(обновлено!) Профи рассказали, как попасть в самую закрытую ИТ-сферу (август, 2023)

Cyber Security — одна из немногих областей ИТ, где до сих пор минимальные сокращения и куда пока еще берут джунов. Как сделать первые шаги в профессии, в каких направлениях развиваться и чему поучится — рассказывают эксперты.

1 комментарий
Мы обновили эту статью 11.08.2023. Еще раз все уточнили, добавили новые подробности о рекомендованных курсах, а также информацию о том, как сэкономить до 80% на обучении.

Вся офисная работа делается за компьютером, а среднестатистический пользователь оставляет личные данные в десятках приложений. Все эти данные нужно защищать: спрос на спецов по кибербезопасности превышает предложение. По данным Exploding Topics, только за последние полгода количество вакансий в сфере кибербезопасности выросло на 60%.

Кибербезопасность — сфера, которая часто пугает. Тут масса узкоспециальных терминов, свой особый жаргон и множество курсов, но почти все они стоят недешево. Мы поговорили с практикующими спецами о том, какие навыки нужны для работы в кибербезе и смежных областях, как выбрать обучающие программы и какие есть возможности для карьерного роста.

Разобраться в вопросе нам помогали:

Содержание

Кем можно работать в Cyber Security

Классификация по профессиям может различаться в зависимости от компании. Но выделить разные области в сфере безопасности все-таки можно.

Сергей Найдёнов, специалист по Application Security

В командах, в которых я работал, чаще выделяли:

  • Security Operations — реагируют на инциденты.
  • Application Security — помогают писать безопасный код, чтобы предупреждать инциденты.
  • Information Security — занимаются соответствием законодательству и сертификациями.

Еще может быть:

  • Команда тестирования безопасности — проверяют, чтобы на продакшн попала версия приложения без уязвимостей.
  • Команда Red Team — полностью симулируют реальную атаку с целью поиска уязвимостей.
  • Команда инфраструктурной или облачной безопасности — заботятся о том, чтобы облако или собственную инфраструктуру компании не взломали.

Конкретную специальность можно выбрать под свой склад характера и бэкграунд. Например, нужны аналитики, чтобы изучать предыдущие инциденты и подсказывать, как предотвращать новые. Это скрупулезная работа с данными. Разработчики со знаниями в безопасности тоже нужны, чтобы писать код — тут задачи уже более творческие. А тестировщики безопасности (пентестеры) придумывают, как взломать систему. Такая работа очень далека от рутины, многих именно это и привлекает в кибербезе.

Владислав Мурашко, специалист тестированию безопасности

В 2010 году я пошел работать в техподдержку, параллельно фрилансил: искал уязвимости за вознаграждение. Получил опыт аналитика и Linux-администрирования, но долго в этом не задержался. Я люблю движ, хотел заниматься наступательной безопасностью, а не оборонительной. Со временем возглавил отдел кибербезопасности, мы занимаемся в основном пентестами. Мне нравится эта работа, потому что постоянно сталкиваешься с чем-то новым, это как стратегическая игра: нужно хитрить, мыслить out of the box.

Но вообще пентесты составляют 10-20% в нашей сфере. Большинство специалистов заняты в оборонительной безопасности, предотвращают угрозы. А мы — своеобразная служба контроля качества.

Для проведения пентестов может пригодиться опыт тестировщика ПО. Конечно, придется дополнить его новыми знаниями.

Виталий, пентестер
Функциональное тестирование — неплохой вариант вкатывания в пентестинг. Вообще пентестер — хорошая профессия для старта, по ней очень много образовательных материалов. Также невысокий порог входа обычно имеют специалисты по сетевой безопасности и аналитики угроз и инцидентов. Тут зачастую не требуется глубоких знаний во всех областях кибербезопасности.

Если нет желания слишком глубоко погружаться в технологии, вы можете работать в информационной безопасности — для этого нужно внимательно разбираться с юридическими вопросами.

Антон Грецкий, директор по безопасности

У меня был свой небольшой бизнес — продажа компьютеров и комплектующих. Были базовые знания на уровне пользователя: как устроен компьютер, что такое IP-адрес, что такое сеть. Через знакомых предложили позицию специалиста по информационный безопасности. Работа там была связана с обеспечением информационной безопасности деятельности организации, бумажная работа. Я разобрался в законодательстве и начал участвовать в процедурах аттестации систем защиты информации  — с этого начался мой путь.

Думаю, с этого можно начинать учится: вникнуть в законы страны. А еще изучить виды и принципы проведения атак и то, как работают средства защиты информации: что может межсетевой экран, что такое SIEM, что такое IPS/IDS. Самый простой путь для старта, на мой взгляд — идти в compliance: отвечать за соответствие законодательству. Там нужно меньше прикладных скилов.

Есть еще одно, неочевидное направление — социальная инженерия. Такие специалисты разбираются в психологическом манипулировании людьми. Они исследуют, как поведение людей может ставить под угрозу безопасность и что с этим делать. Это нужно в первую очередь чтобы проводить тренинги для сотрудников.

Владислав Мурашко, специалист тестированию безопасности

Никто не исключает сценария, когда сотруднику приходит письмо от партнера, там ссылка на документ, просят ответить в течение часа. Сотрудник поторопится, перейдет по ссылке, а потом какая-то информация с компьютера уйдет. А, может, харизматичный незнакомец обратится к офис-менеджеру и представится крупным клиентом. Его пустят подождать в офис начальника, и из этого офиса таинственно исчезнет ноутбук.

Часто такие способы взлома компаний эффективнее, чем технические. Особенно если у организации небольшая инфраструктура и большой штат. И чтобы работать в социальной инженерии, опыт контент-менеджера или психолога будет полезнее, чем бэкграунд в IT.

Топ-7 карьер в ИТ для будущего: профессии, которым нужно учиться в 2023 году
По теме
Топ-7 карьер в ИТ для будущего: профессии, которым нужно учиться в 2023 году

Какие знания и навыки нужны в кибербезе 

С одной стороны, порог входа в Cyber Security не так высок, как кажется. В этой сфере нужно все пробовать на практике и поддерживать знания актуальными — поэтому имеет смысл идти работать с минимальным набором знаний и расти в компании.

С другой стороны, совсем без специальных навыков обойтись не выйдет. Несколько месяцев точно стоит заложить на учебу. Причем даже если вы айтишник из другой сферы, в кибербезе это даст разве что минимальный буст.

Базовые компетенции включают:

  • Знание операционных систем, сетевых протоколов и архитектуры— это то, с чем вы будете работать постоянно. 
  • Основы криптографии и алгоритмов шифрования — это базовые механизмы защиты данных.  
  • Знание основных видов атак и уязвимостей информационных систем— чтобы уметь устранять их. 
  • Знание методологий, стандартов и требований регуляторов кибербезопасности: NIST, ISO, CIS, и других, в зависимости от специализации — они определяют правила, по которым вы работаете.
  • Умение работать с технологическим стеком кибербезопасности: инструментарий хакеров, SIEM, IDS/IPS, DLP — чтобы встраивать защиту систем и взламывать их для проверки. 
  • Навыки коммуникации и командной работы — мастхэв для любого спеца в IT и не только.
  • Умение программировать — очень желательно, чтобы понимать, какой код будет более или менее безопасным.

Это база для старта, если вас интересуют технические специальности в кибербезе. Но список далеко не исчерпывающий — у разных компаний на разные позиции могут быть свои требования. Зная основы, обрастать узкоспециальными скилами будет уже проще.

Сергей Найдёнов, специалист по Application Security

Чем больше знаешь, тем лучше. Но также многое зависит от специальности. Например, я работаю в application security. Тут важно разбираться в разработке, понимать, как работают приложения, как пишется код, как этот код может работать на руку хакерам — чтобы предупредить такие ситуации и помочь команде встроить процессы безопасности в нормальный цикл разработки ПО.

В качестве первых шагов в кибербезе стоит освоить азы программирования, основы работы ОС, компьютера и сети. Хотя есть профессии, где и этого не требуется. Например, специалисты по информационной безопасности стоят немного в стороне от технической части — они занимаются политикой безопасности.

Перспективы профессии кибербезопасника

Сфера кибербезопасности постоянно меняется с появлением новых технологий. Если планируете всерьез строить карьеру, нужно подхватывать тренды и постоянно поддерживать знания актуальными.

Наши эксперты выделили 4 основных технологии, которые повлияют на кибербез в обозримом будущем:

  1. Искусственный интеллект и машинное обучение. ИИ уже используют для обнаружения и предотвращения угроз, а также для аналитики. В дальнейшем, с развитием ИИ, его роль в работе будет только расти. О том, что машины заменят живых специалистов, речи не идет, но разбираться в AI и ML придется обязательно — это новые современные инструменты, которые помогут работать эффективно.
  2. Развитие квантовой криптографии и квантовых компьютеров. Это технологии, которые в будущем позволят выполнять еще более сложные вычислительные операции, чем доступные айтишникам сегодня. Если квантовые технологии будут активно развиваться, хакеры станут сильнее, а кибербез перейдет на другой уровень. 
  3. Рост интернета вещей (IoT), включая умные дома и средства транспорта. Когда управление автомобилями и роботами осуществляется через интернет, растет потенциальная угроза жизни людей и сохранности производств. Взлом такой системы может повлечь много жертв и убытков — без спецов по кибербезу не обойтись.
  4. Защита данных и приватности в облачных сервисах и мобильных сетях. Чем больше человечество использует цифровые сервисы, тем больше данных надо охранять. В ближайшие годы эта тенденция будет только расти.

Как выбрать курсы для старта в Cyber Security

В обучении главное — мотивация, любопытство и желание работать. При должном усердии научиться можно и самостоятельно, и на любых курсах — взять максимум полезной информации, что-то доучить самостоятельно. Но качественные образовательные программы станут большим подспорьем и помогут сэкономить время. Выделим главные критерии выбора хороших курсов.

Отзывы и мнение сообщества

Если вас заинтересовал курс, не поленитесь поискать отзывы: не только на официальном сайте, но и на сторонних площадках. Если сомневаетесь — спросите о курсе у практикующих безопасников в соцсетях, вряд ли вам откажут. Если курс никому неизвестен, это не значит, что он плохой, но повод насторожиться есть. А если курс хвалят серьезные спецы, он скорее всего стоит вашего времени и денег.

Также стоит смотреть на требования работодателей. Если курс готовит к какой-то сертификации, стоит поискать в описаниях вакансий, насколько часто встречается упоминание этого сертификата в блоке требований или дополнительных плюсов.

Опыт преподавателя

Важно, чтобы преподаватель был не просто экспертом-теоретиком, а практиком. Кибербез — сфера, где опыт важнее набора знаний.

Длительность

Стать безопасником с нуля за две недели не выйдет — придется потратить не менее нескольких месяцев прежде чем выйти на работу. Если в рекламе курсов обещают неправдоподобно радужные перспективы, значит в действительности за результат никто не отвечает.

Антон Грецкий, директор по безопасности
4 месяца плотного обучения достаточно, чтобы выполнять какие-то базовые задачи. Остальное можно осваивать уже на практике на рабочем месте. Важно готовиться к тому, что будет много монотонной работы. Нужно терпение и усидчивость — особенно в странах, где законодательство сильно зарегламентировано.

Подготовка к сертификации

В кибербезопасности распространена система сертификаций — спецы сдают экзамены и получают подтверждение своих знаний и навыков в той или иной области. Некоторые курсы пишут, что готовят к сертификациям — это отличный бонус.

Виталий, пентестер
Легендарный путеводитель по нелегкому пути сертификаций — на сайте Paul Jerimy. Там все систематизировано по направлениям и можно посмотреть, какие компетенции нужны для каждого экзамена. Хорошо, если после курса сможете получить какой-то сертификат.
10 классных ИТ-курсов из сферы, которой не грозят увольнения (июнь 2023)
По теме
10 классных ИТ-курсов из сферы, которой не грозят увольнения (июнь 2023)

Где учиться кибербезопасности онлайн

Вместе с экспертами подобрали несколько онлайн-курсов с хорошим рейтингом и отзывами — они будут подспорьем для старта в карьере.

Курс «Certified Ethical Hacking» на Edureka

Студенты учатся здесь быть «белыми» хакерами — взламывать системы по просьбе клиентов для поиска уязвимостей. Материал курса подготовит вас к сдаче экзамена на сертификат CEH. Упоминание международно признанной сертификации в резюме будет большим плюсом.

Курс интенсивный — подойдет тем, кто хочет быстро получить актуальную информацию от профи, а потом нарабатывать навыки самостоятельно.

В программе:

  • безопасность беспроводной сети;
  • методологии и концепции хакинга;
  • тестирование безопасности;
  • сбор информации о сети (footprinting);
  • настройка брандмауэра;
  • основы криптографии;
  • анализ вредоносного ПО.

Длительность и формат обучения:

Курс включает 5 недель занятий с преподавателем — каждую неделю 2 онлайн-встречи по 3 часа. После окончания основного курса — 6 месяцев доступа к практическим занятиям для закрепления материала.

Цена: $ 2,299 — включает ваучер на прохождение сертификации CEH.

Антон Грецкий, директор по безопасности

Я бы с удовольствием взял в команду человека с курса Certified Ethical Hacking на Edureka — он дает ценный набор скилов. Главное помнить: любой скилл — ничто без развития и практики. Специалисты по ethical hacking стоят дорого, но без них любая команда по кибербезопасности будет неполноценной.

Посмотреть программу

Курс «Fundamentals of Cyberseurity» на Edx

Это общий курс, которые охватывает ключевые знания и навыки, необходимые в сфере безопасности. Полученные компетенции вам пригодятся независимо от того, выберете ли вы карьеру пентестера, специалиста по информационной безопасности или менеджера в кибербезе. Материал изложен с самых азов и будет понятен даже людям, ничего не знающим об IT.

В программе курса:

  • базовые принципы управления безопасностью;
  • законодательное регулирование;
  • культура кибербезопасности;
  • архитектура кибербезопасности;
  • оборудование и ПО в сфере безопасности;
  • управление инцидентами.

Длительность и формат обучения:

Курс рассчитан на 8 недель по 7-10 часов в неделю. Программа разбита на видеолекции и серию практических заданий, но они открываются постепенно для лучшего усвоения материала — пройти все за неделю не выйдет.

Цена: $1046

Сергей Найдёнов, специалист по Application Security

Этот курс отлично подойдет тем, кому нужно разобраться в процессах безопасности. На этом фундаменте можно будет строить техническую экспертизу или же менеджерскую экспертизу в отделе кибербезопасности.

Посмотреть программу

Курс «Google Cybersecurity» на Coursera

Стартовый курс по кибербезопасности от Google: здесь вы не будете углубляться в тонкости, но освоите азы для. Отлично подойдет для знакомства с кибербезом: потом сможете определиться со специализацией и продолжить обучение. Студенты получают базовые знания в сфере и кратко затрагивают аналитику данных.

В программе курса:

  • основы кибербезопасности и управление рисками;
  • безопасность сети;
  • азы программирования на Python;
  • linux и SQL;
  • распознавание и реагирование на атаки;
  • рекомендации по трудоустройству.

Длительность и формат обучения:

Рекомендовано 6 месяцев по 7 часов в неделю, время и загрузку студент может регулировать самостоятельно.

Цена: $49 в месяц

Сергей Найдёнов, специалист по Application Security
Этот курс подойдет любому новичку в кибербезопасности. Он показывает разные аспекты и специализации в домене кибербезопасности. Идеально для тех, кто ещё не знает в какую специализацию двигаться или же для ИТ инженеров, которые хотят посмотреть на свою экспертизу под призмой безопасности.

Посмотреть программу

TIP от Adviser: Вы можете скономить до 80% на образовании с подпиской Coursera Plus, которая дает неограниченный доступ к 7000 курсов, проектов, специализаций и сертификаций на платформе. Подробнее о том, как это работает, читайте в статье.

Курс пройден. Что делать дальше?

Главное в освоении нового — мотивация и приложенные усилия. Но не менее важно грамотно выстроить карьерный трек и отделить актуальную информацию от устаревшей.

Вот несколько рекомендаций, которые помогут на старте карьеры:

  • Рассчитывайте, что обучение — бесконечный процесс: даже если вы получили базовые знания, для работы по конкретной специальности придется еще добирать навыки.
  • Не надейтесь на опыт в других областях IT — частично он может быть полезен, но многое придется осваивать с нуля;
  • При ограниченном бюджете можно попробовать начать с бесплатных курсов: например, на Cybrary.
  • Если трудно сориентироваться в новой сфере, обращайтесь к менторам — в IT-сообществе много спецов, которые готовы ответить на вопросы бесплатно или регулярно консультировать за вознаграждение.
  • Развивайте навыки коммуникации: небольшие пробелы в хард-скилах всегда можно компенсировать софтами.
  • Регулярно практикуйтесь: участвуйте в проектах, стажировках и состязаниях для получения опыта например, в соревновании CTF и челленджах Hack the Box.
Владислав Мурашко, специалист тестированию безопасности

Сейчас активно развиваются площадки, на которых пентестеры ищут уязвимости за вознаграждение: HackerOne, BugCrowd. Организации, которые хотят, чтобы их попробовали взломать, дают задачу и пентестеры начинают пробовать. Главное — первому это зарепортить, кто первый — тому и деньги. Зато вознаграждения неплохие, 20-30 тысяч долларов за одну уязвимость могут заплатить.

Конечно, шанс быть первым невелик, зато это отличная тренировка. Чисто ради практики, можно тем же самым заниматься на платформе Open Bug Bounty — схема та же, но бесплатно.

Читайте Adviser —  мы регулярно публикуем обзоры на курсы, новости о спецпредложениях, гайды по входу в ИТ и полезные материалы на все случаи жизни: от подборок надежных VPN до советов по покупке криптовалюты.

Примечание Adviser

В статье есть ссылки партнеров. Это значит, что если вы что-то покупаете с нашей помощью — вы также поддерживаете dev.by. (Вот другой способ).

При этом редакция и авторы независимы в выборе темы, концепции материала, фокуса описания, подхода к услугам или товарам. Прежде чем что-то советовать, мы много читаем и смотрим по теме, говорим с экспертами.

Редакция может выражать свое мнение и пробовать всё на себе.

Если рекомендательный материал обновляется, мы указываем, что и когда поменялось, в самом начале.

Как получить сертификат по кибербезопасности. Карьерный прыжок от Google
По теме
Как получить сертификат по кибербезопасности. Карьерный прыжок от Google

Читать на dev.by