Pracowałem nad kompleksowymi działaniami w zakresie oceny podatności i testów penetracyjnych (VAPT) dla aplikacji internetowych, interfejsów API, aplikacji mobilnych na Androida/iOS oraz infrastruktury sieciowej. Współpracowałem z klientami w celu zrozumienia wymagań projektu, określenia zakresu testów, ustalenia harmonogramów, omówienia metodologii testowania, koordynowania ocen i zapewnienia zgodności działań testowych z uzgodnionymi celami i wymaganiami bezpieczeństwa.

Przeprowadziłem statyczne i dynamiczne testy bezpieczeństwa, ręczną ocenę podatności, walidację podatności, weryfikację eksploatacji i analizę ryzyka. Zidentyfikowałem, odtworzyłem, przeanalizowałem i udokumentowałem luki w zabezpieczeniach, oceniając ich techniczną wagę, możliwość wykorzystania, potencjalne ścieżki ataku i wpływ na biznes. Przygotowałem szczegółowe techniczne raporty bezpieczeństwa zawierające opisy podatności, dotknięte komponenty, kroki reprodukcji, dowody, oceny ryzyka, analizę wpływu i praktyczne zalecenia dotyczące naprawy.

Przeprowadzono testy bezpieczeństwa w zakresie uwierzytelniania, autoryzacji, kontroli dostępu, zarządzania sesjami, walidacji danych wejściowych, logiki biznesowej, bezpieczeństwa API, ujawniania informacji, błędnych konfiguracji bezpieczeństwa oraz typowych zagrożeń bezpieczeństwa OWASP. Przejrzano przepływy pracy aplikacji, role użytkowników, punkty końcowe API, kontrole bezpieczeństwa i ograniczenia dostępu w celu zidentyfikowania luk, które mogą nie zostać wykryte wyłącznie za pomocą automatycznego skanowania.

Przeprowadzałem oceny bezpieczeństwa, wykorzystując połączenie ręcznych technik testowania i odpowiednich narzędzi bezpieczeństwa. Przeglądałem i weryfikowałem wyniki automatycznych skanerów, aby zmniejszyć liczbę fałszywych alarmów i upewnić się, że zgłoszone luki były możliwe do odtworzenia i istotne. Utrzymywałem odpowiednie dowody testów, rejestry luk, notatki z oceny i śledzenie naprawy przez cały okres zaangażowania.

Przeprowadzałem sesje przeglądu podatności z klientami, deweloperami i wewnętrznymi zespołami bezpieczeństwa. Wyjaśniałem techniczne ustalenia w jasny sposób, demonstrowałem podatności tam, gdzie było to stosowne, omawiałem ich potencjalny wpływ na biznes i pomagałem zespołom w zrozumieniu wymagań i priorytetów dotyczących naprawy.

Koordynowałem śledzenie i ponowne testowanie działań naprawczych, weryfikowałem wdrożone poprawki, dokumentowałem wyniki ponownych testów i potwierdzałem, czy luki zostały pomyślnie usunięte. Pomagałem w tworzeniu dokumentacji bezpieczeństwa, planowaniu ocen, priorytetyzacji ryzyka, technicznych prezentacjach, podsumowaniach dla kadry kierowniczej oraz sesjach dzielenia się wiedzą z zakresu bezpieczeństwa dla zespołów wewnętrznych.

Ściśle współpracowałem z technicznymi i biznesowymi interesariuszami przez cały cykl oceny, od początkowej dyskusji o zakresie i rozpoznania, poprzez testowanie, raportowanie, naprawę, ponowne testowanie i ostateczne zamknięcie.