролях. Подтвержденный опыт проведения пентестов против облачных сред (Azure, AWS, и/или GCP), endpoints, web и desktop/native приложений и API. Опыт проведения full-scope red team операций и purple team exercises. Сильный бэкграунд в vulnerability triage, risk prioritization и guidance remediation с development, infrastructure и security командами. Опыт управления или значимого участия в программе bug bounty. Понимание continuous attack surface management платформ и снижения внешней экспозиции. Твёрдое понимание adversary tactics, techniques и procedures (TTPs) и современных detection и response capabilities. Отличные письменные и вербальные коммуникативные навыки, включая способность презентовать findings и risk executive и non-technical стейкхолдерам.

Будет плюсом

• Опыт разработки кастомного tooling, exploits, implants, payloads или evasion techniques. Hands-on опыт с коммерческим и open-source offensive tooling (например Cobalt Strike, custom C2 frameworks, Burp Suite) и способность строить или модифицировать инструменты по мере необходимости. Владение программированием или scripting (Python, PowerShell, C/C++, Rust и др.) достаточное для custom tooling или exploit development. Соответствующие сертификации: OSCP, OSWE, OSCE, GXPN или эквивалентная продемонстрированная экспертиза. Опыт работы с или управления third-party penetration testing vendors. Опыт работы с командами разработки на secure SDLC, DevSecOps или secure code review. Знание detection engineering, SIEM/EDR capabilities или blue team perspectives. Предварительный опыт в financial services, insurance или других regulated средах (например NYDFS 23 NYCRR 500). Предварительный опыт mentoring или leadership security engineers.

Условия

• Конкурентоспособная зарплата в диапазоне 200,000–270,000 USD/год плюс бонус в зависимости от геолокационного рынка. Комплексное health, dental и vision insurance для сотрудников и их семей. Basic и Supplemental Life Insurance, Short и Long-Term Disability. Immediate access к Employee Assistance Program и wellness programs без регистрации. Участие в 401K плане с matching contributions от компании. Культура инклюзивности, ценящая diversity всех индивидуальных различий.

Навыки

• Penetration Testing
• Red Teaming
• Purple Teaming
• Cloud Security
• Azure
• AWS
• GCP
• Bug Bounty Programs
• Attack Surface Management
• Vulnerability Assessment
• Remediation Tracking
• Security Architecture
• Application Security
• SDLC Security
• Cobalt Strike
• Burp Suite
• Threat Modeling
• Adversary TTPs
• Detection Engineering
• SIEM
• EDR
• Python
• PowerShell
• C/C++
• Rust
• OWASP
• ISO 27001