Куда расти дальше: три пути для тех, кто перерос свою текущую роль в ИБ

Через год-полтора в одной роли рабочие задачи становятся предсказуемыми: вы решаете их быстрее, чем раньше, и уже не узнаёте от них ничего нового. Это сигнал, что пора расширять набор навыков — вопрос только, в какую сторону.

Универсального ответа тут нет: то, что стоит прокачать дальше, полностью зависит от того, с чего вы стартуете. Пентестеру, SOC-аналитику и разработчику нужны совершенно разные следующие шаги. Ниже — три сценария роста. Выберите тот, который ближе к вашему текущему опыту.

Любой пентестер проходит через общую базу: сканирование сети, поиск и эксплуатация уязвимостей сервисов на отдельном хосте, базовое повышение привилегий — классический набор навыков уровня OSCP или CTF на one-box машинах. Дальше эта база расходится на две разные специализации: тестирование внутренней инфраструктуры — или тестирование веб-приложений. Это не последовательные ступени одного пути, а два параллельных направления, и прокачанность в одном не даёт автоматически навыков в другом.

Если вы специализировались на инфраструктуре, веб-направление так и остаётся непройденным — а вместе с ним часть проектов, где скоуп требует обеих компетенций: такие задачи отдают другому специалисту или подрядчику.

Первый навык: тестирование веб-приложений. Это не углубление в то же самое, а другая методология — PTES вместо чистого lateral movement, фаззинг директорий и параметров вместо перебора учётных данных в сети, эксплуатация уязвимостей из OWASP Top-10 Web вместо инфраструктурных мисконфигураций. Другой набор инструментов, другой образ мышления.

Второй навык: автоматизация на Python. Ручной перебор, парсинг результатов сканеров, написание своих фаззеров и брутфорсеров — то, что отличает пентестера, который умеет только запускать готовые инструменты, от того, кто пишет свои. На собеседовании это заметно почти сразу.

Если ваш опыт реагирования строится в основном на Windows — журналы событий, реестр, дампы памяти конкретно под эту ОС, — рано или поздно расследование упрётся в сервер на Linux. То же самое верно и для тех, кто уже касался Linux, но не чувствует уверенности именно в этой части: одно дело — базовые команды администратора, и совсем другое — собирать и анализировать артефакты в контексте расследования инцидента.

Откладывать этот навык становится всё труднее: на Linux и так работает большая часть продакшн-инфраструктуры — веб-серверы, базы данных, значительная доля облачных нагрузок, а на фоне импортозамещения в России компании переводят инфраструктуру на Linux ещё активнее — значит, доля инцидентов на этой ОС будет только расти.

Навык: форензика и реагирование на инциденты в Linux. Другая файловая система, другие журналы, другие способы закрепления злоумышленника — и другие инструменты сбора и анализа артефактов. Логика расследования та же, что и в Windows-реагировании, но без конкретных навыков под Linux часть инцидентов просто не расследовать полноценно — только описать симптомы.

Пайплайн собирается и деплоится быстро — но проверки безопасности либо отсутствуют, либо добавлены в последний момент и тормозят релиз. Специалист, который умеет встраивать безопасность прямо в CI/CD, а не устраивать её отдельным медленным этапом, — на стыке двух команд сразу, и заметен и продуктовым, и ИБ-руководителям.

Навык: DevSecOps. Не теория про «безопасность как культуру», а конкретный инженерный стек. Специалист с этим набором навыков закрывает то, что не умеет ни классический DevOps, ни классический безопасник по отдельности.

Больше разборов и обсуждений — в нашем Telegram-канале и на форуме Codeby.net.