Senior Penetration-Tester & Sicherheitsingenieur

Teilgenommen als Mitglied eines 6-köpfigen Red Teams, um ein umfassendes Anwendungssicherheitsprogramm gemäß ISO 27001 und ISO 27034 zu entwerfen und umzusetzen.

Beste Sicherheitspraktiken über den gesamten SDLC integriert, einschließlich Threat Modeling, sicherem Code-Review, Penetrationstests und kontinuierlicher Überwachung.

Mehrere Domänen der IT-Infrastruktur des Kunden abgegrenzt und kritische Schwachstellen in Web-, Mobile-, API- und Cloud-Komponenten identifiziert.

Umfassende Sicherheitsberichte erstellt, die Schweregrade, geschäftliche Auswirkungen und priorisierte Empfehlungen zur Behebung enthalten.

Mit Entwicklungsteams zusammengearbeitet, um Korrekturen umzusetzen, was zu einer Reduzierung der extern gemeldeten Probleme um 60% im Jahresvergleich führte.

Interne Netzwerk-Penetrationstests und Beurteilung lateraler Bewegungen als Teil eines 5-köpfigen Red Teams durchgeführt.

Initialen Zugriff über exponierte Dienste erlangt, AV umgangen, Rechte eskaliert und den Domänencontroller mit Mimikatz kompromittiert.

Leitfäden zur Behebung geliefert und bei Patch-Vorhaben unterstützt, um interne Abwehrmaßnahmen zu stärken und das Risiko zu senken.

Verwendete Technologien: Python- & Bash-Skripting, Metasploit Framework, Nmap, Burp Suite Professional, Wireshark, SQLMap, John the Ripper, Hydra, Aircrack-ng, Nessus, Nexpose, Acunetix, Shodan, Censys, OWASP Amass, Dirsearch, Httprobe, Postman, Cobalt Strike.

Schwachstellenanalysen und Penetrationstests für Plattformen wie Synack, Bugcrowd, HackerOne, Intigriti und YesWeHack durchgeführt.

Android-/iOS- und Webanwendungen analysiert, um kritische Schwachstellen wie fest codierte Geheimschlüssel, Zero-Click-Übernahmen von Accounts und logische Fehler aufzudecken.

Infrastruktur, Web-Apps, APIs und Cloud-Services abgegrenzt und bewertet, dabei über 100 Schwachstellen mit hohem Schweregrad behoben.

Ausführliche Sicherheitsberichte und Behebungsstrategien an Kunden geliefert, wodurch Sicherheitsvorfälle innerhalb von sechs Monaten um 35% reduziert wurden.

Hochkritische Schwachstellen entdeckt und an renommierte Sicherheitsteams gemeldet, wodurch zur Eindämmung erheblicher Bedrohungen beigetragen und Millionen von Nutzern weltweit geschützt wurden.

Verwendete Technologien: Python, Metasploit, Nessus, Burp Suite, MobSF, AWS, Wireshark, Objection, Frida, APKTool, Ghidra, Azure Security Center, Amazon Inspector, Postman.