Especialista en Seguridad de Sistemas - Pruebas de Penetración
Tiempo completo • Baltimore
Beneficios:
- Seguro médico
- Tiempo libre remunerado
- Formación y desarrollo
Matrix Systems and Technology busca un Especialista en Seguridad de Sistemas para realizar pruebas de penetración internas y externas en redes, aplicaciones web, APIs y entornos en la nube para identificar vulnerabilidades de seguridad y rutas de explotación, entre otras tareas relacionadas.
Deberes/responsabilidades:
- Realizar pruebas de penetración internas y externas en redes, aplicaciones web, APIs y entornos en la nube para identificar vulnerabilidades de seguridad y rutas de explotación.
- Realizar enfrentamientos con equipos rojos simulando tácticas, técnicas y procedimientos (TTPs) del adversario en el mundo real alineados con MITRE ATT&CK.
- Ejecutar evaluaciones de vulnerabilidades y validar los esfuerzos de remediación mediante repruebas y verificación técnica.
- Desarrollar informes completos de pruebas de penetración, incluyendo resúmenes ejecutivos, calificaciones de riesgo, pruebas de concepto y directrices accionables para remediación.
- Realizar modelado de amenazas y análisis de superficies de ataque para identificar áreas de exposición de alto riesgo y vías de escalada de privilegios.
- Realizar revisiones seguras de configuración de sistemas operativos, infraestructura de red, plataformas en la nube y sistemas de identidad.
- Evaluar la seguridad de la aplicación mediante técnicas de pruebas dinámicas y manuales, incluyendo autenticación, gestión de sesiones, validación de entradas y pruebas de control de acceso.
- Revisa el código fuente para detectar debilidades de seguridad y lagunas de codificación segura, especialmente en C/C++, Python, Java o lenguajes similares. Desarrollar y mantener scripts o herramientas personalizadas para automatizar las actividades de prueba y mejorar las capacidades de seguridad ofensiva.
- Apoya las actividades de respuesta a incidentes recreando cadenas de ataque, validando escenarios de compromiso e identificando las causas raíz. Evalúa las implementaciones de Zero Trust, las estrategias de microsegmentación y los controles de seguridad basados en identidad para comprobar su eficacia.
- Realizar simulaciones de phishing y ejercicios de ingeniería social para evaluar la conciencia del usuario y la resiliencia organizativa.
- Proporcionar informes técnicos a la dirección ejecutiva y a los actores técnicos sobre la postura de riesgo y la priorización de remediación.
- Colaborar con los equipos de ingeniería, DevOps e infraestructura para remediar vulnerabilidades identificadas y fortalecer la arquitectura de seguridad.
- Contribuir al desarrollo de políticas de seguridad, metodologías de pruebas y estándares de seguridad empresarial.
- Apoyar los esfuerzos de cumplimiento mapeando los resultados de las pruebas a NIST, OWASP, CIS u otros marcos de seguridad aplicables.
- Participar en la mejora continua de metodologías de pruebas de penetración, herramientas y estrategias de emulación de adversarios.
- Cumple con todas las políticas, procesos y metodologías de seguridad, control de cambios y Oficina de Gestión de Proyectos (PMO).
Requisitos mínimos:
- Mínimo ocho (8) años de experiencia progresiva en ciberseguridad
- Un mínimo de cinco (5) años realizando pruebas de penetración o colaboraciones con equipos rojos.
- Un mínimo de cinco (5) años realizando pruebas de penetración de red, pruebas de aplicaciones web y APIs, evaluaciones internas y externas de vulnerabilidades, modelado de amenazas y análisis de rutas de ataque
- Un mínimo de cinco (5) años elaborando y entregando informes formales de pruebas de penetración, incluyendo resúmenes ejecutivos y orientación técnica para remediación.
- Un mínimo de cinco (5) años apoyando investigaciones de respuesta a incidentes y pruebas de validación.
- Un mínimo de cinco (5) años con herramientas comunes de pruebas de penetración (por ejemplo, Metasploit, Burp Suite, Nmap, Wireshark, Nessus, etc.).
- Sólido conocimiento de prácticas de codificación segura, pruebas de seguridad de aplicaciones (conceptos SAST/DAST), arquitectura y segmentación de redes, y conceptos de gestión de identidad y accesos
- Un mínimo de cinco (5) años de demostración de capacidad de scripting o desarrollo en al menos un lenguaje (por ejemplo, Python, C/C++, PowerShell, Bash).
- Un mínimo de cinco (5) años trabajando con el Marco de Ciberseguridad del NIST, NIST 800-53 u marcos federales de control similares, MITRE ATT&CK y OWASP Top 10. Un mínimo de cinco (5) años de experiencia mapeando hallazgos con marcos de control de seguridad.
- Al menos una certificación reconocida en seguridad ofensiva (por ejemplo, OSCP, GPEN, GXPN, CEH o experiencia de especialidad puede sustituir la certificación).
- Capacidad demostrada para comunicar hallazgos técnicos a audiencias ejecutivas y no técnicas, y para proporcionar recomendaciones accionables de remediación. Experiencia demostrada trabajando en entornos gubernamentales o altamente regulados.
Cualificaciones preferidas:
- Mínimo diez (10) años de experiencia progresiva en ciberseguridad
- Un mínimo de ocho (8) años de experiencia en Seguridad Ofensiva Avanzada:
- Experiencia liderando compromisos con equipos rojos.
- Experiencia realizando ejercicios de emulación de adversarios.
- Experiencia realizando simulaciones de phishing e ingeniería social.
- Experiencia realizando ejercicios en equipo morado.
- Un mínimo de cinco (5) años de experiencia en Zero Trust y Arquitectura:
- Experiencia diseñando o evaluando implementaciones de Zero Trust.
- Experiencia evaluando estrategias de microsegmentación y controles centrados en la identidad.
- Un mínimo de cinco (5) años de experiencia en Cloud e Infraestructura Moderna:
- Experiencia realizando evaluaciones de seguridad en entornos AWS o Azure, entornos contenequerizados (Docker/Kubernetes) y despliegues de infraestructura como código
- Experiencia probando pipelines CI/CD.
- Un mínimo de diez (10) años de experiencia en Desarrollo de Software Profundidad:
- Sólidos conocimientos de desarrollo a bajo nivel (kernel, ensamblador, sistemas embebidos) que apoyan análisis avanzados de exploits.
- Experiencia revisando código fuente en JAVA u otros lenguajes compilados para detectar vulnerabilidades.
- Un mínimo de diez (10) años de experiencia en el Gobierno en las siguientes áreas:
- Experiencia apoyando programas de seguridad del gobierno federal o estatal. Familiaridad con los entornos FedRAMP, FISMA o IRS Pub 1075.
Compensación: 85.000,00 $ - 130,000,00 $ al año
Matrix Systems and Technologies Inc., es un proveedor líder de soluciones de tecnología de la información con sede en el área metropolitana de Washington, DC.
Desde 1996 hemos prestado servicios de análisis de ingeniería de ciclo de vida completo, planificación estratégica, pruebas y gestión de procesos para clientes de todo el corredor noreste. Nuestra base de clientes incluye; El Estado de Maryland, el Departamento de Educación del Estado de Maryland, el Condado de Prince George, Maryland, el IRS, Northrop Grumman, la Corporación de Ciencias de la Computación, SAIC, Lockheed Martin, American University y el Departamento de Salud y Servicios Humanos.
(si ya tienes un currículum en Indeed)