应用安全工程师 - 东南地区

职位概述

我们正在寻找一位熟练的应用程序安全工程师，以支持东南地区应用程序安全实践，为客户提供应用程序安全工程服务，包括实施、操作和调整 SAST 工具，将安全控制集成到 CI/CD 管道中，并在整个 SDLC 中采用安全开发实践。该职位将参与开发自动化安全测试能力、自定义检测规则和安全管道模式，同时为客户和/或内部客户或同事提供“令人惊叹”的服务。

应用程序安全工程师需要展示强大的软件工程、安全自动化和客户沟通技能，通过影响力进行领导，并具备强大的业务/财务敏锐度，以推动使用先进的 DevSecOps 和左移安全计划，从而与交付业务目标和优先级保持一致。

关于东南地区应用程序安全实践

东南应用程序安全实践负责帮助客户组织保护他们构建和交付软件的方式。我们根据 NIST SSDF 和 OWASP SAMM 评估安全开发生命周期成熟度，根据 SLSA 和 SBOM 指南审查软件供应链实践，将安全测试和策略执行集成到 CI/CD 管道中，并在整个组织中部署和调整 SAST、SCA 和 DAST 工具。

我们的 DevSecOps 解决方案工程师和安全架构师团队专注于安全开发生命周期评估、CI/CD 安全集成以及应用程序安全工具的部署和调整。我们与客户开发、平台工程和应用程序安全领导层以及 GuidePoint 的企业应用程序安全实践合作，以减少扫描器输出的噪音，将安全集成到交付过程中而不减缓发布，并提供反映工具在实际使用中的性能而非其市场宣传的工具推荐。

• 我们帮助客户从他们已有的安全工具中获得更多价值。
• 我们帮助客户评估和采用符合其目标的新工具。
• 我们帮助客户在团队采用 AI 编码助手和代理驱动的工程工作流程时建立安全开发标准。
• 我们评估实际使用中的安全工具，以便我们的建议反映每个客户环境的真实性能。

职责范围：

• 在客户环境中实施、操作和排除 SAST 平台（例如，Semgrep、Snyk、CodeQL、Checkmarx、Veracode）的故障
• 设计和将自动化安全测试集成到 CI/CD 管道中（例如，GitHub Actions、GitLab Runners、Azure DevOps、Jenkins、CircleCI）
• 编写和调整自定义 SAST 规则（Semgrep、CodeQL）并对识别出的漏洞进行分类、验证和指导修复
• 在整个 SDLC 中就 OWASP 十大威胁、威胁建模和安全编码实践向客户开发团队提供建议
• 利用 AI 辅助工具加速规则开发、分类和修复指导
• 为应用程序安全实践贡献可重用的管道模式、规则库和交付加速器
• 为东北/中大西洋地区的客户提供服务，根据需要偶尔进行现场访问

所需经验和教育背景：

• 熟练掌握静态应用程序安全测试 (SAST) 工具的实施、操作和故障排除，例如 Semgrep、Snyk、CodeQL、Checkmarx、Veracode 等
• 了解持续集成/持续交付 (CI/CD) 管道工具和流程（例如 GitHub Actions、GitLab Runners、Azure DevOps、Jenkins、CircleCI 等）
• 具有软件工程经验，最好是全栈软件开发，包括现代技术和应用程序架构
• 具有使用一种或多种编程语言进行强大的脚本和自动化经验
• 扎实的应用程序安全基础知识，包括 OWASP 十大威胁、威胁建模以及在整个软件开发生命周期 (SDLC) 中实施安全编码实践
• 拥抱新兴技术，包括 AI 工具，以更智能地工作、解决问题并推动更好的业务成果
• 出色的书面和口头沟通能力

首选经验和教育背景

• 编写或调整自定义 SAST 规则（Semgrep 或 CodeQL）的经验
• 熟悉其他应用程序安全工具（例如，交互式 (IAST)、动态 (DAST) 和 API 安全、SCA 等）
• 熟悉 API Secu