Senior Security Consultant, Application Security

Der Senior Consultant für Anwendungssicherheit ist ein erfahrener technischer Praktiker in IOActive's Anwendungssicherheits-Praxis, mit sicherer Codeüberprüfung als zentralem Schwerpunkt. Die Codeüberprüfungsengagements bei IOActive umfassen das gesamte Spektrum: Quellcodeüberprüfungen an Produktionscodebasen für Unternehmens-Webanwendungen, mobile Backends, eingebettete Systeme und kryptografische Implementierungen; Anwendungspenetrationstests gegen Web-, API- und mobile Ziele; Bedrohungsmodellierung für neue Produktdesigns; und SDLC-Beratung, die den Kunden hilft, Sicherheit in ihre Entwicklungsprozesse zu integrieren.

Was Sie tun werden:

• Engagement-Lieferung — Codeüberprüfung (primär, ~50–60%): Führen Sie manuelle Quellcodeüberprüfungen an komplexen Produktionscodebasen durch, die Webanwendungen, mobile Backends, APIs und eingebettete Systeme umfassen. Identifizieren Sie Schwachstellenklassen von häufigen (Injection, Authentifizierungs- und Autorisierungsfehler, SSRF, XSS, Deserialisierung) bis hin zu nuancierten (Rennbedingungen, Deserialisierungs-Gadgets, kryptografische Implementierungsfehler, Geschäftslogik-Schwachstellen, architektonische Schwächen). Verfassen Sie Berichte über die Ergebnisse, die Entwickler umsetzen können: klare Empfehlungen zur Behebung, funktionierende Proof-of-Concepts, wo angebracht, und architektonische Empfehlungen über die unmittelbare Lösung hinaus. Leiten Sie Workshops für Entwickler des Kunden, um Ergebnisse und Muster zu erklären und den Teams zu helfen, Sicherheitsresilienz aufzubauen, anstatt nur die aufgeführten Probleme zu beheben.
• Engagement-Lieferung — Angrenzende Anwendungssicherheitsarbeit: Anwendungspenetrationstests über Web-, API- und mobile Ziele, insbesondere wenn Engagements Codeüberprüfung und dynamisches Testen umfassen. Bedrohungsmodellierung für neue Produktdesigns und bestehende Systeme unter Verwendung von STRIDE, Angriffsbäumen oder gleichwertigen Rahmenwerken. Sichere Designüberprüfungen von Architektur, Authentifizierungssystemen, kryptografischen Implementierungen und internen Kommunikationssystemen. SDLC-Beratung: Unterstützung der Kunden bei der Integration von Codeüberprüfung, Bedrohungsmodellierung und Sicherheitstests in ihren Entwicklungslebenszyklus (CI/CD, Pull-Request-Workflows, Schulung der Entwickler).
• Kundenengagement: Dienen Sie als technische Stimme in Statusbesprechungen, Workshops, technischen Vertiefungen und Schulungen für Entwickler. Bauen Sie vertrauensvolle technische Beziehungen zu den Führungskräften der Ingenieurteams, AppSec-Teams und Sicherheitsarchitekten auf. Übersetzen Sie technische Ergebnisse für zwei verschiedene Zielgruppen: Entwickler, die das Problem beheben müssen, und Sicherheitsführungskräfte, die das Geschäftsrisiko und Muster verstehen müssen. Unterstützen Sie Pre-Sales-Gespräche mit technischer Glaubwürdigkeit — Scoping-Anrufe, Diskussionen über Fähigkeiten und Vorschlagsbeiträge.
• Praxisbeitrag und Mentoring: Mentoren Sie Junior- und Mid-Level-Berater in der Methodik der Codeüberprüfung, Schwachstellenforschung und Kundenengagement — auch ohne direkte Berichtspflicht. Tragen Sie zu IOActive’s Codeüberprüfungs-Handbüchern, Werkzeugen, Methoden und Berichtsvorlagen bei. Identifizieren Sie Möglichkeiten zur Erweiterung der AppSec-Fähigkeiten von IOActive — neue Werkzeuge, Zielstacks, Forschungsrichtungen oder Dienstleistungsangebote. Arbeiten Sie mit angrenzenden Praktiken (Red Team, Hardware/Silicon, Beratung) an zusammengesetzten Engagements zusammen.
• Forschung und Marktpräsenz: Tragen Sie zu IOActive’s Forschung im Bereich Anwendungssicherheit bei — Entdeckung von Schwachstellen, neuartige Angriffstechniken, rahmen- oder plattform-spezifische Erkenntnisse. Bauen Sie ein persönliches Profil in der Anwendungssicherheitsgemeinschaft auf: Konferenzvorträge (Black Hat, DEF CON, OWASP Global, BSides, regionale AppSec-Veranstaltungen), veröffentlichte Forschung, Teilnahme an Arbeitsgruppen. Vertreten Sie IOActive in Gesprächen der AppSec-Branche, OSS-Sicherheitsbemühungen und Kundenberatungsengagements, wenn sich Gelegenheiten ergeben.

Was Sie mitbringen:

• 5+ Jahre Erfahrung in offensiven Sicherheitsdiensten, davon mindestens 2–3 Jahre mit Fokus auf Anwendungssicherheit und Quellcodeüberprüfung.
• Praktische Engagement-Lieferung über mehrere AppSec-Disziplinen — Codeüberprüfung, Anwendungspenetrationstests, Bedrohungsmodellierung oder SDLC-Beratung.
• Tiefe Expertise in der Codeüberprüfung in mindestens zwei der folgenden Sprachen: JavaScript / TypeScript (Node.js, moderne Frontends), Python (Django, Flask, FastAPI), Java (Spring, J2EE), C# / .NET (ASP.NET, Core), C / C++, Rust, GoLang. Praktische Kenntnisse in zusätzlichen Sprachen sind ein großer Vorteil.
• Praktisches Wissen über gängige Rahmenmuster, ORM-Verhalten, Authentifizierungs- und Autorisierungsbibliotheken, kryptografische Bibliotheken und die spezifischen Sicherheitsfallen jeder Sprache.
• Vertrautheit mit Schwachstellenklassen.
• Wünschenswert - Vertrautheit mit relevanten Standards und Rahmenwerken: OWASP ASVS, NIST SSDF, BSIMM, SAMM.

Fähigkeiten:

• Starke technische Glaubwürdigkeit und die Fähigkeit, als die führende Stimme in Engagements zu agieren.
• Exzellente schriftliche Kommunikation — Sie erstellen Berichte, die Entwickler umsetzen, anstatt sie abzulegen.
• Starke mündliche Kommunikation, mit der Fähigkeit, sowohl als Fachexperte in technischen Diskussionen zu präsentieren als auch komplexe Konzepte, Ergebnisse usw. einem allgemeinen Publikum zu vermitteln.
• Komfort beim Wechsel zwischen Sprachen und Stacks — Spezialisten, die auf einen einzigen Technologie-Stack bestehen, passen nicht in diese Rolle.
• Kollaborative Denkweise — AppSec-Engagements erfordern typischerweise enge Koordination mit den Lieferteams und den Entwicklern des Kunden.
• Echte Neugier darüber, wie Systeme funktionieren, und Geduld beim sorgfältigen Lesen von Code — Codeüberprüfungsberater, die bei IOActive erfolgreich sind, sind diejenigen, die die Arbeit interessant finden, anstatt sie als mühsam zu empfinden.

Qualifikationen:

• Relevanter Bachelor-Abschluss oder gleichwertige Erfahrung.
• Relevante Branchenzertifizierungen werden stark bevorzugt: OSCP, OSWE, GWAPT, CSSLP, GWEB oder gleichwertige, auf Anwendungssicherheit fokussierte Qualifikationen.

Was wir bieten:

• Die Möglichkeit, mit einem Branchenführer in der Cybersicherheit zu arbeiten.
• Zugang zu erstklassigen technischen Teams und Forschung.
• Ein energiegeladenes, kollaboratives Team, das Innovation schätzt.
• Flexibilität — Arbeiten Sie nach Bedarf remote oder im Büro.
• Reisegelegenheiten.
• Wettbewerbsfähige Vergütung und leistungsabhängige Anreize.

Wenn sich das nach Ihrer Art von Herausforderung anhört, würden wir uns freuen, von Ihnen zu hören. Lassen Sie uns sprechen!

Warum IOActive: Wir haben über 25 Jahre Erfahrung, die etabliert und stabil ist; dennoch hochwachsend mit der Energie, Leidenschaft und dynamischen Arbeitsumgebung eines Startups. Wir sind bekannt für unsere Innovation und unser Thought Leadership in unserem hochkarätigen, zukunftsweisenden Bereich. Wir sind einer der „guten Jungs“, die verrückte coole Dinge tun, um böse Jungs in einem kritisch wichtigen geschäftlichen, sozialen und politischen Bereich zu vereiteln. Unsere Arbeit macht großen Spaß und hat große Bedeutung. Vor allem schätzen wir unsere Mitarbeiter und unsere Kunden. Beziehungen sind wichtig. IOActive ist ein Arbeitgeber, der Chancengleichheit bietet und sich für Vielfalt und Inklusion am Arbeitsplatz einsetzt. Wir verbieten Diskriminierung und Belästigung jeglicher Art aufgrund von Rasse, Farbe, Geschlecht, Religion, sexueller Orientierung, nationaler Herkunft, Behinderung, genetischen Informationen, Schwangerschaft oder einer anderen geschützten Eigenschaft, wie sie in den Bundes-, Landes- oder lokalen Gesetzen dargelegt ist. Diese Richtlinie gilt für alle Beschäftigungspraktiken innerhalb unserer Organisation, einschließlich Einstellung, Rekrutierung, Beförderung, Kündigung, Entlassung, Rückruf, Abwesenheit, Vergütung, Leistungen, Schulung und Ausbildung. IOActive trifft Einstellungsentscheidungen ausschließlich auf der Grundlage von Qualifikationen, Verdiensten und geschäftlichen Bedürfnissen zum Zeitpunkt der Entscheidung.