У новичка в ИБ легко возникает соблазн целиться сразу в самые яркие роли: киберразведчик, охотник за угрозами, реверсер. Сложность в том, что в эти профессии обычно приходят с опытом, и порог входа у них высокий. Ниже пять таких ролей и путь, которым к ним проще прийти.
А какая стартовая роль подходит вам с вашей текущей базой, можно проверить на онлайн-эфире CyberED 22 октября.
Threat hunting
Проактивный поиск угроз хорошо объясняет рыболовная метафора. Правила корреляции в SOC похожи на удочки: их много, но рыба-атакующий всё равно может проплыть между крючками. Охотник за угрозами стоит с копьём и бьёт в промежутки между удочками там, где видит что-то подозрительное.
Работает это за счёт опыта: охотник обнаруживает атакующих на основе всего, что видел раньше. Поэтому threat hunting точно не точка входа, сюда приходят после нескольких этапов карьеры. Бывает, что в охоту за угрозами переходят из наступательной безопасности и приносят нестандартные методы. Есть и ещё одно ограничение: такая функция нужна компаниям с высоким уровнем зрелости. Даже компании с собственным SOC может понадобиться ещё несколько лет, чтобы дорасти до threat hunting.
Киберразведка (Threat Intelligence)
Отдел киберразведки работает как информационное бюро компании. К нему приходят с вопросом, кто, как, чем и когда атакует компанию, или, например, кто атакует банки в определённой стране, и получают проанализированный ответ.
TI отдаёт командам готовые знания. Чтобы они были полезны, аналитик должен понимать, что нужно каждой команде: SOC, пентестерам, криминалистам, специалистам по реагированию. Без опыта хотя бы в одной из этих областей такой взгляд получить трудно, поэтому в TI разумнее переходить после работы в другом направлении. Навыки киберразведки добавляются к основной базе и её не заменяют.
Реагирование на инциденты
Специалисты по реагированию это скорая помощь мира ИБ. Когда в компании случается инцидент, нужные люди должны быстро приехать и помочь восстановить работу бизнеса. Звонок может прийти в два часа ночи с требованием быть на месте через 15 минут, так что работа связана со стрессом.
Технический порог здесь высокий: криминалистика, анализ памяти и вредоносного ПО, умение доставать и читать журналы на хостах, понимание сетей и знание группировок атакующих, в том числе тех, что действуют в России. Знания нужны глубже уровня администратора. Новичка в такой команде, скорее всего, не бросят одного и сначала поднаучат, но базу для входа нужно набирать самостоятельно.
Чтобы понять, какая из этих ролей интересна вам как цель, полезно посмотреть на одну рабочую ситуацию глазами разных специалистов и отметить, где вы уже ориентируетесь, а где пока нет.
Безопасность приложений (AppSec)
AppSec подходит тем, кто любит читать код: придётся разбирать много чужих строк, понимать логику другого программиста и искать изъяны по стандартам и с помощью инструментов. Это направление продвинутого уровня. Удобная дорога к нему лежит через тестирование веб-приложений. Сначала вы проверяете приложение чёрным ящиком, ничего не зная о его устройстве, потом переходите к исходному коду и ищете ошибки до выхода в прод.
Порог входа в веб-тестирование ниже. Начинающему проще порешать задачи на тренировочной платформе PortSwigger и устроиться тестировщиком веб-приложений, чем сразу браться за узкую специализацию.
Анализ вредоносного ПО
Здесь ситуация мягче: с анализа вредоносов карьеру начинали, и на стажировке по этой специальности можно многое получить. Работа строится на реверс-инжиниринге, статическом и динамическом анализе, от простых скриптов на PowerShell до сложных троянов, и требует сильной технической базы. Направление подходит тем, кому комфортно общаться с компьютером на уровне нулей и единиц.
У такого старта есть слепое пятно: атаки, которыми управляет человек, остаются за кадром, и разбираться в них придётся отдельно. И про закон: разбирать вредоносы для исследования можно, а пользоваться ими и распространять их запрещено.
Откуда идти к этим ролям
Самая удобная стартовая точка для защитных ролей это первая линия SOC. Аналитик L1 разбирает срабатывания правил, отличает атаки от ложных тревог и впитывает всё подряд: реальные атаки, правила обнаружения, действия пентестеров. Требования к L1 выросли, теперь нужно понимать, как действует атакующий, но эти знания можно получить дома.
Из SOC открываются горизонтальные переходы как раз в описанные роли: криминалистику, реагирование на инциденты, анализ вредоносного ПО, киберразведку, threat hunting. Можно расти и вертикально, до руководящих позиций. Для наступательной стороны и AppSec стартом может стать тестирование веб-приложений.
Ещё один фильтр при выборе пути: насколько быстро навык начнёт приносить деньги. Узкая специализация требует долгого погружения и компании, которой такой человек нужен. Роль с понятным спросом позволяет начать работать раньше и добирать опыт уже на позиции.
Как выбрать роль
22 октября в 19:00 мск CyberED проводит онлайн-эфир «Старт в ИБ в 2026–2027: какая роль тебе подходит».
Участники окажутся внутри смоделированной рабочей ситуации в компании и посмотрят на неё глазами разных специалистов по ИБ. По ходу разбора каждый заполнит чек-лист самодиагностики:
- какие типы задач вам интересны;
- какая часть базы у вас уже есть;
- какие пробелы нужно закрыть.
На выходе у вас будут карта направлений, оценка своей базы и гипотеза стартового маршрута. Чек-лист останется у вас, а следующим шагом после эфира можно пройти полный асессмент CyberED.
