Młodszy Etyczny Haker/Pentester (k/m)

Technologie, których używamy

O projekcie

Twój zakres obowiązków

• wspierać realizację testów penetracyjnych produktów, usług i integracji Rublon MFA,
• uczestniczyć w testach bezpieczeństwa aplikacji webowych, API, backendu, aplikacji mobilnych i komponentów uwierzytelniania,
• realizować wybrane scenariusze testowe pod opieką bardziej doświadczonego pentestera,
• wspierać testy bezpieczeństwa systemów i aplikacji klientów w ramach jasno określonego zakresu i zasad współpracy,
• analizować mechanizmy logowania, MFA, SSO, zarządzania sesją, resetu haseł, uprawnień i kontroli dostępu,
• testować odporność wybranych funkcji na typowe podatności aplikacyjne i konfiguracyjne,
• wykonywać podstawowy rekonesans techniczny w ramach autoryzowanych testów,
• korzystać z narzędzi takich jak Burp Suite, OWASP ZAP, Nmap, Wireshark oraz narzędzi systemowych Linux i Windows,
• weryfikować wyniki automatycznych skanerów i odróżniać realne podatności od false positives,
• przygotowywać czytelne opisy znalezionych problemów, wraz z krokami odtworzenia, oceną ryzyka i rekomendacjami naprawczymi,
• pomagać w przygotowywaniu raportów z testów bezpieczeństwa,
• współpracować z developerami, QA, DevOps, supportem i product managerami przy analizie podatności oraz walidacji poprawek,
• wykonywać retesty po wdrożeniu poprawek bezpieczeństwa,
• dokumentować metodykę testów, checklisty, obserwacje techniczne i wnioski z analiz,
• stopniowo poznawać bezpieczeństwo systemów uwierzytelniania, w tym MFA, SSO, Active Directory, Entra ID, LDAP, RADIUS, SAML, OIDC, OAuth, FIDO2/WebAuthn i Passkeys,
• wspierać analizę konfiguracji środowisk testowych oraz integracji enterprise,
• pisać proste skrypty pomocnicze w Pythonie, Bashu lub PowerShellu do automatyzacji powtarzalnych czynności testowych,
• wykorzystywać narzędzia AI do tworzenia checklist, analizy notatek, generowania pomocniczych skryptów, porządkowania wyników testów i przygotowywania roboczych wersji raportów,
• krytycznie weryfikować wyniki wygenerowane przez AI i nie traktować ich jako substytutu własnej analizy technicznej,
• dbać o poufność danych, przestrzeganie zasad testów, etykę działań oraz bezpieczeństwo informacji pozyskanych podczas analiz.

Nasze wymagania

• pierwsze doświadczenie w cyberbezpieczeństwie, testach bezpieczeństwa, CTF, bug bounty, laboratoriach pentesterskich, projektach własnych lub pracy na podobnym stanowisku,
• praktyczną znajomość podstaw testów bezpieczeństwa aplikacji webowych i API,
• podstawową znajomość OWASP Top 10 oraz typowych klas podatności aplikacyjnych,
• podstawową wiedzę o protokołach webowych, w szczególności HTTP, HTTPS, cookies, sesjach, nagłówkach i REST API,
• podstawową wiedzę o sieciach komputerowych, w szczególności TCP/IP, DNS, portach, usługach sieciowych i komunikacji klient-serwer,
• podstawową znajomość systemu Linux i narzędzi terminalowych,
• podstawową znajomość systemu Windows z perspektywy użytkownika technicznego lub administratora,
• umiejętność pracy z narzędziami typu Burp Suite, OWASP ZAP lub podobnymi,
• umiejętność logicznego analizowania problemów technicznych i dokumentowania wyników,
• rozumienie zasad etycznego hackingu, legalności testów, autoryzowanego zakresu działań i odpowiedzialnego raportowania podatności,
• podstawowe rozumienie zasad bezpieczeństwa uwierzytelniania, autoryzacji, zarządzania sesją i kontroli dostępu,
• zainteresowanie systemami uwierzytelniania, MFA, SSO, Active Directory, Entra ID, LDAP, RADIUS lub identity security,
• podstawową umiejętność programowania lub skryptowania, najlepiej w Pythonie, Bashu albo PowerShellu,
• praktyczną znajomość narzędzi AI wspierających analizę techniczną, programowanie, dokumentację lub pracę security,
• umiejętność tworzenia jasnych poleceń dla narzędzi AI, dzielenia analizy na mniejsze kroki oraz weryfikowania wyników generowanych przez AI,
• świadomość ograniczeń AI i umiejętność samodzielnego sprawdzania poprawności wniosków, skryptów, raportów i rekomendacji,
• podstawowe rozumienie zasad bezpiecznego korzystania z AI w pracy z kodem, danymi projektowymi, wynikami testów i informacjami poufnymi,
• dokładność, odpowiedzialność i gotowość do uczenia się od bardziej doświadczonych specjalistów,
• komunikatywną znajomość języka angielskiego pozwalającą czytać dokumentację techniczną, raporty bezpieczeństwa, opisy podatności i materiały szkoleniowe.

Mile widziane

• testy penetracyjne aplikacji webowych,
• testy bezpieczeństwa API,
• testy bezpieczeństwa aplikacji mobilnych,
• testy bezpieczeństwa aplikacji desktopowych lub usług backendowych,
• Burp Suite Professional,
• OWASP Web Security Testing Guide,
• OWASP API Security Top 10,
• OWASP Mobile Top 10,
• CTF, Hack The Box, PortSwigger Web Security Academy, TryHackMe lub podobne platformy szkoleniowe,
• bug bounty lub odpowiedzialne zgłaszanie podatności,
• Python w automatyzacji testów bezpieczeństwa,
• Bash, PowerShell lub inne narzędzia skryptowe,
• podstawy secure code review,
• podstawy threat modeling,
• podstawy kryptografii stosowanej,
• podstawy Active Directory security,
• Microsoft Entra ID,
• LDAP,
• RADIUS,
• SAML,
• OpenID Connect,
• OAuth,
• Single Sign-On,
• Multi-Factor Authentication,
• FIDO2/WebAuthn,
• Passkeys,
• bezpieczeństwo VPN, RDP lub Windows Logon,
• podstawy bezpieczeństwa chmury, szczególnie AWS lub Microsoft Azure,
• Docker i środowiska testowe,
• Git i praca z repozytoriami kodu,
• CI/CD security,
• SIEM, logi bezpieczeństwa i podstawy detekcji,
• znajomość podatności opisanych w CVE i umiejętność analizy advisory,
• certyfikaty lub przygotowanie do certyfikacji takich jak eJPT, PNPT, OSCP, CompTIA Security+, Security Blue Team, Burp Suite Certified Practitioner lub podobne,
• praktyczne użycie AI do wspierania pentestów, analizy podatności, tworzenia skryptów, raportowania lub code review,
• tworzenie agentic workflows wspierających analizę bezpieczeństwa, przygotowanie testów, dokumentowanie wyników lub automatyzację powtarzalnych czynności,
• formalne wykształcenie informatyczne, cybersecurity lub pokrewne, albo równoważne doświadczenie praktyczne.

Benefity

Etapy rekrutacji

• Zaprosimy Cię na rozmowę online z rekruterem.
• Następnie poprosimy Cię o realizację testu online, który zajmie około 2 godzin.
• Kolejnym krokiem będzie rozmowa techniczna z osobą z zespołu, podczas której omówimy Twoje doświadczenie, sposób myślenia, podstawy cyberbezpieczeństwa, testów aplikacji webowych i API, sieci komputerowych, systemów uwierzytelniania, programowania, raportowania podatności oraz wykorzystywania AI w pracy security.
• Na końcu zaprosimy Cię na rozmowę finalną z CEO.

Dlaczego warto aplikować? Ta rola może być dla Ciebie dobrym wyborem, jeśli:

• chcesz rozwijać się jako etyczny haker lub pentester w środowisku produktowym cybersecurity,
• interesuje Cię bezpieczeństwo systemów uwierzytelniania, MFA, SSO, IAM i identity security,
• chcesz testować technologie używane przez firmy na całym świecie,
• chcesz zdobywać praktyczne doświadczenie w pentestach produktów, API, aplikacji i integracji enterprise,
• zależy Ci na pracy pod opieką bardziej doświadczonych specjalistów offensive security,
• chcesz uczyć się, jak znajdować podatności, opisywać je w sposób użyteczny dla zespołów technicznych i weryfikować skuteczność poprawek,
• interesują Cię technologie takie jak Active Directory, Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, FIDO2/WebAuthn i Passkeys,
• chcesz wykorzystywać programowanie oraz AI jako realne narzędzia przyspieszające analizę, automatyzację i raportowanie,
• cenisz precyzję, poufność, etykę działania i odpowiedzialne podejście do bezpieczeństwa,
• szukasz miejsca, w którym możesz przejść od roli juniora do samodzielnego pentestera lub specjalisty offensive security.