С чего начать путь хакера, если нет опыта? Какие навыки и знания необходимы, и где их можно получить?

Хакерство превратилось в узнаваемый медиа-феномен. Массовая культура, особенно киноиндустрия, создала образ суровых “технарей” в худи, проводящих дни и ночи за взломом вражеских систем, способных одним точным кодом “поразить” вражеские сайты.

Но киношные представления далеки от реальности, и попытки обучения хакингу по фильмам могут привести к проблемам с законом и испорченной репутации гораздо быстрее, чем к реальному заработку.

В данной статье мы рассмотрим типичные ошибки, которые совершают начинающие хакеры, разберем этапы становления пентестера и определим ключевые навыки, необходимые специалисту по тестированию на проникновение.

Кем вы видите себя в будущем?

Прежде чем погружаться в тему освоения хакерства с нуля, необходимо понять мотивацию. Если цель – быстрое и легкое обогащение нечестным путем, то это аналогично обучению ограблению банков. Иными словами, такой путь неизбежно ведет к уголовному преследованию, вне зависимости от уровня технических навыков.

Константин Андриотис

COO Hexens.io

Мы в Hexens верим в то, что хакинг – это особый склад мышления, сильно отличающийся от инженерного. В споре физиков и лириков хакер – это «и», ведь для достижения целей нужны не только прикладные навыки вроде знания сетей, языков программирования и логики, но и весьма специфический подход к решению задач. Срезать на поворотах, обходить правила и уметь выходить из любой ситуации – в любое способном троечнике можно увидеть задатки будущего whitehat’а. Далее дело интересов: математика, логика, базовые знания языков программирования и сетей – прямая дорога к успешной карьере в хакинге.

Главное и первое – не примерять черную шляпу, всегда придерживаться этического подхода к осуществлению действий по безопасности, вульгарная пословица про один раз тут не применима.

Важно никогда не останавливаться в своем развитии, – изучать новые технологии, языки (как программирования, так и коммуникации) и держать руку на пульсе всех трендов кибербезопасности. Еще один пункт – найти команду единомышленников, вместе с которой начинающий хакер будет развиваться.

Когда речь заходит об этичном хакинге или тестировании на проникновение, важно понимать, что это не та сфера, где достаточно единожды получить знания и просто продвигаться по службе. Пентестер – это профессионал, чье обучение происходит непрерывно, так как методы и инструменты защиты постоянно развиваются. Использование устаревших подходов к взлому будет нерезультативным.

В сущности, хакинг – это не только работа, но и своеобразный образ жизни, требующий от эксперта больших временных и энергетических затрат, чем многие другие профессии. Не осознавая этого в самом начале, человек рискует столкнуться с невозможностью построить успешную карьеру в области пентестинга.

Как стать хакером

Существует три основных пути для освоения азов хакинга и приобретения начальных навыков, необходимых для работы в этой сфере:

Первый – это самостоятельное обучение с использованием учебных материалов, руководств и онлайн-платформ с практическими заданиями для тестировщиков на проникновение.

Второй – прохождение специализированных образовательных программ. Это может быть как полноценное высшее образование в университете, так и курс, предлагаемый EdTech-компанией или организацией, которая специализируется на подготовке специалистов по тестированию на проникновение.

Третий – комбинированный подход, предполагающий сочетание структурированного обучения с самостоятельным развитием определенных навыков, востребованных в данной профессии.

Если говорить о фундаментальных навыках, которые не связаны напрямую с профессиональной деятельностью, то ключевым является умение эффективно искать информацию. Новые методы атак и уязвимости появляются регулярно, и информация о них редко публикуется на видных местах популярных ресурсов. Вероятнее всего, ее придется искать в специализированных форумах или в отчетах исследовательских групп. В связи с этим, знание английского языка также крайне важно, поскольку количество доступных материалов на этом языке значительно превосходит количество материалов на других языках.

Александр Герасимов

CISO Awillix

Знания, которыми должен обладать кандидат в пентестеры:

умение писать код на одном, а лучше на нескольких скриптовых языках программирования. Например, Python, PHP или JavaScript;
навык извлечения данных из веб-страниц, понимание того, как работают браузеры и осуществляется коммуникация с сервером;
знание особенностей языков программирования и типовых ошибок, которые могут допустить разработчики;
понимание бизнес-логики и логики работы системы, способность проводить анализ для выявления ошибок, которые потенциально может допустить разработчик;
основы администрирования операционных систем Linux и Windows для проведения аудита безопасности, фильтрации трафика и других способов защиты от атак на сетевые сервисы;
понимание основных сетевых протоколов (HTTP, TCP, DNS) / сетевых служб (Proxy, VPN, AD);
знание компьютерной безопасности с разных сторон, включая криминалистику, системный анализ и многое другое;
навыки использования софта для аудита и эксплуатации уязвимостей, например SqlMap, Nmap, Metasploit, Acunetix, Burp Suite и прочее;
знание особенностей работы баз данных и основных CMS, способов защиты их от атак;
коммуникативные навыки и понимание того, как хакеры используют человеческий фактор для получения несанкционированного доступа к защищенным системам;
умение автоматизировать свою работу.

Чтобы научиться чему-то и прийти в профессию, достаточно желания и времени. Никогда еще обучение в этой сфере не было таким доступным, как сейчас: вся информация открыта, много возможностей для самостоятельного погружения.

Вот несколько вариантов того, как можно практиковаться:

Решать лабораторные работы, направленные на взлом серверов, задачи из интернета.
Изучить сайт Hack The Box — там много разных задачек.
Пройти курсы от eLearnSecurity, Offensive Security — они помогут не только подтянуть теорию, но и лучше решать лабораторные работы. Курсы комплексные, с хорошей практической базой.

Есть разные направления пентестов: web, mobile, IT-инфраструктура, АСУ ТП и прочие. Каждый специалист может выбрать, в чем именно развиваться, исходя из своих интересов. Существуют пентестеры, которые не умеют программировать, но разбираются в социотехнических тестированиях и анализе поведения пользователей. Есть те, кто проводит анализ кода и является не только ИБ-специалистом, но и разработчиком, причем кодит на многих языках сразу или с глубокой экспертизой в каком-то одном.

Следует осознавать, что утверждение некоторых EdTech-платформ о возможности стать хакером без опыта в программировании не совсем соответствует действительности. Существует значительная разница между ситуацией, когда навыки программирования не используются, и ситуацией, когда они полностью отсутствуют.

В дополнение к этому, ценным источником информации могут служить различные мероприятия и хакатоны, организуемые специализированными организациями. В частности, полезным может быть участие в соревнованиях CTF различных уровней сложности.

Как новичку в сфере кибербезопасности получить доход?

К исходу 2022 года на портале HeadHunter было представлено примерно полсотни актуальных предложений для специалистов по тестированию на проникновение. Тем не менее, большинство работодателей заинтересованы в кандидатах, имеющих стаж в данной сфере от двух лет и выше.

Если трудоустройство без опыта представляется затруднительным, стоит рассмотреть вариант оплачиваемой стажировки. Поиск стажерских позиций возможен как через платформы-агрегаторы, например, HeadHunter, так и непосредственно на веб-сайтах крупных IT-корпораций или небольших, специализированных фирм, занимающихся вопросами информационной безопасности.

Дополнительно, существует возможность участия в программах Bug Bounty. Важно помнить, что вознаграждение за обнаруженные ошибки и уязвимости не начисляется ежемесячно, подобно заработной плате, а период между отправкой отчета и получением выплаты может составить несколько месяцев. Багхантинг может быть совмещен как с основной работой, так и с процессом обучения техникам взлома.

Наиболее распространенные промахи начинающих специалистов по кибербезопасности.

Необходимо осознавать, что даже выдающиеся технические навыки, обширный список обнаруженных брешей в безопасности или иные атрибуты “крутого хакера” не обеспечат специалисту трудоустройство, если он не вызывает доверия.

Поскольку пентестеры постоянно работают с конфиденциальной информацией и глубоко погружаются в “внутренние процессы” крупных организаций, безупречная репутация имеет решающее значение для любого профессионала в этой области.

Следовательно, на собеседовании на позицию пентестера не стоит гордиться тем, что в юности взломали веб-сайт своей школы или аккаунт бывшей подруги в социальных сетях. Подобные сомнительные “подвиги” могут быть восприняты как потенциальная предрасположенность к злоупотреблению навыками и доступом к системам в личных целях.

Другая распространенная ошибка – игнорирование всестороннего обучения в угоду узкой специализации. Этот подход может быть уместен для опытных профессионалов, но он пагубен для развития карьеры начинающего хакера.

Еще одна ошибка – пренебрежение юридическими аспектами. Здесь нет универсального решения, но важно помнить, что даже наличие договора, одобренного юридическим отделом, не исключает непредвиденных обстоятельств.

Наконец, начинающий хакер может совершить ошибку, используя данные, полученные в ходе работы, в личных целях. В идеале, пентестер должен полностью “забывать” все увиденное в инфраструктуре клиента сразу после составления отчета. Поддаться соблазну легко, но даже если удастся избежать юридических проблем, репутационные риски неизбежны, и карьера “белого” хакера будет безвозвратно испорчена.

Итоги

Нельзя, пройдя один курс, сразу стать квалифицированным хакером. Пентестер должен учиться постоянно, его навыки варьируются в зависимости от специализации, но базовые знания необходимы всегда.

Профессия требует высоких моральных принципов. Важно понимать, что пентестер – это помощник в улучшении защиты, а не просто взломщик систем.

Работа пентестера или “белого хакера” гораздо более сложная и ответственная, чем это преподносят образовательные компании. При этом, уровень оплаты труда среднестатистического пентестера не сильно превышает зарплату обычного IT-специалиста аналогичного уровня.

Профессия хакера формирует образ жизни специалиста, влияя на него даже вне работы, заставляя анализировать информацию и изучать новые техники по вечерам. Но взамен можно найти интересные задачи, азарт и ту самую “романтику” профессии.