Працював над повним циклом оцінки вразливостей та тестування на проникнення (VAPT) для веб-додатків, API, мобільних додатків Android/iOS та мережевої інфраструктури. Співпрацював з клієнтами для розуміння вимог проекту, визначення обсягу тестування, встановлення термінів, обговорення методологій тестування, координації оцінок та забезпечення відповідності тестових заходів узгодженим цілям та вимогам безпеки.

Виконував статичне та динамічне тестування безпеки, ручну оцінку вразливостей, перевірку вразливостей, верифікацію експлуатації та аналіз ризиків. Виявляв, відтворював, аналізував та документував вразливості безпеки, оцінюючи їх технічну серйозність, можливість експлуатації, потенційні шляхи атаки та вплив на бізнес. Готував детальні технічні звіти з безпеки, що містили описи вразливостей, уражені компоненти, кроки відтворення, докази, рейтинги ризиків, аналіз впливу та практичні рекомендації щодо усунення.

Проведено тестування безпеки щодо автентифікації, авторизації, контролю доступу, управління сесіями, перевірки вхідних даних, бізнес-логіки, безпеки API, розкриття інформації, неправильних конфігурацій безпеки та поширених ризиків безпеки OWASP. Переглянуто робочі процеси програми, ролі користувачів, кінцеві точки API, засоби контролю безпеки та обмеження доступу для виявлення вразливостей, які можуть бути не виявлені лише за допомогою автоматичного сканування.

Виконував оцінки безпеки, використовуючи поєднання методів ручного тестування та відповідних інструментів безпеки. Переглядав та перевіряв результати автоматизованого сканування, щоб зменшити кількість хибних спрацьовувань та переконатися, що виявлені вразливості були відтворюваними та релевантними. Підтримував належні докази тестування, записи про вразливості, нотатки щодо оцінки та відстеження виправлень протягом усього залучення.

Проводив сесії з огляду вразливостей з клієнтами, розробниками та внутрішніми командами безпеки. Пояснював технічні висновки зрозумілими термінами, демонстрував вразливості, де це було доречно, обговорював їхній потенційний вплив на бізнес та допомагав командам зрозуміти вимоги та пріоритети щодо усунення.

Координував відстеження та повторне тестування виправлень, перевіряв впроваджені виправлення, документував результати повторного тестування та підтверджував успішне усунення вразливостей. Допомагав із документацією з безпеки, плануванням оцінки, пріоритизацією ризиків, технічними оглядами, виконавчими резюме та сесіями обміну знаннями з безпеки для внутрішніх команд.

Тісно співпрацював з технічними та бізнес-зацікавленими сторонами протягом повного циклу оцінки, від початкового обговорення обсягу та розвідки до тестування, звітування, виправлення, повторного тестування та остаточного закриття.