Требования вполне оправданные.
Как работавший на этой должности говорю
Да, основная часть работы - механизированная донельзя, но это для начала.
Когда же находишь баг - его надо детально изучать, и вот тут все-таки приходится вспоминать и TCP, и HTTP, и все, что попадется под руку.
Ну а знание уязвимостей - таки надо знать, куда копать.