데이터 분석가가 사이버보안으로 이직할 수 있을까?

데이터 분석가들이 자주 받는 질문이고, 솔직한 답은 이직이 대부분의 사람들이 생각하는 것보다 훨씬 빠르다는 것이다. 당신은 이미 복잡한 데이터셋을 쿼리하고, 이상값을 찾고, 기술이 아닌 이들에게 발견사항을 설명하는 방법을 알고 있다. 보안 팀은 정확히 그것이 필요한데, 판매 수치 대신 로그에 적용되어야 한다.

실제로 이전되는 기술

SQL은 당신이 생각하지 못하는 가장 큰 자산이다. Splunk(SPL), Elastic(KQL/Lucene), Microsoft Sentinel(KQL) 같은 SIEM 도구들은 모두 SQL의 친척 같은 쿼리 언어를 사용한다. HAVING 절과 함께 GROUP BY를 사용해 비정상적인 주문량의 계정을 찾아본 경험이 있다면, 비정상적인 로그인 활동을 보이는 계정을 찾는 쿼리를 한 주 안에 배울 수 있다. 몇 개월이 아니라 말이다.

대시보드 경험도 중요하다. Tableau나 Power BI 대시보드를 만들어본 분석가는 이미 원본 이벤트를 임원이 5초간 보고 핵심을 파악할 수 있는 무언가로 바꾸는 방법을 이해하고 있다. SOC 대시보드도 그 같은 명확성이 있어야 한다.

부족한 것은 맥락이다: TCP/IP가 실제로 어떻게 작동하는지, 정상적인 Windows 인증 이벤트가 의심스러운 것과 어떻게 다른지, 공격자가 네트워크에 들어온 후 어떻게 움직이는지. 배울 수 있지만 실제 작업이 필요하고 주말이 아닌 3~6개월의 꾸준한 공부를 계획해야 한다.

부족한 부분을 순서대로 구축하기

도구가 아닌 네트워킹 기초부터 시작하자. 패킷 캡처가 의미를 갖기 전에 3-way TCP 핸드셰이크가 정확히 무엇인지, DNS 해석이 어떻게 작동하는지, ARP가 뭘 하는지 진정으로 이해해야 한다. Jason의 "Computer Networking" 과정이나 무료 Cisco NetAcad 자료 몇 주는 Wireshark로 바로 뛰어드는 것보다 훨씬 가치 있다.

그 다음 보안 관점에서 하나의 운영체제를 깊이 있게 배우자. SOC/블루팀 업무를 원한다면 Windows를 선택하자(대부분의 엔터프라이즈 환경은 Windows 중심이다) — 4624(성공한 로그온)와 4625(실패한 로그온) 같은 Event ID를 배우고, Active Directory 기초를 이해하며, 로그 수집을 위해 PowerShell에 익숙해지자.

그 후 SIEM을 실제로 경험해보자. TryHackMe의 SOC Level 1 경로와 LetsDefend는 이론이 아닌 실제 도구 인터페이스를 사용하는 실제 경보 분류 시나리오를 제공한다. 데이터 배경이 전혀 없는 사람보다 거짓 양성 패턴을 더 빨리 인식할 것이다.

실제로 문을 여는 자격증

실제 경험 시간이 있기 전에 자격증을 모으는 유혹을 건너뛰자. 대부분의 경력 전환자에게 작동하는 순서:

1. CompTIA Security+ — HR 필터를 통과하고, 어차피 필요한 용어를 다룬다
2. CompTIA CySA+ 또는 Blue Team Level 1(BTL1) — 둘 다 로그 분석과 탐지를 강조하며, 당신의 강점을 활용한다
3. GIAC GCIA 또는 Splunk 자격증 — 나중에, SOC 역할에 들어가서 전문화하고 싶을 때

Security+만으로는 실제 경험 증거 없이 고용되지 않을 것이다. 실제로 경보를 분류한 홈 랩과 짝을 맞추자.

면접을 위해 자신을 포지셔닝하기

분석가 배경을 숨기지 말고 직접 판매하자. 채용 담당자가 보안으로 이직하고 싶은 이유를 물으면 이런 식으로 말하자: