Czy czterotygodniowy sprint rzeczywiście może wprowadzić cię w cyberbezpieczeństwo?

Ludzie pytają o to często po zobaczeniu postów "wdarj się w cyberbezpieczeństwo w 30 dni". Szczera odpowiedź: cztery tygodnie nie sprawią, że będziesz zatrudnialny z zera, ale mogą cię całkowicie odblokować, jeśli już krążysz wokół tego pola i nie znalazłeś uziemienia. Sprint działa jako funkcja wymuszająca, nie jako skrót.

Co cztery tygodnie mogą realnie wyprodukować

Jeśli zaczynasz od niemal zera doświadczenia technicznego, cztery tygodnie sprawią, że będziesz wygodnie obsługiwać shell Linux, podstawowe koncepcje sieciowe (subnetting, TCP/UDP, model OSI w praktyce zamiast teorii) i być może jeden przewodnik dla początkujących po maszynie na TryHackMe lub HTB. To wszystko. To nie jest nic, ale to też nie jest umiejętność gotowa do pracy.

Jeśli już masz jakieś doświadczenie w programowaniu lub IT, cztery tygodnie wystarczają, aby przejść od "czytałem o pentestingu" do "mam zrootowane osiem maszyn i potrafię wyjaśnić co zrobiłem". To jest istotnie inna pozycja kiedy rozmawiasz z menadżerem zatrudniającym albo aplikujesz na stanowisko help desk z aspiracjami bezpieczeństwa.

Plan który rzeczywiście działa

Tydzień 1: fundamenty sieciowe i Linux, jeszcze bez narzędzi. Zaznajom się z ip a, netstat -tulpn, ss, podstawowymi regułami iptables i SSH key auth. Rób to na prawdzywej maszynie wirtualnej, nie tylko czytając. Jeśli nie potrafisz wyjaśnić czym jest three-way handshake bez notatek do dnia 7, zostań tutaj dłużej.

Tydzień 2: wybierz jeden kierunek i idź głęboko zamiast szeroko. Większość powinna wybrać między podstawami aplikacji webowych (zacznij od OWASP Juice Shop) albo językiem skryptowym (Python, konkretnie requests, socket i argparse, żeby móc pisać małe narzędzia reconnaissance). Próba robienia obu w jeden tydzień oznacza że nie nauczysz się żadnego.

Tydzień 3: ustrukturyzowana praktyka na platformie z writeupami, ścieżka "Offensive Pentesting" TryHackMe lub Starting Point tier HTB. Zrób co najmniej pięć maszyn. Napisz własne notatki dla każdej zanim sprawdzisz writeup — nawet złe notatki są lepsze niż nic, bo sam akt pisania zmusza cię do artykułowania co rzeczywiście się stało w porównaniu z tym co myślisz że się stało.

Tydzień 4: skonsoliduj w coś widocznego. Wybierz swoje dwie najlepsze maszyny i napisz je porządnie na blogu albo stronie GitHub Pages. Dodaj krótkie podsumowanie swoich notatek Linux i sieciowych. Ten tydzień chodzi o zamienianie czterech tygodni rozproszonego wysiłku w dwa lub trzy artefakty, które rekruter albo menadżer zatrudniający mogą rzeczywiście obejrzeć.

Gdzie ludzie tracą czas

Najwększym trybem niepowodzenia jest skakanie po narzędziach — przeskakiwanie między Nmap, Burp Suite, Metasploit i pięcioma różnymi "kompletnym przewodnikami" na YouTube bez ukończenia żadnej pojedynczej maszyny od początku do końca. Wybierz mniej narzędzi i używaj ich aż będą nudne. Nmap z -sC -sV -p- i solidnym zrozumieniem co każda flaga zwraca bije pobieżne przejście przez dziesięć różnych skanerów.

Drugi tryb niepowodzenia to pomijanie notatek bo czuje się wolniej niż tylko oglądanie walkthrough. Nie jest wolniej w żaden sposób który ma znaczenie. Osoba która robi pięć maszyn z rzeczywistymi notatkami zatrzymuje więcej niż ktoś który biernie ogląda dwadzieścia walkthroughów.

Co cztery tygodnie nie naprawią

Nie naprawią CV z zerowym doświadczeniem. Nie dostaną ci pracy pentestingu od razu — większość stanowisk entry-level w offensive security nadal oczekuje rok albo dwa doświadczenia IT, sysadmin albo help desk, albo stopnia naukowego plus staże. Co robi to daje ci wystarczająco dużo rzeczywistego sygnału żeby zdecydować czy ta ścieżka jest dla ciebie zanim poświęcisz sześć miesięcy i voucher Security+ na to.

Also nie zastąpi podstawowej wiedzy z informatyki. Jeśli nie wiesz co to jest proces, jak adresowanie pamięci działa na poziomie podstawowym albo dlaczego buffer overflow się zdarza, cztery tygodnie box-hackingu będzie się czuć jak zapamiętywanie zaklęć zamiast rozumienia systemu. Zaplanuj osobny czas na to, nawet jeśli to tylko kilka godzin tygodniowo obok sprintu.

Decydując czy to zadziałało

Po czterech tygodniach, zadaj sobie jedno konkretne pytanie: czy potrafisz wziąć nieznaną maszynę Linux bez writeupa i zdobyć foothold w ciągu dwóch godzin? Jeśli tak, zbudowałeś rzeczywistą umiejętność i sprint zasłużył na swoją nazwę. Jeśli nie, to też w porządku — to po prostu oznacza że tydzień piąty wygląda jak więcej tygodnia trzeciego, nie zmiana na coś nowego.

Jeśli ten model sprintu jest przydatny, Korra Studio ma walkthroughy na fundamenty Linux i podstawy aplikacji webowych w stylu OWASP, które dobrze się łączą z tygodniami jeden i dwa wyżej.