主导应用安全体系建设：规划并落地覆盖需求、设计、开发、测试、上线、运营全阶段的 SDL / DevSecOps 流程，制定应用安全技术路线与年度建设目标； 2. 负责核心系统安全评估：对公司核心业务系统（Web、App、API、微服务等）开展架构安全评审、深度渗透测试与代码安全审计，挖掘逻辑漏洞、越权、业务风控绕过等深层安全问题，并推动闭环修复； 3. 建设自动化安全检测能力：主导 SAST、DAST、IAST、SCA 等工具的选型、部署与二次开发，集成至 CI/CD 流水线，优化规则与误报治理，建立漏洞度量与质量门禁机制； 4. 攻坚重大安全问题：主导重大漏洞（0day/1day、供应链漏洞）的影响排查、应急处置与复盘，输出根因分析与系统性加固方案； 5. 完善应用安全防护体系：优化 WAF、RASP、API 安全、运行时防护等策略与运营机制，建立应用安全监控、攻击检测与溯源能力； 6. 制定标准与规范：牵头编写安全架构设计规范、安全编码规范、漏洞修复基线，并推动在研发体系内落地执行； 7. 技术赋能与指导：面向研发团队开展高阶安全培训与攻防演练，指导初中级安全工程师开展测试与审计工作，提升团队整体技术能力； 8. 跟踪前沿技术：研究云原生安全、AI 应用安全、软件供应链安全等新兴方向，评估风险并转化为可落地的安全方案。任职要求 基本条件 1. 本科及以上学历，计算机、信息安全等相关专业，5 年以上应用安全相关经验，其中至少 2 年大型业务系统安全建设或核心系统渗透测试经验； 2. 精通 Web、API、移动端常见漏洞原理与利用技术，熟悉 OWASP Top 10、ASVS、威胁建模方法论，具备独立挖掘复杂业务逻辑漏洞的能力； 3. 精通至少一门主流语言（Java / Go / Python），具备扎实的代码审计功底，能审计大型项目代码并定位深层安全隐患，有安全工具或平台开发经验； 4. 熟悉主流开发框架（Spring Cloud、Dubbo 等）、中间件（Nginx、Redis、消息队列等）及云原生环境（K8s、容器）的安全风险与加固方案； 5. 具备 SDL/DevSecOps 体系从 0 到 1 或大规模落地的实战经验，熟悉 SAST/DAST/IAST/SCA 工具原理，具备规则定制与误报优化能力； 6. 具备出色的跨团队沟通与项目推动能力，能协调研发、运维、测试等多方资源完成复杂安全项目。 加分项 - 主导过大型互联网、金融或 SaaS 企业的应用安全体系建设； - 有高质量漏洞挖掘成果（CNVD/CVE 编号、头部 SRC 高排名）或知名 CTF 竞赛获奖经历； - 持有 OSCP、OSCE、CISSP、CISP 等认证； - 有安全平台（漏洞管理、资产测绘、攻击检测）架构设计与开发经验； - 在 AI 辅助代码审计、供应链安全、零信任等方向有实践经验。

高级应用系统安全工程师

职位描述

探索更多

相关

相关