Offensive Security Engineer

Sobre a Azion

Somos uma empresa global de tecnologia especializada em aplicações e segurança digital. Nossa plataforma ajuda empresas a operar com mais agilidade, reduzindo o tempo de resposta e aumentando a confiabilidade de seus sistemas.

Na Azion, nosso propósito é simplificar a construção de aplicações e transformar o futuro com tecnologia de ponta. Aqui, você terá a chance de se desenvolver em um ambiente inovador, ao lado de um time de alta performance, atuando em desafios reais e criando soluções que fazem a diferença.

Sobre o Cargo

O Offensive Security Engineer lidera avaliações ofensivas e simulações adversariais para identificar caminhos de ataque reais antes que sejam explorados. A posição executa testes de invasão em aplicações, APIs, infraestrutura, cloud e identidade, valida o impacto das vulnerabilidades com exploração controlada e transforma os achados em recomendações acionáveis. O profissional atua em estreita parceria com AppSec, Infrastructure Security, Security Operations e Engenharia, sempre sob regras de engajamento formais, com foco em evidência, segurança operacional e validação das correções.

Principais Desafios

Programa de Segurança Ofensiva: planejar e executar um calendário de avaliações baseado em risco, definindo escopo, objetivos, regras de engajamento, critérios de sucesso e tratamento seguro de evidências;

Testes de Aplicações Web e APIs: realizar pentests manuais e apoiados por ferramentas em aplicações web, APIs REST e GraphQL, cobrindo autenticação, autorização, lógica de negócio, sessão, injeções e abuso de funcionalidades;

Testes de Infraestrutura, Cloud e Identidade: identificar e explorar de forma controlada caminhos de ataque em redes, Linux, Windows, AWS, Azure ou GCP, Kubernetes e provedores de identidade como Entra ID, Okta ou Active Directory;

Red Team e Emulação de Adversários: conduzir exercícios orientados por objetivos e inteligência de ameaças, mapeados ao MITRE ATT&CK, para avaliar exposição, prevenção, detecção e resposta de ponta a ponta;

Validação de Exploração: demonstrar impacto real sem comprometer disponibilidade, confidencialidade ou integridade, mantendo rastreabilidade, limites de segurança, plano de interrupção e limpeza pós-teste;

Relatórios e Reteste: produzir evidências reproduzíveis, descrever causa raiz, impacto e cenários de abuso, propor correções práticas e confirmar a efetividade das remediações;

Automação e Tooling: desenvolver e manter ferramentas para reconnaissance, enumeração, validação de vulnerabilidades e consolidação de evidências utilizando Python, Bash, PowerShell ou Go;

Purple Team e Validação de Controles: trabalhar com Security Operations para converter técnicas ofensivas em casos de teste, medir cobertura de telemetria e detecção e acompanhar a correção das lacunas;

Gestão de Avaliações Externas: apoiar o escopo de pentests conduzidos por terceiros, triar achados de bug bounty e canais de responsible disclosure e garantir consistência na severidade e no acompanhamento.

Requisitos Mínimos

Experiência comprovada conduzindo pentests de ponta a ponta, desde o escopo e reconhecimento até exploração controlada, reporte e reteste;

Conhecimento aprofundado de segurança de aplicações web e APIs, incluindo OWASP Top 10, OWASP API Security Top 10, autenticação, autorização e falhas de lógica de negócio;

Conhecimento sólido de Linux, Windows, redes e identidade: TCP/IP, DNS, TLS, firewalls, proxies, Active Directory e controles de acesso;

Experiência prática avaliando pelo menos um grande provedor de nuvem (AWS, Azure ou GCP) e ambientes de containers ou Kubernetes;

Domínio de ferramentas como Burp Suite, Nmap, Wireshark e frameworks de exploração, com capacidade de validar achados manualmente e encadear vulnerabilidades;

Proficiência em Python, Bash, PowerShell ou Go para automação, desenvolvimento de ferramentas e adaptação de provas de conceito;

Familiaridade com MITRE ATT&CK, PTES, NIST 800-115, CWE e CVSS, além de práticas de coleta e proteção de evidências;

Comunicação escrita e verbal clara, julgamento ético e disciplina para atuar somente dentro de autorização e escopo formais;

Graduação em área técnica ou experiência prática equivalente.

Qualificações Desejáveis

Certificações ofensivas como OSCP, OSEP, OSWE, CRTO, CRTP, GXPN ou equivalentes;

Experiência em Red Team, Purple Team ou emulação de adversários orientada por inteligência de ameaças;

Conhecimentos de desenvolvimento de exploits, engenharia reversa, análise de binários ou evasão de controles;

Contribuições públicas, como CVEs, ferramentas open source, pesquisas, palestras ou histórico relevante em programas de bug bounty;

Experiência com edge computing, CDN, WAF e proteção de APIs em alta escala;

Familiaridade com segurança mobile, supply chain, CI/CD ou aplicações com LLMs.

Benefícios & Azion Way of Life

Modelo de contratação CLT;

Plano de saúde e odontológico;

VR e VA flexível (Cartão Flash), inclusive em período de férias;

Vale-transporte sem desconto em folha;

Hackathons anuais internos;

Auxílio mobilidade (valor adicional para deslocamento);

Freestyle (incentivo para customização da estação de trabalho);

Stock options (conforme política);

Birthday day off;

TotalPass;

Horário de trabalho flexível (flexível mesmo);

Programa Nômade para trabalhar de onde quiser por até 30 dias no ano (conforme política);

Programa de Intercâmbio internacional anual.

Modelo FlexWork

Oferecemos um modelo de FlexWork que prioriza o aculturamento e a colaboração. Nos primeiros três meses, você trabalhará on-site no escritório local, uma etapa essencial para construir relacionamentos sólidos e uma conexão genuína com nossos valores e objetivos. Acreditamos que essa imersão inicial não só fortalece a equipe, mas também impulsiona a criatividade e a inovação.

Após esse período, você terá a possibilidade de aplicar para o modelo híbrido, trabalhando presencialmente pelo menos três vezes por semana. Essa abordagem equilibra a interação presencial e a autonomia, criando um ambiente de trabalho dinâmico e produtivo.

Na Azion, todas as candidaturas são bem-vindas, independentemente de gênero, orientação sexual, idade, gravidez, deficiência, etnia, cor, país de origem ou religião. Acreditamos que um ambiente inclusivo contribui para o nosso sucesso e que o respeito está presente em todas as nossas relações.

Venha fazer parte da nossa equipe! Estamos ansiosos para conhecê-lo e trilhar juntos um caminho de sucesso na tecnologia!