Nhân Viên Phát Triển Sản Phẩm Bảo Mật (Application Security)

Mô tả công việc:
Phát triển & tích hợp sản phẩm bảo mật
- Xây dựng và phát triển các hệ thống bảo mật trọng yếu:
Hệ thống xác thực và quản lý định danh tập trung (SSO/IDM): Triển khai và tùy biến các giải pháp như Keycloak, Auth0, Azure AD, bao gồm mở rộng SPI, tùy chỉnh theme, hỗ trợ IdP discovery, cấu hình MFA, liên kết định danh (federation), v.v.
Hệ thống quản lý bí mật (Secrets Management): Thiết kế, triển khai và tích hợp HashiCorp Vault trong môi trường on-premise hoặc cloud (kết hợp với Kubernetes, Vault Agent Injector, TTL-based credential, audit log...)
API Gateway & Chính sách kiểm soát truy cập: Tích hợp và cấu hình các API Gateway (Kong, NGINX, Envoy) cùng với các công cụ chính sách như OPA/Gatekeeper để đảm bảo phân quyền, RBAC/ABAC, chính sách bảo vệ API theo mô hình Zero Trust (bao gồm Istio, JWT validation, mTLS...).
Bảo mật API & Giao tiếp máy - máy (Machine-to-Machine): Thiết kế cơ chế xác thực OAuth2 Client Credentials, mTLS, JWT hoặc HMAC giữa các dịch vụ backend/microservice và SDK nội bộ.
Phát triển gói SDK bảo mật nội bộ: Thiết kế các gói thư viện/SDK dùng chung giúp các đội phát triển dễ dàng tích hợp bảo mật vào sản phẩm (gồm xác thực, kiểm soát tốc độ truy cập, logging bảo mật...).
- Tích hợp các công cụ phân tích mã nguồn và kiểm thử bảo mật vào CI/CD pipeline như SonarQube, Trivy, Gitleaks, Semgrep, ...
- Phát hiện và phòng chống kỹ thuật tấn công nâng cao như Memory WebShell Detection (MemShell, MTD), RASP hoặc kỹ thuật phân tích hành vi trong runtime.
Nghiên cứu công nghệ bảo mật mới
- Phân tích xu hướng công nghệ IAM, quản lý phân quyền, quản lý mật khẩu, bảo mật ứng dụng.
- Nghiên cứu và thử nghiệm các công nghệ mới như:
Passwordless, Passkey, FIDO2, ...
Tích hợp AI vào việc detect và tư vấn khắc phục các lỗi bảo mật tự động
Tư vấn, hỗ trợ kỹ thuật và huấn luyện nội bộ
- Tư vấn giải pháp cho đội phát triển tích hợp xác thực, phân quyền, ...
- Xây dựng tài liệu kỹ thuật, API document, mẫu code, hướng dẫn sử dụng sản phẩm bảo mật.
- Đào tạo kỹ thuật lập trình an toàn, bảo mật OAuth2/OpenID Connect, bảo mật API,...