تقييم نقاط الضعف واختبار الاختراق، مهندس أول

الوصف الوظيفي

تساعد SOOR، وهي شركة تابعة لشركة Master Works، المؤسسات على البقاء في صدارة التهديدات السيبرانية المتطورة من خلال الأمن السيبراني المتقدم وحلول البنية التحتية الآمنة. توفر SOOR أمانًا مرنًا وقابلاً للتطوير ومتوافقًا مع اللوائح التنظيمية عبر الحوكمة والسحابة والشبكات والدفاع المُدار. تبحث SOOR عن مهندس تقييم نقاط الضعف واختبار الاختراق ذو مهارات عالية للانضمام إلى فريق خدمات الأمن الديناميكي لدينا. في هذا الدور الذي يواجه العميل، ستكون مسؤولاً عن قيادة التقييمات الأمنية المعقدة عبر مختلف الصناعات. ستعمل كخبير في الموضوع، ليس فقط في تحديد نقاط الضعف الحرجة ولكن أيضًا توضيح مخاطر العمل لأصحاب المصلحة وتوجيه جهود العلاج. المسؤوليات الرئيسية اختبار الاختراق: قيادة وتنفيذ اختبارات الاختراق الشاملة على: • تطبيقات الويب: (أفضل 10 تطبيقات OWASP، أمان API، عيوب منطق الأعمال). • البنية التحتية للشبكة: (داخلية/خارجية، Active Directory، جدران الحماية، أجهزة التوجيه، إلخ). • مراجعة التعليمات البرمجية المصدر: إجراء مراجعات التعليمات البرمجية الآمنة اليدوية والمدعومة بالأدوات (SAST) عبر اللغات/الأطر، وتحديد عيوب الحقن، وتوفير إرشادات العلاج التي تركز على المطور. • تطبيقات الهاتف المحمول: (iOS و Android - التحليل الثابت والديناميكي). • تقييم نقاط الضعف: إجراء تقييمات شاملة لنقاط الضعف ومراجعات التكوين وفقًا لمعايير الصناعة (CIS، NIST). • الفريق الأحمر (اختياري/من الجيد الحصول عليه): المشاركة في تمارين محاكاة الخصم والهندسة الاجتماعية وتقييمات الأمن المادي. • البيئات السحابية (اختيارية/من الجيد امتلاكها): (AWS، و Azure، ومراجعات تكوين GCP واستغلالها). • الأدوات: الاستفادة من الأدوات المتقدمة وتحسينها (Burp Suite Pro، و Metasploit، و Nmap، و Nessus، و Bloodhound، وما إلى ذلك) وتطوير البرامج النصية/برامج الاستغلال المخصصة عندما تفشل الأدوات الآلية. • إشراك العملاء والاستشارات: • تحديد النطاق: التعاون مع العملاء لتحديد نطاق المشاركة، وقواعد المشاركة (RoE)، والجداول الزمنية. • الاتصالات: بمثابة نقطة الاتصال التقنية الأساسية أثناء التعاقدات، وتوفير تحديثات الحالة والتنبيهات الفورية بشأن النتائج "الرائعة" الهامة. • إعداد التقارير: قم بتأليف تقارير عالية الجودة على المستوى التنفيذي تترجم نقاط الضعف الفنية إلى مخاطر تجارية. يجب أن تكون قادرًا على شرح "وماذا في ذلك؟" للمديرين التنفيذيين على المستوى C و"كيفية إصلاح المشكلة" لمسؤولي النظام. • استخلاص المعلومات: قيادة جلسات القراءة الفنية وورش العمل العلاجية مع أصحاب المصلحة من العملاء

المتطلبات

• درجة البكالوريوس في علوم الكمبيوتر، تكنولوجيا المعلومات، الأمن السيبراني، أو مجال ذي صلة
• الكفاءة الفنية
• الفهم العميق لتقنيات الويب (HTTP، SOAP، REST، AJAX) وممارسات الترميز الآمن
• معرفة قوية لمسارات هجوم Active Directory (Kerberoasting، DCSync، إساءة استخدام ACL)
• خبرة في تقنيات الاستغلال اليدوي. ليس فقط تشغيل الماسحات الضوئية الآلية
• الشهادات (المفضلة على سبيل المثال لا الحصر)
• إيمابت
• إيوبتكس
• إيكبتكس
• OSCP
• CWEE، الخ

المهارات