Ingeniero de Seguridad - Defensa Proactiva de Node.js

Un investigador o ingeniero experimentado que pueda construir e iterar sobre un producto totalmente nuevo, impulsando tanto la investigación como el desarrollo. La parte difícil de este trabajo es saber qué es malicioso, qué es vulnerable y qué es simplemente un patrón inusual pero legítimo, y acertar en ello a través de la larga cola de frameworks, librerías y código de clientes que encontraremos en producción.

• Experiencia demostrada construyendo y lanzando un nuevo producto, solución de seguridad, funcionalidad importante o sistema técnico desde cero.
• Evidencia sólida de propiedad técnica de extremo a extremo, desde la investigación inicial y la arquitectura hasta la implementación, el lanzamiento y la iteración en producción.
• Sólidos conocimientos de seguridad de aplicaciones web y conocimientos actuales de explotación práctica.
• Un sentido práctico de cómo se comportan las reglas de detección a escala: qué detecta a los atacantes sin marcar la larga cola de código legítimo.
• Capacidad para empezar como PM, arquitecto, ingeniero principal y QA de este producto. Pedirás recursos o ayuda cuando los necesites; no esperarás a que te digan qué hacer.
• Comodidad dirigiendo agentes de codificación de IA para obtener resultados de alta calidad.

• Trabajo previo en productos de protección en tiempo de ejecución, firewalls de aplicaciones o herramientas de instrumentación.
• Experiencia en análisis de malware o respuesta ante incidentes.
• Familiaridad con entornos de hosting gestionado.
• Investigación de seguridad pública, divulgación de vulnerabilidades o conjuntos de reglas de detección que hayas redactado.
• Familiaridad con el entorno de ejecución de Node.js y el ecosistema de JavaScript.

• Enfoque en el desarrollo profesional.
• Proyectos interesantes y desafiantes.
• Trabajo totalmente remoto con horario flexible, que te permite organizar tu día y trabajar desde cualquier lugar del mundo.
• 24 días de vacaciones pagadas al año, 10 días de festivos nacionales y bajas por enfermedad ilimitadas.
• Compensación para seguro médico privado.
• Reembolso de coworking y gimnasio/deportes.
• Presupuesto para formación.
• La oportunidad de recibir una recompensa por la idea más innovadora que la empresa pueda patentar.

Imunify360 Security Suite es un producto de CloudLinux Inc., el creador del OS número 1 en seguridad y estabilidad para proveedores de hosting. Imunify es una solución de seguridad innovadora diseñada específicamente para servidores compartidos y VPS/dedicados. Esta solución automatizada y fácil de usar, con un enfoque de seguridad de seis capas, ofrece una prevención de ataques integral y completa.

Protegemos a los proveedores de alojamiento web y a los sitios que se ejecutan en su infraestructura mediante un stack de defensa en profundidad: WAF en la capa del servidor web, protección de autorreparación de aplicaciones en tiempo de ejecución (RASP) para PHP, integraciones profundas de aplicaciones (plugins de WordPress y similares), un escáner de malware con capacidad de limpieza, y firewalls en la capa de red y reputación de IP. Las piezas se comunican entre sí, y la inteligencia de amenazas que generan a escala potencia la detección en todo el stack.

Node.js es el segmento del mercado de hosting que crece más rápido, y la siguiente capa que queremos construir para él es la protección en tiempo de ejecución dentro del propio proceso de Node.js. La mayoría de las cargas de trabajo de Node.js en el hosting gestionado actual son aplicaciones web generadas por IA, desplegadas por propietarios no técnicos de quienes no se puede, no se quiere y no se debe esperar que parcheen su propio código o auditen sus propias dependencias. Vamos a defender esas aplicaciones de todos modos: en tiempo de ejecución, sin su cooperación y sin romperlas.

Construirás esa capa de protección en tiempo de ejecución de principio a fin.

• La mayoría de los clientes de hosting gestionado no son desarrolladores. No pueden parchear sus aplicaciones. No pueden auditar sus dependencias. Seguirán desplegando código vulnerable de asistentes de IA porque así es como se construyen las aplicaciones web modernas hoy en día. El consejo de manual —"asegura tu código, audita tus dependencias"— no se aplica a ellos.
• Si no interceptamos los exploits en tiempo de ejecución, nadie lo hará. Los números que alcances en detección, rendimiento y falsos positivos afectarán materialmente a cuánto de la web moderna permanece en línea cuando aparezca la próxima clase de exploit.

• El producto. Una línea de productos totalmente nueva, que tú definirás: qué interceptamos, qué no, y cómo es la superficie visible para el cliente.
• El enfoque técnico. Estrategia de instrumentación, forma de despliegue, lenguaje de programación... todo está abierto. Consultarás con nuestros arquitectos, pero la dirección la marcas tú.
• Implementación, de extremo a extremo. Tendrás todo el stack de herramientas que proporcionamos: suscripciones a LLM, infraestructura de desarrollo moderna y todo lo necesario. Utiliza lo que te haga rápido.
• Metodología. Cómo generas convicción en tu lógica de detección: tú decides.
• Señal de capa cruzada. Nuestro stack actual produce inteligencia de amenazas a una escala inigualable: decenas de millones de sitios monitorizados, almacenamiento de muestras de malware a escala de petabytes, reputación de dominios y URL en tiempo real, y feeds de ataques a nivel de IP. Todo esto está disponible para que lo integres. Utiliza lo que te ayude.

El producto se rige por cuatro números: sobrecarga (overhead) en tiempo de ejecución, falsos positivos, falsos negativos y volumen de escaladas de clientes. Estos reflejan lo que les importa a los proveedores de hosting y a sus clientes. Si los alcanzas con éxito, el producto funcionará dentro de una parte significativa de la web moderna de Node.js.

• No es un rol de "definir alcance y entregar" (scope-and-handoff): tú diriges el trabajo y eres responsable del resultado.
• No es un rol de "un equipo de plataforma lo convertirá en producto más tarde": lanzas productos a flotas de clientes reales y observas la telemetría rápidamente.
• No es un rol de "especificar y revisar": trabajas de forma práctica (hands-on) todos los días.