Человек из IT приходит в информационную безопасность с готовой базой: он знает, как устроены системы, сети или код. Сложность в другом. Непонятно, какая часть этого опыта пригодится в новой роли, а какую придётся строить заново. Администратору, разработчику и тестировщику ближе разные направления, и выбирать стоит с учётом этого.
Сравнить несколько ролей на одном рабочем кейсе и оценить, какая база у вас уже есть, можно на онлайн-эфире CyberED 22 октября.
Чего теперь ждут даже от новичка
Порог входа в ИБ заметно вырос. Раньше на собеседованиях младших специалистов спрашивали проще и ждали меньше опыта. Сейчас кандидатов много, и работодатель может выставить завышенные требования: из сотни откликов всё равно найдётся тот, кто им соответствует.
Даже для первой линии центра мониторинга (SOC L1), одной из самых удобных стартовых позиций, базового IT-понимания уже не хватает. Аналитик L1 разбирает срабатывания правил и решает, атака перед ним или ложная тревога, поэтому ему нужно понимать, как действует атакующий. Здесь у человека из IT есть преимущество: устройство систем он уже знает, добирать нужно сторону нападения.
Системный администратор: от настройки к поиску следов
Администратору ближе всего два направления. Первое это инфраструктурная безопасность, где ценят людей, которые любят порядок и предсказуемость и умеют настраивать системы. Для администратора это знакомая логика работы.
Второе это защита (Blue Team). Специалисту по защите нужно уметь провести атаку, знать систему настолько хорошо, чтобы понимать, какие следы атака в ней оставит, и разбираться в системе, которая эти следы обнаруживает. Знание систем у администратора уже есть, добирать придётся атаку и средства обнаружения.
Дальше по этой линии идут реагирование на инциденты и цифровая криминалистика, и там требования глубже уровня администратора. Пример: атакующий запустил вредоносный файл, потом удалил его и очистил корзину. Для обычного пользователя файла больше нет. Криминалист знает, как устроена файловая система Windows, понимает, что файл можно восстановить, и умеет работать с утилитами, которые это делают.
Глубокое знание низкого уровня хорошо заметно на собеседовании. Показательный случай: кандидатку, которая работала системным администратором, попросили написать утилиту для удалённого администрирования. Она открыла редактор, написала её на чистом ассемблере и пояснила каждую строку. Такого кандидата забирают в проект сразу, даже без опыта в ИБ.
Разработчик: код пригодится, но не везде
Одно из заблуждений на старте звучит так: чтобы попасть в ИБ, сначала надо выучить язык программирования. В защите код нужен позже и в небольшом объёме, например для скриптов автоматизации реагирования на Python. Многие инструменты специалисты берут готовыми с GitHub, а собственную автоматизацию пишут немногие компании, у которых есть деньги на исследовательский отдел.
Зато есть направления, где разработчик чувствует себя увереннее остальных. Безопасность приложений (AppSec) подходит тем, кто любит читать код: придётся разбирать много строк, чужую логику и искать в ней изъяны по стандартам и с помощью инструментов. Естественная дорога в AppSec лежит через тестирование веб-приложений на проникновение. Сначала приложение проверяют чёрным ящиком, ничего не зная о его устройстве, потом переходят к исходному коду и ищут ошибки до того, как они попадут в прод. Начинать можно с любого из двух, но AppSec считается направлением продвинутого уровня.
Код пригодится и в исследованиях: при изучении Windows и Linux, при написании собственных низкоуровневых утилит. Чтобы глубоко понимать Linux, полезно знать C. Перейти в наступательную безопасность (Red Team) разработчику тоже ничто не мешает.
Отдельно о деньгах. Разработчиков иногда останавливает мысль, что в ИБ платят меньше. Практики отвечают, что высокие зарплаты встречаются и там, и там, но получает их не каждый. На рынке вы стоите столько, насколько сумели себя продать, а работодатель смотрит ещё и на то, ориентирован ли человек на результат.
Если пока не ясно, какое направление ближе с вашим опытом, это удобно проверить на рабочем кейсе: одну ситуацию в компании разбирают с позиций разных специалистов, и вы отмечаете, какие задачи вам интересны.
Тестировщик: веб как мост
Тестировщику, который разбирается в вебе и немного в инфраструктуре, логично смотреть в сторону тестирования на проникновение. Подход похож: вы проверяете приложение и ищете, где оно ломается. Начинающему проще порешать задачи на тренировочной платформе PortSwigger и попасть в тестирование веб-приложений, чем браться за узкие направления вроде разработки вредоносного кода. Там на погружение уйдёт много времени, и ещё придётся найти компанию, которой такой специалист нужен.
Если выбираете между пентестом и SOC, учтите график. В SOC L1 работа обычно сменная, иногда с ночными сменами, потому что центр мониторинга работает круглосуточно. Кому-то это неудобно, а кому-то позволяет подстроить день под учёбу.
Что придётся добирать всем
Общий пробел у людей из IT это взгляд атакующего. Хорошая отправная точка это MITRE ATT&CK, фреймворк американской некоммерческой организации MITRE, где описаны действия атакующих. Он огромный и написан на специфическом английском, но когда вы в нём разберётесь, станет понятно, куда копать дальше: сети, Linux, macOS, Kubernetes.
Практиковаться можно дома, нужны только компьютер и интернет. Рабочая схема для домашней лаборатории: проведите атаку и посмотрите, как её обнаружить. Для криминалистики и реверса в открытом доступе много задач формата CTF. Их легко найти по запросам «forensics CTF» и «reverse CTF», часто вместе с разборами.
Если выбранная роль в итоге не подойдёт, это тоже результат. Такое понимание может сэкономить несколько лет работы в направлении, которое вам неинтересно.
Эфир 22 октября
22 октября в 19:00 мск CyberED проводит онлайн-эфир «Старт в ИБ в 2026–2027: какая роль тебе подходит».
Участники окажутся внутри рабочей ситуации в компании и посмотрят на неё глазами разных специалистов по ИБ. По ходу разбора каждый заполнит чек-лист самодиагностики:
- какие типы задач вам интересны;
- какая часть базы у вас уже есть;
- какие пробелы нужно закрыть.
На выходе у вас будут карта направлений, оценка своей базы и гипотеза стартового маршрута.
