Как перейти в кибербезопасность из другой сферы?

Что на самом деле переносится, а что нет

Если вы приходите из IT-поддержки, системного администрирования, сетевой инженерии или разработки ПО, довольно многое переносится напрямую. Понимание того, как сети маршрутизируют трафик, как операционные системы управляют правами доступа, как приложения общаются с базами данных — это фундамент, на котором строится анализ кибербезопасности. Вы не сможете анализировать подозрительный вход, если не знаете, как выглядит нормальный. Время, проведённое в helpdesk или NOC, значит больше, чем признаёт большинство руководств по смене карьеры, потому что вы уже видели системы изнутри.

Если вы приходите из действительно несмежной области — преподавание, юриспруденция, управление розничной торговлей, маркетинг — переносимого материала меньше, и он более общий: внимание к деталям, написание чётких заметок об инцидентах, работа под давлением, когда что-то активно идёт не так, следование процессу без пропуска шагов из-за скуки. Реальные навыки, но сами по себе недостаточные. Аналитики безопасности проводят много времени за чтением логов, а вы не можете читать лог, который не понимаете.

Что не переносится, независимо от области: знакомство с SIEM (Splunk, Microsoft Sentinel, QRadar), с фреймворком MITRE ATT&CK как рабочим справочником, а не чем-то прочитанным однажды, с тем, как SOC на практике сортирует очередь оповещений, с разницей между ложным срабатыванием и чем-то, что выглядит как таковое, но им не является. Ничего из этого не приходит из смежного опыта. Это приходит только через практику — в лаборатории или на работе, и обойти это невозможно.

Путь через сертификацию и когда это действительно путь

Начальный уровень: CompTIA Security+ — ближайшее к признанному минимуму. Она упоминается во многих требованиях к младшим позициям, частично потому что некоторые организации всё ещё сопоставляют роли с директивой US DoD 8570, которая её называет, и частично потому что она сигнализирует о базовых знаниях без требования многолетней подготовки. Это не лицензия — никому она не нужна по закону — и сама по себе не принесёт вам приглашения на собеседование. Рассматривайте её как доказательство владения терминологией, а не как квалификацию.

Далее область разделяется по специализациям, а не следует единой лестнице. Если вы нацелены на роль SOC-аналитика, GSEC или GCIH от GIAC и курсы SANS за ними уважаемы, но дороги, и обычно оплачиваются работодателями, а не индивидуально — стоит знать, прежде чем вкладывать свои деньги. Если вы нацелены на тестирование на проникновение, практические сертификации с экзаменом в лаборатории (OSCP — та, о которой спрашивают по названию) весят больше, чем с множественным выбором, потому что проверяют, можете ли вы это действительно делать. Если вы нацелены на управление, риски и соответствие, а не на технический анализ, важны CISM или CISSP, но CISSP конкретно требует пяти лет оплачиваемого опыта в области для получения полной сертификации — вы можете сдать экзамен раньше и держать статус "Associate of ISC2", пока набираете время, но не можете использовать это, чтобы пропустить срок.

Для аналитика кибербезопасности нет лицензирующего органа, как для электрика или финансового консультанта. Никто не может вас исключить. Это палка о двух концах: это означает, что путь не контролируется одним экзаменом, но также означает, что сами по себе сертификаты мало что доказывают, потому что нет недостатка в людях, которые их сдали, но ещё не могут делать работу. Работодатели это знают, поэтому сертификации чаще помогают пройти отбор на собеседование, чем нанимают вас напрямую.

Домашняя лаборатория значит больше, чем большинство ожидает. Развернуть небольшую сеть в VirtualBox или Proxmox, намеренно неправильно её настроить, затем найти и записать, что вы сломали — это доказательство того образа мышления, который нужен для работы, и это то, на что вы можете указать в заявке, чего не даёт общий IT-бэкграунд.

Что должно преодолеть ваше резюме

Резюме смены карьеры имеет две проблемы, и это разные проблемы, требующие разных решений.

Первая — фильтр отбора. Многие младшие позиции в безопасности написаны с "1-2 года опыта SOC" или "возможность получения допуска" в первом абзаце, и системы отслеживания кандидатов или скучающий рекрутер будут фильтровать буквально. Если ваше резюме не содержит слов, соответствующих объявлению — SIEM, реагирование на инциденты, сканирование уязвимостей, что бы ни называлось в конкретном объявлении — вы можете никогда не дойти до человека, который бы прочитал дальше. Это реальный механизм, а не миф, хотя насколько строго конкретная система его применяет, варьируется, и никто вне поставщика не может точно сказать, как конкретный инструмент взвешивает конкретный термин.

Вторая — реальное сомнение в голове менеджера по найму: может ли этот человек отличить реальный инцидент от шума под давлением времени. Ничто в резюме это не доказывает, кроме свидетельства того, что вы это делали, даже в миниатюре. Поэтому домашняя лаборатория, платформы Capture The Flag (TryHackMe, HackTheBox) и любой отчёт об инциденте, который вы можете создать, значат здесь больше, чем при большинстве смен карьеры — это ближайшее к образцу работы, что вы можете создать до того, как кто-то даст вам работу для получения образца работы.

Практическое решение: поместите свой опыт и инструменты, относящиеся к безопасности, в первую треть резюме, а не закапывайте под прежними должностями. Если вы провели пять лет системным администратором, начните с правил firewall, которые вы писали, и проверок доступа, которые проводили, а не с "отвечал за поддержку серверов". Называйте конкретные инструменты из объявления, если действительно их использовали, и не заявляйте о тех, которых не было — техническое собеседование для этой роли обычно включает сценарий или вопрос, специфичный для инструмента, и это быстро выявляет пробелы.

Ожидайте технического отбора даже для младших ролей: фрагменты логов для интерпретации, сценарий ("пользователь сообщает, что его ноутбук работает медленно, и антивирус что-то отметил, что вы проверите первым"), иногда письменное упражнение по отчёту об инциденте. Это одна из наиболее тестируемых начальных tech-должностей, и это работает в обе стороны — сложнее подделать, но также сложнее быть отвергнутым по причинам, которые вы никогда не узнаете, потому что тест перед вами, а не скрыт в фильтре.

Сколько это реально занимает времени, честно

С нуля без IT-бэкграунда: ожидайте год или больше, прежде чем станете убедительным младшим кандидатом, и это если вы учитесь и строите лабораторию последовательно параллельно с тем, чем занимаетесь сейчас. Security+ обычно требует нескольких месяцев учёбы на неполный рабочий день для правильной сдачи. Создание достаточного практического доказательства для прохождения технического отбора занимает больше времени, чем сдача экзамена — сертификация это быстрая часть, часы в лаборатории — медленная.

Из IT-бэкграунда (helpdesk, системное администрирование, сетевая поддержка): шесть месяцев — год более реалистичный диапазон для становления конкурентоспособным для младших ролей SOC или аналитика, потому что вы не начинаете базовые технические знания с нуля. Некоторые переходят в смежную с безопасностью роль у текущего работодателя, что обычно самый короткий путь, потому что полностью избегает проблемы отбора по резюме — вы уже внутри, и кто-то уже доверяет вам доступ.

Из несмежной области: будьте честны с собой, что год оптимистичен, а полтора-два года обычны, если вы строите и IT-основу, и слой безопасности поверх неё, на неполный рабочий день, параллельно с существующей работой. Это не разочарование, а факт планирования — те, кто движется быстрее всего, обычно имеют конкретную причину (сокращение, курс с фиксированной датой окончания, менеджер, готовый спонсировать латеральный переход), а не открытое "когда-нибудь".

Путь не закрыт. Он действительно открыт для меняющих карьеру так, как некоторые технические области не являются, частично потому что в индустрии признанная нехватка младших и средних аналитиков, и частично потому что нет единых лицензионных врат для прохождения. Но он не быстрый, и ничто на этой странице не сделает его быстрым. Что варьируется — проводите ли вы год, делая вещи, которые производят доказательства — лабораторию, отчёт, сертификацию, привязанную к конкретной целевой роли — или проводите его, читая о области без построения чего-либо, на что может посмотреть менеджер по найму.

Что делать дальше

Выберите одну специализацию для начала — SOC-аналитик, GRC или трек pentesting — потому что сертификации, язык в вашем резюме и вопросы на собеседовании различаются в зависимости от того, за чем вы гонитесь, и "кибербезопасность" как недифференцированная цель усложняет написание фокусированной заявки. Сдайте Security+, если ещё не сдали, постройте домашнюю лабораторию, которую можете описать одним абзацем и защитить на собеседовании, и перепишите резюме так, чтобы работа, относящаяся к безопасности, была в первой трети страницы, соответствуя фактическим словам в объявлении, на которое подаёте заявку.

Если узким местом для вас сейчас является поиск ролей, которые действительно подходят тому, что у вас уже есть, а не тому, что объявление предполагает как бэкграунд "аналитика кибербезопасности", jobmarket.pro читает полное объявление относительно вашего реального профиля и говорит, где соответствие реальное, а где нет, прежде чем что-то готовить.