Can a Four-Week Sprint Actually Get You Into Security?

คนถามเรื่องนี้บ่อยมากหลังจากเห็นโพสต์ "break into cybersecurity in 30 days"​ คำตอบที่สัตย์ตรง: สี่สัปดาห์จะไม่ทำให้คุณสามารถหางานได้จากศูนย์ แต่มันสามารถทำให้คุณหลุดพ้นได้ถ้าคุณหมุนวนอยู่ในสาขานี้แล้วและไม่เจอโอกาส sprint ทำหน้าที่เป็นแรงบังคับ ไม่ใช่ทางลัด

สิ่งที่สี่สัปดาห์สามารถทำให้เกิดขึ้นได้อย่างสมจริง

ถ้าคุณเริ่มจากพื้นฐานเทคนิคเกือบไม่มีเลย สี่สัปดาห์จะทำให้คุณรู้สึกสบายใจกับ Linux shell พื้นฐาน แนวคิดเครือข่ายพื้นฐาน (subnetting, TCP/UDP, OSI model ในทางปฏิบัติมากกว่าทฤษฎี) และบางทีอาจมีการ walkthrough แบบก่อนหน้านี้ของ beginner box บน TryHackMe หรือ HTB นั่นแหละ นั่นไม่ใช่ศูนย์ แต่มันไม่ใช่ทักษะที่พร้อมหางานเช่นกัน

ถ้าคุณมีพื้นฐานด้านการเขียนโปรแกรมหรือ IT บ้างแล้ว สี่สัปดาห์ก็เพียงพอที่จะไปจาก "ผมเคยอ่านเกี่ยวกับ pentesting" ไปเป็น "ผมได้ root บนเครื่องแปดเครื่องแล้วและอธิบายได้ว่าผมทำอะไร" นั่นคือตำแหน่งที่แตกต่างกันอย่างมีความหมายเมื่อคุณพูดคุยกับ hiring manager หรือสมัครสำหรับบทบาท help desk ที่มีความทะเยอทะยาน ด้านความปลอดภัย

แผนที่ใช้ได้จริง

สัปดาห์ที่ 1: networking และ Linux fundamentals ยังไม่มีเครื่องมือ รู้สึกสบายใจกับ ip a, netstat -tulpn, ss, basic iptables rules, และ SSH key auth ทำเช่นนี้บน VM จริง ไม่ใช่แค่อ่าน ถ้าคุณไม่สามารถอธิบายว่า three-way handshake คืออะไรโดยไม่อ้างอิงได้ในวันที่ 7 ให้อยู่ที่นี่นานขึ้น

สัปดาห์ที่ 2: เลือก lane หนึ่งแล้วเจาะลึกแทนที่จะกว้าง คนส่วนใหญ่ควรเลือกระหว่าง web app basics (เริ่มด้วย OWASP Juice Shop) หรือภาษาสคริปต์ (Python โดยเฉพาะ requests, socket, และ argparse เพื่อให้คุณสามารถเขียนเครื่องมือ recon ขนาดเล็ก) พยายามทำทั้งสองอย่างในหนึ่งสัปดาห์หมายความว่าคุณไม่เรียนรู้อันไหนเลย

สัปดาห์ที่ 3: การฝึกแบบมีโครงสร้างบนแพลตฟอร์มที่มี writeups TryHackMe "Offensive Pentesting" path หรือ HTB Starting Point tier ทำเครื่องอย่างน้อยห้าเครื่อง เขียนบันทึกของคุณเองสำหรับแต่ละอันก่อนที่จะดู writeup แม้แต่บันทึกที่ไม่ดีก็ดีกว่าไม่มี เพราะการเขียนบังคับให้คุณบอกความแตกต่างระหว่างสิ่งที่เกิดขึ้นจริงกับสิ่งที่คุณคิด

สัปดาห์ที่ 4: รวมเข้าเป็นสิ่งที่มองเห็นได้ เลือก two machines ที่ดีที่สุดของคุณและเขียนให้ถูกต้องบน blog หรือ GitHub Pages site เพิ่มสรุปสั้น ๆ ของบันทึก Linux และ networking ของคุณ สัปดาห์นี้คือการแปลงความพยายามสี่สัปดาห์ที่กระจัดกระจายให้เป็น two หรือ three artifacts ที่ recruiter หรือ hiring manager สามารถดูได้จริงๆ

สถานที่ที่คนเสียเวลา

วิธีที่ล้มเหลวที่เลวร้ายที่สุดคือ tool-hopping — กระโดดระหว่าง Nmap, Burp Suite, Metasploit, และ YouTube video "complete guide" ห้าตัวต่างกันโดยไม่จบเครื่องเดียวจากเริ่มต้นถึงสิ้นสุด เลือกเครื่องมือน้อยลงและใช้มันจนกว่ามันจะน่าเบื่อ Nmap ด้วย -sC -sV -p- และความเข้าใจที่มั่นคงเกี่ยวกับสิ่งที่แต่ละ flag return ดีกว่า surface pass บน scanner สิบตัวต่างกัน

วิธีที่ล้มเหลวที่สองคือการข้าม notes เพราะรู้สึกว่าช้ากว่า walkthrough แค่ดู มันไม่ช้ากว่าในทางใด ๆ ที่ไม่สำคัญ บุคคลที่ทำห้าเครื่องด้วย notes จริง ๆ รักษาความจำได้มากกว่าคนที่ดู walkthroughs ยี่สิบตัวแบบ passive

สิ่งที่สี่สัปดาห์จะไม่แก้ไข

มันจะไม่แก้ไข resume ที่ไม่มีประสบการณ์ที่เกี่ยวข้อง มันจะไม่ให้คุณได้งาน pentesting โดยตรง — บทบาท entry ส่วนใหญ่ใน offensive security ยังคงคาดหวัง one หรือ two ปีของงาน IT, sysadmin, หรือ help desk ก่อน หรือ degree บวก internships มิฉะนั้น มันทำให้คุณมี real signal เพียงพอที่จะตัดสินใจว่าเส้นทางนี้เหมาะสำหรับคุณจริงๆ หรือไม่ ก่อนที่คุณจะลงทุนหกเดือนและ Security+ voucher

มันก็ไม่แทน foundational computer science knowledge ด้วย ถ้าคุณไม่รู้ว่า process คืออะไร memory addressing ทำงานอย่างไรในระดับพื้นฐาน หรือทำไม buffer overflow เกิดขึ้น สี่สัปดาห์ของ box-hacking จะรู้สึกเหมือน memorizing spells แทนที่จะเข้าใจระบบ budget เวลาแยกต่างหากสำหรับสิ่งนั้น แม้ว่าจะแค่สองสามชั่วโมงต่อสัปดาห์ควบคู่กับ sprint

ตัดสินใจว่ามันใช้ได้หรือไม่

เมื่อสิ้นสี่สัปดาห์ ถามตัวคุณเองคำถามเพียงหนึ่งข้อที่เป็นรูปธรรม: คุณสามารถนำ unfamiliar Linux target ที่ไม่มี writeup มาและได้ foothold ภายในสองชั่วโมงได้หรือไม่ ถ้าใช่ คุณได้สร้าง real skill และ sprint ได้รับชื่อของมันแล้ว ถ้าไม่ได้ก็ไม่เป็นไร — มันแค่หมายความว่าสัปดาห์ที่ห้าหน้าตาเหมือนสัปดาห์ที่สามมากขึ้น ไม่ใช่ pivot ไปสิ่งใหม่

ถ้า sprint model นี้มีประโยชน์ Korra Studio มี walkthroughs บน Linux fundamentals และ OWASP-style web app basics ที่จับคู่ได้ดีกับสัปดาห์ที่ 1 และ 2 ข้างบน