Một QA Tester có thể chuyển sang Cyber Security không?

Các kỹ năng QA testing chuyển sang công việc bảo mật khá tốt. Dưới đây là cách những người testers có thể ánh xạ kinh nghiệm của họ sang các vai trò pentesting, AppSec, hoặc blue team.

QA testers đã suy nghĩ giống như những kẻ tấn công hơn họ nhận ra. Phá vỡ phần mềm, tìm các trường hợp cạnh, viết các bước tái tạo chính xác và theo dõi defects đến nguyên nhân gốc rễ là những bản năng tương tự mà các nhóm bảo mật cần. Việc chuyển từ QA sang bảo mật ít rủi ro hơn việc chuyển từ, chẳng hạn như, kế toán, nhưng bạn cần phải lấp đầy các khoảng trống cụ thể.

Những gì đã chuyển tiếp

Nếu bạn đã dành thời gian trong QA, bạn đã có:

Kỹ năng thiết kế test case ánh xạ trực tiếp đến việc viết các kế hoạch kiểm tra bảo mật và trường hợp lạm dụng
Quen thuộc với SDLC và CI/CD giúp bạn hiểu nơi để chèn các kiểm tra bảo mật (SAST, DAST, dependency scanning)
Kỷ luật theo dõi bug trong các công cụ như Jira, hầu như giống hệt với các quy trình quản lý lỗ hổng
Thói quen regression testing dịch tốt để xác minh các bản sửa cho các lỗ hổng được báo cáo
Kinh nghiệm API và UI testing sử dụng Postman, Selenium, hoặc Cypress, chồng chéo rất nhiều với cách mà AppSec testers điều tra injection, broken auth, và logic flaws

Nếu bạn đã làm bất kỳ kiểm tra khám phá hoặc tiêu cực (cố ý gửi đầu vào biến dạng, kiểm tra điều kiện ranh giới, cố gắng phá vỡ logic xác thực), bạn đã làm một hình thức kiểm tra bảo mật sơ khai mà không có nhãn.

Các khoảng trống bạn cần phải đóng lại

QA testing nói chung giả định rằng ứng dụng được cho là hoạt động theo một cách nhất định và bạn đang kiểm tra tính đúng đắn chức năng. Security testing giả định rằng một đối thủ đang cố gắng chủ động phá vỡ logic đó. Bạn cần phát triển:

HTTP fundamentals ở một mức sâu hơn — status codes, headers, cookies, CORS, và cách các phiên thực sự hoạt động dưới vỏ bọc
OWASP Top 10 thành thạo: SQL injection, XSS, SSRF, broken access control, insecure deserialization
Networking cơ bản: TCP/IP, DNS, TLS handshakes, cách một proxy như Burp Suite chặn và thao tác lưu lượng truy cập
Scripting, tốt nhất là Python hoặc Bash, để bạn có thể tự động hóa kiểm tra lặp lại và viết các PoC khai thác nhỏ
Sự thoải mái với dòng lệnh Linux vì hầu hết công cụ bảo mật giả định rằng bạn không sợ một terminal

Một lộ trình học tập cụ thể

Bắt đầu với PortSwigger's Web Security Academy — nó miễn phí và hướng dẫn qua từng danh mục OWASP với các bài lab thực hành sử dụng Burp Suite. Kết hợp đó với TryHackMe's

Viết với hỗ trợ của AI, được xem xét và đăng bởi Michal Pilch (CISSP), Korra Studio.