Часто приходят ребята после курсов по пентесту — так уж вышло в ходе профессиональной деятельности — и спрашивают, что им делать дальше.

Так как я по ходу работы занимаюсь обучением пентестеров уже около трёх лет, их дальнейшей судьбой, а ещё у нас есть свой офлайн-клуб по пентесту в городе, я решил поделиться своим видением этой темы.

Сейчас ситуация выглядит следующим образом:

1. Человек, ранее не занимавшийся айтишкой, решает, что хочет в пентест.

2. Проходит курсы — не буду называть какие, они разные.

3. Начинает откликаться на вакансии.

4. И оказывается в одиночестве.

Самый интересный момент — пункт 3.

Что происходит?

Вакансий мало. Ребят много. Конкуренция среди пентестеров дикая. На рынок выброшена куча ребят.

Потом они приходят и говорят:

Я отправил резюме — и получил ноль собеседований.

То есть оно просто не дошло до HR, потому что AI-фильтры посмотрели на строчки:

Закончил курсы. Реального опыта — ноль.

Значит — false.

Либо, в более удачном случае, человек доходит до собеседования и получает что-то вроде этого:

Вроде бы из этого уже можно создать собственный roadmap развития, нет?

Просто задав вопрос по составлению личного плана обучения на основании прохождения своих собесов можно получить что-то вроде этого

Просто отдать это AI и увидеть слабые места собственного развития.

Но тут у большинства героев просто не хватает энтузиазма и мотивации проходить собственноручно созданный roadmap, потому что веры в себя пока нет. Нет мотивации. Курсы прошел и работать хочется прямо сейчас. А не добивать пробелы в личном образовании и снова учиться по новосформированной программе.

И здесь наши герои делятся на две категории.

Решают, что им нужен ещё один курс, который на 70–80% пересекается с уже имеющимися знаниями.

В итоге — полгода впустую ради оставшихся 20%, после чего они возвращаются примерно в ту же точку, в которой находились раньше.

Они ищут менторов.

Но, находя их, понимают, что AI, в общем-то, не хуже, а иногда даже лучше отвечает на поставленные вопросы и обучает их. Но без менторов нет в себя веры. И в общем то это то зачем берут менторов. Для верификации правильно ли я иду в том ли направлении и получении веры в себя.

Потому что именно одиночество и недостаток веры в себя заставляет ребят сворачивать с этого пути. Это самые опасные враги. Не поддавайтесь им.

И тут возникает вопрос:

Давайте посмотрим.

Если рынок пентеста перегрет и вакансий мало, то рынок SOC-аналитики, QA и AppSec не такой перегретый.

Можно смотреть в эту сторону.

На текущем этапе нужно получить любой. Абсолютно любой коммерческий опыт.

Любые тусовки, встречи, предложения работать за еду — вполне хороши.

На первом этапе можно соглашаться на небольшие, ограниченные по сроку и объёму проекты, стажировки, волонтёрские задачи и участие в сообществах.

Но такая работа должна давать человеку измеримый результат:

• рекомендацию;

• опубликованный артефакт;

• опыт работы в командочку в портфолио.

  

• DevOps;

• QA;

• техническая поддержка.

Как вариант — чтобы набить технический скилл.

Ну давайте посмотрим.

HR получил 200 резюме. Надо их как-то отфильтровать.

В 100 из них одна и та же строчка:

Закончил курсы. Больше ничего не делал. Ответственный, красивый, быстро учусь.

И таких — 100.

В остальных 100 появляются другие строчки:

• есть реальные победы в Bug Bounty;

• есть разработки на GitHub;

• есть статьи на Habr;

• есть ещё что-то.

Уже интереснее.

Подкрутить резюме.

Дать его AI на SWOT-анализ. Только попросить не писать резюме за вас, а выделить ваши сильные стороны.

Ну реально.

Если человек коммуникабельный, так, может, ему идти работать руководителем проектов в ИБ или менеджером?

Не всем идти в пентестеры.

Не потому, что мозгов нет — хотя и это тоже иногда бывает, — а просто потому, что вакансий мало.

Просто поймите:

Вакансий мало.

И при прочих равных приоритет дадут парням:

• с максимальным количеством часов в этой деятельности;

• с лучшей памятью, потому что они способны быстро воспроизводить информацию со своего биологического харда;

• с самым быстрым биологическим процессором;

• с правильным типом мышления.

Ходить больше на айтишные тусовки.

Общаться.

Не бояться предлагать свои услуги.

Я не знаю.

Вы реально готовы заниматься с человеком?

Дать ему власть над своей жизнью? Делать то, что он говорит? Исполнять его указания, а не смотреть приятные настроению видео на YouTube?

Да и есть же AI. Какой ментор? Он точно лучше знает.

Это не для всех.

Только если вы готовы безоговорочно принять авторитет этого парня.

И если он даст вам гарантию трудоустройства — гоните его в шею, если только он сам вас не нанимает.

Потому что дать такие гарантии невозможно.

Очень многое зависит от самого человека.

Иногда приходят ребята и спрашивают примерно так:

Если отдать этот запрос AI, он ответит вот так.

И я привожу этот ответ целиком, так как он подойдёт для многих.

Не пытаться одновременно становиться:

• пентестером;

• OSINT-аналитиком;

• специалистом по расследованиям;

• сетевиком по полной программе CCNA.

На ближайшие шесть месяцев выбрать web pentest / анализ защищённости веб-приложений.

OSINT оставить как вспомогательный навык для разведки.

Расследования посмотреть позже: это уже другой трек с Windows, Active Directory, журналами, SIEM, форензикой и реагированием.

Ему не нужно полностью заканчивать CCNA перед пентестом.

Достаточно уверенно понимать:

• TCP/IP;

• DNS;

• маршрутизацию;

• NAT;

• HTTP/HTTPS;

• cookies;

• sessions;

• headers;

• Linux CLI;

• процессы;

• права;

• SSH;

• Bash на базовом уровне;

• Git;

• немного Python для чтения и доработки простых скриптов.

Результат этапа:

Он способен самостоятельно поднять виртуальную машину, Docker-контейнер, прокси Burp, разобраться, почему запрос не проходит, и прочитать сетевой трафик.

Основой я бы сделал PortSwigger Academy:

• authentication;

• access control и IDOR;

• business logic;

• SQL injection;

• XSS;

• CSRF;

• SSRF;

• file upload;

• path traversal;

• command injection;

• JWT и OAuth на базовом уровне.

Важно не просто решать лаборатории, а после каждой писать короткий отчёт:

1. Где находится проблема.

2. Как её обнаружили.

3. Как воспроизвести.

4. Какой ущерб.

5. Как исправить.

К моменту первых серьёзных откликов у него должны быть:

• GitHub или GitLab с заметками и небольшими скриптами;

• 5–7 аккуратно оформленных отчётов;

• один собственный тестовый стенд в Docker;

• несколько разборов сложных лабораторий;

• резюме на одну страницу;

• понятный рассказ о том, что он умеет проверить самостоятельно.

Сертификаты здесь вторичны.

Работодатель скорее поверит хорошему техническому отчёту и способности объяснить найденную уязвимость.

Искать нужно не только по слову «пентестер»:

• стажёр по анализу защищённости;

• младший специалист по информационной безопасности;

• специалист по управлению уязвимостями;

• DAST-исследователь;

• junior application security;

• SOC L1;

• технический специалист ИБ;

• инженер сопровождения средств защиты.

PT START проводится дважды в год, а Solar также использует стажировки с обучением и дальнейшим переходом на оплачиваемую позицию.

Такие наборы нужно отслеживать заранее, потому что окна подачи короткие.

SOC L1 обычно является более формализованной точкой входа, но там есть ограничения.

Например, актуальная стажировка КРОК заявлена без опыта, однако ожидает:

• профильное образование;

• понимание SIEM;

• знание Windows/Linux;

• понимание сетей;

• навыки анализа журналов;

• готовность работать посменно.

Поэтому я бы не заставлял человека изучать SOC параллельно с вебом.

Через три месяца можно оценить прогресс:

• хорошо идут Burp и веб-лаборатории — продолжаем в пентест;

• нравится анализ логов, сетевых событий и инцидентов — перестраиваемся на SOC;

• тяжело с технической частью, но отлично получается работать с клиентами и продуктами — используем коммерческий опыт.

Ему необязательно сразу увольняться и идти стажёром на минимальные деньги.

Можно параллельно искать работу:

• менеджером по продажам решений ИБ;

• аккаунт-менеджером у интегратора или вендора;

• младшим сервис-менеджером ИБ;

• помощником технического консультанта.

Такие позиции на рынке есть, включая продажи решений информационной безопасности и младший сервис-менеджмент.

Но полноценный presale-инженер обычно уже должен обладать технической экспертизой, поэтому я бы рассматривал его как второй шаг, а не как стартовую позицию.

Это даст ему:

• опыт работы внутри отрасли;

• знакомства с инженерами и безопасниками;

• понимание продуктов и заказчиков;

• возможность перейти внутри компании;

• сохранение более привычного уровня дохода.

Но нужно честно предупредить:

Сам факт продажи продуктов ИБ не превратит его в пентестера.

Техническую практику всё равно придётся нарабатывать отдельно.

И, в общем-то, я здесь соглашусь.

В итоге парни закончили курсы.

Работы нет.

Что делать?

Ваше мнение, напишите, пожалуйста, потому что тема требует ответов.

Тебе сейчас нужна не очередная большая программа обучения, а смена реальности.

То есть не ещё полгода готовиться к выходу на рынок, а выходить на него сейчас и продолжать учиться параллельно.

Возможно, после первых собеседований выяснится, что тебе действительно не хватает большого технического блока.

Тогда ты осознанно выберешь программу и будешь понимать, зачем именно за неё платишь.

Но сейчас покупать ещё один длинный цикл просто из-за ощущения:

Я пока недостаточно готов.

— это риск снова отложить главную цель.

Ну и вы всегда можете использовать AI как вашего личного ментора не бойтесь это делать он вполне квалифицирован для этого

Очередной запрос от студента

И давайте посмотрим что ответит Claude:

Это крутые инструменты. Используйте их. В нашей молодости такого не было.