Un sprint de quatre semaines peut-il vraiment vous lancer en sécurité ?

On me le demande souvent après avoir vu des posts "devenir expert en cybersécurité en 30 jours". La réponse honnête : quatre semaines ne vous rendront pas employable à partir de zéro, mais ça peut absolument vous débloquer si vous tournez déjà autour du domaine sans trouver votre place. Le sprint fonctionne comme un mécanisme de force, pas comme un raccourci.

Ce que quatre semaines peuvent réalistement produire

Si vous partez d'une formation technique quasi-nulle, quatre semaines vous rendent à l'aise avec un shell Linux, les concepts réseau de base (subnetting, TCP/UDP, le modèle OSI en pratique plutôt qu'en théorie), et peut-être une présentation guidée d'une machine débutante sur TryHackMe ou HTB. C'est tout. Ce n'est pas rien, mais ce n'est pas non plus un ensemble de compétences prêt pour un emploi.

Si vous avez déjà une formation en programmation ou en informatique, quatre semaines suffisent pour passer de "j'ai lu des choses sur le pentesting" à "j'ai compromis huit machines et je peux expliquer ce que j'ai fait". C'est une position significativement différente quand vous parlez à un responsable du recrutement ou que vous postulez pour un rôle de support technique avec des aspirations en sécurité.

Le plan qui marche vraiment

Semaine 1 : fondamentaux réseau et Linux, pas d'outils encore. Mettez-vous à l'aise avec ip a, netstat -tulpn, ss, les règles iptables basiques, et l'authentification par clé SSH. Faites-le sur une vraie VM, pas juste en lisant. Si vous ne pouvez pas expliquer une poignée de main TCP (three-way handshake) sans notes au jour 7, restez ici plus longtemps.

Semaine 2 : choisissez une direction et allez en profondeur au lieu d'aller large. La plupart devraient choisir soit les bases des applications web (commencez par OWASP Juice Shop) soit un langage de script (Python, spécifiquement requests, socket, et argparse pour pouvoir écrire de petits outils de reconnaissance). Essayer de faire les deux en une semaine veut dire que vous n'apprenez ni l'un ni l'autre.

Semaine 3 : pratique structurée sur une plateforme avec des writeups, le parcours "Offensive Pentesting" de TryHackMe ou le Starting Point de HTB. Faites au moins cinq machines. Écrivez vos propres notes pour chacune avant de vérifier un writeup — même les mauvaises notes valent mieux que rien, car l'acte d'écrire vous force à articuler ce qui s'est réellement passé versus ce que vous pensez qu'il s'est passé.

Semaine 4 : consolider en quelque chose de visible. Choisissez vos deux meilleures machines et écrivez-les correctement sur un blog ou un site GitHub Pages. Ajoutez un court résumé de vos notes Linux et réseau. Cette semaine, c'est pour transformer quatre semaines d'efforts dispersés en deux ou trois artefacts qu'un recruteur ou responsable du recrutement peut vraiment regarder.

Où les gens gaspillent le temps

Le plus gros piège est le saut d'outils — passer entre Nmap, Burp Suite, Metasploit, et cinq vidéos YouTube différentes de "guide complet" sans terminer une seule machine de bout en bout. Choisissez moins d'outils et utilisez-les jusqu'à ce qu'ils deviennent barbants. Nmap avec -sC -sV -p- et une solide compréhension de ce que chaque flag retourne vaut mieux qu'un passage en surface sur dix scanners différents.

Le deuxième piège est de sauter les notes parce que ça semble plus lent que juste regarder un walkthrough. Ce n'est pas plus lent d'aucune façon qui compte. Une personne qui fait cinq machines avec de vraies notes retient plus que quelqu'un qui regarde passivement vingt walkthroughs.

Ce que quatre semaines ne vont pas régler

Ca ne va pas régler un CV avec zéro expérience pertinente. Ca ne va pas vous décrocher un emploi en pentesting directement — la plupart des rôles débutants en sécurité offensive attendent toujours un an ou deux d'IT, d'administration système, ou de travail en support technique en premier, ou un diplôme plus des stages. Ce que ça fait, c'est vous donner assez de signal réel pour décider si ce chemin est vraiment pour vous avant d'investir six mois et un voucher Security+ dedans.

Ca ne va pas non plus remplacer les connaissances fondamentales en informatique. Si vous ne savez pas ce qu'est un processus, comment fonctionne l'adressage mémoire au niveau basique, ou pourquoi un débordement de mémoire (buffer overflow) se produit, quatre semaines de box-hacking ressembleront à mémoriser des formules magiques au lieu de comprendre un système. Budgétisez du temps séparé pour ça, même si c'est juste quelques heures par semaine en même temps que le sprint.

Décider si ça a marché

Au bout de quatre semaines, posez-vous une question concrète : pouvez-vous prendre une cible Linux inconnue sans writeup et obtenir un accès en deux heures ? Si oui, vous avez construit de vraies compétences et le sprint a justifié son nom. Si non, ce n'est pas grave non plus — ça veut juste dire que la semaine cinq ressemble à plus de semaine trois, pas un pivot vers quelque chose de nouveau.

Si ce modèle de sprint est utile, Korra Studio a des walkthroughs sur les fondamentaux Linux et les bases des applications web de style OWASP qui vont bien avec les semaines un et deux ci-dessus.