Нагласите, които помагат в техническата част на киберсигурността.
Автор: Яна Кръстева
Роля: Специалист по офанзивна сигурност и младежки посланик към Women4Cyber България
Киберсигурността е много широкообхватна сфера. Под нея се събират роли в управлението, в съответствието със стандарти и регулации, в одита, в обучението и в комуникацията – все необходими и важни. Този текст обаче не е за тях. Този текст е за хората, които са се насочили към техническите роли: penetration tester, SOC analyst, incident responder, malware analyst, threat hunter, security engineer, red team (без, разбира се, да забравяме и колегите от blue и purple team) и още много други. Към експертите, чиято работа изисква ръце на клавиатурата, ровене, бъркане и често – часове главоблъскане над един и същ проблем.
Неправолинеен начален път
Тогавашната ми гимназиална версия трудно би си представила, че ще се занимавам с техническа киберсигурност. До тогава нямах почти нищо общо с този свят. Пътят ми към техническата страна на киберсигурността не започна рано, не беше праволинеен и със сигурност не изглеждаше предварително подреден. Бакалавърът ми беше в областта на корпоративната и организационната сигурност – по-скоро управленски профил, без технически фокус. С времето посоката ми постепенно се измести към техническата страна. Успоредно с университета минах и през допълнителни обучения, които ми дадоха по-практически поглед. Ако има нещо постоянно в този период, то е, че почти винаги съм правила по няколко неща едновременно.
Пиша всичко това, защото през последно време много хора около мен питат как точно се влиза в тази сфера. Забелязвам, че има едно постоянно търсене на някаква тайна рецепта, на някакъв точен списък от стъпки. Истината е, че в интернет вече има тонове изписана информация, подробни кариерни пътеки, статистики за заплати и изисквания за всяка една ИТ професия. Затова няма смисъл да правя поредното копие на тема „Моят кариерен път 1:1“. По-скоро ще поговорим за онези невидими нагласи, които правят разликата между това просто да искаш да работиш в техническата киберсигурност и това реално да се задържиш и развиеш в нея.
Самостоятелното търсене е базово умение
Едно от най-важните неща, които осъзнах, е свързано с това как търсим информация. Всеки, който желае в бъдеще да стане добро техническо лице, трябва да може да открива, филтрира и обобщава информацията абсолютно сам. Това е базово умение. Ако чакаш някой да ти снесе отговора на готово, ще ти е много трудно да оцелееш в среда, където проблемите често са нетипични и изискват ровене с часове.
По-сложният начин в началото
В началото е по-добре да си правиш услугата нещата да ти се случват по по-сложния начин. Ръчно търсене в Google и в други търсачки, четене на форуми и документация, разговори с по-опитни колеги, размишление и главоблъскане над един и същ проблем с часове. За някои това може да изглежда по-сложно от обикновено и дори на моменти леко досадно – особено ако досега са били свикнали с по-различен начин на работа в днешния дигитален свят. Но именно този процес изгражда мисленето, което после ще ти трябва всеки ден на работа. Изкуственият интелект може да бъде много добър технически помощник по-нататък, когато вече имаш изградена интуиция и можеш да забележиш кога ти казва глупости. Но ако се пристрастиш към готовите отговори твърде рано, лишаваш себе си от най-ценното – процеса на търсене и грешене.
Промяната на средата и скромността
Друго нещо, за което рядко си даваме сметка в началото, е промяната на средата. Училището, университетът, семейството, приятелите и офисът са коренно различни екосистеми. Има много приятелски офис среди и попадането в тях е приятно, но важното в началото е човек да е скромен и да признае пред себе си, че доста неща няма да знае – и това е съвсем нормално. Срещала съм млади колеги, които тепърва прохождат, но се държат така, сякаш нямат какво да научат от хората около тях – не изслушват, не приемат бележки, бързат да се докажат. Това е едно от нещата, които най-бързо те спира – не защото хората около теб ще те накажат, а защото съзнателно се отказваш от най-късата пътека към реално развитие. Скромността в самото начало не е слабост, а инструмент. А балансът между самостоятелното проучване и допитването до по-опитните се усвоява с времето – никой не обича да бъде питан за неща, които се намират с едно търсене в интернет, но никой и не очаква от теб да откриеш топлата вода сам, ако си забил от дни на един и същ проблем.
Критиката като трамплин
Тясно свързано със скромността е и умението да понасяш критика. В техническата киберсигурност това е почти ежедневие – някой ще ти каже, че докладът ти може да е по-добър, че подходът ти има пропуски, че решението ти не покрива всички случаи. В началото е лесно подобни коментари да се възприемат лично и да заболят. Но ако се научиш да ги слушаш спокойно, без да се защитаваш веднага, ще видиш, че повечето пъти зад тях стои опит, който можеш да усвоиш. Хората, които израстват най-бързо, не са онези, които никога не грешат, а онези, които приемат бележките, обмислят ги и ги превръщат в следващата стъпка. Критиката, когато идва от добронамерено място, е един от най-късите пътища към развитие – като трамплин. А когато идва от не толкова добронамерено място, пак можеш да извадиш ценното от нея и да оставиш останалото настрана.
Проактивност?
Проактивността е ключовата дума тук. Наблюдавала съм два основни сценария при хората, които се опитват да пробият. Първият: стартираш по пътя на технологиите и сигурността в ранните години на университета. Тогава трябва да наблегнеш изключително много на практическата и техническата си подготовка – и в никакъв случай да разчиташ единствено и само на университетските занятия. Те са базата, но надграждането идва от теб – от онова, което търсиш, изчиташ и упражняваш в свободното си време. Има онлайн платформи, които имитират реални сценарии и ти позволяват да упражняваш технически умения в контролирана среда – както от офанзивна гледна точка (върху уязвими машини, симулирани мрежи, реални приложения), така и от дефанзивна (анализ на логове, разследване на инциденти, работа със SIEM и EDR инструменти, анализ на вредоносен софтуер). Има и CTF състезания, които те учат да мислиш нестандартно. Свободното време за излизания с приятели, пътувания и допълнителни хобита в този период често се свива, но ако това, което вършиш, истински те вълнува, няма да ти тежи. Вторият сценарий: компютрите са ти хоби от малък, ти си активен технически човек, който постоянно подобрява уменията си. Тогава предизвикателството е друго – трябва да се научиш да се предлагаш на пазара на труда. Трябва да знаеш как да опишеш проектите си, как да структурираш CV-то си и как да общуваш на интервю. Тук помагат различни стъпки – поддържан профил в LinkedIn, описание на собствените ти проекти в публично репо или личен блог, участие в общности и митъпи, събиране на препоръки от хора, с които си работил, симулиране на интервюта с приятел или ментор, проследяване на обяви, за да усетиш какво пазарът реално търси в момента. Хубаво е и да упражниш как да говориш за това, което знаеш, без да го омаловажаваш и без да го преувеличаваш.
Да допринасяш стойност
В крайна сметка обаче, всичко се свежда до едно: нещата работят, когато истински си воден от желанието да допринасяш стойност. Независимо дали си част от огромна корпорация, малка организация или университетски колектив – когато спреш да мислиш само за това какво средата може да ти даде и започнеш да мислиш как твоите умения могат да решават нейните проблеми, нещата си идват на мястото. Дори и да харесаш да правиш нещо твърде специфично и нишово, винаги можеш да намериш начин да го приложиш така, че да носи полза на екипа ти.
Организация, дисциплина и измерими цели
Организацията и дисциплината са огромна част от уравнението. Поставяй си измерими цели – такива, които можеш реално да отчетеш. До края на деня да завърша тази лаборатория. До края на седмицата да изчета и разбера тази документация. До края на месеца да завърша онлайн курс по темата, която ме интересува. До края на семестъра да кандидатствам за стаж. До края на годината да придобия конкретно умение. Цели от вида „искам да пробия в киберсигурността“ нямат форма, нямат край, нямат начин да кажеш, че си ги изпълнил. В различни периоди помага и организацията по часове – кога, какво и по колко учиш, кога упражняваш, кога почиваш. Намирането на ментор е огромен плюс, но менторът няма да свърши работата вместо теб. Той може само да ти даде ориентир.
Слонът в стаята – парите
И тук идва моментът да поговорим за слона в стаята – парите. Никой в началото не получава огромни приходи. Ако слушаш само градските легенди за ИТ сектора, може да останеш с грешно впечатление. Хората, които успяват в сферата, са движени от любопитство – как работят нещата, как могат да бъдат счупени и как могат да бъдат защитени. От отдаденост към занаята и от търпение към собствения си процес на учене. Това са нещата, които издържат години. Ако започнеш с тях, останалото идва от само себе си.
Широкото поле на технологиите
В техническата част на сферата рядко има една отъпкана пътека, по която строго да вървиш. Истината е, че за да защитаваш или чупиш нещо, трябва да познаваш в дълбочина как е изградено и как функционира. Това отваря широк диапазон от технологии – операционни системи, мрежи, активна директория, облачни платформи, уеб приложения и тяхната архитектура, бази данни, API-та, мобилни приложения, скриптови езици като Python и Bash, инструменти за анализ. И това е само софтуерният свят. Има и един съвсем друг пласт – хардуерът: вградените системи в колите, които карате, IoT устройствата в дома ви, индустриалните системи, които управляват цели заводи и електроцентрали, медицинските устройства в болниците. Всяко от тези неща има своя сигурност, свои уязвимости и свои хора, които се занимават с тях. Списъкът продължава. Няма нужда обаче да познаваш всичко това на 100% преди да започнеш. Ако чакаш да се подготвиш напълно, никога няма да започнеш – никой не знае всичко в тази сфера. Осъзнаването, че известно време ще се чувстваш в дълбокото и все още ще откриваш колко неща не знаеш – това не е признак на неуспех, а нормалната работна среда тук. Да се научиш да се наслаждаваш на процеса, вместо да гониш бърз резултат, е ключово. Бърз успех тук няма.
Воденето на записки
Точно заради този огромен обем информация воденето на записки бързо се превръща в едно от най-полезните навици, които можеш да си изградиш. И не само за неща, които ти изглеждат непознати – а често и за такива, които в момента смяташ, че разбираш напълно. Киберсигурността е като дърво с много клони – винаги има накъде да задълбаеш още, винаги ще се връщаш към теми, които си докосвал преди месеци, и винаги ще откриваш нови ъгли към познати проблеми. Ако нещо не е записано по твой собствен начин – с твоите думи, твоите асоциации, твоите примери – лесно се забравя. Записките не са преписване на чужди статии, а опит да преведеш материала на собствения си език. Точно затова те остават полезни и след години – те самите се превръщат в твоя лична база знания, към която можеш да се връщаш, когато паметта те подведе.
По пътя, в екипа и с хората
Ще срещнеш много хора по пътя си – някои ще ти помогнат, други ще бъдат скептични. Никога не се вслушвайте в обезкуражаващи послания. Знанията идват постепенно и постоянно – никой не се е събудил научен. Но колкото и технически да ставате, колкото и сложни системи да управлявате, не забравяйте, че в крайна сметка работите с хора. Важно е да бъдеш добър човек. Технологиите се променят всеки ден, но човешкото отношение, готовността да помогнеш на колега и начинът, по който се държиш в екипа, остават. Пожелавам ви да запазите любопитството си живо и да не се страхувате да изградите своя собствена пътека.