- PVSM.RU - https://www.pvsm.ru -
Автор статьи — Брайан Кребс, известный журналист в сфере информационной безопасности.
Каждый год из колледжей и университетов выходят тысячи выпускников по специальностям «информационная безопасность» или «информатика», абсолютно не подготовленных к реальной работе. Здесь мы посмотрим на результаты недавнего опроса, который выявил самые большие пробелы в навыках выпускников, а также подумаем, как кандидатам на работу выделиться из толпы.
Практически каждую неделю мне приходит минимум одно письмо от читателя, который просит совета, как начать карьеру в сфере ИБ. В большинстве случаев соискатели спрашивают, какие сертификаты им следует получить или у какой специализации самое светлое будущее.
Редко спрашивают, какие практические навыки нужно освоить, чтобы стать более привлекательным кандидатом. Я всегда предупреждаю, что у меня самого нет никаких сертификатов и дипломов, но я регулярно разговариваю с руководителями отделов ИБ и рекрутерами — и часто спрашиваю о впечатлениях о современных кандидатах.
Типичный ответ — что очень многим кандидатам просто не хватает опыта работы с практическими задачами.
Конечно, большинству выпускников не хватает практического опыта. Но, к счастью, уникальный аспект ИБ заключается в том, что опыт и фундаментальные знания можно получить старым добрым методом проб и ошибок.
Один из ключевых советов — изучать основу, как компьютеры и другие устройства взаимодействуют друг с другом. Я говорю это потому, что умение работать в сети — фундаментальный навык, на котором строятся многие другие области обучения. Получить работу в сфере безопасности без глубокого понимания того, как работают пакеты данных, немного похожа на попытку стать инженером-химиком, не изучив сначала таблицу Менделеева.
Пожалуйста, не верьте мне на слово. Исследовательский институт SANS [1] недавно провёл опрос более 500 практиков кибербезопасности в 284 различных компаниях в попытке выяснить, какие навыки они находят наиболее полезными для кандидатов на работу, а какие чаще всего отсутствуют.
В ходе опроса респондентам предлагалось ранжировать различные навыки от «критических» до «необязательных». Целых 85% назвали знание сети критическим или «очень важным» навыком, за которым следует владение операционной системой Linux (77%), Windows (73%), распространённые методы применения эксплоитов (73%), компьютерная архитектура и виртуализация (67%), обработка данных и криптография (58%). Довольно удивительно, что только 39% назвали программирование критическим или очень важным навыком (к этому вернёмся через минуту).
Как специалисты по кибербезопасности оценивали потенциальных кандидатов на работу по этим критическим и очень важным навыкам? Результаты кажутся ошеломляющими:
Навыки | Сколько кандидатов не смогли решить даже базовые задачи | Сколько кандидатов продемонстрировали мастерство |
---|---|---|
Общие техники взлома | 66% | 4,5% |
Компьютерные архитектуры | 47% | 12,5% |
Сеть | 46% | 4% |
Linux | 40% | 14% |
Программирование | 32% | 11,5% |
Данные и криптография | 30% | 2% |
«Работодатели сообщают, что подготовка студентов по кибербезопасности в значительной степени неадекватна, и они разочарованы, что приходится тратить месяцы на поиски, прежде чем они найдут квалифицированных сотрудников начального уровня, если таковые вообще могут быть найдены, — говорит Алан Паллер, директор по исследованиям Института SANS. — Мы предположили, что для начала решения этих проблем и устранения разрыва следует сформулировать навыки, которые работодатели ожидают, но не находят у выпускников».
Правда в том, что некоторые из самых умных, проницательных и талантливых специалистов по компьютерной безопасности, которых я знаю, не имеют никаких сертификатов и дипломов по информатике или программированию. На самом деле, многие из них вообще никогда не учились в колледже и не заканчивали университет.
Скорее они попали в безопасность потому, что их страстно и сильно интересовала тема, и это любопытство заставляло как можно больше учиться — главным образом, читая, пробуя и делая ошибки (много ошибок).
Я не отговариваю читателей от получения высшего образования или сертификации в данной области (что может быть основным требованием во многих корпорациях), а просто чтобы они не рассматривали это как гарантию стабильной и высокооплачиваемой работы.
Без овладения одним или несколькими из перечисленных навыков вас просто не будут считать очень привлекательным или выдающимся кандидатом.
Итак, на чём сосредоточиться и с чего лучше всего начать? Во-первых, хотя существует почти бесконечное количество способов получения знаний и практически нет предела глубинам, которые вы можете исследовать, но самый быстрый способ обучения — это запачкать руки.
Я не говорю о взломе чьей-то сети или какого-то плохого сайта. Пожалуйста, не делайте этого без разрешения. Если ломать сторонние сервисы и сайты, то выбирайте те, которые предлагают вознаграждение через программы bug bounty [2], а затем убедитесь, что соблюдаете правила этих программ.
Но почти всё можно воспроизвести локально. Хотите овладеть общими методами взлома и эксплуатации уязвимостей? Существует бесчисленное множество доступных [3] бесплатных [4] ресурсов [5]; специально разработанные инструменты, такие как Metasploit [6] и WebGoat [7], и дистрибутивы Linux, такие как Kali Linux [8], с большим количеством учебников и онлайновых туториалов. Кроме того, есть ряд бесплатных инструментов для пентестинга и обнаружения уязвимостей, такие как Nmap [9], Nessus [10], OpenVAS [11] и Nikto [12]. Это далеко не полный список.
Организуйте собственную хакерскую лабораторию. Можете сделать это на запасном компьютере или сервере или на старом ПК, которых в изобилии по дешёвке продаются на eBay или Craigslist. Бесплатные инструменты виртуализации, такие как VirtualBox [13], упрощают работу с различными операционными системами без необходимости установки дополнительного оборудования.
Или подумайте о том, чтобы заплатить кому-то за установку виртуального сервера, на котором можете ставить опыты. Amazon EC2 [14] — хороший недорогой вариант. Если хотите тестировать веб-приложения, можно установить на компьютеры в собственной локальной сети любое количество веб-сервисов, таких как старые версии WordPress, Joomla или движки интернет-магазинов, такие как Magento.
Хотите изучить сети? Начните с приличной книги по TCP/IP [15], хорошенько изучите сетевой стек и то, как все слои взаимодействуют друг с другом [16].
Пока усваиваете эту информацию, научитесь использовать некоторые инструменты, которые помогут применить знания на практике. Например, познакомьтесь с Wireshark [17] и Tcpdump [18], удобными инструментами, используемыми сетевыми администраторами для устранения неполадок сети и безопасности, а также для понимания того, как работают (или не работают) сетевые приложения. Начните с проверки собственного сетевого трафика, просмотра веб-страниц и повседневного использования компьютера. Попытайтесь понять, что делают приложения на вашем компьютере, глядя на то, какие данные они отправляют и получают, как и где.
Работодатели могут требовать или не требовать навыки программирования на таких языках, как Go [19], Java [20], Perl [21], Python [22], C [23] или Ruby [24]. Независимо от этого, знание одного или нескольких языков не только сделает вас более привлекательным кандидатом, но и облегчит дальнейшее обучение и переход на более высокие уровни мастерства.
В зависимости от специализации, в какой-то момент вы можете обнаружить, что возможности дальнейшего обучения ограничены именно пониманием программирования.
Если вас пугает идея изучения языка, начните с основных инструментов командной строки в Linux. Просто научиться писать базовые скрипты для автоматизации рутинных задач — уже прекрасный шаг вперёд. Более того, мастерство в создании шелл-скриптов [25] принесёт солидные дивиденды на протяжении всей вашей карьеры практически в любой технической роли, связанной с компьютерами (независимо от того, изучаете вы конкретный язык программирования или нет).
Не заблуждайтесь: подобно изучению музыкального инструмента или нового языка, приобретение навыков кибербезопасности отнимает много времени и сил. Но не впадайте в уныние, если вас перегружает и подавляет весь объём информации. Просто не торопитесь и продолжайте идти.
Вот почему помогают группы поддержки. Серьёзно. В индустрии ИБ человеческая сторона сетевого взаимодействия принимает форму конференций и локальных встреч. Сложно переоценить, насколько важно для вашего здравомыслия и карьеры общаться с единомышленниками на полурегулярной основе.
Многие из этих мероприятий бесплатны, в том числе встречи BSides [26], группы DEFCON [27] и собрания OWASP [28]. И поскольку в технологической индустрии по-прежнему преимущественно представлены мужчины, существует ряд встреч по кибербезопасности и групп, ориентированных на женщин, таких как Женское общество Cyberjutsu [29] и другие, перечисленные здесь [30].
Если вы не живёте в глуши, скорее всего, в вашем районе есть несколько конференций и встреч по ИБ. Но даже если вы в глуши, многие из этих встреч сейчас проводятся виртуально из-за пандемии COVID-19.
Короче говоря, не рассчитывайте, что диплом или сертификат дадут вам навыки, которые работодатели по понятным причинам ожидают от вас. Это может быть несправедливо или нет, но вам придётся развивать и совершенствовать навыки, которые послужат будущему работодателю(-ям) и возможности трудоустройства в этой области.
Уверен, у читателей есть собственные идеи, на чём лучше всего сосредоточить свои усилия новичкам и студентам. Пожалуйста, не стесняйтесь высказываться в комментариях.
Автор: m1rko
Источник [31]
Сайт-источник PVSM.RU: https://www.pvsm.ru
Путь до страницы источника: https://www.pvsm.ru/informatsionnaya-bezopasnost/355428
Ссылки в тексте:
[1] SANS: https://www.sans.org/
[2] программы bug bounty: https://www.bugcrowd.com/bug-bounty-list/
[3] доступных: https://www.hacker101.com/
[4] бесплатных: https://www.sans.org/media/free/free-faculty-tools.pdf?msc=sans-free-lp
[5] ресурсов: https://www.cybrary.it/
[6] Metasploit: https://www.metasploit.com/
[7] WebGoat: https://owasp.org/www-project-webgoat/
[8] Kali Linux: https://www.kali.org/
[9] Nmap: https://nmap.org/
[10] Nessus: https://www.tenable.com/products/nessus
[11] OpenVAS: https://www.openvas.org/
[12] Nikto: https://cirt.net/Nikto2
[13] VirtualBox: https://www.virtualbox.org/
[14] Amazon EC2: https://aws.amazon.com/ec2/
[15] приличной книги по TCP/IP: https://www.amazon.com/gp/offer-listing/0201633469/
[16] как все слои взаимодействуют друг с другом: https://www.youtube.com/watch?v=PpsEaqJV_A0
[17] Wireshark: https://www.wireshark.org/
[18] Tcpdump: https://www.tcpdump.org/
[19] Go: https://www.codecademy.com/learn/learn-go
[20] Java: https://www.w3schools.com/java/java_intro.asp
[21] Perl: https://learn.perl.org/
[22] Python: https://www.python.org/about/gettingstarted/
[23] C: https://computer.howstuffworks.com/c1.htm
[24] Ruby: https://www.freecodecamp.org/news/learning-ruby-from-zero-to-hero-90ad4eecc82d/
[25] создании шелл-скриптов: http://linuxcommand.org/lc3_writing_shell_scripts.php
[26] встречи BSides: http://www.securitybsides.com/w/page/12194156/FrontPage
[27] группы DEFCON: https://defcongroups.org/dcpages.html
[28] собрания OWASP: https://owasp.org/chapters/
[29] Женское общество Cyberjutsu: https://womenscyberjutsu.org/page/COVER6
[30] перечисленные здесь: https://www.comparitech.com/blog/information-security/women-cybersecurity-initiatives/
[31] Источник: https://habr.com/ru/post/512704/?utm_source=habrahabr&utm_medium=rss&utm_campaign=512704
Нажмите здесь для печати.