ما به دنبال یک متخصص باتجربه هستیم که ارزیابی‌های پیچیده امنیتی را روی اپلیکیشن‌های وب و APIها اجرا کند. این نقش نیازمند تخصص عمیق در طراحی سناریوهای حمله چندمرحله‌ای (Attack Chains) است. فرد منتخب علاوه بر مهارت‌های فنی بالا، باید توانایی توسعه ابزارهای سفارشی، ارائه مشاوره تخصصی و همچنین مستندسازی در قالب اشتراک‌گذاری دانش و تجربه را داشته باشد.

وظایف و مسئولیت‌ها:

• طراحی استراتژی تست و مدیریت چرخه حیات پروژه‌های تست نفوذ برای کارفرمایان مختلف
• نظارت بر کیفیت فنی گزارش‌ها و اطمینان از انطباق با استانداردها
• منتورینگ و راهنمایی فنی اعضای جونیور تیم
• مدیریت انتظارات کارفرمایان و ارائه مشاوره امنیتی متناسب با نیاز کسب‌وکار
• انجام تست‌های نفوذ عمیق روی اپلیکیشن‌های وب پیچیده و میکروسرویس‌ها
• شناسایی و بهره‌برداری از آسیب‌پذیری‌های پیچیده منطقی مانند Race Conditions، Second Order Injection و SSRF Chains
• طراحی و اجرای Attack Chainهای پیچیده و سناریوهای حمله چندمرحله‌ای برای نفوذ به لایه‌های عمیق‌تر سیستم
• ارزیابی جامع امنیت APIها با تمرکز بر نقص‌های پیچیده در جریان‌های کاری و مجوزهای دسترسی
• تحلیل پیشرفته فرآیندهای پرداخت: شناسایی حفره‌های امنیتی در منطق بیزینس پرداخت و بررسی امنیت یکپارچگی با سیستم‌های مالی
• بررسی تعاملات پیچیده شبکه‌ای شامل WebSocket، مکانیزم‌های Asynchronous Messaging و Message Brokerها
• تحقیق درباره تکنیک‌های حمله جدید و توسعه اسکریپت‌ها یا ابزارهای سفارشی برای افزایش کارایی تیم
• ارائه مقالات فنی برای تیم و به‌روزرسانی مستندات داخلی جهت اشتراک‌گذاری دانش
• تهیه و ارائه گزارش‌های فنی دقیق و دفاع از یافته‌ها در جلسات بازخورد با تیم‌های فنی کارفرما
• ترجمه ریسک‌های فنی پیچیده به زبان قابل فهم برای ذی‌نفعان غیرفنی

مهارت‌های مورد نیاز:

الزامی:

• حداقل 3 تا 6 سال تجربه عملی در تست نفوذ با تمرکز بر وب و API
• تسلط کامل بر متدولوژی‌های OWASP
• تسلط پیشرفته بر پروتکل‌های شبکه و معماری‌های مدرن وب
• توانایی نوشتن اسکریپت‌های پیشرفته با حداقل یک زبان برنامه‌نویسی (Python, Go, Bash یا مشابه)
• تجربه کار با فریم‌ورک‌های مدرن وب (SPA)
• تجربه عمیق در تست امنیت سیستم‌های پرداخت و سرویس‌های بانکی
• مهارت عالی در ارتباطات کتبی و شفاهی به فارسی و انگلیسی

مزایا (ترجیحی):

• تجربه عملی در تست نفوذ اپلیکیشن‌های اندروید
• سابقه فعالیت در مسابقات CTF یا پلتفرم‌های Bug Bounty
• آشنایی با Docker، پایپ‌لاین‌های CI/CD و ابزارهای SAST/DAST
• توانایی مدیریت پروژه و اولویت‌بندی وظایف
• داشتن گواهینامه‌های مرتبط و معتبر
• سابقه انتشار مقالات فنی تخصصی
• آشنایی با زبان Java
• تجربه تست نفوذ سیستم‌های IoT یا Embedded