Młodszy Etyczny Haker/Pentester (k/m)

Rublon MFA to platforma multi-factor authentication wykorzystywana do ochrony logowania pracowników do sieci, serwerów i aplikacji. Rola obejmuje wsparcie testów bezpieczeństwa rozwiązań MFA oraz — pod nadzorem — systemów i aplikacji klientów.

Zakres roli

Będziesz wspierać realizację testów penetracyjnych, analiz bezpieczeństwa i weryfikacji odporności technologii MFA oraz powiązanych rozwiązań authentication i identity security.

Praca obejmuje testowanie aplikacji webowych, API, integracji, usług backendowych, komponentów uwierzytelniania oraz środowisk enterprise. Z czasem poznasz obszary takie jak SSO, Active Directory, Microsoft Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, FIDO2/WebAuthn, Passkeys, VPN, RDP, Windows Logon, bezpieczeństwo API i aplikacji mobilnych.

Jest to rola stricte security, skoncentrowana na znajdowaniu, weryfikowaniu, dokumentowaniu i raportowaniu podatności oraz słabości bezpieczeństwa w ramach jasno określonego zakresu, zasad testów i autoryzowanych działań.

Ważną częścią pracy będzie wykorzystywanie narzędzi AI do wspierania analizy technicznej, przygotowywania checklist testowych, porządkowania notatek, generowania pomocniczych skryptów, wstępnej analizy kodu, raportowania i identyfikowania scenariuszy testowych. Wymagana jest samodzielna weryfikacja wyników, zachowanie poufności danych i zgodność z zasadami bezpieczeństwa.

Stanowisko stanowi ścieżkę rozwoju dla osoby z solidnymi podstawami cyberbezpieczeństwa, rozumiejącej zasady etycznego hackingu i chcącej rozwijać się pod opieką doświadczonych pentesterów w kierunku samodzielnego specjalisty offensive security.

Jak będziesz pracować

• Lokalizacja: biuro w Krakowie lub Zielonej Górze.
• Obszary technologiczne: web application security, API security, authentication security, MFA, SSO, Active Directory, Microsoft Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, FIDO2/WebAuthn, Passkeys, Linux, Windows, sieci komputerowe, Burp Suite, OWASP ZAP, Nmap, Wireshark, Python, Bash, PowerShell, GitHub, Docker oraz AI-assisted security tools.
• Rozwój: dostęp do kursów online i możliwość dofinansowania certyfikacji.
• Benefity: prywatna opieka medyczna i karta MultiSport.

Twoje zadania

• Wspieranie realizacji testów penetracyjnych produktów, usług i integracji MFA.
• Udział w testach bezpieczeństwa aplikacji webowych, API, backendu, aplikacji mobilnych i komponentów uwierzytelniania.
• Realizacja wybranych scenariuszy testowych pod opieką bardziej doświadczonego pentestera.
• Wspieranie testów bezpieczeństwa systemów i aplikacji klientów w jasno określonym zakresie i zgodnie z zasadami współpracy.
• Analiza mechanizmów logowania, MFA, SSO, zarządzania sesją, resetu haseł, uprawnień i kontroli dostępu.
• Testowanie odporności wybranych funkcji na typowe podatności aplikacyjne i konfiguracyjne.
• Wykonywanie podstawowego rekonesansu technicznego w ramach autoryzowanych testów.
• Korzystanie z Burp Suite, OWASP ZAP, Nmap, Wireshark oraz narzędzi systemowych Linux i Windows.
• Weryfikowanie wyników automatycznych skanerów i odróżnianie realnych podatności od false positives.
• Przygotowywanie opisów problemów z krokami odtworzenia, oceną ryzyka i rekomendacjami naprawczymi.
• Pomoc w przygotowywaniu raportów z testów bezpieczeństwa.
• Współpraca z developerami, QA, DevOps, supportem i product managerami przy analizie podatności oraz walidacji poprawek.
• Wykonywanie retestów po wdrożeniu poprawek bezpieczeństwa.
• Dokumentowanie metodyki testów, checklist, obserwacji technicznych i wniosków z analiz.
• Poznawanie bezpieczeństwa systemów uwierzytelniania, w tym MFA, SSO, Active Directory, Entra ID, LDAP, RADIUS, SAML, OIDC, OAuth, FIDO2/WebAuthn i Passkeys.
• Wspieranie analizy konfiguracji środowisk testowych oraz integracji enterprise.
• Pisanie prostych skryptów pomocniczych w Pythonie, Bashu lub PowerShellu do automatyzacji powtarzalnych czynności testowych.
• Wykorzystywanie AI do tworzenia checklist, analizy notatek, generowania skryptów, porządkowania wyników testów i przygotowywania roboczych raportów.
• Krytyczna weryfikacja wyników AI oraz dbałość o poufność danych, etykę działań i bezpieczeństwo informacji.

Wymagania

• Pierwsze doświadczenie w cyberbezpieczeństwie, testach bezpieczeństwa, CTF, bug bounty, laboratoriach pentesterskich, projektach własnych lub na podobnym stanowisku.
• Praktyczna znajomość podstaw testów bezpieczeństwa aplikacji webowych i API.
• Podstawowa znajomość OWASP Top 10 i typowych klas podatności aplikacyjnych.
• Podstawowa wiedza o HTTP, HTTPS, cookies, sesjach, nagłówkach i REST API.
• Podstawowa wiedza o TCP/IP, DNS, portach, usługach sieciowych i komunikacji klient–serwer.
• Podstawowa znajomość Linuxa i narzędzi terminalowych.
• Podstawowa znajomość Windowsa z perspektywy użytkownika technicznego lub administratora.
• Umiejętność pracy z Burp Suite, OWASP ZAP lub podobnymi narzędziami.
• Umiejętność logicznej analizy problemów technicznych i dokumentowania wyników.
• Rozumienie zasad etycznego hackingu, legalności testów, autoryzowanego zakresu działań i odpowiedzialnego raportowania podatności.
• Podstawowe rozumienie bezpieczeństwa uwierzytelniania, autoryzacji, zarządzania sesją i kontroli dostępu.
• Zainteresowanie MFA, SSO, Active Directory, Entra ID, LDAP, RADIUS lub identity security.
• Podstawowe umiejętności programowania lub skryptowania w Pythonie, Bashu albo PowerShellu.
• Praktyczna znajomość narzędzi AI wspierających analizę techniczną, programowanie, dokumentację lub pracę security.
• Umiejętność tworzenia jasnych poleceń dla AI, dzielenia analizy na mniejsze kroki i weryfikowania wyników generowanych przez AI.
• Świadomość ograniczeń AI oraz umiejętność samodzielnego sprawdzania wniosków, skryptów, raportów i rekomendacji.
• Podstawowe rozumienie bezpiecznego korzystania z AI przy pracy z kodem, danymi projektowymi, wynikami testów i informacjami poufnymi.
• Dokładność, odpowiedzialność i gotowość do uczenia się od bardziej doświadczonych specjalistów.
• Komunikatywna znajomość angielskiego umożliwiająca czytanie dokumentacji technicznej, raportów bezpieczeństwa, opisów podatności i materiałów szkoleniowych.

Mile widziane

• Doświadczenie lub zainteresowanie testami penetracyjnymi aplikacji webowych, bezpieczeństwem API, aplikacjami mobilnymi, desktopowymi lub usługami backendowymi.
• Burp Suite Professional, OWASP Web Security Testing Guide, OWASP API Security Top 10 i OWASP Mobile Top 10.
• CTF, Hack The Box, PortSwigger Web Security Academy, TryHackMe, bug bounty lub odpowiedzialne zgłaszanie podatności.
• Python w automatyzacji testów bezpieczeństwa, Bash, PowerShell lub inne narzędzia skryptowe.
• Podstawy secure code review, threat modeling i kryptografii stosowanej.
• Active Directory security, Microsoft Entra ID, LDAP, RADIUS, SAML, OpenID Connect, OAuth, Single Sign-On, Multi-Factor Authentication, FIDO2/WebAuthn, Passkeys oraz bezpieczeństwo VPN, RDP lub Windows Logon.
• Podstawy bezpieczeństwa chmury, szczególnie AWS lub Microsoft Azure.
• Docker, środowiska testowe, Git, repozytoria kodu, CI/CD security, SIEM, logi bezpieczeństwa i podstawy detekcji.
• Znajomość podatności opisanych w CVE i analiza advisory.
• Certyfikaty lub przygotowanie do eJPT, PNPT, OSCP, CompTIA Security+, Security Blue Team lub Burp Suite Certified Practitioner.
• Praktyczne użycie AI do pentestów, analizy podatności, tworzenia skryptów, raportowania lub code review.
• Tworzenie agentic workflows wspierających analizę bezpieczeństwa, przygotowanie testów, dokumentowanie wyników lub automatyzację.
• Wykształcenie informatyczne, cybersecurity lub pokrewne albo równoważne doświadczenie praktyczne.

Dlaczego warto aplikować

• Rozwój jako etyczny haker lub pentester w środowisku produktowym cybersecurity.
• Praca z bezpieczeństwem systemów uwierzytelniania, MFA, SSO, IAM i identity security.
• Zdobywanie praktycznego doświadczenia w pentestach produktów, API, aplikacji i integracji enterprise.
• Praca pod opieką bardziej doświadczonych specjalistów offensive security.
• Nauka znajdowania podatności, użytecznego raportowania ich zespołom technicznym oraz weryfikowania skuteczności poprawek.
• Wykorzystanie programowania i AI do analizy, automatyzacji i raportowania.
• Możliwość rozwoju od roli juniora do samodzielnego pentestera lub specjalisty offensive security.

Etapy rekrutacji

• Rozmowa online z rekruterem po przesłaniu aplikacji.
• Test online trwający około 2 godzin.
• Rozmowa techniczna dotycząca doświadczenia, sposobu myślenia, podstaw cyberbezpieczeństwa, testów aplikacji webowych i API, sieci komputerowych, systemów uwierzytelniania, programowania, raportowania podatności oraz wykorzystania AI w pracy security.
• Rozmowa finalna z CEO.