Часто приходят ребята после курсов по пентесту (так уж вышло в ходе профессиональной деятельности) и спрашивают что им делать дальше.Так как я по ходу работы занимаюсь обучением пентестеров уже как года 3 и их дальнейшей судьбой и у нас есть свой офлайн клуб по пентесту в городе я решил поделиться своим видением на эту тему Так как сейчас ситуация выглядит следующим образом:
1) Человек ранее не занимавшийся айтишкой решает что он хочет в пентест
2) Проходит курсы (не буду называть какие разные)
3) Начинает откликаться на вакансии
4) И оказывается в одиночестве
Самый интересный момент тут на пункте 3. Что происходит. Вакансий мало. Ребят много. Конкуренция дикая на пентестеров. Вакансий почти нет. На рынок выброшено куча ребят. Потом они приходят и говорят. Либо я отправил резюме и 0 собесов. То есть оно просто не дошло до hr потому что AI фильтры посмотрели на строчки закончил курсы реального опыта 0 — значит false.
Либо. В более лучшей форме человек доходит до собеса. И получает что-то вроде этого:
Вроде бы из этого можно уже создать собственный roadmap развития нет? просто отдав это AI и увидев слабые места собственного развития. Но тут у большинства героев просто не хватает энтузиазма и мотивации проходить собственноручно созданный roadmap потому что веры в себя пока нет.
И здесь наши герои делятся на 2 категории:
1) Решают что им нужен ещё один курс. Который на 70-80% пересекается с их имеющимися знаниями и пол года впустую ради 20% и через пол года они возвращаются примерно в ту же точку в которой они были.
2) Они ищут менторов. Но находя их они понимают что AI в общем то не хуже и даже лучше отвечает на поставленные вопросы и обучает их.
И тут возникает вопрос. Что делать то? Делать то что?
МЫСЛЬ 1. Расширение скоупа вакансий.
Давайте посмотрим если рынок пентеста перегрет вакансий мало то рынок SOC аналитики QA и AppSec не такой перегретый. Можно смотреть в эту сторону.
МЫСЛЬ 2. Стажировки
На текущем этапе нужно получить любой. Абсолютно любой коммерческий опыт. Любые тусовки встречи, предложения работать за еду вполне хороши. На первом этапе можно соглашаться на небольшие, ограниченные по сроку и объёму проекты, стажировки, волонтёрские задачи и участие в сообществах. Но такая работа должна давать человеку измеримый результат: рекомендацию, опубликованный артефакт, опыт работы в команде или строчку в портфолио.
МЫСЛЬ 3. Не ИБшные вакансии с ИБшными задачами
— DevOps QA тех.поддержка как вариант чтобы набить технический скилл.
МЫСЛЬ 4. Создание артефактов чтобы победить в конкурентной борьбе.
Ну давайте посмотрим. HR получил 200 вакансий. Надо их как-то отфильтровать. В 100 из них одна и та же строчка. ЗАкончил курсы. Больше ничего не делал. Отвественный красивый быстро учусь. И таких 100. В остальных 100 появляются строчки. Есть реальные победы в Bug Bounty есть разработки на GitHub есть статьи на Habr есть ещё что-то. Уже интереснее.
И какие советы здесь можно дать ребятам которые только закончили курсы и ищут первую работу.
Подкрутить резюме — дать на SWAT анализ AI попросить только не писать его за Вас а попросить выделить свои сильные стороны. Ну реально. Если коммуникабельный так может идти работать руководителем проектов в ИБ или в менеджеры. Ну всем идти в пентестеры. Не потому что мозгов нет (хотя и это тоже иногда) а просто потому что вакансий мало. Просто поймите. Вакансий мало. И при прочих равных приоритет дадут парням с максимальным количеством часов в этой деятельности лучшей памятью так как способны быстро вопроспроизводить информацию со своего биологического харда и самым быстрым биологическим процессором и правильным типом мышления.
Ходить больше на тусовки айтишные. Общаться. Не бояться предлагать свои услуги.
Найти ментора. Я не знаю.Вы реально готовы заниматься с человеком? дать ему власть над своей жизнью делать что он говорит. Исполнять его указания а не смотреть приятные настроению видосы на ютубе. Да и есть же AI какой ментор. Он точно лучше знает. Это не для всех. Если только готовы безоговорочно принять авторитет этого парня. И если он даст Вам гарантию трудоустройства гоните его в шею если он сам не нанимает. Потому что дать такие гарантии не возможно. Очень много зависит от самого человека.
Иногда приходят ребята и спрашивают примерно так:
Если отдать этот запрос AI он ответит вот так:
Основная цель — веб-пентест
Не пытаться одновременно становиться:
пентестером;
OSINT-аналитиком;
специалистом по расследованиям;
сетевиком по полной программе CCNA.
На ближайшие шесть месяцев выбрать web pentest / анализ защищённости веб-приложений.
OSINT оставить как вспомогательный навык для разведки. Расследования — посмотреть позже: это уже другой трек с Windows, Active Directory, журналами, SIEM, форензикой и реагированием.
Реалистичный план на шесть месяцев
Первые 4–6 недель — фундамент
Ему не нужно полностью заканчивать CCNA перед пентестом. Достаточно уверенно понимать:
TCP/IP, DNS, маршрутизацию, NAT;
HTTP/HTTPS, cookies, sessions, headers;
Linux CLI, процессы, права, SSH;
Bash на базовом уровне;
Git;
немного Python для чтения и доработки простых скриптов.
Результат этапа: он способен самостоятельно поднять виртуалку, Docker-контейнер, прокси Burp, разобраться, почему запрос не проходит, и прочитать сетевой трафик.
Следующие 2–3 месяца — только веб
Основой я бы сделал PortSwigger Academy:
authentication;
access control и IDOR;
business logic;
SQL injection;
XSS;
CSRF;
SSRF;
file upload;
path traversal;
command injection;
JWT и OAuth на базовом уровне.
Важно не просто «решать лаборатории», а после каждой писать короткий отчёт:
Где находится проблема.
Как её обнаружили.
Как воспроизвести.
Какой ущерб.
Как исправить.
Четвёртый месяц — портфолио
К моменту первых серьёзных откликов у него должны быть:
GitHub или GitLab с заметками и небольшими скриптами;
5–7 аккуратно оформленных отчётов;
один собственный тестовый стенд в Docker;
несколько разборов сложных лабораторий;
резюме на одну страницу;
понятный рассказ: что умеет проверить самостоятельно.
Сертификаты здесь вторичны. Работодатель скорее поверит хорошему техническому отчёту и способности объяснить найденную уязвимость.
С пятого месяца — отклики, не дожидаясь “готовности”
Искать нужно не только по слову «пентестер»:
стажёр по анализу защищённости;
младший специалист по информационной безопасности;
специалист по управлению уязвимостями;
DAST-исследователь;
junior application security;
SOC L1;
технический специалист ИБ;
инженер сопровождения средств защиты.
PT START проводится дважды в год, а Solar также использует стажировки с обучением и дальнейшим переходом на оплачиваемую позицию. Такие наборы нужно отслеживать заранее, потому что окна подачи короткие.
SOC как запасной маршрут
SOC L1 обычно является более формализованной точкой входа, но там есть ограничения. Например, актуальная стажировка КРОК заявлена без опыта, однако ожидает профильное образование, понимание SIEM, Windows/Linux, сетей и анализа журналов, а также готовность работать посменно.
Поэтому я бы не заставлял его изучать SOC параллельно с вебом. Через три месяца можно оценить прогресс:
хорошо идут Burp и веб-лаборатории — продолжаем в пентест;
нравится анализ логов, сетевых событий и инцидентов — перестраиваемся на SOC;
тяжело с технической частью, но отлично с клиентами и продуктами — используем коммерческий опыт.
Самый практичный мост из продаж
Ему необязательно сразу увольняться и идти стажёром на минимальные деньги. Можно параллельно искать работу:
менеджером по продажам решений ИБ;
аккаунт-менеджером у интегратора или вендора;
младшим сервис-менеджером ИБ;
помощником технического консультанта.
Такие позиции на рынке есть, включая продажи решений информационной безопасности и младший сервис-менеджмент. Но полноценный presale-инженер обычно уже должен обладать технической экспертизой, поэтому я бы рассматривал его как второй шаг, а не как стартовую позицию.
Это даст ему:
опыт работы внутри отрасли;
знакомства с инженерами и безопасниками;
понимание продуктов и заказчиков;
возможность перейти внутри компании;
сохранение более привычного уровня дохода.
Но нужно честно предупредить: сам факт продажи продуктов ИБ не превратит его в пентестера. Техническую практику всё равно придётся нарабатывать отдельно.
И в общем то я здесь соглашусь.
Но главный вопрос. В итоге парни закончили курсы. Работы нет. Что делать? Ваше мнение напишите пожалуйста потому что тема требует ответов.
ссылка на оригинал статьи https://habr.com/ru/articles/1067012/