Может ли аналитик данных перейти в кибербезопасность?

Аналитиков данных постоянно об этом спрашивают, и честный ответ в том, что переход короче, чем кажется большинству. Вы уже умеете запрашивать грязные датасеты, находить выбросы и объяснять результаты нетехническим заинтересованным сторонам. Командам безопасности нужно именно это, просто применённое к логам вместо цифр продаж.

Что на самом деле переносится

SQL — ваш главный актив, о котором вы не думаете. SIEM-инструменты вроде Splunk (SPL), Elastic (KQL/Lucene) и Microsoft Sentinel (KQL) используют языки запросов, которые работают как SQL кузены. Если вы писали GROUP BY с HAVING для поиска аккаунтов с необычным объёмом заказов, вы сможете написать запрос для поиска аккаунтов с необычной активностью входов за неделю, а не за семестр.

Опыт работы с дашбордами тоже имеет значение. Аналитики, которые строили дашборды в Tableau или Power BI, уже понимают, как превратить сырые события в то, на что директор посмотрит пять секунд и разберётся. SOC-дашборды живут и умирают от этой же ясности.

Вам не хватает контекста: как на самом деле работает TCP/IP, как выглядит нормальное событие аутентификации Windows в сравнении с подозрительным, и как злоумышленники движутся внутри сети. Это можно выучить, но это требует работы и нужно запланировать три-шесть месяцев целенаправленного обучения, а не выходные.

Стройте пробелы в знаниях по порядку

Начните с основ сетей, не с инструментов. Вам нужно по-настоящему разобраться, что такое трёхшаговое TCP рукопожатие, как работает разрешение DNS и что делает ARP перед тем, как смысл захватов пакетов станет понятен. Несколько недель с курсом Jason "Computer Networking" или бесплатным материалом Cisco NetAcad дают больше, чем прыгать прямо в Wireshark.

Потом глубоко изучите одну операционную систему со стороны безопасности. Выберите Windows, если хотите работать в SOC/синей команде (большинство корпоративных сред работают на Windows) — выучите Event ID вроде 4624 (успешный вход) и 4625 (неудачный вход), разберитесь в основах Active Directory и освойте PowerShell для извлечения логов.

После этого потренируйтесь с SIEM. TryHackMe SOC Level 1 path и LetsDefend дают реальные сценарии сортировки оповещений с использованием реальных интерфейсов инструментов, не просто теорию. Здесь включаются ваши инстинкты аналитика — вы будете выявлять паттерны ложных срабатываний быстрее, чем кто-то без опыта работы с данными.

Сертификаты, которые реально открывают двери

Сопротивляйтесь искушению собирать сертификаты до того, как у вас будут какие-то практические часы. Порядок, который работает для большинства меняющих карьеру:

1. CompTIA Security+ — проходит HR-фильтры, охватывает терминологию, которая вам нужна в любом случае
2. CompTIA CySA+ или Blue Team Level 1 (BTL1) — оба сильно опираются на анализ логов и обнаружение, что играет на ваши сильные стороны
3. GIAC GCIA или сертификаты Splunk — позже, когда вы уже в SOC и хотите специализироваться

Security+ одной недостаточно для получения предложения без опыта в лаборатории. Сочетайте это с домашней лабораторией, где вы реально сортировали оповещения.

Позиционируйте себя для собеседования

Не скрывайте своё прошлое аналитика — продавайте это напрямую. Когда менеджер по найму спросит, почему вы хотите перейти в безопасность, скажите что-то вроде: