Product Security Engineer

О позиции

Мы ищем инженера по безопасности продуктов, который видит проблемы в инфраструктуре интернета, которые другие привыкли игнорировать. Ваша работа будет находиться на пересечении Product Security, Vulnerability Operations и внутреннего инструментария ИИ. Мы ценим кандидатов с любопытством к инновациям, способностью находить узкие места в ручных процессах и опытом в области системной безопасности или исследований уязвимостей. Cloudflare защищает интернет от атак и ускоряет трафик миллионов сайтов, обеспечивая их производительность и безопасность без необходимости менять код.

Будет плюсом

• Знакомство с современными exploitation techniques, fuzzing frameworks или automated scanning utilities
• Опыт масштабирования crowdsourced security программ (HackerOne, Bugcrowd)
• Оптимизация agile project management workflows в JIRA
• Опыт интеграции hardware security features в production code bases

Условия

• Конкурентоспособная зарплата плюс участие в плановых опционах компании (equity)
• Комплексный пакет benefits: медицинское, стоматологическое, зрительное страхование, Flexible Spending Accounts
• Страхование на случай краткосрочной и долгосрочной инвалидности, life & accident insurance
• Пенсионная программа 401(k) с участием компании
• Гибкий оплачиваемый отпуск (vacation и sick leave), программы parental leave
• Глобальное travel medical insurance
• Поддержка mental health и Employee Assistance Program
• Корпоративная культура, ценящая курьезность поверх бюрократии
• Возможность работать над проектами Project Galileo и Athenian Project по защите свободы интернета

Навыки

• Application Security
• Threat Modeling
• STRIDE
• Vulnerability Management
• Bug Bounty Triage
• Penetration Testing
• SAST
• DAST
• Fuzzing
• Python
• Go
• AI/ML for Security
• SLA Management
• JIRA
• Crowdsourced Security Programs
• Code Analysis
• Risk Assessment
• DevSecOps

Могут спросить на собеседовании

1. Расскажите о примере сложной уязвимости, которую вы обнаружили и помогли устранить в distributed system или SaaS платформе. Как вы определяли приоритет и вовлекали команды разработки?
2. Как вы подходите к threat modeling для новой функции продукта? Какие фреймворки используете и как интегрируете security requirements early в development lifecycle?
3. Приведите пример, где вы использовали ИИ/LLM для автоматизации безопасности или ускорения security workflows. Какой инструмент, какую задачу решили?
4. Как вы проводите triage bug bounty submissions? На что обращаете внимание при оценке exploitability и business risk?
5. Опишите ситуацию, где ваш manual process создавал bottleneck в security workflow. Как вы его оптимизировали с помощью инструментов или скриптов?