Młodszy Etyczny Haker/Pentester

Młodszy Etyczny Haker/Pentester (k/m)
Dołącz do Solstice Analytics i pracuj z zespołem pasjonatów cyberbezpieczeństwa, który rozwija przyszłość uwierzytelniania użytkowników w środowiskach enterprise.
Solstice Analytics MFA to platforma multi-factor authentication używana przez setki klientów na całym świecie do ochrony logowania pracowników do sieci, serwerów i aplikacji. Tworzymy technologie dla bezpiecznego uwierzytelniania, identity infrastructure oraz integracji cybersecurity używanych w środowiskach firmowych.
Szukamy osoby na stanowisko Młodszego Etycznego Hakera/Pentestera, która ma już pierwsze doświadczenie w testach bezpieczeństwa, chce rozwijać się w kierunku offensive security i będzie wspierać zespół w testowaniu bezpieczeństwa rozwiązań Solstice Analytics oraz — pod nadzorem — systemów i aplikacji naszych klientów.
W tej roli będziesz wspierać realizację testów penetracyjnych, analiz bezpieczeństwa i weryfikacji odporności technologii Solstice Analytics MFA oraz powiązanych rozwiązań authentication i identity security.
Będziesz pracować przy testowaniu aplikacji webowych, API, integracji, usług backendowych, komponentów uwierzytelniania oraz środowisk enterprise. Z czasem będziesz poznawać obszary takie jak SSO, Active Directory, Microsoft Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, FIDO2/WebAuthn, Passkeys, VPN, RDP, Windows Logon, bezpieczeństwo API oraz bezpieczeństwo aplikacji mobilnych.
To jest rola stricte security. Twoim głównym zadaniem będzie pomaganie w znajdowaniu, weryfikowaniu, dokumentowaniu i raportowaniu podatności oraz słabości bezpieczeństwa — zawsze w ramach jasno określonego zakresu, zasad testów i autoryzowanych działań.
Ważną częścią tej roli będzie również wykorzystywanie narzędzi AI w pracy security. Oczekujemy, że potrafisz używać AI do wspierania analizy technicznej, przygotowywania checklist testowych, porządkowania notatek, generowania pomocniczych skryptów, wstępnej analizy kodu, przygotowywania raportów i szukania możliwych scenariuszy testowych — przy zachowaniu odpowiedzialności za weryfikację wyników, poufność danych i zgodność z zasadami bezpieczeństwa.
To stanowisko jest dobrą ścieżką rozwoju dla osoby, która ma solidne podstawy cyberbezpieczeństwa, rozumie zasady etycznego hackingu i chce rozwijać się pod opieką bardziej doświadczonych pentesterów w kierunku samodzielnego specjalisty offensive security.
– Lokalizacja: biuro w Krakowie lub w Zielonej Górze
– Obszary technologiczne: web application security, API security, authentication security, MFA, SSO, Active Directory, Microsoft Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, FIDO2/WebAuthn, Passkeys, Linux, Windows, sieci komputerowe, Burp Suite, OWASP ZAP, Nmap, Wireshark, Python, Bash, PowerShell, GitHub, Docker, AI-assisted security tools
– Rozwój: dostęp do kursów online i możliwość dofinansowania certyfikacji
– Benefity: prywatna opieka medyczna i karta MultiSport
Jako Młodszy Etyczny Haker/Pentester w Solstice Analytics będziesz:
– wspierać realizację testów penetracyjnych produktów, usług i integracji Solstice Analytics MFA,
– uczestniczyć w testach bezpieczeństwa aplikacji webowych, API, backendu, aplikacji mobilnych i komponentów uwierzytelniania,
– realizować wybrane scenariusze testowe pod opieką bardziej doświadczonego pentestera,
– wspierać testy bezpieczeństwa systemów i aplikacji klientów w ramach jasno określonego zakresu i zasad współpracy,
– analizować mechanizmy logowania, MFA, SSO, zarządzania sesją, resetu haseł, uprawnień i kontroli dostępu,
– testować odporność wybranych funkcji na typowe podatności aplikacyjne i konfiguracyjne,
– wykonywać podstawowy rekonesans techniczny w ramach autoryzowanych testów,
– korzystać z narzędzi takich jak Burp Suite, OWASP ZAP, Nmap, Wireshark oraz narzędzi systemowych Linux i Windows,
– weryfikować wyniki automatycznych skanerów i odróżniać realne podatności od false positives,
– przygotowywać czytelne opisy znalezionych problemów, wraz z krokami odtworzenia, oceną ryzyka i rekomendacjami naprawczymi,
– pomagać w przygotowywaniu raportów z testów bezpieczeństwa,
– współpracować z developerami, QA, DevOps, supportem i product managerami przy analizie podatności oraz walidacji poprawek,
– wykonywać retesty po wdrożeniu poprawek bezpieczeństwa,
– dokumentować metodykę testów, checklisty, obserwacje techniczne i wnioski z analiz,
– stopniowo poznawać bezpieczeństwo systemów uwierzytelniania, w tym MFA, SSO, Active Directory, Entra ID, LDAP, RADIUS, SAML, OIDC, OAuth, FIDO2/WebAuthn i Passkeys,
– wspierać analizę konfiguracji środowisk testowych oraz integracji enterprise,
– pisać proste skrypty pomocnicze w Pythonie, Bashu lub PowerShellu do automatyzacji powtarzalnych czynności testowych,
– wykorzystywać narzędzia AI do tworzenia checklist, analizy notatek, generowania pomocniczych skryptów, porządkowania wyników testów i przygotowywania roboczych wersji raportów,
– krytycznie weryfikować wyniki wygenerowane przez AI i nie traktować ich jako substytutu własnej analizy technicznej,
– dbać o poufność danych, przestrzeganie zasad testów, etykę działań oraz bezpieczeństwo informacji pozyskanych podczas analiz.
Szukamy osoby, która ma:
– pierwsze doświadczenie w cyberbezpieczeństwie, testach bezpieczeństwa, CTF, bug bounty, laboratoriach pentesterskich, projektach własnych lub pracy na podobnym stanowisku,
– praktyczną znajomość podstaw testów bezpieczeństwa aplikacji webowych i API,
– podstawową znajomość OWASP Top 10 oraz typowych klas podatności aplikacyjnych,
– podstawową wiedzę o protokołach webowych, w szczególności HTTP, HTTPS, cookies, sesjach, nagłówkach i REST API,
– podstawową wiedzę o sieciach komputerowych, w szczególności TCP/IP, DNS, portach, usługach sieciowych i komunikacji klient-serwer,
– podstawową znajomość systemu Linux i narzędzi terminalowych,
– podstawową znajomość systemu Windows z perspektywy użytkownika technicznego lub administratora,
– umiejętność pracy z narzędziami typu Burp Suite, OWASP ZAP lub podobnymi,
– umiejętność logicznego analizowania problemów technicznych i dokumentowania wyników,
– rozumienie zasad etycznego hackingu, legalności testów, autoryzowanego zakresu działań i odpowiedzialnego raportowania podatności,
– podstawowe rozumienie zasad bezpieczeństwa uwierzytelniania, autoryzacji, zarządzania sesją i kontroli dostępu,
– zainteresowanie systemami uwierzytelniania, MFA, SSO, Active Directory, Entra ID, LDAP, RADIUS lub identity security,
– podstawową umiejętność programowania lub skryptowania, najlepiej w Pythonie, Bashu albo PowerShellu,
– praktyczną znajomość narzędzi AI wspierających analizę techniczną, programowanie, dokumentację lub pracę security,
– umiejętność tworzenia jasnych poleceń dla narzędzi AI, dzielenia analizy na mniejsze kroki oraz weryfikowania wyników generowanych przez AI,
– świadomość ograniczeń AI i umiejętność samodzielnego sprawdzania poprawności wniosków, skryptów, raportów i rekomendacji,
– podstawowe rozumienie zasad bezpiecznego korzystania z AI w pracy z kodem, danymi projektowymi, wynikami testów i informacjami poufnymi,
– dokładność, odpowiedzialność i gotowość do uczenia się od bardziej doświadczonych specjalistów,
– komunikatywną znajomość języka angielskiego pozwalającą czytać dokumentację techniczną, raporty bezpieczeństwa, opisy podatności i materiały szkoleniowe.
Dodatkowym atutem będzie doświadczenie lub zainteresowanie którymkolwiek z poniższych obszarów:
– testy penetracyjne aplikacji webowych,
– testy bezpieczeństwa API,
– testy bezpieczeństwa aplikacji mobilnych,
– testy bezpieczeństwa aplikacji desktopowych lub usług backendowych,
– Burp Suite Professional,
– OWASP Web Security Testing Guide,
– OWASP API Security Top 10,
– OWASP Mobile Top 10,
– CTF, Hack The Box, PortSwigger Web Security Academy, TryHackMe lub podobne platformy szkoleniowe,
– bug bounty lub odpowiedzialne zgłaszanie podatności,
– Python w automatyzacji testów bezpieczeństwa,
– Bash, PowerShell lub inne narzędzia skryptowe,
– podstawy secure code review,
– podstawy threat modeling,
– podstawy kryptografii stosowanej,
– podstawy Active Directory security,
– Microsoft Entra ID,
– LDAP,
– RADIUS,
– SAML,
– OpenID Connect,
– OAuth,
– Single Sign-On,
– Multi-Factor Authentication,
– FIDO2/WebAuthn,
– Passkeys,
– bezpieczeństwo VPN, RDP lub Windows Logon,
– podstawy bezpieczeństwa chmury, szczególnie AWS lub Microsoft Azure,
– Docker i środowiska testowe,
– Git i praca z repozytoriami kodu,
– CI/CD security,
– SIEM, logi bezpieczeństwa i podstawy detekcji,
– znajomość podatności opisanych w CVE i umiejętność analizy advisory,
– certyfikaty lub przygotowanie do certyfikacji takich jak eJPT, PNPT, OSCP, CompTIA Security+, Security Blue Team, Burp Suite Certified Practitioner lub podobne,
– praktyczne użycie AI do wspierania pentestów, analizy podatności, tworzenia skryptów, raportowania lub code review,
– tworzenie agentic workflows wspierających analizę bezpieczeństwa, przygotowanie testów, dokumentowanie wyników lub automatyzację powtarzalnych czynności,
– formalne wykształcenie informatyczne, cybersecurity lub pokrewne, albo równoważne doświadczenie praktyczne.
Ta rola może być dla Ciebie dobrym wyborem, jeśli:
– chcesz rozwijać się jako etyczny haker lub pentester w środowisku produktowym cybersecurity,
– interesuje Cię bezpieczeństwo systemów uwierzytelniania, MFA, SSO, IAM i identity security,
– chcesz testować technologie używane przez firmy na całym świecie,
– chcesz zdobywać praktyczne doświadczenie w pentestach produktów, API, aplikacji i integracji enterprise,
– zależy Ci na pracy pod opieką bardziej doświadczonych specjalistów offensive security,
– chcesz uczyć się, jak znajdować podatności, opisywać je w sposób użyteczny dla zespołów technicznych i weryfikować skuteczność poprawek,
– interesują Cię technologie takie jak Active Directory, Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, FIDO2/WebAuthn i Passkeys,
– chcesz wykorzystywać programowanie oraz AI jako realne narzędzia przyspieszające analizę, automatyzację i raportowanie,
– cenisz precyzję, poufność, etykę działania i odpowiedzialne podejście do bezpieczeństwa,
– szukasz miejsca, w którym możesz przejść od roli juniora do samodzielnego pentestera lub specjalisty offensive security.
Po przesłaniu aplikacji:
1. Zaprosimy Cię na rozmowę online z rekruterem.
2. Następnie poprosimy Cię o realizację testu online, który zajmie około 2 godzin.
3. Kolejnym krokiem będzie rozmowa techniczna z osobą z zespołu, podczas której omówimy Twoje doświadczenie, sposób myślenia, podstawy cyberbezpieczeństwa, testów aplikacji webowych i API, sieci komputerowych, systemów uwierzytelniania, programowania, raportowania podatności oraz wykorzystywania AI w pracy security.
4. Na końcu zaprosimy Cię na rozmowę finalną z CEO.