工作內(nèi)容:
1、進(jìn)行代碼安全檢查,配合研究總院進(jìn)行code review,實時跟蹤代碼安全狀態(tài),負(fù)責(zé)對使用的第三方類庫和版本進(jìn)行安全跟蹤,發(fā)現(xiàn)安全問題的第一時間進(jìn)行風(fēng)險告知,并配合軟件開發(fā)方設(shè)計整改方案
2、在軟件部署過程中全程進(jìn)行網(wǎng)絡(luò)安全看護(hù),如發(fā)現(xiàn)安全隱患,及時進(jìn)行風(fēng)險告知,并配合部署團隊進(jìn)行部署方案的整改設(shè)計;
3、在線仿真平臺研發(fā)上線后,對仿真離線軟件、在線軟件、仿真平臺等的部署環(huán)境進(jìn)行安全基線核查等網(wǎng)絡(luò)安全上線檢查工作。
4.負(fù)責(zé)滲透測試技術(shù)服務(wù)實施,對web端進(jìn)行滲透測試并編寫滲透測試報告;
5.指導(dǎo)安全漏洞修復(fù),并對安全漏洞進(jìn)行復(fù)核;
6、網(wǎng)絡(luò)安全事件溯源及處置。
(一)技能要求
1、精通滲透測試技術(shù),熟悉常見的漏洞類型、攻擊手法和防御措施,具備豐富的實際滲透測試經(jīng)驗,能運用多樣化的滲透測試工具和技術(shù),如 Burp Suite、Nessus、Metasploit 等,對公司網(wǎng)絡(luò)架構(gòu)、應(yīng)用系統(tǒng)、服務(wù)器等進(jìn)行深度漏洞探測,包括但不限于 Web 應(yīng)用漏洞、系統(tǒng)漏洞、網(wǎng)絡(luò)協(xié)議漏洞等。
2、具備代碼審計能力,對開發(fā)的應(yīng)用程序代碼進(jìn)行全面審查,檢查代碼中是否存在常見的安全漏洞,如 SQL 注入、跨站腳本攻擊(XSS)、文件上傳漏洞、權(quán)限繞過漏洞等
3、熟練運用各類漏洞掃描工具,如 Nessus、OpenVAS、Acunetix 等,能夠?qū)呙杞Y(jié)果進(jìn)行準(zhǔn)確分析和解讀,定期使用漏洞掃描工具,對公司信息資產(chǎn)進(jìn)行全面掃描,及時發(fā)現(xiàn)系統(tǒng)漏洞和安全配置問題,依據(jù)安全基線,對公司各類信息系統(tǒng)進(jìn)行定期核查,確保系統(tǒng)配置符合安全要求,及時發(fā)現(xiàn)并糾正偏離基線的情況,降低安全風(fēng)險
4、具備良好的漏洞修復(fù)溝通能力,能夠與不同技術(shù)背景的人員進(jìn)行有效溝通,推動漏洞修復(fù)工作順利進(jìn)行。
5、具備較強的學(xué)習(xí)能力和好奇心,能夠緊跟網(wǎng)絡(luò)安全領(lǐng)域的技術(shù)發(fā)展趨勢,不斷學(xué)習(xí)和掌握新的安全技術(shù)和工具。
6、工作認(rèn)真負(fù)責(zé),嚴(yán)謹(jǐn)細(xì)致,具備良好的問題分析和解決能力,能夠在復(fù)雜的環(huán)境中快速定位和解決安全問題。
7、具備良好的團隊協(xié)作精神,能夠與團隊成員密切配合,共同完成安全項目和任務(wù)。
(二)資質(zhì)證書
1、擁有 3 年及以上網(wǎng)絡(luò)安全相關(guān)工作經(jīng)驗,其中至少 2 年專注于滲透測試、代碼審計等工作領(lǐng)域。
2、持有 CISP(注冊信息安全專業(yè)人員)、CISP - PTE(注冊信息安全專業(yè)人員 - 滲透測試工程師)等相關(guān)權(quán)威證書。
備注:得懂點代碼審計