この求人について
Anyone AIでは、実際のソフトウェア脆弱性のレビュー、CVEの再現、修正アプローチ、エクスプロイト検証環境に焦点を当てた専門プロジェクトのために、経験豊富なアプリケーションセキュリティエンジニアおよび脆弱性リサーチャーを募集しています。
ペネトレーションテスト、脆弱性リサーチ、またはアプリケーションセキュリティにおける実務経験を持ち、脆弱性が正確に再現されているか、修正が実際の根本原因に対処しているか、セキュリティテストがエクスプロイトが緩和されたことを確実に実証しているかを判断できるセキュリティ専門家を求めています。
業務内容
以下の技術的なセキュリティタスクをレビューしていただきます：
- CVE脆弱性の再現
- エクスプロイトの概念実証
- 脆弱性の修正とセキュアコーディング
- アプリケーションセキュリティテスト
- Dockerベースの脆弱性ラボ
- エクスプロイト検証スクリプト
- セキュリティリグレッションテスト
- CVSS、CWE、脆弱性の分類
- 環境と設定の分析
- エッジケースと代替攻撃経路
この役割の重要な部分は、脆弱性環境が元の攻撃条件を正確に再現しているか、また提案された修正が正当な機能を損なうことなく脆弱性を真に排除しているかを判断することです。
求める要件
- アプリケーションセキュリティ、ペネトレーションテスト、または脆弱性リサーチにおける3年以上の実務経験
- CVE、CVSS、CWE、および一般的な脆弱性クラスに関する深い理解
- 以下のような脆弱性の特定と修正の経験：
- SQLインジェクション
- コマンドインジェクション
- SSRF
- デシリアライゼーション脆弱性
- バッファオーバーフロー
- 権限昇格
- アクセス制御の問題
- セキュリティ設定の不備
- セキュアコーディングと脆弱性修正に関する深い理解
- エクスプロイトの概念実証のレビューまたは開発経験
- セキュリティ修正が即時のエクスプロイトだけでなく根本原因に対処しているかを検証した経験
- DockerおよびDocker Composeの熟練した利用
- 明確で技術的に厳密な文書フィードバックを提供できる能力
担当業務
- CVE再現環境の技術的な正確性のレビュー
- 脆弱性が元の攻撃ベクトルと影響を忠実に再現しているかの判断
- 提案されたセキュリティ修正と修正戦略の評価
- 以下を検証するテストスイートのレビュー：
- 通常のアプリケーション機能が維持されていること
- 元のエクスプロイトがもはや成功しないこと
- 不完全な修正と代替のエクスプロイト経路の特定
- 正しいソフトウェアバージョン、サービス、ネットワーキング、設定のためのDocker環境のレビュー
- 修正によって導入される可能性のあるリグレッションや新たな脆弱性の検出
- 脆弱性の再現、修正、検証ロジックを改善するための推奨事項の提供
歓迎する要件
- OSCP、GPEN、GWAPT、または同等のセキュリティ資格
- 責任ある脆弱性開示またはCVE報告の経験
- エクスプロイトの概念実証コードの保守経験
- 以下のようなツールを使用した自動セキュリティテストの作成経験：
- Python
- requests
- curl
- pwntools
- カスタムエクスプロイトハーネス
- DevSecOpsの経験
- SAST、DAST、CI/CDセキュリティツールに関する知識
- サイバーセキュリティ評価または技術的なセキュリティチャレンジの開発またはレビュー経験
- AI評価、RLHF、または技術データプロジェクトの経験
契約形態
勤務形態：リモート 契約形態：パートタイム、プロジェクトベースのコンサルティング フォーカス：アプリケーションセキュリティ、脆弱性リサーチ、CVE再現、修正
この役割は、脆弱性が実際にどのように機能するかを理解し、管理された環境でエクスプロイトを再現し、セキュリティ修正を評価し、従来のテストでは見逃す可能性のある微妙なギャップを特定することを楽しむセキュリティエンジニアに最適です。