Jobs Penetration Tester

Our client is building and maintaining software systems where reliability, data protection, and secure user flows are critical. The security function is not limited to checking whether features and data are secure. The team also needs someone who can actively challenge the system, identify weak points, verify security assumptions, and help prevent vulnerabilities before they reach production.

We are looking for a Cyber Security Engineer who can work closely with infrastructure, engineering, and product teams to test web applications, APIs, authentication flows, permissions, infrastructure exposure, and overall application security.

This is a hands-on role. The main expectation is to find real risks, reproduce them clearly, document them properly, and help the engineering team validate that fixes are effective. Role We are looking for a Security Engineer who will take ownership of security testing and tightening across application, API, and platform layers.

This person should be comfortable working as part of a delivery governance team while bringing deeper security expertise into the team. The role requires practical knowledge of penetration testing, vulnerability assessment, secure testing methods, and clear communication with developers.

Key Responsibilities

• Perform manual security testing of web applications, APIs, user flows, and admin panels.
• Conduct penetration testing against staging and production-like environments.
• Identify, reproduce, document, and validate security vulnerabilities.
• Test authentication, authorization, permissions, session management, password flows, and access-control logic.
• Review API endpoints for broken access control, injection risks, data exposure, rate-limit issues, and insecure design.
• Validate security fixes and perform regression security testing.
• Work with QA engineers to include security checks in the regular testing process.
• Prepare clear reports with reproduction steps, evidence, severity, impact, and recommended remediation.
• Collaborate with developers to explain vulnerabilities and verify that fixes address the real issue.
• Support threat modeling and security review of new features when needed.
• Help improve security awareness and testing standards inside the team.

Required Experience

• 5+ years of experience in penetration testing, application security, security QA, or ethical hacking.
• Strong understanding of OWASP Top 10 and common web application vulnerabilities.
• Experience testing REST APIs and web-based systems.
• Practical experience with authentication and authorization testing.
• Ability to discover, reproduce, and explain vulnerabilities clearly.
• Experience using security testing tools such as Burp Suite, OWASP ZAP, Nmap, Wireshark, Metasploit, or similar.
• Understanding of HTTP, HTTPS, cookies, headers, sessions, JWT, OAuth2, MFA, and role-based access control.
• Ability to write simple scripts or proof-of-concept checks when needed, preferably in Python.
• Strong documentation skills and ability to produce actionable vulnerability reports.
• Good communication skills and ability to work directly with engineering and QA teams.
• Upper-intermediate or better English for written and spoken communication.

Nice to Have

• Experience with cloud security testing, especially AWS, Azure, or GCP.
• Experience with Docker, Kubernetes, CI/CD pipelines, and infrastructure security basics.
• Experience with mobile application security testing.
• Experience with secure code review.
• Experience with SAST, DAST, dependency scanning, and security automation.
• Bug bounty experience or responsible disclosure background.
• Security certifications such as OSCP, PNPT, eJPT, CEH, GWAPT, or similar.
• Experience working in product teams rather than only external consulting environments.

What Success Looks Like

• Security issues are found early and described clearly.
• Developers can reproduce and fix reported vulnerabilities without confusion.
• QA coverage becomes stronger because security checks are included in regular delivery.
• Authentication, authorization, and API risks are actively tested before release.
• Security findings are prioritized by real impact, not just tool output.
• The team gains practical confidence that critical user flows and sensitive data are protected.

Dexis Development is looking for a Senior Penetration Tester / Application Security Engineer for an upcoming European client project.

Start: Q4 2026

Format: Remote

Engagement: Project-based / part-time

Main scope: Web Application + Admin Panel + API Penetration Testing

## Project Stack

* Drupal + significant custom code

* Vue.js frontend

* Vue.js admin panel

* Java backend

* MongoDB

* React Native — iOS / Android *(mobile pentest may be added later)*

## Responsibilities

* Manual Web Application and API penetration testing

* Black-box, grey-box and white-box assessments

* Authentication / authorization / RBAC testing

* Business logic vulnerability testing

* API security testing

* Vulnerability validation and false-positive elimination

* Remediation recommendations

* Retesting after remediation when required

* Preparation of professional client-facing pentest reports

## Required Experience

* Strong experience in Web & API Penetration Testing

* Strong manual pentesting skills — not only automated scanning

* Strong knowledge of Burp Suite

* OWASP Top 10

* OWASP API Security Top 10

* OWASP Web Security Testing Guide

* PTES

* Authentication, authorization and session security

* Access-control and business logic vulnerabilities

* Experience testing complex custom web applications

* Experience preparing professional penetration testing reports

## Languages — Mandatory

* English

* Ukrainian or Russian — fluent

## Will Be a Plus

* OSCP / OSWE / CREST

* BSCP / GPEN / GWAPT or similar certifications

* Experience with EU / enterprise clients

* Java application security

* Drupal security

* Mobile / React Native pentesting

* Cloud / infrastructure pentesting

## When Applying

Please include:

* Relevant Web/API pentesting experience

* Certifications

* Location

* Availability from Q4 2026

* Hourly or daily rate

* An anonymised sample pentest report, if available

We are looking for a Senior Penetration Tester / Application Security Engineer to perform a comprehensive security assessment of a web application and its APIs.

Project start: approximately Q4
Engagement: project-based / part-time
Main scope: Web Application & API Penetration Testing

Tech Stack

• Drupal with significant custom development
• Vue.js frontend and admin panel
• Java backend
• MongoDB
• React Native for iOS and Android (mobile pentesting may be added later)

Responsibilities

• Perform manual penetration testing of the web application and admin panel
• Conduct API security testing
• Test authentication, authorization, and role-based access controls
• Identify business logic and security vulnerabilities
• Assess the application against OWASP Top 10 and OWASP API Security risks

• Prepare a professional penetration testing report with severity levels, vulnerability descriptions, evidence, and remediation recommendations

   

Requirements

• Strong hands-on experience in Web Application and API Penetration Testing
• Strong manual pentesting skills, not only automated scanning
• Solid experience with Burp Suite and standard security testing tools
• Experience testing custom-built web applications
• Experience preparing professional pentest reports
• Experience with Java, Drupal, or Vue.js is a plus
• Mobile application pentesting experience is a plus, but not required

For our client in Berlin we are looking for Penetration Tester / Security Tester (m/f/d)

We are looking for an experienced Penetration Tester to perform security assessments of AI and Agentic AI platforms. 

Responsibilities include penetration testing of LLMs, AI agents, multi-agent systems, AI workflows, MCP implementations, APIs, cloud and infrastructure. Conduct AI Red Teaming, threat modeling, vulnerability assessments, and evaluate Prompt Injection, Jailbreaking, Data Leakage, Model Poisoning, RAG security, Tool Abuse, and Agent Exploitation. Collaborate with Engineering and Security teams, deliver security reports, and support secure-by-design AI.

Requirements: 5+ years in Penetration Testing/Security, mandatory OSCP, strong experience with LLM Security, AI Security Engineering, Agentic AI, OWASP Top 10, offensive security tools, web/API/cloud security, and excellent English. Nice to have: MCP Security, AI Red Teaming, AWS/Azure/GCP, OSEP, OSWE, GPEN, CISSP, CEH, German.

Project: ASAP – end of 2027

100% Remote, Full-time

English mandatory.

Location: EU and country near EU

📌 Загальна інформація: 
Компанія: NDA. Приватна організація. Існує 4 роки. У складі має декілька великих проєктів, що вже прискорюють нашу перемогу. Нині відкрита вакансія під розширення відділу. 
Проєкт: NDA, MilTech, Cyber Security, OSINT. 

– Формат роботи: повна зайнятість, гнучкий графік. 
– Можливість поєднувати із навчанням чи власними проєктами. 
– Вітається волонтерська діяльність з ухилом на miltech-проєкти.

Важливо: не обовʼязково мати 100% фіт до вакансії. Команда готова вчити та пояснювати слабкі місця в рамках робочих задач. 
 

Технічні вимоги

• Впевнене розуміння TCP/IP, маршрутизації, DNS, DHCP, SMB, LDAP, Kerberos, NTLM, RDP, WinRM та основних мережевих сервісів.
• Гарне знання Windows / Active Directory та типових помилок конфігурації AD.
• Практичний досвід внутрішнього pentest: enumeration → пошук векторів → отримання доступу → privilege escalation → lateral movement → розвиток доступу.
• Розуміння AD attack paths, ACL/permissions, trusts, GPO, delegation та credential-based атак.
• Впевнена робота з Linux та Windows.
• Досвід роботи з інструментами інфраструктурного pentest та vulnerability assessment: Nmap, BloodHound, Impacket, NetExec/аналогами, Burp Suite, Metasploit тощо.
• Розуміння vulnerability management: пошук, перевірка, пріоритизація та підтвердження вразливостей; вміння відрізняти реальну вразливість від false positive.
• Базовий scripting: Python/Bash/PowerShell або здатність швидко автоматизувати рутинні дії.
• Обов'язкове розуміння сучасних AI/LLM-інструментів: використання нейромереж та AI-агентів для pentest/R&D, аналізу результатів, автоматизації reconnaissance/enumeration, обробки даних, написання допоміжних скриптів та прискорення роботи.
• Інтерес до agentic pentest та автоматизації security-процесів; здатність самостійно тестувати та впроваджувати нові інструменти.

Умови роботи:

• Віддалена робота, повний формат зайнятості. 
• Гнучкий графік – самостійно плануєш свій день.
• Є можливість поєднувати з навчанням, власними проєктами.
• 20 оплачуваних робочих днів відпустки на рік.
• Реально крута команда, що може класно бустанути досвід. 
• Менторство, доступ до внутрішніх навчальних матеріалів, підтримка зростання.
• Доступ до готових RDP/VPS середовищ, інструментів та внутрішньої платформи.
  
  Етапи співбесід:
• Інтервʼю із рекрутером (30 хв)
• Технічна співбесіда з командою (45-60 хв)
• Фінальна співбесіда з Owner (30 хв)
• Offer

PS: будемо щиро вдячні за ваш коментар у супровідному листі щодо релевантності вимог вакансії.  

📌 Загальна інформація: 
Компанія: NDA. Приватна організація. Існує 4 роки. У складі має декілька великих проєктів, що вже прискорюють нашу перемогу. Нині відкрита вакансія під розширення відділу. 
Проєкт: NDA, MilTech, Cyber Security, OSINT. 

– Формат роботи: повна зайнятість, гнучкий графік. 
– Можливість поєднувати із навчанням чи власними проєктами. 
– Вітається волонтерська діяльність з ухилом на miltech-проєкти.

Шукаємо: початківця-пентестера з гарною технічною базою, умінням швидко навчатись та з реальним інтересом до cybersecurity. Великий комерційний досвід не потрібен. Головне — бажання розвиватися.
 

Технічні вимоги

• Базове розуміння TCP/IP, DNS, HTTP/HTTPS та основних мережевих протоколів.
• Базове розуміння Linux та Windows.
• Основи web та network security.
• Базове розуміння vulnerability assessment та penetration testing.
• Бажано початкове розуміння Active Directory.
• Вміння працювати з терміналом.
• Знайомство з Nmap, Burp Suite та іншими базовими pentest-інструментами.
• Базовий Python/Bash/PowerShell буде плюсом.
• Практика на Hack The Box / TryHackMe / CTF / домашніх лабораторіях — велика перевага.
• Вміння користуватися сучасними нейромережами та AI-агентами для навчання, досліджень, написання скриптів, автоматизації та вирішення pentest-завдань.
• Інтерес до автоматизації pentest та vulnerability research за допомогою AI.
• Бажання самостійно тестувати нові security/AI-інструменти.
   

Особисті вимоги

• Виконавчість: отримав завдання → зробив → відзвітував про результат.
• Не зникає і залишається на зв'язку в робочий час.
• Не сидить мовчки годинами/днями над блокером — намагається розібратися і своєчасно ставить конкретне питання.
• Не чекає, поки йому розжують кожну дію.
• Після пояснення робить висновки і не повторює постійно одні й ті самі помилки.
• Хоче швидко вирости у самостійного пентестера.

Умови роботи:

• Віддалена робота, повний формат зайнятості. 
• Гнучкий графік – самостійно плануєш свій день.
• Є можливість поєднувати з навчанням, власними проєктами.
• 20 оплачуваних робочих днів відпустки на рік.
• Реально крута команда, що може класно бустанути досвід. 
• Менторство, доступ до внутрішніх навчальних матеріалів, підтримка зростання.
• Доступ до готових RDP/VPS середовищ, інструментів та внутрішньої платформи.
  
  Етапи співбесід:
• Інтервʼю із рекрутером (30 хв)
• Технічна співбесіда з командою (45-60 хв)
• Фінальна співбесіда з Owner (30 хв)
• Offer

PS: будемо щиро вдячні за ваш коментар у супровідному листі щодо релевантності вимог вакансії.  

Ми — Red Team, команда, яка стоїть на захисті цифрових продуктів, якими користуються мільйони українців щодня. Наша місія — знаходити вразливості, забезпечуючи надійність і стійкість всієї екосистеми Дії.

Наші цінності:
Ми віримо в інакШОмислення, що формує майбутнє та відкриває шлях до постійного розвитку. Клієнтоцентричність для нас — це відповідальність перед мільйонами користувачів, чия безпека залежить від якості нашої роботи. Ми діємо в культурі кооперації та відкритості, де доброчесність і прозорість є основою довіри всередині команди. А наша наполегливість дозволяє досягати найвищого рівня захисту.

Ваша основна місія:
Ваша роль — захист цифрової держави. Ви забезпечуєте надійність, безпеку та стійкість усіх продуктів екосистеми шляхом систематичного виявлення та усунення технічних вразливостей до того, як вони стануть загрозою. Ваш нестандартний погляд на архітектуру систем і внутрішній «хист» до кібербезпеки — це те, що робить цифрову державу по-справжньому захищеною.

У фокусі роботи:
– проведення пентестів вебдодатків, API, мобільних застосунків та хмарних середовищ;
– імітація кібератак і моделювання загроз для виявлення критичних вразливостей;
– аналіз та документування знайдених вразливостей із рекомендаціями щодо їх усунення;
– автоматизація процесів тестування для підвищення ефективності роботи команди;
– проведення fuzz-тестування та реверс-інжинірингу цифрових продуктів;
– моніторинг актуальних кіберзагроз та адаптація тестових сценаріїв;
– взаємодія з внутрішніми командами проєктів екосистеми під час перевірок.

Від вас очікуємо:
– вища освіта (бакалаврський рівень або вище);
– 2+ роки досвіду проведення пентестів вебдодатків, API, мобільних застосунків або хмарних середовищ;
– ґрунтовні знання OWASP (Web, API, Mobile);
– впевнене володіння інструментами: Burp Suite, Nmap, Metasploit, Nessus, Nikto, Acunetix, Ghidra;
– знання інструментів мобільного пентесту (Frida, MobSF) та роботи з API (Postman);
– досвід роботи з Python, Bash або PowerShell для автоматизації задач;
– знання SQL та розуміння мережевих протоколів (TCP/IP, HTTP, HTTPS);
– досвід тестування RESTful та GraphQL API;
– вміння працювати з Docker та Kubernetes.

Буде плюсом:
– наявність сертифікацій у сфері кібербезпеки (OSCP, OSWE, CEH або аналогічних);
– досвід участі у програмах Bug Bounty або роботи з DevSecOps;
– досвід використання інструментів SAST/DAST, SIEM та систем логування.

Ми шукаємо талант, який:
– бачить систему нестандартно і знаходить те, що інші пропускають;
– має внутрішню пристрасть до кібербезпеки та постійно розвиває свої технічні навички;
– швидко переключається між різними типами задач — Web, Mobile, API, Cloud — без втрати якості. 

Ми пропонуємо:
– роботу в команді, що захищає продукти екосистеми, якими користуються мільйони українців;
– менторство від досвідчених колег з поступовим переходом до автономії в проєктах;
– гібридний формат роботи після адаптаційного періоду;
– реальні виклики: різноманітні проєкти з Web, Mobile, API та Cloud без нереальних дедлайнів;
– офіс з генератором та безперебійним інтернетом;
– бронювання працівників за умови актуального військового обліку.

Готові до виклику?
Ми шукаємо не просто технічного спеціаліста — ми шукаємо того, хто бачить вразливості там, де інші бачать лише код. Якщо кібербезпека для вас — це не робота, а покликання, приєднуйтесь до команди, яка щодня тримає цифровий щит для всієї країни.

ПриватБанк- є найбільшим банком України та одним з найбільш інноваційних банків світу. Займає лідируючі позиції за всіма фінансовими показниками в галузі та складає близько чверті всієї банківської системи країни.

Ми шукаємо  Penetration Tester (AI & AppSec) який прагне працювати в динамічному середовищі та розділяє цінності взаємної довіри, відкритості та ініціативності та має бажання працювати з Computer Vision.

Ми прагнемо знайти цілеспрямованого професіонала, який вміє працювати в режимі багатозадачності, орієнтованого на якість та результат.

Основні обов’язки:

- Побудова, інтеграція та мониторинг інструментів захисту в реальному часі (Real-time Defense) від маніпуляцій з інструкціями моделей, атак типу Prompt Injection та Jailbreak
- Організація та проведення регулярного атакуючого тестування ШІ-агентів, мультиагентних систем та RAG-архітектур на стійкість до специфічних AI-кібератак (отруєння даних, зсув логіки тощо)

- Проведення зовнішнього, внутрішнього тестування на проникнення інформаційних систем банку

- Аналіз загроз та захищеності web-додатків та інфраструктури;

- Проведення досліджень захищеності систем та програмного забезпечення з метою оцінки відповідності інфраструктури об'єкта вимогам безпеки інформації

- Підготовка звітів про проведені тестування на проникнення за наданим форматом

- Аналіз різних рішень та технологій з погляду інформаційної безпеки та розробка рекомендацій щодо підвищення рівня їх захищеності

Основні вимоги:

- 3+ років досвіду у сфері кібербезпеки на позиціях Application Security Pentester / DevSecOps або AI Security Engineer

- Досвід забезпечення реалізації pipelines для перевірки рішень на відповідність розробок EU AI Act та тим AI Act, які розробляються в Україні та внутрішнім стандартам банку

- Навички проактивного тестування та проведення симуляцій атак (пентестів) на ШІ-агенти та чат-боти для перевірки їх стійкості до JailBreaks, вилучення секретів та отруєння даних

- Досвід аналізу ризиків для архітектури AI-додатків (включаючи RAG та векторні бази даних), виявлення потенційних векторів атак, таких як крадіжка моделей або змагальні атаки

- Знання ШІ-загроз, а саме глибоке розуміння специфіки безпеки великих мовних моделей, практичне знання фреймворків OWASP Top 10 for LLM та MITRE ATLAS

- Навички ручного та автоматизованого тестування безпеки веб-додатків

- 2+ роки досвіду роботи у сфері Penetration Testing, Red Teaming або Offensive Security із сильним знанням безпеки додатків, мереж та інфраструктури

- 6+ місяців практичного використання ІІ-інструментів у робочих процесах наступальної безпеки

- Глибоке розуміння концепцій тестування безпеки ІІ та безпечної обробки конфіденційних даних у локальних та хмарних ІІ-середовищах.

- Досвід розробки однією з мов: Python, Java, Ruby, PHP

- Глибокі знання технологій захисту інформації

- Глибокі знання роботи протоколів моделі OSI/TCP та мережевих технологій, а також основних вразливостей

- Досвід інтеграції засобів безпеки у CI/CD пайплайні, знання вразливостей платформ контейнеризації (Docker, Kubernetes)

- Англійська мова не нижче B1

Буде перевагою:

- Участь у розробці, налаштуванні та валідації технічних захисних бар'єрів (Guardrails) для контролю поведінки моделей, фільтрації вихідного контенту та системного скорочення галюцинацій ШІ

- Розробка суворих архітектурних вимог, пайплайнів та інструментів автоматичного маскування, токенізації чи анонімізації персональних даних (PII) клієнтів банку перед передачею їх у контекст LLM

- Практичний досвід проведення Adversarial Red Teaming сесія проти LLM або RAG систем

- Досвід роботи у банківському секторі або FinTech-компаніях

- Досвід реалізації мультиагентних систем
- Плюсом буде участь у CTF та BugBounty программах

- Наявність профільних сертифікатів

Своїм співробітникам ми пропонуємо:
- Роботу в найбільшому та інноваційному банку України

- Офіційне працевлаштування та 24+4 календарних дні відпустки

- Конкурентну заробітну плату

- Медичне страхування та корпоративний мобільний зв’язок

- Корпоративне навчання

- Сучасний комфортний офіс

- Цікаві проєкти, амбіційні задачі та динамічний розвиток

- Дружній професійний колектив та сильну команду

Ми шукаємо вмотивованого початківця у сфері безпеки застосунків, який хоче зростати разом із командою: вчитися знаходити вразливості, працювати з інструментами автоматичного сканування та поступово занурюватися у практики DevSecOps і SSDLC. Досвід комерційної роботи не обов'язковий — важливіші базові знання, допитливість і готовність вчитися. 

Основні обов'язки 

• Робота з інструментами сканування: запуск сканувань SAST/DAST, первинний розбір результатів, відсіювання хибних спрацювань під наглядом наставника. 
• Участь у пентестах: тестування веб-застосунків та API у складі команди, під керівництвом досвідченого інженера. 
• Перевірка за чек-листами: оцінка застосунків за OWASP ASVS Level 1,2 та OWASP Top 10 із використанням готових методик. 
• Звітність: підготовка технічних описів знахідок з оцінкою за CVSS, формулювання рекомендацій розробникам (за підтримки наставника). 
• Навчання: участь у внутрішніх сесіях, розбір реальних кейсів, поступове розширення зони відповідальності. 
• Вимоги до кандидатів 
• Досвід: від 6 місяців у сфері ІТ або кібербезпеки — підійде стажування, лабораторії, участь у CTF, pet-проєкти чи навчальні платформи (TryHackMe, HackTheBox, PortSwigger Web Security Academy). 
• Базові знання: розуміння OWASP Top 10, принципів роботи HTTP/HTTPS, автентифікації та авторизації, основних класів вразливостей (XSS, SQLi, IDOR, CSRF). 
• Інструменти: базове володіння Burp Suite (Community достатньо), OWASP ZAP, Nmap. Розуміння, для чого потрібні сканери, і вміння прочитати їхній звіт. 
• Мережі та ОС: розуміння основ TCP/IP, вміння працювати в Linux-середовищі (командний рядок). 
• Код: здатність читати вихідний код хоча б однією мовою (Python, JavaScript, Java, PHP або C#) і розуміти логіку роботи застосунку. 
• Англійська: рівень достатній для читання технічної документації та звітів. 
• Буде плюсом 
• Профільна освіта (кібербезпека, комп'ютерні науки) або курси з ІБ 
• Сертифікати рівня eJPT, PNPT, CompTIA Security+ або проходження PortSwigger Web Security Academy 
• Базові навички скриптингу (Python, Bash) 
• Знайомство з Docker, Git, CI/CD 
• Участь у CTF, Bug Bounty (навіть без прийнятих звітів) 
• Власний блог, write-up'и або GitHub із навчальними проєктами 
  
   
• М'які навички 
• Готовність вчитися: вміння сприймати зворотний зв'язок. 
• Комунікація: здатність зрозуміло пояснити знайдену проблему, працювати в команді з розробниками. 
• Уважність до деталей та аналітичний склад мислення. 
• Доброчесність: розуміння етичних меж роботи з безпекою та відповідальності за доступ до чутливої інформації. 
  
  Що ми пропонуємо 
• Бронювання на період дії воєнного стану: офіційне працевлаштування в організації, визнаній критично важливою для функціонування економіки України, із повним забезпеченням процедури бронювання для військовозобов'язаних працівників. 
• Наставництво: робота під керівництвом досвідчених інженерів, регулярний зворотний зв'язок, чіткий план розвитку на перші 6–12 місяців. 
• Масштаб та вплив: участь у безпеці систем національного значення — ваш внесок захищає реальну цифрову інфраструктуру. 
• Навчання та розвиток: компенсація професійного навчання, участь у профільних конференціях та здача міжнародних сертифікацій (eJPT, OSCP тощо). 
• Комфортна локація: сучасний офіс у центрі Києва (генератори, безперебійний інтернет, облаштоване укриття). 
• Гідна винагорода: конкурентна заробітна плата з регулярним переглядом за результатами performance review. 

Ми шукаємо талановитого та вмотивованого Security Engineer / Pentester, який допоможе нашій команді будувати безпечний продукт, знаходити вразливості до того, як це зроблять зловмисники, та впроваджувати найкращі практики DevSecOps та SSDLC. 

Обов'язки:
 

• Проведення пентестів: Регулярне тестування на проникнення (Black Box, Grey Box, White Box) для веб-додатків, застосунків, API-технологій та інфраструктури. 
• Аудит за стандартами: Оцінка безпеки застосунків на відповідність стандарту OWASP ASVS (Level 1–3). 
• Автоматизація та аналіз (ASST/SAST/DAST): Налаштування та використання інструментів автоматичного сканування коду та валідація їхніх результатів (відсіювання False Positives). 
• Аналіз бізнес-логіки: Мануальний аналіз, рев’ю та пошук архітектурних вразливостей різної складності та помилок у логіці застосунків. 
• Звітність та взаємодія: Складання детальних технічних звітів за результатами тестування (оцінка ризиків за шкалою CVSS v3/v4) та надання чітких рекомендацій розробникам щодо виправлення багів (Remediation). 
• Моделювання загроз: Участь у процесах Threat Modeling на ранніх етапах проєктування функціональних можливостей застосунків. 

Вимоги:

• Досвід роботи: Від 3+ років у сфері безпеки застосунків або\та тестів на проникнення. 
• Знання стандартів: Глибоке розуміння методологій OWASP Top 10, OWASP WSTG, ASVS, CWE,SSDLC (NIST SSDF). 
• Використання інструментарів: Експертне знання Burp Suite Pro, OWASP ZAP, Nmap, Metasploit, SQLmap, Nessus/Acunetix тощо. 
• Розуміння архітектури: Досвід роботи з мікросервісною архітектурою, REST API, GraphQL, контейнеризацією (Docker, Kubernetes) та хмарними безпековими практиками (AWS / Azure / GCP). 
• Аналіз коду: Поглиблений досвід читання та аналізу вихідного коду на предмет наявності вразливостей (бажано знання однієї або кількох мов: [впишіть стек проекту, наприклад: Java / Node.js / .NET / Python]). 
• Автоматизація: Навички написання скриптів для автоматизації рутинних завдань безпеки (Python, Bash або Go). 

Буде плюсом:  

• Наявність профільних сертифікатів: OSCP, OSWE, eWPT, CEH або CISSP. 
• Досвід інтеграції інструментів безпеки в CI/CD конвеєри (GitLab CI, GitHub Actions, Jenkins). 
• Досвід участі у програмах Bug Bounty, Catch the Flag/Hackathons.  
• Конструктивний підхід: Вміння не просто «знайти дірку», а аргументовано та без токсичності пояснити команді розробки, чому це небезпечно і як це виправити. 
• Аналітичний склад розуму, уважність до деталей та здатність думати як зловмисник (adversarial mindset). 

 Що ми пропонуємо:  

•  Можливість бронювання, офіційне працевлаштування
  Масштаб та вплив: Можливість працювати над ТОП-1 ІТ проєктами в Україні. Ваш внесок у безпеку продукту впливатиме на мільйони користувачів та захист національної цифрової інфраструктури. 

Middle / Senior | Київ | Office / Hybrid

Kernel шукає Penetration Tester для перевірки реальної захищеності корпоративної інфраструктури, вебзастосунків, API та мережевих сервісів.

Це практична offensive security-роль із повним циклом роботи: пошук векторів атак, експлуатація вразливостей, Purple Team-активності, підготовка PoC, супровід remediation та повторне тестування.

Що потрібно робити

• Проводити pentest внутрішньої та зовнішньої інфраструктури, web applications, API та network equipment.
• Тестувати Active Directory: privilege escalation, delegation, ADCS, Kerberos і relay-атаки.
• Досліджувати external attack surface, виявляти shadow IT і забуті сервіси.
• Проводити phishing-кампанії та аналізувати їх результати.
• Працювати із SOC у межах Purple Team: перевіряти детекти, MITRE ATT&CK coverage та atomic tests.
• Готувати технічні звіти з PoC, кроками відтворення і пріоритизованими рекомендаціями.
• Консультувати команди під час remediation та проводити retest.
• Розвивати внутрішні offensive security-інструменти й автоматизувати повторювані перевірки.

Наші очікування

• Від двох років практичного досвіду в penetration testing.
• Active Directory: BloodHound, Impacket, Kerberos attacks, typical privilege escalation paths.
• Web security: OWASP Top 10 на рівні exploitation, Burp Suite.
• Networking, Windows/Linux post-exploitation та розуміння логіки роботи EDR.
• Python, PowerShell або Bash на рівні створення власних інструментів.
• Уміння готувати зрозумілі технічні звіти та реалістично оцінювати business impact.
• Дотримання scope, rules of engagement і вимог щодо роботи з sensitive data.
• Англійська на рівні читання технічної документації.

Nice to have: OSCP, OSEP, OSWE, CRTO, PNPT або GPEN; Red Team operations, C2 infrastructure, security controls evasion; OT/ICS security; Azure, Entra ID, Kubernetes; CTF, CVE, bug bounty або public security research; досвід у SOC чи detection engineering.

Що ми пропонуємо

• Офіційне працевлаштування та прозорі умови.
• Щорічну премію.
• Медичне страхування.
• Офісний або гібридний формат і гнучкий графік.
• Офіс у центрі Києва.
• Можливість розвивати offensive security та безпосередньо впливати на захищеність інфраструктури великої компанії.

Наш партнер — інноваційна технологічна компанія/ Наша мета полягає в тому, щоб сприяти технологічному розвитку, створюючи передові та інноваційні продукти, які відповідають потребам наших клієнтів.

Компанія пишається своєю корпоративною культурою, яка підтримує інновації та співпрацю, ми створюємо умови для того, щоб наші співробітники могли розвиватися професійно і досягати нових висот у своїй кар’єрі.
Зараз компанія в пошуку досвідченого Penetration Tester
 

Функціональні обов'язки:

• Моделювання загроз для HW/SW продуктів
• Ідентифікація ризиків, верифікація можливих атак, рекомендаці по зниженню ризиків.
• Огляд архітектур з точки зору безпеки.
• Визначення критичних компонентів та security review (security code ревью, реверс інжинірінг).
• Демонстрація атак (PoC).

Вимоги:

• Досвід в SW/HW пентестах.
• Знання різних видів механізмів та технологій безпеки.
• Досвід SW/HW реверс інжинірінгу, розробка/адаптація експлойтів.
• Знання різних технологій захисту від атак (SW/HW).
• Досвід в код ревʼю (репорти CVE будуть перевагою).

Додатково:

• Розуміння HW атак, таких як glitch атаки, SCA атаки.
• Знання основних криптографічних методів зазисту.
• Досвід в Web assessment.
• Досвід атак з викоритсанням SDR
• Ocобисті CVE, статті в області інф. безпеки.₴
  Ми пропонуємо:
• Офіційне працевлаштування, з бронюванням
• Можливість розвитку 

• Стабільну завантаженість та доступ до сучасного ПЗ