Dört Haftalık Sprint Seni Güvenliğe Getirebilir mi?

İnsanlar bunu çok soruyor "siber güvenliğe 30 günde gir" gönderileri gördükten sonra. Dürüst cevap: dört hafta seni sıfırdan çalışabilir yapmaz, ama alan içinde dolanıp henüz ilerleme bulamadıysan kesinlikle seni kurtarabilir. Sprint bir kısayol değil, bir zorlama fonksiyonu olarak çalışır.

Dört hafta gerçekçi olarak ne üretebilir

Eğer neredeyse sıfır teknik geçmiş ile başlıyorsan, dört hafta seni Linux shell ile, temel ağ kavramları ile (subnetting, TCP/UDP, OSI modeli pratikte teori yerine) rahat hale getirir ve belki TryHackMe veya HTB'deki başlangıç seviye bir kutuyu bir kez yaparsın. Hepsi bu. Bu hiçbir şey değil ama işe hazır bir skillset de değil.

Eğer zaten biraz programlama ya da IT geçmişin varsa, dört hafta "pentestting hakkında okudum" durumundan "sekiz makineyi root yaptım ve yaptığımı açıklayabilirim" durumuna geçmek için yeterli. İşe alım müdürü ile konuşurken ya da güvenlik özlemli help desk rolüne başvururken bu anlamlı bir fark.

Gerçekten işe yarayan plan

Hafta 1: ağ ve Linux temelleri, henüz hiç araç yok. ip a, netstat -tulpn, ss, temel iptables kuralları ve SSH key auth ile rahat ol. Bunu gerçek bir VM'de yap, sadece okumayarak değil. 7. günde üç yönlü handshake'i notlar olmadan açıklayamazsan, burada daha uzun kal.

Hafta 2: bir şerit seç ve geniş yerine derine git. Çoğu insan ya web uygulaması temellerini (OWASP'nin Juice Shop ile başla) ya da betik dilini (Python, spesifik olarak requests, socket ve argparse böylece küçük keşif araçları yazabilirsin) seçmeli. Bir haftada her ikisini yapmak ne öğrendiğini anlamına gelir.

Hafta 3: yazılarla birlikte bir platformda yapılandırılmış pratik, TryHackMe'nin "Offensive Pentesting" yolu ya da HTB'nin Starting Point seviyesi. En az beş makine yap. Bir yazıya baktığından önce her biri için kendi notlarını yaz — kötü notlar hiç olmamaktan iyidir, çünkü yazı yazma eylemi gerçekten ne olduğunu ve ne olduğunu düşündüğünü açıklamaya seni zorlar.

Hafta 4: görünür bir şeye birleştir. En iyi iki makineni seç ve bir bloga ya da GitHub Pages sitesine düzgün bir şekilde yazı yaz. Linux ve ağ notlarınızın kısa bir özeti ekle. Bu hafta dört haftanın dağınık çabasını bir işe alım müdürü ya da işveren gerçekten bakabileceği iki ya da üç yapıta dönüştürmek hakkında.

İnsanların zamanı nerede boşa harcanıyor

En büyük başarısızlık modu araç değiştirme — Nmap, Burp Suite, Metasploit ve beş farklı "tam rehber" YouTube videosunun arasında atlamak herhangi bir makineyi başından sonuna tamamlamadan. Daha az araç seç ve öğrendiysen sik sık kullan. -sC -sV -p- ile Nmap ve her bayrağın ne döndürdüğünün katı bir anlayışı on farklı tarayıcının üzerinden bir yüzeyel geçişi yener.

İkinci başarısızlık modu notlar yazmayı atlamak çünkü bir walkthrough izlemekten daha yavaş gelir. Hiçbir şekilde önemli olan yavaşlık değildir. Gerçek notlarla beş makine yapan biri pasif olarak yirmi walkthrough izleyenden daha fazla tutar.

Dört hafta ne düzeltmez

Sıfır ilgili deneyim ile bir resume düzeltmez. Seni direkt bir pentesting işine almaz — çoğu başlangıç seviye saldırgan güvenlik rolleri hala önce bir ila iki yıl IT, sysadmin ya da help desk çalışması, ya da bir derece artı maymun bekler. Yaptığı şey seni bu yol sana gerçekten uygun olup olmadığına karar vermek için altı ay ve bir Security+ voucher akışından önce yeterli gerçek sinyal vermek.

Aynı zamanda temel bilgisayar bilimi bilgisini de değiştirmez. Bir proses ne olduğunu, bellek adresleme temel seviye nasıl çalıştığını ya da bir buffer overflow neden olduğunu bilmiyorsan, dört hafta kutu hacklemesi büyü ezberleme yerine bir sistem anlama gibi hissedecek. Sprint yanında hatta sadece haftada birkaç saat olsa da buna ayrı zaman ayır.

Başarılı olup olmadığını karar vermek

Dört hafta sonunda kendine bir somut soru sor: yazısız bilinmeyen bir Linux hedefini alabilir ve iki saat içinde bir foothold alabilir misin? Evet ise, gerçek skill inşa ettin ve sprint adını hak etti. Hayır ise, hepsi de iyi — sadece beş. hafta yeni bir şeye dönüş değil, 3. hafta daha fazlası gibi görünür.

Eğer bu sprint modeli faydalı ise, Korra Studio'nun yukarıdaki birinci ve ikinci haftalarla iyi eşleşen Linux temelleri ve OWASP tarzı web uygulaması temelleri walkthrough'ları var.