Chuyên viên Kiểm thử tấn công mạng (Redteam)

MÔ TẢ CÔNG VIỆC

• Thực chiến Tấn công (Offensive Operations): Trực tiếp thực hiện kiểm thử xâm nhập (Penetration Testing) chuyên sâu trên đa nền tảng: Web Application, Mobile App (iOS/Android), APIs, Thick Client (Winform), Mạng nội bộ (Internal Network) và hệ thống Cloud.
• Mô phỏng Mối đe dọa (Adversary Simulation / Red Teaming): Tham gia thiết kế và thực thi các chiến dịch Red Team, mô phỏng các kỹ thuật tấn công APT (Advanced Persistent Threat) nhằm đánh giá toàn diện năng lực phản ứng của hệ thống phòng thủ (Blue Team).
• Nghiên cứu & Tấn công phi kỹ thuật (R&D & Social Engineering): Xây dựng các kịch bản lừa đảo có kiểm soát (Phishing/Social Engineering) để đánh giá nhận thức an ninh của cán bộ nhân viên. Nghiên cứu kỹ thuật bypass EDR/AV và phát triển các payload/công cụ tấn công đặc thù cho môi trường ngân hàng.
• Tư vấn Khắc phục (Remediation Consulting): Không trực tiếp đi vá lỗi, nhưng bạn phải chịu trách nhiệm viết báo cáo kỹ thuật chi tiết, giải thích rủi ro (PoC) và tư vấn phương án khắc phục (Mitigation plan) triệt để cho đội ngũ Vận hành/Phát triển ứng dụng.

YÊU CẦU CÔNG VIỆC

• Trình độ & Kinh nghiệm: Tốt nghiệp Đại học chuyên ngành ATTT, CNTT, Mật mã học hoặc các khối ngành liên quan.
• Có tối thiểu 2 - 3 năm kinh nghiệm thực chiến trong lĩnh vực Red Team (Chúng tôi coi trọng năng lực thực tế và tư duy khai thác hơn số năm kinh nghiệm).
• Kỹ năng Kỹ thuật (Hard Skills):
• Thành thạo tối thiểu một ngôn ngữ scripting/lập trình (Python, Bash, C/C++, C#) để tự viết hoặc tùy biến tool khai thác.
• Nắm vững kiến trúc mạng, cơ sở dữ liệu, OS (Windows/Linux/Active Directory), Cloud và các nền tảng Middleware.
• Hiểu biết sâu sắc về các lỗ hổng bảo mật phổ biến (OWASP Top 10, CWE) và phương pháp luận kiểm thử (OSSTMM, PTES).
• Điểm cộng lớn: Có kinh nghiệm nghiên cứu cơ chế phát hiện mã độc của các phần mềm Anti-virus/EDR và kỹ năng obfuscation (làm rối mã).
• Kỹ năng Mềm & Đạo đức nghề nghiệp (Soft Skills & Integrity):
• Tuyệt đối tuân thủ đạo đức nghề nghiệp (White-hat Hacker) và các quy tắc cam kết (Rules of Engagement) trong môi trường tài chính.
• Kỹ năng viết báo cáo kỹ thuật (Technical Report Writing) xuất sắc: Biết cách dịch một lỗi kỹ thuật phức tạp thành ngôn ngữ rủi ro kinh doanh cho Ban lãnh đạo.
• Tư duy logic, sáng tạo, không ngại khó khi phải "đào sâu" vào một hệ thống đóng (Blackbox).
• Điểm cộng Ưu tiên (Nice-to-have)
• Sở hữu các chứng chỉ danh giá trong ngành Offensive Security: OSCP, OSEP, OSCE, CRTO...
• Đã từng công bố lỗ hổng bảo mật (CVE) mức độ High/Critical trên các nền tảng uy tín.
• Có thứ hạng cao trên các nền tảng Bug Bounty (HackerOne, Bugcrowd) hoặc các giải thi đấu CTF trong nước và quốc tế.