Chuyên viên cao cấp An toàn Bảo mật

MÔ TẢ CÔNG VIỆC

1. Thực hiện việc kiểm tra xâm nhập trên Hệ thống/Ứng dụng/Website:

• Thực hiện đánh giá, kiểm thử an toàn bảo mật trên hệ thống Hệ thống / Ứng dụng / Website.
• Báo cáo và đưa ra giải pháp, POC cho các lỗ hổng sau khi đánh giá, phối hợp với các bộ phận liên quan thực hiện vá các lổ hổng.
• Kiểm chứng các lỗ hổng bảo mật trên Hệ thống / Ứng dụng / Website, đưa ra được các minh chứng khi khai thác thành công các lỗ hổng.
• Thực hiện sao lưu, phục hồi, nâng cấp đảm bảo toàn vẹn dữ liệu hệ thống đánh giá kiểm thử Hệ thống / Ứng dụng / Website.
• Tổ chức các buổi trình bày đào tạo hướng dẫn các kỹ thuật tấn công cho đội ngũ chuyên viên.

2. Tham gia xây dựng, triển khai công cụ đánh giá và nghiên cứu các phương thức đánh giá bảo mật chuyên sâu cho Hệ thống/Ứng dụng/Website của Nova Group và các Công ty thành viên:

• Tham gia xây dựng, triển khai các công cụ hỗ trợ phòng ban trong việc đánh giá kiểm thử hệ thống CNTT.
• Tham gia nghiên cứu các framework mã nguồn mở, viết mã khai thác dựa trên các CVE đã công bố.
• Tham gia nghiên cứu các phương pháp mới trong khai thác lỗ hổng phần mềm. Tìm kiếm lỗ hổng trên các framework mã nguồn mở.
• Nghiên cứu các phương thức đánh giá bảo mật chuyên sâu dựa trên các CVE đã công bố hoặc các CVE chưa công bố
• Phối hợp với các nhóm và nhân sự phụ trách nhằm:
• Triển khai công việc, dự án liên quan
• Xử lý các sự cố mức chuyên sâu
• Tham gia triển khai các dự án của Bộ phận An toàn Bảo mật và Tuân thủ.     

3. Đưa ra ý kiến nhằm hỗ trợ team An toàn Bảo mật cải thiện khả năng phòng thủ của hệ thống Nova Group và các Công ty thành viên:

• Đưa ra các phân tích cảnh báo từ hệ thống và yêu cầu các đội nhóm liên quan sửa các lỗi bảo mật liên quan đến Hệ thống / Ứng dụng / Website phụ trách.
• Dùng góc nhìn của Red Team để đưa ra lời khuyên về các khả năng xâm nhập/tấn công có thể xảy ra và hỗ trợ Blue Team cải thiện khả năng phòng thủ của hệ thống.
• Hỗ trợ các nhóm kỹ thuật để cắt giảm/giảm thiểu rủi ro đã xác định.
• Tư vấn cho cấp trên về các công nghệ mới, giải pháp an toàn cho Hệ thống / Ứng dụng / Website cho các đơn vị khi có yêu cầu.

4. Biên soạn quy trình, quy định, tài liệu hướng dẫn cho việc đánh giá kiểm thử hệ thống và thực hiện sao lưu nâng cấp hệ thống đánh giá kiểm thử Hệ thống / Ứng dụng / Website:

• Thực hiện biên soạn quy trình, quy định và tài liệu hướng dẫn liên quan đến hệ thống đánh giá kiểm thử Hệ thống / Ứng dụng / Website.
• Định kỳ thực hiện rà soát và cập nhật quy trình, quy định và tài liệu hướng dẫn.
• Hướng dẫn hỗ trợ công việc cho các thành viên trong nhóm.

YÊU CẦU CÔNG VIỆC

1. Trình độ:

• Tốt nghiệp đại học chuyên ngành CNTT, An ninh mạng, Hệ thống thông tin hoặc chuyên ngành liên quan phù hợp với yêu cầu công việc.
• Ưu tiên có các chứng chỉ CEH, MCRTA, OSCP, OSWE, SANS SEC560, SEC542, SEC642, SEC 575 hoặc tự đào tạo trên các nền tảng (HackTheBox, Pentesterlabs, ...).

2. Kiến thức:

• Có kiến thức về đánh giá bảo mật theo tiêu chuẩn OWASP.
• Hiểu biết rõ ràng các kỹ thuật kiểm tra thâm nhập thủ công (manual penetration testing) và tự động (automated penetration testing), bao gồm kiến thức về các công cụ kiểm tra thâm nhập phổ biến và tác động đối với hệ thống.
• Kiến thức lập trình (Bash Shell, Python, Hermes AI, ...).
• Kiến thức chung về CNTT bao gồm lĩnh vực phần cứng, phần mềm và an ninh thông tin.
• Kiến thức chuyên sâu về các hệ thống bảo mật, ANTT.
• Kiến thức về cấu trúc điện toán đám mây (Cloud Computing)
• Kiến thức về thực hiện dự án. Ưu tiên đã có kinh nghiệm triển khai và quản lý các hệ thống CNTT lớn.
• Kiến thức về tiêu chuẩn an toàn thông tin như ISO27001 và đánh giá an ninh thông tin.

3. Kinh nghiệm:

• Có ít nhất 2-3 năm kinh nghiệm trong lĩnh vực đánh giá kiểm thử bảo mật.
• Hiểu biết kiến trúc hệ thống CNTT, bảo mật mạng, endpoint, ứng dụng và các công nghệ bảo mật khác.
• Nắm vững các khái niệm OWASP, CVE, MITRE ATT&CK.
• Hiểu biết về các phương pháp bảo mật, quản lý rủi ro, và phòng chống tấn công mạng.
• Thành thạo ngôn ngữ lập trình phục vụ phân tích như SQL, Python.
• Có kinh nghiệm nghiên cứu, phát triển và sử dụng công cụ AI như để tự động hóa là lợi thế.

4. Kỹ năng:

• Kỹ năng đánh giá kiểm thử và phân tích sự cố bảo mật tốt, có khả năng phản ứng nhanh với các mối đe dọa.
• Kỹ năng giao tiếp tốt, có khả năng làm việc nhóm và phối hợp với các bộ phận khác để giải quyết sự cố.

MÔ TẢ CÔNG VIỆC

1. Thực hiện việc kiểm tra xâm nhập trên Hệ thống/Ứng dụng/Website:

• Thực hiện đánh giá, kiểm thử an toàn bảo mật trên hệ thống Hệ thống / Ứng dụng / Website.
• Báo cáo và đưa ra giải pháp, POC cho các lỗ hổng sau khi đánh giá, phối hợp với các bộ phận liên quan thực hiện vá các lổ hổng.
• Kiểm chứng các lỗ hổng bảo mật trên Hệ thống / Ứng dụng / Website, đưa ra được các minh chứng khi khai thác thành công các lỗ hổng.
• Thực hiện sao lưu, phục hồi, nâng cấp đảm bảo toàn vẹn dữ liệu hệ thống đánh giá kiểm thử Hệ thống / Ứng dụng / Website.
• Tổ chức các buổi trình bày đào tạo hướng dẫn các kỹ thuật tấn công cho đội ngũ chuyên viên.

2. Tham gia xây dựng, triển khai công cụ đánh giá và nghiên cứu các phương thức đánh giá bảo mật chuyên sâu cho Hệ thống/Ứng dụng/Website của Nova Group và các Công ty thành viên:

• Tham gia xây dựng, triển khai các công cụ hỗ trợ phòng ban trong việc đánh giá kiểm thử hệ thống CNTT.
• Tham gia nghiên cứu các framework mã nguồn mở, viết mã khai thác dựa trên các CVE đã công bố.
• Tham gia nghiên cứu các phương pháp mới trong khai thác lỗ hổng phần mềm. Tìm kiếm lỗ hổng trên các framework mã nguồn mở.
• Nghiên cứu các phương thức đánh giá bảo mật chuyên sâu dựa trên các CVE đã công bố hoặc các CVE chưa công bố
• Phối hợp với các nhóm và nhân sự phụ trách nhằm:
• Triển khai công việc, dự án liên quan
• Xử lý các sự cố mức chuyên sâu
• Tham gia triển khai các dự án của Bộ phận An toàn Bảo mật và Tuân thủ.     

3. Đưa ra ý kiến nhằm hỗ trợ team An toàn Bảo mật cải thiện khả năng phòng thủ của hệ thống Nova Group và các Công ty thành viên:

• Đưa ra các phân tích cảnh báo từ hệ thống và yêu cầu các đội nhóm liên quan sửa các lỗi bảo mật liên quan đến Hệ thống / Ứng dụng / Website phụ trách.
• Dùng góc nhìn của Red Team để đưa ra lời khuyên về các khả năng xâm nhập/tấn công có thể xảy ra và hỗ trợ Blue Team cải thiện khả năng phòng thủ của hệ thống.
• Hỗ trợ các nhóm kỹ thuật để cắt giảm/giảm thiểu rủi ro đã xác định.
• Tư vấn cho cấp trên về các công nghệ mới, giải pháp an toàn cho Hệ thống / Ứng dụng / Website cho các đơn vị khi có yêu cầu.

4. Biên soạn quy trình, quy định, tài liệu hướng dẫn cho việc đánh giá kiểm thử hệ thống và thực hiện sao lưu nâng cấp hệ thống đánh giá kiểm thử Hệ thống / Ứng dụng / Website:

• Thực hiện biên soạn quy trình, quy định và tài liệu hướng dẫn liên quan đến hệ thống đánh giá kiểm thử Hệ thống / Ứng dụng / Website.
• Định kỳ thực hiện rà soát và cập nhật quy trình, quy định và tài liệu hướng dẫn.
• Hướng dẫn hỗ trợ công việc cho các thành viên trong nhóm.

YÊU CẦU CÔNG VIỆC

1. Trình độ:

• Tốt nghiệp đại học chuyên ngành CNTT, An ninh mạng, Hệ thống thông tin hoặc chuyên ngành liên quan phù hợp với yêu cầu công việc.
• Ưu tiên có các chứng chỉ CEH, MCRTA, OSCP, OSWE, SANS SEC560, SEC542, SEC642, SEC 575 hoặc tự đào tạo trên các nền tảng (HackTheBox, Pentesterlabs, ...).

2. Kiến thức:

• Có kiến thức về đánh giá bảo mật theo tiêu chuẩn OWASP.
• Hiểu biết rõ ràng các kỹ thuật kiểm tra thâm nhập thủ công (manual penetration testing) và tự động (automated penetration testing), bao gồm kiến thức về các công cụ kiểm tra thâm nhập phổ biến và tác động đối với hệ thống.
• Kiến thức lập trình (Bash Shell, Python, Hermes AI, ...).
• Kiến thức chung về CNTT bao gồm lĩnh vực phần cứng, phần mềm và an ninh thông tin.
• Kiến thức chuyên sâu về các hệ thống bảo mật, ANTT.
• Kiến thức về cấu trúc điện toán đám mây (Cloud Computing)
• Kiến thức về thực hiện dự án. Ưu tiên đã có kinh nghiệm triển khai và quản lý các hệ thống CNTT lớn.
• Kiến thức về tiêu chuẩn an toàn thông tin như ISO27001 và đánh giá an ninh thông tin.

3. Kinh nghiệm:

• Có ít nhất 2-3 năm kinh nghiệm trong lĩnh vực đánh giá kiểm thử bảo mật.
• Hiểu biết kiến trúc hệ thống CNTT, bảo mật mạng, endpoint, ứng dụng và các công nghệ bảo mật khác.
• Nắm vững các khái niệm OWASP, CVE, MITRE ATT&CK.
• Hiểu biết về các phương pháp bảo mật, quản lý rủi ro, và phòng chống tấn công mạng.
• Thành thạo ngôn ngữ lập trình phục vụ phân tích như SQL, Python.
• Có kinh nghiệm nghiên cứu, phát triển và sử dụng công cụ AI như để tự động hóa là lợi thế.

4. Kỹ năng:

• Kỹ năng đánh giá kiểm thử và phân tích sự cố bảo mật tốt, có khả năng phản ứng nhanh với các mối đe dọa.
• Kỹ năng giao tiếp tốt, có khả năng làm việc nhóm và phối hợp với các bộ phận khác để giải quyết sự cố.