Có thể một nhà phân tích dữ liệu chuyển sang an ninh mạng được không?

Các nhà phân tích dữ liệu bị hỏi điều này liên tục, và câu trả lời thực tế là quá trình chuyển đổi ngắn hơn hầu hết mọi người nghĩ. Bạn đã biết cách truy vấn các tập dữ liệu lộn xộn, phát hiện các ngoại lệ, và giải thích các phát hiện cho các bên liên quan không có kỹ thuật. Các nhóm bảo mật cần chính xác điều đó, chỉ là hướng vào các log thay vì số lượng bán hàng.

Những gì thực sự chuyển đổi

SQL là tài sản lớn nhất mà bạn không nghĩ đến. Các công cụ SIEM như Splunk (SPL), Elastic (KQL/Lucene), và Microsoft Sentinel (KQL) đều sử dụng các ngôn ngữ truy vấn mà cảm thấy giống như họ hàng của SQL. Nếu bạn đã viết một GROUP BY với một mệnh đề HAVING để tìm các tài khoản có khối lượng đơn hàng bất thường, bạn có thể học cách viết một truy vấn tìm các tài khoản có khối lượng đăng nhập bất thường trong một tuần, không phải một học kỳ.

Kinh nghiệm dashboarding cũng quan trọng. Các nhà phân tích đã xây dựng các dashboard Tableau hoặc Power BI đã hiểu cách biến các sự kiện thô thành thứ mà một giám đốc liếc nhìn trong năm giây và hiểu được ý chính. Các dashboard SOC sống hoặc chết dựa trên sự rõ ràng giống nhau đó.

Cái mà bạn thiếu là ngữ cảnh: TCP/IP thực sự hoạt động như thế nào, sự kiện xác thực Windows bình thường trông như thế nào so với cái đáng ngờ, và cách những kẻ tấn công di chuyển khi họ đã ở bên trong mạng. Điều đó có thể học được, nhưng đó là công việc thực và bạn nên lên kế hoạch từ ba đến sáu tháng học tập liên tục, không phải một ngày cuối tuần.

Xây dựng các phần còn thiếu theo thứ tự

Bắt đầu với các kiến thức cơ bản về mạng, không phải công cụ. Bạn cần thực sự hiểu what a three-way TCP handshake là, DNS resolution hoạt động như thế nào, và ARP đang làm gì trước khi bất kỳ packet capture nào có ý nghĩa. Vài tuần với khóa học "Computer Networking" của Jason hoặc tài liệu miễn phí của Cisco NetAcad có giá trị hơn việc nhảy thẳng vào Wireshark.

Sau đó học một hệ điều hành sâu từ phía bảo mật. Chọn Windows nếu bạn muốn công việc SOC/blue team (hầu hết các môi trường doanh nghiệp là Windows-heavy) — học Event IDs như 4624 (successful logon) và 4625 (failed logon), hiểu những điều cơ bản về Active Directory, và làm quen với PowerShell để kéo log.

Sau đó, học thực hành với một SIEM. Đường dẫn TryHackMe SOC Level 1 và LetsDefend đều cung cấp cho bạn các kịch bản triage cảnh báo thực tế sử dụng các giao diện công cụ thực tế, không chỉ lý thuyết. Đây là nơi các bản năng phân tích của bạn hoạt động — bạn sẽ nhận ra các mẫu false-positive nhanh hơn người không có nền tảng dữ liệu.

Chứng chỉ mà thực sự mở cửa

Bỏ qua lôi cuốn để thu thập certs trước khi bạn có bất kỳ giờ thực hành nào. Thứ tự hoạt động cho hầu hết những người thay đổi sự nghiệp:

1. CompTIA Security+ — vượt qua các bộ lọc HR, bao gồm thuật ngữ mà bạn cần bất cứ cách nào
2. CompTIA CySA+ hoặc Blue Team Level 1 (BTL1) — cả hai đều dựa mạnh vào phân tích log và phát hiện, điều này phát huy thế mạnh của bạn
3. GIAC GCIA hoặc chứng chỉ Splunk — sau đó, khi bạn đã ở trong vai trò SOC và muốn chuyên môn hóa

Security+ một mình sẽ không giúp bạn được thuê mà không có một số bằng chứng lab. Kết hợp nó với một home lab nơi bạn đã thực sự triage các cảnh báo.

Định vị bản thân cho cuộc phỏng vấn

Đừng che giấu nền tảng phân tích của bạn — bán nó trực tiếp. Khi một nhà quản lý tuyển dụng hỏi tại sao bạn muốn chuyển sang bảo mật, hãy nói điều gì đó như: