Security Engineer, Offensive Security

Wilayah: Amerika Serikat. Sumber lowongan: Jobicy. Lamar melalui halaman sumber.

Liftoff adalah platform pemasaran performa terkemuka berbasis AI untuk ekonomi aplikasi seluler. Stack teknologi end-to-end kami membantu pemasar aplikasi untuk mendapatkan dan mempertahankan pengguna bernilai tinggi, sekaligus memampukan publisher untuk memaksimalkan pendapatan melalui permintaan programatik dan langsung.

Solusi Liftoff, termasuk Accelerate, Direct, Monetize, Intelligence, dan Vungle Exchange, mendukung lebih dari 6.600 bisnis seluler di 74 negara dalam sektor seperti gaming, sosial, keuangan, e-commerce, dan hiburan. Didirikan pada tahun 2012 dan berkantor pusat di Redwood City, CA, Liftoff memiliki kehadiran global yang beragam.

Tentang Liftoff Security Team

Liftoff Security team melindungi para pelanggan, pengguna, dan karyawan Liftoff. Kami merancang postur keamanan Liftoff, membangun tools dan sistem yang mempertahankannya, serta berkolaborasi dengan tim engineering saat mereka merilis produk dan fitur baru. Pekerjaan kami mencakup seluruh stack — infrastruktur, web, mobile, dan IT — dan kami mendekati keamanan dari sudut pandang software engineering, menskalakan dampak kami melalui otomatisasi dan tools yang dirancang dengan baik. Sebagai Security Engineer, Offensive Security kami, Anda akan memegang kendali atas pengujian ofensif internal dan memimpin transisi dari penetration test berbasis waktu (point-in-time) ke pengujian berkelanjutan yang dibantu AI. Anda akan secara mandiri merencanakan asesmen, memvalidasi kerentanan dengan aman, bekerja sama dengan tim engineering melalui proses remediasi dan pengujian ulang (retesting), serta membangun pemahaman berkelanjutan tentang source code dan sistem kami. Anda akan berkontribusi di seluruh keamanan aplikasi, cloud, dan infrastruktur, mendukung Accelerate dan MX seiring perubahan prioritas, serta berbagi tugas on-call dan incident-response tim.

Tanggung Jawab

• Merencanakan dan mengeksekusi penetration test internal secara mandiri di seluruh aplikasi, API, infrastruktur cloud, dan sistem perusahaan; memprioritaskan asesmen berdasarkan risiko dan dampak bisnis.

• Menentukan ruang lingkup pengujian dan aturan keterlibatan (rules of engagement) dengan pemilik sistem, menilai risiko produksi, dan memilih metode yang aman untuk memvalidasi kerentanan.

• Menggabungkan pengujian langsung (hands-on) dengan peninjauan source code dan analisis arsitektur untuk menemukan kerentanan serta mendemonstrasikan jalur serangan yang realistis.

• Berkolaborasi dengan tim engineering untuk menjelaskan temuan, menyepakati perbaikan yang praktis, melacak remediasi, dan melakukan pengujian ulang untuk memastikan risiko telah teratasi.

• Menjaga pemahaman tentang sistem dan attack surface Liftoff, meninjau kembali jalur serangan berisiko tinggi seiring perubahan sistem, dan mengubah temuan yang telah diverifikasi menjadi pengujian yang dapat diulang.

• Membangun tools pengujian dan alur kerja yang menggabungkan asesmen langsung dengan pengujian otomatis yang sedang berjalan serta validasi remediasi.

• Membuat pengujian keamanan menjadi layanan mandiri (self-service) jika memungkinkan melalui pengujian yang dapat digunakan kembali, alur kerja asesmen dan pengujian ulang yang didokumentasikan, serta panduan remediasi yang jelas.

• Mendukung penetration test pihak ketiga tahunan untuk validasi independen serta kebutuhan pelanggan dan audit; mengoordinasikan ruang lingkup dan mengawal temuan hingga proses remediasi.

• Memimpin adopsi tools keamanan ofensif berbasis AI: mengevaluasi platform dan membangun alur kerja untuk analisis kode, pembuatan pengujian, dan triase temuan; mengukur cakupan, akurasi, dan penghematan upaya.

• Berkolaborasi dengan Detection & Response untuk mengubah jalur serangan dan temuan ofensif yang telah diverifikasi menjadi peningkatan deteksi dan latihan incident-response.

• Bekerja di lintas keamanan aplikasi, cloud, dan infrastruktur seiring perubahan prioritas, termasuk Accelerate dan MX, serta berbagi rotasi on-call dan incident-response tim, termasuk respons di luar jam kerja sesekali dan tindak lanjut pascainsiden.

Kualifikasi Minimum

• Pengalaman rekayasa keamanan yang relevan selama 5+ tahun, termasuk pengalaman luas dalam penetration test langsung pada aplikasi dan infrastruktur.

• Pertimbangan yang sangat baik dalam memprioritaskan pengujian berdasarkan risiko, menilai dampak produksi, dan memvalidasi eksploitasi dengan aman tanpa gangguan yang tidak perlu.

• Pengalaman dalam memegang kepemilikan asesmen secara mandiri dan bermitra dengan tim engineering sejak temuan awal hingga remediasi dan pengujian ulang.

• Menulis kode berkualitas produksi untuk tools keamanan dan otomatisasi, meninjau pull request, serta menavigasi codebase yang besar dan asing. Mengembangkan kode proof-of-concept yang aman dan memvalidasi kode serta temuan hasil buatan AI secara mandiri.

• Pemahaman yang kuat tentang keamanan aplikasi dan API, autentikasi dan otorisasi, keamanan jaringan, dan kelas kerentanan umum.

• Pengalaman langsung dalam menilai keamanan cloud dan infrastruktur, termasuk kontrol identitas dan akses, konfigurasi, serta jalur serangan.

• Kemampuan untuk dengan cepat memahami sistem dan arsitektur yang kompleks serta berkontribusi di seluruh keamanan aplikasi, cloud, dan infrastruktur.

• Kebiasaan software engineering yang praktis: pengujian, observabilitas, kontrol versi, peer code review, continuous integration, dan postmortem tanpa saling menyalahkan (blameless postmortems).