Работал над сквозными мероприятиями по оценке уязвимостей и тестированию на проникновение (VAPT) для веб-приложений, API, мобильных приложений Android/iOS и сетевой инфраструктуры. Сотрудничал с клиентами для понимания требований проекта, определения объема тестирования, установления сроков, обсуждения методологий тестирования, координации оценок и обеспечения соответствия тестовых мероприятий согласованным целям и требованиям безопасности.

Выполнял статическое и динамическое тестирование безопасности, ручную оценку уязвимостей, проверку уязвимостей, верификацию эксплуатации и анализ рисков. Выявлял, воспроизводил, анализировал и документировал уязвимости безопасности, оценивая их техническую серьезность, возможность эксплуатации, потенциальные пути атаки и влияние на бизнес. Готовил подробные технические отчеты по безопасности, содержащие описания уязвимостей, затронутые компоненты, шаги по воспроизведению, доказательства, рейтинги рисков, анализ воздействия и практические рекомендации по устранению.

Проведено тестирование безопасности по аутентификации, авторизации, контролю доступа, управлению сессиями, проверке ввода, бизнес-логике, безопасности API, раскрытию информации, неправильным конфигурациям безопасности и общим рискам безопасности OWASP. Проверены рабочие процессы приложений, роли пользователей, конечные точки API, средства контроля безопасности и ограничения доступа для выявления уязвимостей, которые могут быть не обнаружены только с помощью автоматического сканирования.

Выполнял оценки безопасности, используя комбинацию методов ручного тестирования и соответствующих инструментов безопасности. Проверял и подтверждал результаты автоматических сканеров для уменьшения ложных срабатываний и обеспечения воспроизводимости и актуальности обнаруженных уязвимостей. Вел надлежащую документацию по тестированию, записи об уязвимостях, заметки по оценке и отслеживание исправлений на протяжении всего проекта.

Проводил сессии по обзору уязвимостей с клиентами, разработчиками и внутренними командами безопасности. Объяснял технические выводы простым языком, демонстрировал уязвимости, где это было уместно, обсуждал их потенциальное влияние на бизнес и помогал командам понять требования и приоритеты по устранению.

Координировал отслеживание и повторное тестирование исправлений, проверял реализованные исправления, документировал результаты повторного тестирования и подтверждал успешное устранение уязвимостей. Помогал с документацией по безопасности, планированием оценки, приоритизацией рисков, техническими обзорами, исполнительными резюме и сессиями по обмену знаниями в области безопасности для внутренних команд.

Тесно сотрудничал с техническими и бизнес-заинтересованными сторонами на протяжении всего полного цикла оценки, от первоначального обсуждения объема и разведки до тестирования, отчетности, устранения, повторного тестирования и окончательного закрытия.