Informazioni sul ruolo
Anyone AI sta reclutando Ingegneri della Sicurezza delle Applicazioni e Ricercatori di Vulnerabilità esperti per un progetto specializzato incentrato sull'analisi di vulnerabilità del software reali, riproduzioni di CVE, approcci di remediation e ambienti di verifica degli exploit.
Cerchiamo professionisti della sicurezza con esperienza pratica in penetration testing, ricerca di vulnerabilità o sicurezza delle applicazioni, in grado di determinare se le vulnerabilità vengono riprodotte accuratamente, se le correzioni affrontano la causa radice effettiva e se i test di sicurezza dimostrano in modo affidabile che un exploit è stato mitigato.
Su Cosa Lavorerai
Esaminerai attività tecniche di sicurezza che riguardano:
- Riproduzione di vulnerabilità CVE
- Proof-of-concept di exploit
- Remediation delle vulnerabilità e secure coding
- Test di sicurezza delle applicazioni
- Laboratori di vulnerabilità basati su Docker
- Script di verifica degli exploit
- Test di regressione di sicurezza
- CVSS, CWE e classificazione delle vulnerabilità
- Analisi dell'ambiente e della configurazione
- Casi limite e percorsi di attacco alternativi
Una parte fondamentale del ruolo consiste nel determinare se un ambiente di vulnerabilità ricrea accuratamente le condizioni di attacco originali e se una correzione proposta elimina realmente la vulnerabilità senza compromettere la funzionalità legittima.
Cosa Cerchiamo
- 3+ anni di esperienza pratica in sicurezza delle applicazioni, penetration testing o ricerca di vulnerabilità
- Solida comprensione di CVE, CVSS, CWE e delle classi di vulnerabilità comuni
- Esperienza nell'identificazione e nella remediation di vulnerabilità quali:
- SQL injection
- Command injection
- SSRF
- Vulnerabilità di deserializzazione
- Buffer overflow
- Privilege escalation
- Problemi di controllo degli accessi
- Misconfigurazioni di sicurezza
- Solida comprensione del secure coding e della remediation delle vulnerabilità
- Esperienza nell'analisi o nello sviluppo di proof-of-concept di exploit
- Esperienza nel validare se le correzioni di sicurezza affrontano la causa radice e non solo l'exploit immediato
- Competenza con Docker e Docker Compose
- Capacità di fornire feedback scritto chiaro e tecnicamente rigoroso
Di Cosa Sarai Responsabile
- Esaminare gli ambienti di riproduzione delle CVE per verificarne l'accuratezza tecnica
- Determinare se le vulnerabilità riproducono fedelmente il vettore di attacco e l'impatto originali
- Valutare le correzioni di sicurezza proposte e le strategie di remediation
- Esaminare suite di test che verificano sia:
- La funzionalità normale dell'applicazione rimane intatta
- L'exploit originale non riesce più
- Identificare correzioni incomplete e percorsi di sfruttamento alternativi
- Esaminare gli ambienti Docker per verificare versioni software, servizi, networking e configurazione corretti
- Rilevare potenziali regressioni o nuove vulnerabilità introdotte da una correzione
- Fornire raccomandazioni per migliorare le riproduzioni delle vulnerabilità, le correzioni e la logica di verifica
Requisiti Preferenziali
- Certificazione di sicurezza OSCP, GPEN, GWAPT o equivalente
- Esperienza con divulgazione responsabile delle vulnerabilità o segnalazione di CVE
- Esperienza nella manutenzione di codice proof-of-concept di exploit
- Esperienza nella scrittura di test di sicurezza automatizzati con strumenti quali:
- Python
- requests
- curl
- pwntools
- Harness di exploit personalizzati
- Esperienza in DevSecOps
- Familiarità con strumenti di sicurezza SAST, DAST e CI/CD
- Esperienza nello sviluppo o nell'analisi di valutazioni di cybersecurity o sfide tecniche di sicurezza
- Esperienza con valutazione AI, RLHF o progetti di dati tecnici
Incarico
Tipo di lavoro: Remoto Incarico: Consulenza part-time, basata su progetto Focus: Sicurezza delle applicazioni, ricerca di vulnerabilità, riproduzione di CVE e remediation
Questo ruolo è ideale per ingegneri della sicurezza a cui piace comprendere come funzionano realmente le vulnerabilità, riprodurre exploit in ambienti controllati, valutare le correzioni di sicurezza e identificare lacune sottili che i test tradizionali potrebbero non rilevare.