Pracoval na komplexních činnostech posuzování zranitelnosti a penetračního testování (VAPT) napříč webovými aplikacemi, API, mobilními aplikacemi pro Android/iOS a síťovou infrastrukturou. Spolupracoval s klienty na pochopení požadavků projektu, definování rozsahu testování, stanovení časových os, projednání metodik testování, koordinaci posouzení a zajištění souladu testovacích činností s dohodnutými cíli a bezpečnostními požadavky.

Prováděl statické a dynamické bezpečnostní testování, manuální posouzení zranitelností, ověřování zranitelností, ověřování zneužití a analýzu rizik. Identifikoval, reprodukoval, analyzoval a dokumentoval bezpečnostní zranitelnosti a zároveň posuzoval jejich technickou závažnost, zneužitelnost, potenciální útočné cesty a dopad na podnikání. Připravoval podrobné technické bezpečnostní zprávy obsahující popisy zranitelností, dotčené komponenty, kroky k reprodukci, důkazy, hodnocení rizik, analýzu dopadů a praktická doporučení k nápravě.

Provedli jsme bezpečnostní testování napříč ověřováním, autorizací, řízením přístupu, správou relací, ověřováním vstupů, obchodní logikou, zabezpečením API, zveřejňováním informací, chybnými konfiguracemi zabezpečení a běžnými bezpečnostními riziky OWASP. Zkontrolovali jsme pracovní postupy aplikací, uživatelské role, koncové body API, bezpečnostní kontroly a omezení přístupu, abychom identifikovali zranitelnosti, které by samy o sobě nemusely být detekovány automatickým skenováním.

Prováděl bezpečnostní posouzení s využitím kombinace manuálních testovacích technik a vhodných bezpečnostních nástrojů. Kontroloval a ověřoval zjištění automatických skenerů, aby snížil počet falešných poplachů a zajistil, že nahlášené zranitelnosti byly reprodukovatelné a relevantní. Během celého angažmá udržoval řádné důkazy o testování, záznamy o zranitelnostech, poznámky z posouzení a sledování nápravných opatření.

Prováděl jsem revize zranitelností s klienty, vývojáři a interními bezpečnostními týmy. Jasně jsem vysvětloval technická zjištění, kde to bylo vhodné, demonstroval zranitelnosti, diskutoval o jejich potenciálním dopadu na podnikání a pomáhal týmům porozumět požadavkům a prioritám nápravy.

Koordinoval sledování nápravných opatření a opětovné testování, ověřoval implementované opravy, dokumentoval výsledky opětovného testování a potvrzoval, zda byly zranitelnosti úspěšně vyřešeny. Pomáhal s bezpečnostní dokumentací, plánováním hodnocení, prioritizací rizik, technickými průchody, shrnutími pro vedoucí pracovníky a sdílením bezpečnostních znalostí pro interní týmy.

Úzce spolupracoval s technickými a obchodními zúčastněnými stranami po celou dobu životního cyklu hodnocení, od počáteční diskuse o rozsahu a průzkumu přes testování, reporting, nápravu, opětovné testování a konečné uzavření.