Фазовый сдвиг в профессии: SDET -> BRE

Работаю SDET (тестировщик), хочу в реверс инжиниринг и/или эксплоитинг. Понятно, что не сейчас, но может через год-два. Начал изучать материал самостоятельно. С литературой проблем нет, западные страны уже некоторое время продвигают эту специальность, так что материала для чтения предостаточно. Но вот интересно, есть ли подобные проэкты-компании в Украине? Скорее всего это будет что-то в районе антивирусов или компаний предоставляющих аналитические услуги по кибер безопасности. И если таковые есть и даже читают этот форум, то может подскажите, как вы проводите собеседование и чего ожидаете от этих entry позиций в вашей компании. Хочется построить сбе вектор обучения для лучшего результата, а не хватать сразу всё и отовсюду.

Теми: reverse engineering

Ctrl + Enter

Masha Katya 08.11.2014 16:00

Было когда-то RE подразделение большой компании. В личку если интересно. Сейчас скорее всего его уже нет.

Відповісти

Підтримати

Viktor Kryvyziuk 07.11.2014 15:48

Я просто оставлю это здесь: www.microsoft.com/...dl/default.aspx

anonymous 07.11.2014 15:54

Спасибо, но это никому не надо... кроме менеджмента и то только для презентаций и отчетностей с красивыми графиками о том, как круто приложение могло бы быть протестировано и как оно может быть атаковано. Практической пользы с SDL на уровне реверсинга я не вижу вобще. Да, возможно разработчикам может быть полезно на этапе дизайна.

Viktor Kryvyziuk

Viktor Kryvyziuk 07.11.2014 15:59

Если Вы уже знакомы с этим — отлично. Хотя, возможно, никто и не спросит на собеседовании :)

anonymous

Tim Tretyak ASM, TS Consultant в Hewlett Packard Enterprise 08.11.2014 18:10

По меньшей мере там предписывается (ну или должно — смотрел одним глазом) использовать SCA в цикле разработки. Что уже сильный шаг вперед именно в техническом плане.
Нет смысла реверсить собственные программы — значительно проще и дешевле проверять исходники.

anonymous 08.11.2014 18:31

Вот именно, это совершенно другая история. Это стандарт микрософта, который говорит что разработчик, тестировщик, архитектор, эксперт по безопасности, вся королеская рать и Гена с Чебурашкой во время планирования архитектуры должны продумать варианты всех возможных атак на их программу. А потом по мере разработки так же обдумывать варианты атаки на каждую отдельную функцию в коде. Сами понимаете, это как говорить о том, что программист должен писать на языке программиования. Как бы, хитро, но всем и так понятно. Если разработчик опытный, он и так во время написания кода обдумывает безопасность своего решения. Если ещё не опытный, то вот эта вот SCA ему ничем не поможет, так как ничему не учит, не предлагает практических шаблонов, вариантов решений. Она просто как религия, говорит что SDL это хорошо и с ним мир будет лучше. Она не говорит, что время потраченное на такой анализ не будет выделяться ниодним менеджером, потому как требует огромных рессурсов всей комманды.
Ну да я не о том. Это мне не подходит, так как мне нужен именно реверсинг. Я не в программисты переходить хочу, а в ... куда то в область безопасности, реверсинг вирусов, троянов, бэкдоров, даже уязвимостей, противостояние им и разработка эксплоитов. Потому SDL мне ничем не поможет и о нем врядли кто-то спросит на подобных рабочих местах. Кстати, SDL в микрософте внедряется повсеместно, так что в принципе все инженеры микрософта с ним должны быть знакомы. По себе знаю ).

Tim Tretyak

Tim Tretyak ASM, TS Consultant в Hewlett Packard Enterprise 08.11.2014 19:15

Ну да я не о том. Это мне не подходит, так как мне нужен именно реверсинг.

Да, я понял. Но насколько вижу все годы вокруг себя — рынок на это просто микроскопический — антивирусники и десяток лабораторий по миру типа NSS и основных вендоров систем защиты (и их заметно меньше, чем вендоров).
Как хобби выглядит годным, но жрет дофига времени.
Посему сейчас даже самые серьезные пентестеры не парятся, а откатывают обязательную программу кастомизированными нессусами с метасплоитами и дальше анализируют скорее процессы, т.к. обычно там основные дыры и живут.
Рынок зеро-деев сплошь черный, туда соваться вообще не вариант, там бандиты.

anonymous 08.11.2014 19:37

А вот в этом ваше огромное заблуждение. Как например 10 лет назад не было тестировщиков в Украине, и этот рынок был фрилансовым, темной лошадкой, проще было взять пару фрилансеров на пару дней, чем держать отдел тестирования.
Вы знаете, какая компания считается наиболее успешной среди всех открывшихся в этом году? EC Council, услуги по сертификации, основные курсы — CEH.
Бывший генерал ВВС США, уволился в этом году, чтобы создать свою собственную компанию по разследованию кибер преступлений.
FireEye упорно набирает персонал и получает заказы на огромные суммы от правительства США и европейских компаний. Так же они обвинили Россию, за то что её хакеры виноваты в более чем 2/3 случаях атак на европейские и американские компании с помощью вирусов и малвари. Это значит что и в России есть полно гос должностей по направлению в разработке вирусов и на белой зарплате. А западным компаниям теперь нужны специалисты по защите.
Rapid7 в этом году тоже набрал обороты по наёму персонала.

Вобщем, события последних 2-3 лет показывают, что эта специальность начала набирать те же обороты, что и тестирование 10 лет назад. И это не черный рынок.
Так зачем же делать умозаключения, не зная, что происходит с этим рынком сейчас. Тем более что вы менеджер, который в навыках указывает Security и Network Security?

Masha Katya 08.11.2014 19:59

например 10 лет назад не было тестировщиков в Украине, и этот рынок был фрилансовым, темной лошадкой

Это мягко говоря bullshit.

Tim Tretyak ASM, TS Consultant в Hewlett Packard Enterprise 08.11.2014 20:01

Так зачем же делать умозаключения, не зная, что происходит с этим рынком сейчас. Тем более что вы менеджер, который в навыках указывает Security и Network Security?

Боюсь — именно потому, что знаю. И не из рекламных плакатов и фанфарных статей, а изнутри. Уж простите, что разочаровал.

anonymous 08.11.2014 20:03

anonymous 06.11.2014 15:24

У r0 crew проскакивали вакансии с местами в Киеве и Харькове. Разбор малвари, софта на наличие баг, а также web. Зар. плата белая.

anonymous 06.11.2014 15:38

anonymous 08.11.2014 18:32

Спасибо ещё раз. Нашел форум этой группы, уже связался с ребятами, как раз на 100% то что мне надо. Вопрос закрыт. Дальше уже следую по руководству группы r0 crew

anonymous 08.11.2014 19:00

Область узкая, трудоёмкая, но очень интересная! На этом поприще андеграунда, множество наших ребят трудится. Главное избежать соблазна перейти на противоположную сторону :)
Удачи вам!

Фазовый сдвиг в профессии: SDET -> BRE

13 коментарів

Підписатись на коментарі