مهندس أول، مختبر اختراق

المسؤوليات الرئيسية

اختبار الاختراق: قيادة وتنفيذ اختبارات اختراق شاملة على

• تطبيقات الويب: (أفضل 10 ثغرات OWASP، أمان واجهات برمجة التطبيقات، عيوب منطق الأعمال).
• البنية التحتية للشبكة: (الداخلية/الخارجية، Active Directory، جدران الحماية، أجهزة التوجيه، إلخ).
• مراجعة الكود المصدري: إجراء مراجعات أمنية للكود يدويًا وبمساعدة الأدوات (SAST) عبر اللغات/الأطر، وتحديد عيوب الحقن، وتقديم إرشادات المعالجة الموجهة للمطورين.
• تطبيقات الجوال: (iOS و Android - تحليل ثابت وديناميكي).
• تقييم الثغرات: إجراء تقييمات شاملة للثغرات ومراجعات التكوين وفقًا لمعايير الصناعة (CIS، NIST).
• الفريق الأحمر (اختياري/ميزة إضافية): المشاركة في تمارين محاكاة الخصوم، والهندسة الاجتماعية، وتقييمات الأمن المادي.
• بيئات السحابة (اختياري/ميزة إضافية): (مراجعات تكوين AWS و Azure و GCP واستغلالها).
• الأدوات: استخدام وتحسين الأدوات المتقدمة (Burp Suite Pro، Metasploit، Nmap، Nessus، Bloodhound، إلخ) وتطوير نصوص برمجية/استغلالات مخصصة عندما تفشل الأدوات الآلية.

• التفاعل مع العملاء والاستشارات

• تحديد النطاق: التعاون مع العملاء لتحديد نطاق المشاركة وقواعد المشاركة (RoE) والجداول الزمنية.
• التواصل: العمل كنقطة الاتصال التقنية الأساسية أثناء المشاركات، وتقديم تحديثات الحالة وتنبيهات فورية بشأن النتائج الحرجة «المعطلة للعرض».
• إعداد التقارير: تأليف تقارير عالية الجودة على مستوى الإدارة التنفيذية تترجم الثغرات التقنية إلى مخاطر تجارية. يجب أن تكون قادرًا على شرح «ماذا يعني ذلك؟» للمديرين التنفيذيين و«كيفية الإصلاح» لمسؤولي النظام.
• جلسات الإحاطة: قيادة جلسات القراءة التقنية وورش عمل المعالجة مع أصحاب المصلحة في العميل.
• درجة البكالوريوس في علوم الحاسب أو تقنية المعلومات أو الأمن السيبراني أو مجال ذي صلة
• خبرة 5+ سنوات في أمن المعلومات، مع 3+ سنوات على الأقل تحديدًا في دور اختبار الاختراق/VAPT.
• يُفضل بشدة الخبرة السابقة في بيئة استشارية/مزود خدمة (إدارة عملاء متعددين وجداول زمنية).

الكفاءة التقنية

• فهم عميق لتقنيات الويب (HTTP، SOAP، REST، AJAX) وممارسات الترميز الآمن.
• معرفة قوية بمسارات هجوم Active Directory (Kerberoasting، DCSync، إساءة استخدام ACL).
• خبرة في تقنيات الاستغلال اليدوي؛ وليس فقط تشغيل الماسحات الآلية.
• إتقان لغة برمجة نصية واحدة على الأقل (Python، PowerShell، Bash، أو Ruby) للأتمتة وتخصيص الأدوات.

الشهادات (مفضلة ولكن لا تقتصر على)

• eMAPT
• eWPTX
• eCPTX
• OSCP
• CWEE، إلخ.

المهارات المطلوبة