【集团】应用安全工程师（渗透&SDL方向）

职位描述

岗位简介

负责公司内部应用安全与数据安全建设，覆盖日常渗透测试、SDL安全开发流程落地、黑盒自动化安全工具开发运营、白盒扫描告警研判、数据安全治理等工作，推进安全左移，排查业务及数据安全风险，闭环全链路安全漏洞。

岗位职责

1. 日常渗透测试：负责Web系统、接口、内部业务系统常态化渗透测试，挖掘业务逻辑漏洞及通用Web漏洞，输出测试报告，跟进漏洞修复与复测，完成风险闭环。

2. SDL落地推进：落地软件安全开发生命周期全流程规范，推动研发流程安全准入、代码安全规范落地，开展研发侧安全宣导与流程稽核，落实安全左移。

3. 黑盒自动化工具建设：负责黑盒自动化安全测试工具二次开发、功能迭代与日常运营，优化扫描规则与扫描效率，依托自动化能力减少人工重复测试工作量。

4. 白盒告警研判：负责静态代码白盒扫描工具每日告警研判，甄别误报、梳理真实漏洞，同步研发修复代码层安全缺陷，统计告警数据并优化扫描策略。

5. 数据安全治理：参与公司内部数据安全治理工作，梳理业务敏感数据资产，配合完成数据权限审计、数据接口安全检测、数据泄露风险排查，落实数据安全管控要求；

6. 安全汇报：输出各类安全周报、月报、漏洞复盘报告，沉淀安全知识库与漏洞案例，对研发团队开展常态化安全培训；

7. 安全应急处理：跟进行业高危漏洞（如Log4j、Fastjson等），完成内部资产应急排查与漏洞修复推进；

8. 安全审计：合等保测评、内部安全审计、外部安全检查，整理对应的安全佐证材料；

任职要求

1. 本科及以上学历，计算机、网络安全、信息安全等相关专业，3年及以上应用安全/渗透测试工作经验，熟悉Web漏洞原理、利用及修复方案，可独立完成渗透测试工作；

2. 熟悉SDL安全开发流程，有企业内部SDL落地、安全左移实战经验；

3. 掌握Python、JAVA、GO其中一种开发与语言，具备黑盒自动化安全脚本/工具开发、二次开发及运维能力；

4. 熟悉主流白盒代码扫描工具，可独立完成告警研判，能读懂基础业务代码；

5. 熟练使用Burp Suite、AWVS等常规安全测试工具，了解数据安全分级分类、数据合规、个人信息保护相关规范，具备良好的跨部门沟通和文档输出能力。