Права категории B

Более 8 лет в IT (работаю в сфере с 2018 года), с 2023 года специализируюсь на DevSecOps/AppSec: 1. Автоматизирую CI/CD пайплайнов в GitLab CI/CD, Terraform; 2. Интегрирую инструменты безопасной разработки и сканирования (SAST + SCA + DAST + Fuzzing) и другие утилиты в конвейер; 3. Настраиваю правила для endpoints, сетевой сегментации и протоколов в WAF и NGFW; 4. Имею опыт работы с Kubernetes, Docker, Terraform (Hardening’ом и конфигурации систем для test/prod); 5. Опыт работы с Claude Code, Codex, Coder CLI, Qwen Code, Olllama, LM Studio, OpenCode. 6. Умею настраивать Kali-MCP-Tools для автоматического сканирования для совместного работы с автоматизированными framework (HexStrikeAI-сетевое сканирование) и интегрировать.  Направления в которых есть опыт и навыки: 1. Мобильная разработка / Mobile Reverse Engineering; 2. Ручное тестирование / AQA Тестирование; 3. Администрирование инфраструкутуры / Развертывание с нуля; 4. DevOps / DevSecOps / Pentest; 5. Дизайн систем / Security Architecture; 6. Настройка MCP агентов c LLM-моделями для автоматической правки кода в IDE и сетевого сканирования (работа с Git/subcommands/MCP).  В мои качества и навыки входят: Стрессоустойчивость, внимательность, быстрообучаемость, профессиональный подход к делу, целеустремлённость, креативный подход к делу, взаимопомощь для коллектива, смелость, энергичность, организованность. Об опыте и навыках: Понимание методологий формирования требований ИБ к продуктам относительно 152-ФЗ, 187-ФЗ и требований OWASP (Top 10, Top Mobile, AI Security). Опыт формирования требований ИБ к продуктами и формирование требований по обеспечению защищенности разрабатываемого приложения. Оценка рисков безопасности приложения и инициирование инструментальных проверок разрабатываемого продукта. Ручной и автоматизированный поиск недостатков разрабатываемого ПО, участие в их разборе совместно с командами разработки. Триаж найденных недостатков с использованием автоматизированных инструментов безопасной разработки. Углубленный анализ уязвимостей в разрабатываемого ПО. Контроль поставки на исправление подтвержденных уязвимостей. Формирование предложения по компенсирующим мерам и их оценке. Разработка архитектуры и итоговых решений по модели C4. Проектирование системы безопасной разработки и комплексного решения по обеспечению безопасности разрабатываемого продукта. Реализация систем c созданием полноценной документации по критически важным объектам защищенности и прикладное применение реализаций защиты в исходном коде. Дизайн-архитектуры системы, формирование диаграмм взаимодействия системы на различных уровнях: 1) Общая схема - бизнес требование; 2) Сетевая схема и схема взаимодействия сервисов; 3) Схема бизнес процессов и микросервисная реализация - BPMN нотация; 4) Схема работы компонентов сервиса с внутренней градацией; 5) Диаграммы классов, сущностей, эндпоинтов, интерфейсов и баз данных. Опыт выстраивания/развертывания инфраструктуры с нуля с подключениями необходимых корпоративных сервисов. Внедрение AppSec-практик в команды разработки. Являюсь ответственным специалистом и полностью знаком с методологиями SSDLC, Threat Modeling и стандартами обеспечения безопасности ПО. Применяю на практике инструменты по анализу коду, поиску секретов, динамическому тестированию совместно с фаззингом, тестированию на проникновение и нагрузочному тестированию. Могу построить систему или сформировать и написать кодовую часть для системных конфигураций или приложения. Умение работать со статическими анализаторами кода (SAST + Secret Scanning): Solar AppScreener, SonarQube, Semgrep, CodeScoring, PVS-Studio, gitleaks, trufflehog и т.п.). Умение работать с динамическими анализаторами (DAST): Burp Suite, OWASP Zap, wfuzz, ispran-fuzzing, Nessus. PT SOAR/SIEM. Анализ OpenSource-компонентов и сторонних компонентов (OSA/SCA) c помощью: CDXGen SBOM, Cosign, Solar AppScreener, OWASP Dependency-Track, Trivy. Опыт работы со SBOM файлами и файлами манифестов (типа package.json, poetry.lock, CMakeList.txt, package.toml, maven-sbom, Dockerfile и т.п.). Опыт написания конфигураций для выше перечисленных инструментов анализа и сканирования кода: регулярные выражения на основе шаблонов уязвимостей из баз данных ФСТЭК, NIST и др. Опыт создания образов системы и приложений для Docker-подобных систем, настройка и управления приложениями из helm-чартов для k8s(k3s/Rancher/k0s), а также формирование конвейера сборки и deploy систем. Имею практический опыт Hardening’а отдельных систем, пакетов и систем контейнеризации, подписания образов (пакетов) и создания отдельно взятых "золотых" образов для публикации в репозиторий, на примере Nexus и Harbour. Опыт аналитической оценки применимости общеизвестных уязвимостей CVE к приложениям с учетом архитектурных особенностей. Опыт формирования отчетов по уязвимостям, настройка Quality Gates и связывания уязвимостей с дефект-трекинговыми системами, на примере DefectDojo. Углубленное понимание угроз/уязвимостей безопасности по версии OWASP Top 10 и методов защиты от них. Применение оценки СVSS, описания рекомендаций по устранения уязвимостей и публикации уязвимостей в S3-хранилища. Опыт взаимодействия с LLM-агентами и RAG системами, подключение MCP приложений. Опыт автоматизации и написании скриптов на Python/Go/Bash/Yaml для pipelines CI/CD процессов. Опыт написания мобильных приложений, взаимодействий с реляционными базами данных и S3-системами, и исследование приложений на уязвимости с реверс-инженирингом (Binary Ninja, Ghidra, Frida). Опыт исследования приложений и инфраструктуры на уязвимости с помощью сканеров открытых портов, traversal путей запросов, bruteforce-техники, syscalls hooking и code injections with fuzzing, встраивание их в CI/CD-конвейер. Опыт исследования уязвимостей совместно с воспроизведением, выдачей оценки и уровнем критичности. Опыт написание низкоуровневых взаимодействий (Arduino) с системами безопасности.  Активно изучаю Rust и низкоуровневое взаимодействие с HID-устройствами/IoT (системное программирование), а также прикладной анализ данных, Big Data и реализации низкоуровневых ML-алгоритмов совместно с криптографическими ключами и алгоритмами шифрования.  Буду рад пообщаться и рассказать подробно о своем опыте на техническом интервью. Связаться со мной можно по телефону: +79850462669 или в телеграм: https://t.me/alexeyandivanov