Специалист по тестированию на проникновение / Penetration Tester

ALGORUNI — консалтинговая компания в Ташкенте с практиками кибербезопасности, управленческого консалтинга и устойчивого развития (ESG). ALGORUNI — collaborating firm of Andersen Consulting.

Мы строим практики, а не отдел. Каждая из них создаётся вокруг небольшой команды специалистов, которые выполняют работу сами, учатся у международных партнёров компании в реальных проектах и через два-три года становятся теми, кто ведёт направление. Мы ищем людей для этой траектории — не для должности.

С кем вы будете работать:

• С управляющим партнёром — напрямую. Он ведёт коммерческую сторону; вы отвечаете за содержание и качество работ.
• С Red Team- и Purple Team-командами международных партнёров компании в совместных проектах: сценарии, социальная инженерия в согласованных рамках, настройка детектирования по результатам.
• С техническими командами и руководством клиентов — на этапах скоупинга, защиты отчёта и ретеста.

Ваш вклад:

• Проводить тестирование на проникновение веб-приложений, API и мобильных приложений (OWASP WSTG, MASVS), включая логические уязвимости бизнес-процессов, а не только технические.
• Проводить внешние и внутренние проверки корпоративных сетей и Active Directory: выявлять цепочки атак и доводить вектор до демонстрации последствий, понятной руководству клиента.
• Готовить отчёты, по которым можно действовать: воспроизводимые шаги, оценка по CVSS и по влиянию на бизнес, приоритизированный план устранения; сопровождать устранение и подтверждать закрытие ретестом.
• Работать в совместных проектах с партнёрами и переносить их методологию и инструментарий в стандарты и базу техник практики.
• Вести техническую часть переговоров с потенциальными клиентами: скоупинг, глубина и методология проверки, правила взаимодействия и письменное разрешение до подписания договора. Стоимость определяет управляющий партнёр.
• Развивать лабораторию, автоматизировать рутинные этапы, вести собственные исследования — на это выделяется рабочее время.

Ваш рост:

• Ученичество в проектах: вы работаете в одной команде с международными партнёрами компании — не наблюдаете за их работой, а ведёте свою часть рядом с ними и разбираете результат вместе.
• Ответственность с первого проекта: вы сами представляете результат заказчику и отвечаете на его вопросы. Управляющий партнёр участвует в ключевых встречах, но не говорит за вас.
• Сертификации за счёт компании: подготовка и экзамен по согласованному плану, начиная с первого года: OSCP и далее по плану развития.
• Регулярная обратная связь: после каждого проекта — разбор того, что сделано, с конкретными точками роста; раз в полгода — оценка траектории.
• Перспектива: практика создаётся сейчас, и тот, кто её построит, будет её руководителем. Мы не обещаем должность — мы обещаем, что этот путь открыт и что он будет измеряться результатами.

Ваша квалификация и навыки:

• Не менее 3 лет практического тестирования на проникновение с самостоятельным ведением проектов от скоупинга до отчёта.
• Инструментарий: Burp Suite, Nmap, Metasploit, BloodHound, Impacket, NetExec, Responder, sqlmap, Nuclei.
• Техники атак и защиты: MITRE ATT&CK, эскалация привилегий в Windows/Linux, атаки на Active Directory и Kerberos.
• Методологии: OWASP Top 10 и WSTG, PTES, NIST SP 800-115.
• Python, Bash, PowerShell — для автоматизации и адаптации инструментов.
• Безупречная профессиональная этика: работа строго в согласованном объёме, соблюдение NDA и правил взаимодействия.
• Языки: русский и узбекский — рабочий уровень; английский — уверенный рабочий (B2).
• Преимущество: OSCP, PNPT, eCPPT, CRTP, GPEN; CVE, публикации, результаты bug bounty или CTF; опыт с банковскими и платёжными системами, АСУ ТП/OT; обход EDR/AV, разработка PoC.

Условия:

• Конкурентная заработная плата, определяемая квалификацией и опытом; годовая премия по результатам проектов и вкладу в развитие практики.
• Официальное трудоустройство в соответствии с Трудовым кодексом Республики Узбекистан.
• Работа из офиса в Ташкенте, полная занятость. Командировки к клиентам по проектной необходимости.

Как подать заявку:

Резюме и краткое сопроводительное письмо направляйте на электронную почту, указав в теме письма «ALG-CYB-02 Penetration Tester».

К заявке приложите обезличенный пример отчёта или ссылку на профиль HackTheBox / TryHackMe / GitHub, либо опишите наиболее значимый вектор атаки из вашей практики.

Этапы отбора: рассмотрение заявки → интервью с управляющим партнёром → техническое интервью или кейс → предложение о работе. Мы отвечаем каждому кандидату, прошедшему интервью.