Mô tả công việc:

• Thực hiện kiểm thử xâm nhập ứng dụng web, API, mobile app và hạ tầng (server, network) theo phạm vi và quy tắc kiểm thử (Rules of Engagement) đã được khách hàng phê duyệt, dựa trên các phương pháp luận OWASP (WSTG, MASTG) và PTES
• Tiến hành quét lỗ hổng mạng và ứng dụng bằng các công cụ tự động như Nessus, Acunetix, Burp Suite, Nmap, Nuclei; kiểm chứng thủ công để loại bỏ cảnh báo sai (false positive)
• Khai thác các lỗ hổng đã xác định bằng Metasploit hoặc các script, công cụ nội bộ, trong phạm vi được cho phép, nhằm chứng minh mức độ ảnh hưởng (PoC)
• Thực hiện thu thập thông tin (reconnaissance/OSINT) về mục tiêu bằng các công cụ và nguồn dữ liệu sẵn có
• Ghi nhận bằng chứng, viết báo cáo phát hiện (mô tả, mức độ rủi ro theo CVSS, các bước tái hiện, khuyến nghị khắc phục) và trao đổi với khách hàng, các bên liên quan
• Thực hiện kiểm tra lại (retest) sau khi khách hàng khắc phục lỗ hổng
• Làm việc dưới sự hướng dẫn của Pentester Level 2/Level 3; tuân thủ quy trình nội bộ và quy định bảo mật thông tin khách hàng 

Yêu cầu:

• Yêu cầu bắt buộc
  • Đã tốt nghiệp đại học các chuyên ngành ATTT, CNTT, Khoa học máy tính hoặc tương đương
  • Từ 01–02 năm kinh nghiệm kiểm thử xâm nhập/đánh giá ATTT (bao gồm thực tập, dự án thực tế)
  • Hiểu biết về hệ điều hành Windows và Linux; nắm vững nền tảng mạng TCP/IP, giao thức HTTP/HTTPS
  • Am hiểu OWASP Top 10 (Web, API) và các lỗ hổng, điểm yếu an ninh bảo mật phổ biến trên web, API, mobile app, server, network, database
  • Sử dụng được ít nhất một trong các ngôn ngữ: Python, Golang, Perl, PHP, C#, Java, JavaScript, Bash — đủ để viết script tự động hóa và PoC
  • Có kiến thức về kiến trúc ứng dụng web (thành phần, mô hình, framework, thư viện…) và các chiến thuật/kỹ thuật/quy trình tấn công ứng dụng web
  • Sử dụng thành thạo các công cụ kiểm thử như Burp Suite, Nmap, Nuclei, Metasploit…
  • Đọc hiểu tài liệu kỹ thuật tiếng Anh
  • Trung thực, có đạo đức nghề nghiệp, cam kết bảo mật thông tin khách hàng
• Ưu tiên
  • Có chứng chỉ eJPT, CEH, PNPT, BSCP, OSCP hoặc kỹ năng thực tế tương đương
  • Có kinh nghiệm chơi CTF, tham gia bug bounty
  • Có kinh nghiệm pentest mobile app (Frida, Objection, MobSF…)
  • Biết sử dụng công cụ AI/LLM hỗ trợ kiểm thử, hoặc hiểu biết các rủi ro bảo mật của ứng dụng AI (OWASP Top 10 for LLM Applications)

Quyền lợi:

• Có cơ hội làm việc trong môi trường chuyên nghiệp, năng động, có chuyên môn cao mảng An ninh an toàn thông tin
• Được tham gia các lớp đào tạo, khóa đào tạo, các buổi tọa đàm về chuyên môn 
• Có cơ hội được tiếp cận với những xu hướng công nghệ mới 
• Phúc lợi thưởng các dịp lễ, Tết, sinh nhật tập đoàn…lên đến 16 triệu/1 năm 
• Tham gia các hoạt động teambuilding, company trip hàng năm 
• Đóng BHXH theo Luật lao động quy định 
• Hưởng 12 ngày phép/năm và 1 ngày nghỉ sinh nhật CBNV hưởng nguyên lương 
• Nghỉ các ngày lễ tết theo quy định nhà nước