Карьера в кибербезопасности: какая роль вам подходит

Под работой в безопасности понимают много разных профессий. Одни люди весь день читают алерты в консоли мониторинга. Другие с разрешения тестируют веб-приложения, пишут код, который закрывает такие баги, или по уликам восстанавливают историю скомпрометированного ноутбука. Если вы только начинаете или меняете профессию, быстрее всего выбрать так: сравнить, как выглядит работа изо дня в день, и попробовать одну-две роли на бесплатной практике, прежде чем платить за курс.

В статье восемь распространённых ролей: аналитик SOC, специалист по реагированию на инциденты, инженер по безопасности приложений (AppSec), пентестер, аналитик цифровой криминалистики и реагирования на инциденты (DFIR), аналитик по управлению уязвимостями, аналитик по управлению, рискам и соответствию (GRC) и инженер по безопасности. Для каждой описаны повседневная работа, основные навыки, первый шаг для практики, который ничего не стоит, и статьи Полевого руководства, которые тренируют эти навыки. Последний раздел устроен как рабочий лист: выберите две роли, выпишите по три навыка для каждой и решите, какую статью прочитать первой.

Названия должностей у разных работодателей отличаются. Считайте эти описания примерной картиной работы: конкретная вакансия может включать другое.

#Как устроены роли

#Что такое NICE Framework

NIST описывает NICE Framework как «общий язык для описания работы в кибербезопасности». Фреймворк изложен в NIST Special Publication 800-181 Revision 1, финальная версия вышла в ноябре 2020 года. Рабочие роли в нём сгруппированы по категориям и специализациям, а каждая роль описана через задачи, знания и навыки, которые ей нужны. Этим словарём пользуются работодатели, школы и учебные программы, поэтому вакансия с названием роли часто опирается на язык NICE, даже если добавляет собственные формулировки.

CISA Cyber Career Pathways Tool, опубликованный через National Initiative for Cybersecurity Careers and Studies (NICCS), позволяет выбрать рабочую роль, прочитать её описания и сравнить две роли рядом. В инструменте указано, что он использует NICE Framework Components версии 2.2.0. Для каждой роли ниже названа ближайшая рабочая роль в том виде, в каком она значится в инструменте. Названия ролей во фреймворке широкие (Defensive Cybersecurity, Digital Forensics) и не совпадают с названиями должностей, а компоненты пересматривались после публикации 2020 года, так что проверьте каждую роль в инструменте, прежде чем указывать её в резюме.

#Почему роль важнее инструмента

Новички часто начинают со списка инструментов: Nmap, Burp Suite, Wireshark, Splunk. Инструмент только помогает ответить на вопрос, а сам вопрос задаёт роль. Аналитик SOC спрашивает, описывает ли алерт реальное событие и что ещё делал этот хост. Пентестер спрашивает, до чего злоумышленник мог бы добраться внутри согласованного скоупа. Аналитик GRC спрашивает, соответствуют ли меры контроля описанному риску. Сначала выберите вопрос, инструменты подтянутся за ним.

#Восемь ролей

#1. Аналитик SOC

Ближайшая рабочая роль NICE: Defensive Cybersecurity.

Повседневная работа. Аналитик центра мониторинга безопасности (SOC) разбирает очередь алертов. Каждый алерт проходит триаж: это истинное срабатывание, ложное или случай, на который надо посмотреть внимательнее? Большая часть дня уходит на чтение событий в логах, переход от одного события к соседним, проверку того, вёл ли себя пользователь или хост как обычно, и короткие заметки, понятные другому аналитику. Всё, что похоже на настоящий инцидент, передаётся специалистам по реагированию.

Основные навыки. Чтение логов, знание типичных событий Windows и Linux, основы сетей (DNS, HTTP, порты), написание поисковых запросов, ясная документация и понимание, когда передать дело выше.

Первый бесплатный шаг. На своём компьютере с Windows откройте PowerShell от имени администратора и прочитайте последние 20 событий неудачного входа из журнала Security. Неудачному входу соответствует Event ID 4625. Для этой статьи команда не запускалась, поэтому вы увидите то, что записала ваша машина:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Select-Object TimeCreated, Message

Запишите, что означает каждое событие и знакома ли вам учётная запись. Пустой список тоже результат. Не читайте логи с машин, которые вам не принадлежат.

Прочитать сначала: Что такое SIEM: логи, запросы и алерты, Как работает HTTP, Файлы и права в Linux.

#2. Специалист по реагированию на инциденты

Ближайшая рабочая роль NICE: Incident Response.

Повседневная работа. Эти специалисты подключаются, когда алерт становится инцидентом. Они координируют сдерживание (изолировать хост, отключить учётную запись, заблокировать адрес), устранение (убрать путь доступа, которым воспользовался атакующий) и восстановление. Они ведут хронологию, держат в курсе ИТ, юристов и руководство и решают, когда инцидент окончен. Значительная часть работы состоит в ясной коммуникации под давлением времени.

Основные навыки. Триаж, взвешивание вариантов сдерживания, построение хронологии, написание статусов, понимание того, как фишинг и украденные учётные данные обычно распространяются по сети, и базовое обращение с уликами, чтобы позднейший анализ оставался возможным.

Первый бесплатный шаг. Напишите в обычном текстовом файле хронологию выдуманного инцидента. Например: «10:02 пользователь открывает вложение; 10:04 появляется новая запланированная задача; 10:10 исходящее соединение с неизвестным адресом». Рядом с каждой строкой укажите, какой лог или артефакт это подтвердил бы. Инструменты здесь не нужны. Навык состоит в том, чтобы выстроить факты по порядку и отделить известное от предполагаемого.

Прочитать сначала: Как написать первый отчёт по безопасности, Моделирование угроз по STRIDE, Что такое SIEM?.

#3. Инженер по безопасности приложений (AppSec)

Ближайшая рабочая роль NICE: Software Security Assessment, часто вместе с Secure Software Development.

Повседневная работа. Инженеры AppSec помогают командам разработки избегать уязвимостей до релиза. Они проверяют архитектуру и код, дают безопасные шаблоны и общие библиотеки, настраивают автоматические проверки в сборочных пайплайнах и разбирают находки с разработчиками, которые отвечают за код. Хороший день чаще заканчивается исправленным багом, чем длинным отчётом.

Основные навыки. Основы веба (HTTP, cookie, сессии, правила same-origin), хотя бы один язык программирования, категории OWASP Top 10, валидация ввода и кодирование вывода, чтение чужого кода.

Первый бесплатный шаг. Запустите на своей машине OWASP Juice Shop, намеренно уязвимое веб-приложение. Привяжите его к localhost, чтобы к нему мог обратиться только ваш компьютер. Нужен установленный Docker. Для этой статьи команда не запускалась, так что вывод будет таким, какой напечатает ваше окружение:

docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shop

Откройте в браузере http://localhost:3000, выберите одно задание для начинающих и запишите первопричину и исправление, которое применил бы разработчик. Закончив, остановите контейнер.

Прочитать сначала: OWASP Top 10 для разработчиков, SQL-инъекции на примере Juice Shop, Что такое CSRF и как помогают cookie SameSite.

#4. Пентестер

Ближайшая рабочая роль NICE: с таким названием нет. Роли пентестера в инструменте нет, поэтому ближайшие задачи ищите в Vulnerability Analysis и Threat Analysis.

Повседневная работа. Пентестеры оценивают системы, тестировать которые согласился владелец, в пределах письменного скоупа и правил проведения работ. Они изучают цель, ищут слабые места, подтверждают последствия без ущерба и описывают находки, с которыми разработчик или администратор может работать. Профессиональная ценность во многом заключена в отчёте и в умении судить о том, что важно. Вывод сканера сам по себе находкой не считается.

Основные навыки. Сети, основы веба и служб каталогов, скрипты, дисциплина скоупа, оценка риска по CVSS, написание отчётов и твёрдое понимание того, что такое скоуп.

Первый бесплатный шаг. Прежде чем что-либо трогать, напишите документ о скоупе для своей лаборатории. Возьмите контейнер Juice Shop из шага AppSec или свою виртуальную машину. Перечислите, что входит в скоуп (этот контейнер на localhost, порт 3000), что не входит (всё остальное, включая ваш роутер, сети соседей и любой сайт, который вам не принадлежит), кто разрешил работу, время начала и окончания. Упражнение и есть этот документ. Тестирование начинается только после того, как он появился.

Прочитать сначала: Что такое уязвимость?, Что такое CVSS?, Этика и приватность в OSINT, Как создать изолированную сеть Docker для лабораторий.

#5. Аналитик DFIR

Ближайшая рабочая роль NICE: Digital Forensics.

Повседневная работа. Аналитик DFIR изучает улики с систем, которые могли быть скомпрометированы: образы дисков, снимки памяти, журналы событий, артефакты браузера и файлов. Задача в том, чтобы восстановить произошедшее, записать, как получен каждый вывод, и сохранить улики неизменными. Специалисты по реагированию решают, что делать дальше, а аналитики DFIR с доказательствами объясняют, что случилось.

Основные навыки. Файловые системы, хеши файлов, артефакты Windows и Linux, инструменты анализа дисков и памяти, цепочка хранения улик, аккуратные заметки и столько знаний о вредоносном ПО, чтобы описывать поведение, не запуская образцы на обычной машине.

Первый бесплатный шаг. Вычислите хеш SHA-256 файла, скачанного из надёжного источника. Хеши служат базовым инструментом, который показывает, что улика не менялась. В Git Bash, на выбранном вами файле:

sha256sum ~/Downloads/example.pdf

Запишите вывод рядом с именем файла и датой. Если издатель указывает хеш загрузки, сравните два значения. Проверка хеша читает файл и никогда его не запускает. Не открывайте и не запускайте неизвестные файлы, чтобы посмотреть, что они делают.

Прочитать сначала: Хеши файлов и VirusTotal: этика, Файлы и права в Linux, Что такое Bash: основы оболочки для тех, кто учится безопасности.

#6. Аналитик по управлению уязвимостями

Ближайшая рабочая роль NICE: Vulnerability Analysis.

Повседневная работа. Эти специалисты ведут инвентаризацию активов и их известных слабых мест, решают, что исправлять в первую очередь, отслеживают ответственных и сроки и отчитываются о ходе работ. Самое сложное здесь — расстановка приоритетов. Сканер может выдать тысячи находок, а работа состоит в том, чтобы решить, какие важны для этой организации на этой неделе с учётом того, что открыто в интернет и от чего зависит бизнес.

Основные навыки. Инвентаризация активов, чтение записей CVE и CVSS, понимание циклов патчинга, приоритизация на основе риска, работа с владельцами систем и процессы на тикетах.

Первый бесплатный шаг. Откройте недавнюю CVE на публичном сайте NVD (nvd.nist.gov). Прочитайте описание и вектор CVSS. Затем напишите три предложения: в чём заключается уязвимость, какие условия нужны атакующему и что сделал бы ответственный владелец в своей системе. Такие публичные запросы безвредны. Не отправляйте запросы к системам, которые вам не принадлежат, и не тестируйте их.

Прочитать сначала: Что такое уязвимость?, Что такое CVSS?.

#7. Аналитик GRC

Ближайшая рабочая роль NICE: Security Control Assessment, пересекается с Cybersecurity Policy and Planning.

Повседневная работа. Аналитики GRC (управление, риски и соответствие) превращают требования безопасности в политики, меры контроля и свидетельства. Они ведут реестры рисков, собирают свидетельства для аудитов, проверяют, выполняют ли поставщики условия договора, и помогают руководителям решить, какие риски принять, снизить или передать. Терминал в этой работе нужен редко. Большая её часть состоит во внимательном чтении и сверке письменных заявлений с тем, что системы делают на деле.

Основные навыки. Написание политик, оценка рисков, распространённые фреймворки вроде NIST Cybersecurity Framework и ISO/IEC 27001, сбор свидетельств, интервью с заинтересованными сторонами и умение писать простым языком.

Первый бесплатный шаг. Составьте реестр рисков на одну страницу для своего ноутбука. Возьмите пять строк: потеря устройства, слабый пароль, устаревшая операционная система, фишинг и сбой резервного копирования. Для каждой строки простыми словами напишите вероятность и последствия, меру контроля, которую вы применяете сегодня, и один следующий шаг. Храните всё в текстовом файле. Если вы можете одним предложением объяснить, зачем нужна мера контроля, вы уже делаете эту работу.

Прочитать сначала: Моделирование угроз по STRIDE, Что такое HTTPS и TLS?, Шифрование, кодирование и хеширование: в чём разница.

#8. Инженер по безопасности

Ближайшая рабочая роль NICE: Cybersecurity Architecture и Secure Systems Development.

Повседневная работа. Инженеры по безопасности проектируют и строят защитные системы: управление идентификацией и доступом, единый вход и многофакторную аутентификацию, сегментацию сети, управление секретами, базовые безопасные конфигурации и пайплайны обнаружения. Они работают на стыке разработки и эксплуатации и после деплоя проверяют, работает ли мера контроля. Одного факта установки им мало.

Основные навыки. Администрирование операционных систем (Linux или Windows), криптография на уровне применения (ключи, хеширование, TLS), идентификация и минимальные привилегии, инфраструктура как код, скрипты и аккуратное управление изменениями.

Первый бесплатный шаг. Создайте на своей машине пару ключей SSH и разберитесь, какой файл публичный. Для этой статьи команда не запускалась, поэтому вывод зависит от вашей настройки. Когда появится запрос, задайте парольную фразу:

ssh-keygen -t ed25519 -f ~/.ssh/lab_ed25519 -C "lab key"

Затем посмотрите содержимое ~/.ssh. Файл с расширением .pub можно передавать другим. Файл без расширения содержит приватный ключ, и ему нельзя попадать ни в чат, ни в коммит, ни на скриншот.

Прочитать сначала: Публичные и приватные ключи, Что такое SSH и как работают ключи SSH?, Как работает хеширование паролей с Argon2id.

#Выбор с помощью рабочего листа

В этой статье нет лабораторной работы, для которой нужен сервер. Упражнение сводится к самооценке и занимает около 30 минут.

1. Выберите из списка две интересные вам роли, даже если не уверены, что справитесь.
2. Для каждой роли запишите три навыка, которые у вас уже есть, и три, которые придётся развить. Будьте честны. «Читать логи» и «работать с Linux» подойдут, если вы умеете это сегодня.
3. Для начала выберите из списка «Прочитать сначала» по одной статье Полевого руководства на каждую роль.
4. Сделайте первый бесплатный шаг для каждой роли. Отметьте, что заняло больше времени, чем вы ожидали.
5. Найдите обе роли в CISA Cyber Career Pathways Tool и сравните их описания рядом.

Скопируйте этот шаблон в текстовый файл:

Role 1:
  Skills I have:
    1.
    2.
    3.
  Skills I need to build:
    1.
    2.
    3.
  Article to start with:
  First practice step done on (date):
  What surprised me:

Role 2:
  (same lines as above)

Рабочий лист готов, когда вы можете в двух предложениях сказать, какую роль попробуете первой и почему.

#Частые ошибки

Выбор только по названию. У разных работодателей одно и то же название означает разное. Прежде чем решать, прочитайте о повседневной работе и навыках.

Старт с наступательных инструментов. Умение запустить сканер не научит понимать его вывод. Сначала разберитесь, как работают сети, веб-запросы и права в Linux.

Пропуск скоупа. Любая практика на системе, которая вам не принадлежит, создаёт юридическую и этическую проблему, даже если цель выглядит безобидной. В этой статье начинать можно только с собственного контейнера, собственной машины и явного письменного скоупа.

Законченный курс как доказательство. Сертификат показывает, что вы учились. Хронология, реестр рисков, документ о скоупе или исправленный баг показывают, что вы умеете делать. Сохраняйте результаты каждого шага практики.

Запуск неизвестных файлов, чтобы посмотреть, что они делают. Используйте хеши, открывайте файл в текстовом просмотрщике или читайте документацию. Запускать их можно в контролируемой лаборатории, но не на компьютере, которым вы пользуетесь каждый день.

#Что дальше

Когда в рабочем листе появятся две роли, прочитайте описания рабочих ролей NICE для каждой в инструменте CISA. Некоторые роли также ведут к микрозаданиям TryCyber с небольшими практическими упражнениями на основные задачи. Затем пройдите статьи Полевого руководства в порядке, указанном для вашей первой роли. Через месяц вернитесь к рабочему листу и дополните его тем, что вы сделали на самом деле.

Если вы просите ИИ-ассистента объяснить строку лога или фрагмент кода, сверяйте ответ с официальной документацией по этому событию или языку. Объяснение годится как отправная точка для самостоятельного чтения, источником оно считаться не может.

Полевое руководство издаёт NotHoly. Ни один из шагов выше не требует аккаунта NotHoly или ИИ-ассистента.

#Источники

• NIST, NICE Framework Resource Center: https://www.nist.gov/itl/applied-cybersecurity/nice/nice-framework-resource-center
• NIST, SP 800-181 Revision 1, Workforce Framework for Cybersecurity (NICE Framework): https://csrc.nist.gov/pubs/sp/800/181/r1/final
• CISA, NICCS Cyber Career Pathways Tool: https://niccs.cisa.gov/workforce-development/cyber-career-pathways-tool