Вообще, методы в статье подходят и для любого IT-направления, но давайте сделаем акцент на безопасности.

В последнее время всё чаще вижу одни и те же вопросы:

«С чего начать в кибербезопасности?» или «Всем привет, хочу работать в инфобезе в Red Team, посоветуйте книжки, курсы и т. д., чтобы я через месяц стал чемпионом джунов и уже работал по профессии!»

В какой-то момент понял, что пора собрать свои мысли (и не только мои) в один текст. Возможно, он поможет тем, кто только начинает.

Сразу обозначу: это не универсальная истина и не единственно верный путь, а практический взгляд на вход в IT-направление, основанный на реальных требованиях рынка и личных наблюдениях.

1. Сначала — профессия, а не «Red Team»

Одна из самых частых ошибок новичков — стремление «пойти в Red Team».

Важно понимать: Red Team — это не профессия, а формат работы или роль внутри команды. То же самое и про «я хочу быть спецом в Blue Team».

В реальности существуют конкретные должности, которые могут работать в смежном направлении:

- Application Security (AppSec)

- DevSecOps

- Security Engineer

- Pentester / Offensive Security Engineer

Причём эти роли могут вообще не называться / не быть в Red Team, но при этом включать смежные задачи.

Пример: Если вам интересно не только проверять проекты на уязвимости, но и исправлять их, реализовывать автоматизацию защиты и проверку на уязвимости, то это скорее DevSecOps или AppSec, а не классический пентест.

Важно честно ответить себе на вопрос:

что именно вы хотите делать каждый день на работе, а не как красиво звучит направление. Если определились с этим, идем дальше.

2. Метод «просмотр 100 вакансий»

После того как вы примерно определились с направлением, один из самых эффективных методов — анализ вакансий.

Алгоритм простой:

1. Открываете вакансии по выбранной роли (например, DevSecOps).

2. Смотрите 50–100 вакансий.

3. Выписываете повторяющиеся требования.

Обращайте внимание в первую очередь на:

Junior / Middle позиции и общие требования, которые встречаются в большинстве вакансий.

Сеньорские требования тоже полезно читать, но не стоит ориентироваться на них как на стартовую точку — без опыта туда не приходят. Так вы формируете реалистичный список того, что действительно нужно рынку, а не абстрактные «роадмапы из интернета».

3. Что учить в первую очередь

Универсального ответа нет, но есть рабочий принцип:

> Лучше учить не всё подряд, а то, где и зачем это используется.

Даже если технология указана в требованиях, сначала стоит понять:

1. В каком контексте она применяется.

2. Какую задачу решает.

3. Насколько глубоко её нужно знать именно для вашей роли.

После этого уже можно расставлять личные приоритеты: что учить глубоко? что — на уровне понимания? что отложить?

4. Самообучение и практика решают

Если у вас есть возможность:

• нормальный ПК;

• виртуалки;

• время на эксперименты,

— это огромный плюс.

По моим наблюдениям, студенты и начинающие специалисты, которые много экспериментируют самостоятельно, почти всегда: лучше понимают предмет, быстрее адаптируются и увереннее чувствуют себя на собеседованиях. Даже простой homelab с уязвимым веб-приложением или настройкой ELK/SIEM даёт больше, чем месяцы сухой теории.

5. Опыт: как быть, если его «нет»

Если вы студент колледжа или вуза и у вас была:

- учебная практика;

- производственная практика;

- проект, связанный с безопасностью,

— это можно и нужно указывать как опыт. Пусть даже если практика была слабая, но если вы научились и поняли работу, к примеру, каких-нибудь инструментов по анализу — это «+».

Например: «Проведение аудита уязвимостей веб-сервиса в рамках учебной практики»

Ключевой момент — вы должны реально это делать, а не просто «сдать отчёт».

Важно не врать, а грамотно упаковывать свой реальный опыт:

- практики;

- pet-проекты;

- лабораторные;

- CTF и иные мероприятия;

- собственные исследования.

Рынок ИБ это понимает — особенно на junior-уровне.

Примечание: мдамс, возможно, в текущей ситуации с рынком многим не очень хочется брать джунов, и им сразу нужен спец-молодец, работающий за троих за зарплату одного или двоих людей. В таком случае вы, возможно, понимаете, что нужно делать. Как пример — искать адекватные вакансии. (К сожалению, сейчас мало, по моему мнению, таких, но всё же они существуют, просто нужно их в правильных местах искать).

6. Личные кейсы и pet-проекты

Отдельно хочу подчеркнуть важность личных кейсов.

Попробуйте реализовать что-то, что может пригодиться в реальной работе или упростит жизнь вам самим.

Пример из текущих задач: я хочу сделать скрипт для упрощённого управления mTLS-сертификатами.

Что это даёт:

1. Меньше ручной работы в терминале → экономия времени.

2. Более простое и безопасное управление сертификатами.

3. Быстрое разворачивание mutual TLS.

Актуально ли это для компаний и/или стартапов? Да.

И именно такие вещи отлично смотрятся в портфолио.

Возможно, скажут: «Да ваше портфолио и ваши проекты нафиг никому не нужны! Вот тебе тестовое, сиди и решай».

Такие случаи бывают, и лично я (да и не только я) скипаю такие неадекватные вакансии, раз HR-ке после собеса всё равно на мои знания и то, что я показал в портфолио реально годные вещи, И ОНА ДАЁТ ТЕСТОВОЕ! :-)

Складывается ощущение, что таким образом дают, чтобы выполняли их работу бесплатно!

Иногда тестовые и стоит всё же пройти, если это требуется в данном «наборе». К примеру, если это набор на стажировку какую-нибудь, где у каждого вне зависимости от опыта выдаётся тестовое задание, и где они в большинстве случаев могут быть лёгкими для джунов с реальными знаниями, то тут стоит их решать.

[ В общем, поняли, смотрим по ситуации. ]

7. Участие в мероприятиях и CTF

Практику и актуальные знания дают:

1. профильные мероприятия (например, CyberCamp);

2. CTF и иные соревнования, особенно CTF task-based формата.

CTF — это не только про «хакинг», но и про:

- мышление;

- поиск нестандартных решений;

- работу с ограниченной информацией.

Для старта не обязательно сразу идти в команды — многие форматы позволяют участвовать индивидуально.

8. Знакомства и профессиональное окружение

Общение с людьми, которые уже работают в интересующем вас направлении, может дать: советы, разбор ошибок, обучение, а иногда — и приглашение на работу.

Чаты, конференции, комьюнити — всё это реально работает. (Конечно, в некоторых случаях лучше из чата комьюнити переходить сразу в личку, так можно ускорить возможный темп знакомства).

9. Частые вопросы

1. Нужны ли сертификаты, чтобы я смог быстро попасть на работу?

Возможно, но в большинстве случаев — нет. Сертификаты (особенно рентабельные) дают лишь закрепление знаний и возможный «+» в резюме для вакансий, где требуют эти сертификаты.

2. Стоит ли проходить курсы и/или читать книги?

На ваше усмотрение. Здесь нужно решать вам, как эффективнее вы запоминаете. Если вы запоминаете и понимаете больше по книгам, то, возможно, стоит читать и книги с документацией. Но важно понимать, что курсы/книги не гарантируют вам, что вас примут на работу. Нужны знания и умения. К примеру, если вы знаете Docker (например, просмотр/запуск контейнеров), но никогда не делали, не читали, не заходили в логи посмотреть, почему контейнер не запустился, и сразу идёте гуглить / узнавать у ИИ, что случилось — стоит подкрепить знания. (Т.к в большинстве случаев в логах уже указаны ошибки как исправить, их нужно только читать и искать по докам или у ИИ если не знаете что это за ошибка/как исправить)

Есть люди, которые не читают доку и не проходили курсы, а просто скачивали и ставили себе тот же Docker и учились им управлять. :-)

Вместо заключения

Вход в кибербезопасность, как и в другое IT-направление, — это не спринт и не линейный роадмап.

Это набор осознанных шагов:

1. Понимание профессии.

2. Анализ рынка.

3. Практика.

4. Собственные проекты.

5. Общение с сообществом.

И чем раньше вы начнёте думать как инженер, а не как «новичок, ищущий волшебный курс», тем быстрее окажетесь в профессии.

Статья доступна на Хабе opensophy: https://hub.opensophy.com/blog/career-tutorial

Статьи, блоги и документации в первую очередь выходят и обновляются на Хабе с указанием автора и соавторов.