Jobs Kyiv, Penetration Tester

Ми — Red Team, команда, яка стоїть на захисті цифрових продуктів, якими користуються мільйони українців щодня. Наша місія — знаходити вразливості, забезпечуючи надійність і стійкість всієї екосистеми Дії.

Наші цінності:
Ми віримо в інакШОмислення, що формує майбутнє та відкриває шлях до постійного розвитку. Клієнтоцентричність для нас — це відповідальність перед мільйонами користувачів, чия безпека залежить від якості нашої роботи. Ми діємо в культурі кооперації та відкритості, де доброчесність і прозорість є основою довіри всередині команди. А наша наполегливість дозволяє досягати найвищого рівня захисту.

Ваша основна місія:
Ваша роль — захист цифрової держави. Ви забезпечуєте надійність, безпеку та стійкість усіх продуктів екосистеми шляхом систематичного виявлення та усунення технічних вразливостей до того, як вони стануть загрозою. Ваш нестандартний погляд на архітектуру систем і внутрішній «хист» до кібербезпеки — це те, що робить цифрову державу по-справжньому захищеною.

У фокусі роботи:
– проведення пентестів вебдодатків, API, мобільних застосунків та хмарних середовищ;
– імітація кібератак і моделювання загроз для виявлення критичних вразливостей;
– аналіз та документування знайдених вразливостей із рекомендаціями щодо їх усунення;
– автоматизація процесів тестування для підвищення ефективності роботи команди;
– проведення fuzz-тестування та реверс-інжинірингу цифрових продуктів;
– моніторинг актуальних кіберзагроз та адаптація тестових сценаріїв;
– взаємодія з внутрішніми командами проєктів екосистеми під час перевірок.

Від вас очікуємо:
– вища освіта (бакалаврський рівень або вище);
– 2+ роки досвіду проведення пентестів вебдодатків, API, мобільних застосунків або хмарних середовищ;
– ґрунтовні знання OWASP (Web, API, Mobile);
– впевнене володіння інструментами: Burp Suite, Nmap, Metasploit, Nessus, Nikto, Acunetix, Ghidra;
– знання інструментів мобільного пентесту (Frida, MobSF) та роботи з API (Postman);
– досвід роботи з Python, Bash або PowerShell для автоматизації задач;
– знання SQL та розуміння мережевих протоколів (TCP/IP, HTTP, HTTPS);
– досвід тестування RESTful та GraphQL API;
– вміння працювати з Docker та Kubernetes.

Буде плюсом:
– наявність сертифікацій у сфері кібербезпеки (OSCP, OSWE, CEH або аналогічних);
– досвід участі у програмах Bug Bounty або роботи з DevSecOps;
– досвід використання інструментів SAST/DAST, SIEM та систем логування.

Ми шукаємо талант, який:
– бачить систему нестандартно і знаходить те, що інші пропускають;
– має внутрішню пристрасть до кібербезпеки та постійно розвиває свої технічні навички;
– швидко переключається між різними типами задач — Web, Mobile, API, Cloud — без втрати якості. 

Ми пропонуємо:
– роботу в команді, що захищає продукти екосистеми, якими користуються мільйони українців;
– менторство від досвідчених колег з поступовим переходом до автономії в проєктах;
– гібридний формат роботи після адаптаційного періоду;
– реальні виклики: різноманітні проєкти з Web, Mobile, API та Cloud без нереальних дедлайнів;
– офіс з генератором та безперебійним інтернетом;
– бронювання працівників за умови актуального військового обліку.

Готові до виклику?
Ми шукаємо не просто технічного спеціаліста — ми шукаємо того, хто бачить вразливості там, де інші бачать лише код. Якщо кібербезпека для вас — це не робота, а покликання, приєднуйтесь до команди, яка щодня тримає цифровий щит для всієї країни.

Ми шукаємо вмотивованого початківця у сфері безпеки застосунків, який хоче зростати разом із командою: вчитися знаходити вразливості, працювати з інструментами автоматичного сканування та поступово занурюватися у практики DevSecOps і SSDLC. Досвід комерційної роботи не обов'язковий — важливіші базові знання, допитливість і готовність вчитися. 

Основні обов'язки 

• Робота з інструментами сканування: запуск сканувань SAST/DAST, первинний розбір результатів, відсіювання хибних спрацювань під наглядом наставника. 
• Участь у пентестах: тестування веб-застосунків та API у складі команди, під керівництвом досвідченого інженера. 
• Перевірка за чек-листами: оцінка застосунків за OWASP ASVS Level 1,2 та OWASP Top 10 із використанням готових методик. 
• Звітність: підготовка технічних описів знахідок з оцінкою за CVSS, формулювання рекомендацій розробникам (за підтримки наставника). 
• Навчання: участь у внутрішніх сесіях, розбір реальних кейсів, поступове розширення зони відповідальності. 
• Вимоги до кандидатів 
• Досвід: від 6 місяців у сфері ІТ або кібербезпеки — підійде стажування, лабораторії, участь у CTF, pet-проєкти чи навчальні платформи (TryHackMe, HackTheBox, PortSwigger Web Security Academy). 
• Базові знання: розуміння OWASP Top 10, принципів роботи HTTP/HTTPS, автентифікації та авторизації, основних класів вразливостей (XSS, SQLi, IDOR, CSRF). 
• Інструменти: базове володіння Burp Suite (Community достатньо), OWASP ZAP, Nmap. Розуміння, для чого потрібні сканери, і вміння прочитати їхній звіт. 
• Мережі та ОС: розуміння основ TCP/IP, вміння працювати в Linux-середовищі (командний рядок). 
• Код: здатність читати вихідний код хоча б однією мовою (Python, JavaScript, Java, PHP або C#) і розуміти логіку роботи застосунку. 
• Англійська: рівень достатній для читання технічної документації та звітів. 
• Буде плюсом 
• Профільна освіта (кібербезпека, комп'ютерні науки) або курси з ІБ 
• Сертифікати рівня eJPT, PNPT, CompTIA Security+ або проходження PortSwigger Web Security Academy 
• Базові навички скриптингу (Python, Bash) 
• Знайомство з Docker, Git, CI/CD 
• Участь у CTF, Bug Bounty (навіть без прийнятих звітів) 
• Власний блог, write-up'и або GitHub із навчальними проєктами 
  
   
• М'які навички 
• Готовність вчитися: вміння сприймати зворотний зв'язок. 
• Комунікація: здатність зрозуміло пояснити знайдену проблему, працювати в команді з розробниками. 
• Уважність до деталей та аналітичний склад мислення. 
• Доброчесність: розуміння етичних меж роботи з безпекою та відповідальності за доступ до чутливої інформації. 
  
  Що ми пропонуємо 
• Бронювання на період дії воєнного стану: офіційне працевлаштування в організації, визнаній критично важливою для функціонування економіки України, із повним забезпеченням процедури бронювання для військовозобов'язаних працівників. 
• Наставництво: робота під керівництвом досвідчених інженерів, регулярний зворотний зв'язок, чіткий план розвитку на перші 6–12 місяців. 
• Масштаб та вплив: участь у безпеці систем національного значення — ваш внесок захищає реальну цифрову інфраструктуру. 
• Навчання та розвиток: компенсація професійного навчання, участь у профільних конференціях та здача міжнародних сертифікацій (eJPT, OSCP тощо). 
• Комфортна локація: сучасний офіс у центрі Києва (генератори, безперебійний інтернет, облаштоване укриття). 
• Гідна винагорода: конкурентна заробітна плата з регулярним переглядом за результатами performance review. 

Ми шукаємо талановитого та вмотивованого Security Engineer / Pentester, який допоможе нашій команді будувати безпечний продукт, знаходити вразливості до того, як це зроблять зловмисники, та впроваджувати найкращі практики DevSecOps та SSDLC. 

Обов'язки:
 

• Проведення пентестів: Регулярне тестування на проникнення (Black Box, Grey Box, White Box) для веб-додатків, застосунків, API-технологій та інфраструктури. 
• Аудит за стандартами: Оцінка безпеки застосунків на відповідність стандарту OWASP ASVS (Level 1–3). 
• Автоматизація та аналіз (ASST/SAST/DAST): Налаштування та використання інструментів автоматичного сканування коду та валідація їхніх результатів (відсіювання False Positives). 
• Аналіз бізнес-логіки: Мануальний аналіз, рев’ю та пошук архітектурних вразливостей різної складності та помилок у логіці застосунків. 
• Звітність та взаємодія: Складання детальних технічних звітів за результатами тестування (оцінка ризиків за шкалою CVSS v3/v4) та надання чітких рекомендацій розробникам щодо виправлення багів (Remediation). 
• Моделювання загроз: Участь у процесах Threat Modeling на ранніх етапах проєктування функціональних можливостей застосунків. 

Вимоги:

• Досвід роботи: Від 3+ років у сфері безпеки застосунків або\та тестів на проникнення. 
• Знання стандартів: Глибоке розуміння методологій OWASP Top 10, OWASP WSTG, ASVS, CWE,SSDLC (NIST SSDF). 
• Використання інструментарів: Експертне знання Burp Suite Pro, OWASP ZAP, Nmap, Metasploit, SQLmap, Nessus/Acunetix тощо. 
• Розуміння архітектури: Досвід роботи з мікросервісною архітектурою, REST API, GraphQL, контейнеризацією (Docker, Kubernetes) та хмарними безпековими практиками (AWS / Azure / GCP). 
• Аналіз коду: Поглиблений досвід читання та аналізу вихідного коду на предмет наявності вразливостей (бажано знання однієї або кількох мов: [впишіть стек проекту, наприклад: Java / Node.js / .NET / Python]). 
• Автоматизація: Навички написання скриптів для автоматизації рутинних завдань безпеки (Python, Bash або Go). 

Буде плюсом:  

• Наявність профільних сертифікатів: OSCP, OSWE, eWPT, CEH або CISSP. 
• Досвід інтеграції інструментів безпеки в CI/CD конвеєри (GitLab CI, GitHub Actions, Jenkins). 
• Досвід участі у програмах Bug Bounty, Catch the Flag/Hackathons.  
• Конструктивний підхід: Вміння не просто «знайти дірку», а аргументовано та без токсичності пояснити команді розробки, чому це небезпечно і як це виправити. 
• Аналітичний склад розуму, уважність до деталей та здатність думати як зловмисник (adversarial mindset). 

 Що ми пропонуємо:  

•  Можливість бронювання, офіційне працевлаштування
  Масштаб та вплив: Можливість працювати над ТОП-1 ІТ проєктами в Україні. Ваш внесок у безпеку продукту впливатиме на мільйони користувачів та захист національної цифрової інфраструктури. 

Middle / Senior | Київ | Office / Hybrid

Kernel шукає Penetration Tester для перевірки реальної захищеності корпоративної інфраструктури, вебзастосунків, API та мережевих сервісів.

Це практична offensive security-роль із повним циклом роботи: пошук векторів атак, експлуатація вразливостей, Purple Team-активності, підготовка PoC, супровід remediation та повторне тестування.

Що потрібно робити

• Проводити pentest внутрішньої та зовнішньої інфраструктури, web applications, API та network equipment.
• Тестувати Active Directory: privilege escalation, delegation, ADCS, Kerberos і relay-атаки.
• Досліджувати external attack surface, виявляти shadow IT і забуті сервіси.
• Проводити phishing-кампанії та аналізувати їх результати.
• Працювати із SOC у межах Purple Team: перевіряти детекти, MITRE ATT&CK coverage та atomic tests.
• Готувати технічні звіти з PoC, кроками відтворення і пріоритизованими рекомендаціями.
• Консультувати команди під час remediation та проводити retest.
• Розвивати внутрішні offensive security-інструменти й автоматизувати повторювані перевірки.

Наші очікування

• Від двох років практичного досвіду в penetration testing.
• Active Directory: BloodHound, Impacket, Kerberos attacks, typical privilege escalation paths.
• Web security: OWASP Top 10 на рівні exploitation, Burp Suite.
• Networking, Windows/Linux post-exploitation та розуміння логіки роботи EDR.
• Python, PowerShell або Bash на рівні створення власних інструментів.
• Уміння готувати зрозумілі технічні звіти та реалістично оцінювати business impact.
• Дотримання scope, rules of engagement і вимог щодо роботи з sensitive data.
• Англійська на рівні читання технічної документації.

Nice to have: OSCP, OSEP, OSWE, CRTO, PNPT або GPEN; Red Team operations, C2 infrastructure, security controls evasion; OT/ICS security; Azure, Entra ID, Kubernetes; CTF, CVE, bug bounty або public security research; досвід у SOC чи detection engineering.

Що ми пропонуємо

• Офіційне працевлаштування та прозорі умови.
• Щорічну премію.
• Медичне страхування.
• Офісний або гібридний формат і гнучкий графік.
• Офіс у центрі Києва.
• Можливість розвивати offensive security та безпосередньо впливати на захищеність інфраструктури великої компанії.