День 24. Разбор вакансий "Пентестер"

Возьмем сегодняшнюю дату 26.01.2026
и отталкиваемся от актуальных вакансий.

Пришло время поменять работу и покажу как можно искать вакансии и разберем что хотят видеть в резюме.

Где искать вакансии?

По моему опыту, вакансии в ИБ (и пентест в частности) ищутся точно не только на HH.ru. Но и там иногда проскакивают «сладкие» варианты для начала карьеры. Главное — правильно настроить поиск:

• Фильтр: «Специалист по информационной безопасности».
• Формат: Ставим «Удалённая работа».
• Лайфхак: В поле «Город проживания» указываем Москву (даже если это не так). Алгоритмы часто продвигают резюме из столиц, это даст буст и при поиске, и при откликах.

Вариант 1 (hh - не советую, но иногда можно)

Натыкаемся на вакансию от MerlionTech — ищут начинающего Junior Web Pentester. Хороший пример того, куда может попасть джун с небольшим опытом.

Читаем о компании - и видим чем занимается.

Чем предстоит заниматься и кого ищем:

Что привлекло в описании?

Компания предлагает реальные задачи по тестированию веб-приложений, взаимодействие с командами разработки и обучение. Формат — гибрид/удаленка по РФ, что отлично для старта + для джунов + удаленка + обучение от компании.

Если уверен в том что прочитав это и тебе зададут вопросы на собеседовании такие как:

1. Объясните, что такое HTTP и HTTPS. В чем ключевая разница?
2. Что такое модель OSI? На каком уровне работает HTTP? А TCP?
3. Расскажите, из чего состоит HTTP-запрос и ответ. Что такое cookies, headers?
4. Вопросы про OWASP Top 10 - Объясните, что такое SQL Injection и как от нее защититься? Какие бывают?
5. Что такое XSS? CSRF? IDOR?
6. Как вы используете Burp Suite / OWASP ZAP и тд... в работе?
7. Вы обнаружили критическую RCE на нашем продакшн-сервере. Ваши действия?

И если ответишь, то точно уже можно идти и смело на собес, иногда закрывают глаза даже на то что нет вышки и берут чисто по опыту и знанию.

Вариант 2 (Телеграмм каналы)

Оставлю тут свой список, если что погулите или (поделитесь своими источниками в комментариях)

1. Вакансии в ИБ | infosec
2. RuSecJobs Channel
3. ИБ Вакансии
4. Вакансии для ИБ специалистов
5. Вакансии по пентестингу и кибербезопасности

Выше мы смотрели на "цивилизованную" вакансию с HH. Сегодня — полная противоположность. Это мир, где ищут работу большинство практикующих пентестеров. Без рекрутеров, без описания корпоративной культуры. Сухая выжимка задач, требований и условий.

Открываем любой тг-канал из списка и пишем в поиск (junior/pentest/junior pentest, пентестер и тд...)

Пример 1.

Пентестер (Middle / Middle+)

Это вакансия из категории "мечта многих". Почему? Потому что она сочетает высокий доход, сложные задачи и человеческие условия.

Главное запомни, что NET =круто, GROSS = нужно уточнить ЗП)

Разбор обязанностей: что тут реально нужно уметь?

1. Проводить пентесты: внешка, веб, внутренняя инфраструктура (AD)

• Что это значит: Это full-spectrum пентест. Не узкая специализация на вебе, а полный цикл.
• Что нужно показать в резюме:
• Веб: Не просто "тестировал OWASP Top 10", а "Проводил black-box/grey-box тесты сложных SPA и API (REST/GraphQL), находил логические уязвимости в бизнес-процессах".
• Инфраструктура (AD): Это ключевой навык. Нужно написать: "Имею опыт проведения внутренних пентестов: компрометация Windows Active Directory (техники Kerberoasting, AS-REP Roasting, золотые/серебряные билеты, движения по сети с использованием BloodHound, CrackMapExec)".
• Внешка: "Проводил оценку периметра: анализ открытых портов (nmap), подбор учетных данных, поиск уязвимых публичных сервисов (VPN, Citrix, oWA), OSINT".

2. Анализировать и верифицировать уязвимости, строить векторы атак

• Что это значит: Это уровень выше простого нахождения. Нужно уметь из нескольких низкоуровневых уязвимостей собрать цепочку для достижения цели (например, от обычного пользователя до Domain Admin).
• Что показать: В резюме привести конкретный мини-кейс: "На пентесте обнаружил слабый пароль к Jenkins → через RCE в джобах получил shell → с помощью SeImpersonatePrivilege эскалировал привилегии → провёл DCSync и получил хэши всех пользователей домена".

3. Работать с DAST-инструментами (Nessus, Acunetix и др.)

• Важно: Здесь они ждут не просто "запускал сканер", а умение настраивать, интерпретировать и дорабатывать результаты. "Интегрировал Acunetix в пайплайн CI/CD, писал кастомные сигнатуры для поиска специфичных уязвимостей, проводил triage результатов, значительно снижая процент ложных срабатываний".

4. Писать ресерчи и выступать на конференциях (если интересно)

• Золотая жила для резюме! Даже если у вас нет выступлений, но есть исследование — укажите это. "Провёл исследование уязвимости в распространённом middleware, написал PoC-эксплойт. Планирую доклад". Компания явно инвестирует в экспертизу и репутацию.

Разбор "Наших ожиданий": как пройти этот фильтр

"Будет плюсом" — это не просто слова. Это ваш козырь.

• Сертификаты (OSCP/OSEP/OSWE): Если есть — вы в топе списка. Если нет, но вы соответствуете — смело откликайтесь, но будьте готовы к сложному техническому интервью.
• Участие в CTF, багбаунти, CVE: Участие в CTF как капитан команды. Багбаунти — не просто аккаунт, а хоть один валидный репорт средней/высокой severity. CVE — королевский козырь.
• Разработка тулзов: Здесь ждут не скрипты, а инструменты. На GitHub должен быть проект с документацией, который решает реальную проблему пентестера.
• Публичные выступления: Даже если не было на PHDays, можно указать: "Выступал с докладом на внутреннем митапе компании / на локальном CTF".

Стратегия отклика на такую вакансию

Сообщение рекрутеру (@Ana_ITrecruiter) должно быть идеальным:

Что выделит вас:

1. Структурированность.
2. Прямое цитирование их требований (AD, скрипты, менторинг).
3. Упоминание их "плюшек" (техпис, разработка тулзов) — показывает, что вы вчитывались.
4. Готовность сразу показать работу (GitHub, пример отчёта).

Пример 2.

Разбор вакансии: Junior & Middle Pentesters от "FearsOff"

Это типичный и очень показательный пример вакансии из канала. Давайте разберем ее по косточкам.

Условия:

• ЗП в USDT: Junior — $1000, Middle — $3000. Это мировая удаленка, оплата в крипте. Плюс: можно работать из любой точки. Минус: нет официального трудоустройства (ТК РФ), все вопросы — на вашей ответственности.
• Формат: Полная занятость (40ч/нед). Это не подработка, а основная работа.

Суть задачи:

"команда фокусируется на проведении редТим и пентестовой работе, где в первую очередь нужны уязвимости, которые можно использовать для пробива".

Ключевая фраза! Это не аудит "для галочки". Здесь нужны критичные, эксплуатабельные уязвимости, ведущие к компрометации (command injection, SSRF, auth bypass). Акцент на OSINT (поиск "циферок", утечек, забытых сервисов) для расширения поверхности атаки.

Но есть жирный плюс таких вакансий - они дают доступ к стендам, чтобы отсеять многих, (ещё одна возможность попробовать себя) я такие проходил и не раз, бывало что даже такие тестовые-стенды не всегда работают корректно и чтобы взломать, иногда приходиться разобраться в стеке и починить самому, а потом уже ломать) ... эх было дело от Пермских компаний)

и итог:

Что нужно сделать ДО отклика на такую вакансию?

Пример 3.

Пока одни компании ищут аудиторов, а другие — специалистов по AD, A-Системс ищет людей для реальной имитации действий противника (APT). Это следующая ступень в карьере пентестера. ЗП в долларах ($5-7k) и задачи говорят сами за себя.

Ключевые маркеры уровня:

• Red Team / adversary simulation — главный фокус.
• Моделирование действий APT-групп — нужны знания TTPs из MITRE ATT&CK.
• Обход средств защиты (AV/EDR) — навыки разработки или адаптации обфусцированных шеллов.
• Scoping-сессии с заказчиками — это уже клиентская работа и консалтинг.

Разбор задач: Что здесь хотят на самом деле?

1. "Выполнять Red Team / adversary simulation"

• Что это значит: Это не проверка на наличие уязвимостей. Это симуляция целевой атаки с конкретными целями (достать данные, получить контроль), как это сделала бы реальная хакерская группа. Акцент на тайминги, скрытность, обход защит.
• Что показать в резюме: "Имею опыт проведения Red Team операций по методологии MITRE ATT&CK: от фишинга и начального доступа, через эксплуатацию, установку персистентности, lateral movement и до выполнения целей (exfiltration, impact). Использовал Cobalt Strike / Sliver / Brute Ratel".

2. "Использовать как классические инструменты, так и собственные разработки"

• Что это значит: Компания ценит способность адаптироваться и создавать уникальные инструменты под конкретную защиту заказчика.
• Что показать: GitHub должен "кричать". Нужны не скрипты, а именно инструменты: свой C2 фреймворк на Go/Python, кастомные загрузчики (loaders), обфускаторы, модули для Cobalt Strike.

3. "Проводить эксплуатацию, обход AV/EDR, lateral movement и privilege escalation"

• Что это значит: Это ядерные навыки для позиции. Нужно показать глубокое знание ОС.
• Что написать в резюме:
• Обход AV/EDR: "Адаптировал публичные эксплойты под обход конкретных EDR (CrowdStrike, Defender for Endpoint) через методы типа API unhooking, direct syscalls (SysWhispers), маскировка под легитимные процессы".
• Lateral Movement: "Использовал WMI, PsExec, Pass-the-Hash, DCOM, RDP-хиджикинг, эксплуатацию PetitPotam/PrintNightmare для перемещения по сети".
• Privilege Escalation: "Владею техниками для Windows (Token Manipulation, различные службы, AlwaysInstallElevated) и Linux (SUID, ядро, контейнеры)".

4. "Участвовать в scoping-сессиях с заказчиками"

• Что это значит: Вы — консультант и эксперт. Нужны не только технарьские, но и софт-скиллы.
• Что показать: "Проводил воркшопы для заказчиков по результатам Red Team, участвовал в определении Purple Team целей совместно с их SOC".

Разбор "Чего ожидаем": чек-лист для самопроверки

"А в ответ…" — это не просто плюшки, это философия

• "Участие в сложных, нетривиальных задачах" — главная нематериальная мотивация для любого серьёзного специалиста.
• "Оплата сертификаций" — ждут, что у вас уже есть или вы легко получите OSCP, OSEP, CRTO, CRT.
• "Закрытые исследовательские проекты" — намёк на работу, выходящую за рамки коммерческих заказов (возможно, исследования 0-day).
• "Карьерный рост до Lead Offensive Security Engineer" — чёткий карьерный путь внутри offensive security.

Стратегия отклика для такой вакансии

Отклик: Penetration Tester (Red Team) / [Ваше Имя]

Что будут смотреть в первую очередь:

1. GitHub. Он должен быть идеален: код, документация, описание инструментов.
2. Опыт Red Team. Спросят про конкретные операции, сложности, как обходили защиту.
3. Знание ATT&CK. Могут попросить спланировать атаку на гипотетическую инфраструктуру.
4. Техническое собеседование. Вероятно, будет лабораторное задание (Capture The Flag/лаборатория), где нужно будет пройти цепочку от внешней сети до полного контроля, обходя имитацию EDR.
   

Вариант 3: Связи и нетворкинг

Не забываем про:

• Telegram-каналы (уже перечислил)
• Discord-серверы (русскоязычные и международные коммьюнити)
• Конференции и митапы (оффлайн и онлайн)
• Рекомендации от коллег — самый рабочий канал

Итоговая стратегия:

1. Для джуна: HH + базовые каналы Telegram + подготовка к стандартным вопросам
2. Для Middle: фокус на Telegram + LinkedIn + GitHub + примеры реальных кейсов
3. Для Senior/Red Team: специализированные каналы + конференции + репутация в коммьюнити

Главное: не бойтесь откликаться, даже если кажетесь недостаточно опытным. Лучший способ научиться — пробовать. Каждое собеседование и тестовое задание — это опыт.

Удачи в поисках! Пишите в комментариях свои находки и каналы.

Основная группа обучения ИБ
Lab-группу с полезным софтом / книгами / аудио.
Чат для обсуждений, задавай свои вопросы.
P.S. С вами был @Fnay_Offensive
До новой встречи, user_name!