مهندس برمجيات الأمان

الأدوار والمسؤوليات

تحديد وتنفيذ وتوثيق ميزات الأمان الجديدة
قيادة التفكير الموجه نحو الأمان في فريق هندسة المنتج
تحليل وإصلاح واختبار نقاط الضعف في البرامج الرسمية والمفتوحة المصدر
المساهمة في مشاريع Ubuntu والمشاريع السابقة لصالح المجتمع
تدقيق وتحليل كود المصدر بحثًا عن نقاط الضعف
دمج أدوات جديدة في البنية التحتية الأمنية وخطوط الأنابيب والعمليات
تحقيق شهادات الأمان المختلفة والاحتفاظ بها
توسيع وتعزيز مكونات التشفير في Linux - خاصة مع وحدات مثل OpenSSL / Libgcrypt - بالميزات والوظائف المطلوبة للامتثال الخاص بالبلد مثل شهادة FIPS و CC
العمل مع شركاء خارجيين لتطوير معايير CIS
تصميم وتطوير أتمتة التحصين لأوبونتو
مراقبة صناعة الأمن للتطورات الجديدة
تطوير واختبار وصيانة قدرات البرامج الجديدة
تقديم التوجيه والدعم لفرق الهندسة الأخرى

ما نبحث عنه فيك

سجل أكاديمي استثنائي من المدرسة الثانوية والجامعة
درجة جامعية في علوم الكمبيوتر أو STEM، أو سرد مقنع حول مسارك البديل
الدافع وسجل حافل بالتفوق على التوقعات
فهم شامل للفئات الشائعة من الثغرات الأمنية
تقنيات الهندسة الحديثة للعثور عليها وإصلاحها
المعرفة بأدوات ومنهجيات تطوير المصدر المفتوح
مهارة في واحدة أو أكثر من لغات البرمجة C أو Python أو Go أو Rust أو Java أو Ruby أو PHP
خبرة كبطل أمني
خبرة في قيادة الأمان ضمن عملية SDLC أوسع
اللغة الإنجليزية المكتوبة والمنطوقة بشكل احترافي
خبرة في Linux (يفضل Debian أو Ubuntu)
مهارات شخصية ممتازة، وفضول، ومرونة، ومساءلة
الشغف، والتفكير، والدافع الذاتي
مهارات اتصال وعرض ممتازة
موجه نحو النتائج، مع دافع شخصي للوفاء بالالتزامات
القدرة على السفر مرتين في السنة، لحضور أحداث الشركة لمدة تصل إلى أسبوعين لكل منها

مهارات اختيارية نقدرها أيضًا

اتصال واضح وفعال مع الفريق وأعضاء مجتمع Ubuntu
خبرة العمل مع نواة لينكس
خبرة ومعرفة في الحصول على شهادة أمان في FIPS و/أو CC
خبرة في OVAL (لغة تقييم الثغرات المفتوحة)
المعرفة والدراية بواجهات برمجة تطبيقات التشفير منخفضة المستوى في لينكس
قدرة عالية على التعلم
خبرة في هندسة الأداء

الملف الشخصي المرغوب للمرشح

1. هندسة وتصميم الأمان
تصميم البرامج الآمنة: التعاون مع فرق التطوير لتصميم البرامج مع وضع الأمان في الاعتبار، وتنفيذ مبادئ الأمان مثل الحد الأدنى من الامتيازات، والدفاع المتعمق، والآمن من خلال التصميم.

نمذجة التهديدات: إجراء نمذجة التهديدات على تطبيقات وأنظمة البرامج الجديدة، وتحديد نقاط الضعف المحتملة وتصميم التخفيف في وقت مبكر من عملية التطوير.

متطلبات الأمان: تحديد متطلبات الأمان للتطبيقات والأنظمة والميزات الجديدة، والتأكد من بنائها لتحمل التهديدات المعروفة والناشئة.

2. إدارة الثغرات الأمنية
فحص الثغرات الأمنية: استخدام التحليل الثابت والتحليل الديناميكي وأدوات الفحص الأخرى لتحديد نقاط الضعف في قاعدة التعليمات البرمجية والبنية الأساسية.

اختبار الاختراق: إجراء اختبار الاختراق لمحاكاة الهجمات على التطبيقات والبنية الأساسية، وتحديد نقاط الضعف ومعالجتها قبل أن يتم استغلالها.

إدارة التصحيحات: تحديد أولويات وتنفيذ تصحيحات الأمان أو التحديثات لمعالجة نقاط الضعف في كل من مكتبات الطرف الثالث والتعليمات البرمجية المخصصة.
3. تطوير البرمجيات الآمنة
ممارسات الترميز الآمنة: اتبع ممارسات الترميز الآمنة وطبقها، ومنع الثغرات الشائعة مثل حقن SQL، وبرمجة النصوص عبر المواقع (XSS)، وتزوير الطلبات عبر المواقع (CSRF)، وتجاوزات المخزن المؤقت.
مراجعة التعليمات البرمجية: المشاركة في مراجعات التعليمات البرمجية التي تركز على الأمان أو قيادتها، والتأكد من التزام المطورين بمعايير الأمان وأفضل الممارسات.
اختبار الأمان: تنفيذ اختبارات الأمان الآلية في خط أنابيب CI/CD، وضمان اكتشاف الثغرات الأمنية في البرامج في أقرب وقت ممكن أثناء دورة حياة التطوير.
4. الاستجابة للحوادث واكتشاف التهديدات
الاستجابة للحوادث الأمنية: الاستجابة للحوادث الأمنية، والمساعدة في تحديد نطاق الهجوم، واحتواء الضرر، والتعافي. والمساعدة في تحليل ما بعد الحادث والدروس المستفادة.
المراقبة والتنبيهات: إعداد وتكوين أدوات للمراقبة المستمرة لأمان التطبيق والبنية الأساسية. وتنفيذ تنبيهات الأمان للأنشطة المشبوهة أو الشذوذ.
تحليل السجلات: تحليل سجلات النظام والتطبيقات بحثًا عن علامات النشاط الضار أو خروقات الأمان، وضمان فعالية البنية الأساسية للأمان.
5. أتمتة وأدوات الأمان
أتمتة اختبار الأمان: تطوير أو دمج الأدوات التي تعمل على أتمتة اختبار الأمان ومسح الثغرات الأمنية واكتشاف الحوادث لتبسيط عمليات الأمان.
أدوات الأمان: العمل مع أو تطوير أدوات وبرامج الأمان، مثل جدران الحماية وأنظمة اكتشاف/منع التطفل (IDS/IPS) وتقنيات التشفير، لضمان الحماية القوية عبر البنية الأساسية والتطبيقات الخاصة بالمؤسسة.
DevSecOps: دمج ممارسات الأمان في خط أنابيب DevOps (DevSecOps) من خلال العمل على أتمتة عمليات فحص الأمان داخل خط أنابيب CI/CD.