Перехід до кар'єри на безпеку - навчальні треки? [зачинено]


10

Мені довелося навчитися достатньо бути небезпечним (якщо тільки для себе), керуючи брандмауерами, комутаторами тощо для невеликих мереж протягом останніх десяти років. Однак я знаю, що між тим, чим я займався (безпека як хобі, дійсно), є досить великий розрив, який я фактично займаюся оволодінням предметом.

Дослідження дають мені сертифікати від Security + до CISSP, а також між ними. Чи існують якісь сертифікати, які, на вашу думку, дають хорошу дорожню карту навчання?

Я викину короткий список того, що здається потрібним, якщо я буду десь біля знака.

  • Віртуозність віртуозності
  • * nix знайомство
  • Cisco IOS (CCNA - це "швидкий" спосіб підібрати це?)

Я усвідомлюю, що це велике починання, але як порівняння з точки зору адміністратора Win, якщо я зміг би повернутися і дати своєму молодшому собі кілька покажчиків, я міг би врятувати собі ТОН часу і зустрічей між головою і стіною, переслідуючи певні ярлики для навчання. Я сподіваюся, що деякі з вас, орієнтовані на безпеку, мають подібні поради.


Питання, що стосуються професійної освіти, є поза темою для переглянутого FAQ .
sysadmin1138

Відповіді:


9

У якій частині безпеки ви хочете працювати? Безпека - це дуже широке поле, тим більше, якщо ви рахуєте всі способи роботи, частково працюючи в інших полях. Зазвичай існує кілька загальних сфер безпеки

  • Корпоративна безпека:

Почніть навчальні рамки, ISO / IEC 27001, управління, аудит, ризик / вигода, юридичні структури та інші подібні речі. Ви закінчитеся як CISO і, можливо, як ОГС у компанії до кінця своєї кар’єри. Поки ви не доїдете, розраховуйте витратити багато часу на написання документів про політику.

  • ІТ-безпека

Почніть вивчати загальні інструменти торгівлі, провідний провід, IOS тощо тощо - хороший старт. Підбирайте більш спеціалізовані навички, такі як криміналістика, коли вам подобається. Існує кілька різних наборів курсів. Наприклад, ДАНС має досить хорошу репутацію. Cisco розумний. На жаль, важко дістатися далеко, якщо піти цим шляхом. Ви можете перейти в середнє управління через деякий час, але там навички здебільшого марні. У деяких компаніях ви також можете мати справу з фізичною безпекою, що залишає більше відкриттів вгору. Якщо ви звернетесь до міліції, ви витратите багато часу на перегляд неприємних знімків, якщо ви вибрали цей шлях.

  • Технічна безпека

Почніть вивчати передові математичні та інші технічні навички. Виберіть область та спеціалізуйтесь. І спеціалізуватися. І спеціалізуватися. Якщо вам пощастило, ви перебуваєте в районі, де великий попит, або ви знайдете компанію, де вам подобається працювати. Вам стане більш-менш неможливо замінити. Якщо ви граєте в свої картки правильно, ви можете подорожувати світом і зустрічати безліч дуже яскравих людей.

З моєї точки зору, перше, що потрібно зробити, це навчитися думати про безпеку. Почніть читати таких людей, як Шнайер (Поза страхом) та Росс (Security Engineering). Як тільки ви зрозумієте основне мислення в області безпеки, ви можете вибрати свій шлях, якщо ви хочете копатися в цьому полі. Це не так гламур, як деякі хочуть зробити це. Безпека - це перший бюджет, який скорочують, коли справи затягуються, і очікуємо, що винна у всьому помилка.


+1 для різних ніш в InfoSec. "InfoSec" - це широке поле, як і "IT" Також + для SANS.
Джош Броуер

Саме такі питання, які мені потрібно дослідити, дякую! Я перейду на славу, і мене звикли вважати накладними - це шматок моєї роботи з придуркової торгівлі, який мені найбільше подобається.
Кара Марфія

8

Я адміністратор протягом 20 років (15 років професійно), в основному Unix з тиском Windows, як потрібно. З самого початку я схильний грати параноїдального адміністратора, здебільшого тому, що це практично і повчально, а не тому, що я вважаю, що хакери з іншого боку земної кулі націлені на мої сервери. ;-) Безпека - це фактично вимога систематичного управління, яку можна практикувати щодня.

Ви не вказуєте, чи хочете ви носити офіційний знак "Спеціаліста з безпеки", і виконайте такі дії, як тестування пером, аудит відповідності PCI, реагування на інциденти (криміналістика тощо), або ви просто хочете бути адміністратором з великим захистом кредити, які допоможуть вам розширити варіанти кар’єри та захищати гучні системи під ваші гроші.

З небагатьох однолітків, яких я знаю, в категорії «офіційна», CERSP був першим, хто вирішив справу, і через це вони пішли на гідну роботу (звичайно, у них було 10+ років практичного досвіду, як ти, для резервного копіювання). В Інтернеті є багато матеріалів, окрім офіційних навчальних матеріалів та курсів, щоб оцінити ваше розуміння.

Незважаючи на те, що концепції можна вивчити та застосувати на будь-якій платформі, я особисто рекомендую Unix, оскільки ви отримуєте такий низький рівень доступу до всього, з додатковою перевагою, щоб мати можливість легко отримувати доступ до цієї інформації через віддалену оболонку: перегляд прямих сеансів tcpdump, syslog записи, журнали веб-серверів, скидання сміття, скидання живої системної пам’яті, до мільйона інших інструментів з відкритим кодом для підгляду та натискання на внутрішню частину запущеної системи.

Зважаючи на те, що Unix є ідеальною платформою для вивчення подібних речей, легко випливає, що чудовим способом вчитися є кидання себе на поговорних вовків. Отримайте собі Linux або FreeBSD VPS рівня початкового рівня, справжній віртуалізований VPS (наприклад, Xen) з усім "апаратним" та адміністраторським доступом, для того, щоб імітувати реальну угоду в реальному, відкритому для Інтернет середовищі.

Налаштуйте себе за допомогою живої, робочої системи. Запускайте живий SMTP-сервер і дивіться спам-боти та скануйте на наявність шкідливих програм. Налаштуйте веб-сервер і дивіться, щоб діти-скрипти пробували атаки ін'єкцій SQL у своїх веб-журналах та журналах БД. Слідкуйте за своїми журналами ssh для грубої атаки. Створіть загальний блог і веселіться, бореться зі спам-ботами та атаками. Дізнайтеся, як розгорнути різні технології віртуалізації для служб розділів один від одного. Дізнайтеся з перших вуст, чи варто ACL, MAC та аудит на рівні системи додаткової роботи та клопоту над стандартними системними дозволами.

Підпишіться на списки безпеки ОС та вибраної вами програмної платформи. Коли ви отримаєте довідку у своїй папці "Вхідні", прочитайте про атаку, поки не зрозумієте, як вона працює. Зробити виправлення уражених систем, звичайно. Перевірте свої журнали на наявність ознак того, що такий напад був здійснений та чи вдався такий. Знайдіть блог або список безпеки, який вам подобається, і слідкуйте за ним щодня або щотижня (залежно від того, що стосується), підбираючи жаргон і читаючи те, що ви не розумієте.

Використовуйте інструменти для атаки та аудиту власних систем, намагаючись зламати власні речі. Це дає вам перспективу з обох сторін атаки. Слідкуйте за найсучаснішими умовами «чорної шапки», читаючи документи та презентації з налагоджених конференцій типу DEFCON. Тільки архіви останніх десяти років є скарбницею інформації, багато що й досі діє.

Звичайно, у мене немає сертифікатів, а також не виставляю рахунки за послуги "спеціаліста з безпеки". Я просто роблю це частиною свого розпорядку дня, щоб не відставати від цих речей, щоб зробити себе кращим адміністратором. Незалежно від того, бажані чи необхідні цілі для ваших цілей, краще залишити когось, хто їх має. Однак я вважаю, що важкий практичний підхід - це найкращий спосіб вивчити цей матеріал, і я сподіваюся, що деякі мої пропозиції дають трохи їжі для роздумів.


6

Ви робите те саме, що і ви, і я вважаю, що це дуже корисно, це інститут ДАНС . SANS - це нейтральний для продавців тренер і сертифікатор InfoSec. Погляньте на дорожню карту сертифікації SANS . Я почав з GSEC, взяв свій GCIH, і зараз працюю над моїм GCIH Gold . GSEC є відмінним проміжним відправною точкою.

Сподіваюсь, це допомагає.

Джош


Нейтралітет продавця здається, що це було б добре в цьому випадку.
Кара Марфія

2

Я знаю, що це не дає вам певних курсів. Деякі загальні думки з мого досвіду:

  • Знайте TCP / IP та маршрутизацію зсередини. IOS добре, очевидно, там, де бере участь Cisco.
  • Курс Wireshark був би хорошим. Аналіз пакетів є основоположним для відстеження безпеки.
  • Знайте протоколи рівня додатків всередину. HTTP, FTP, SSH, SSL, SMTP
  • Знайомство * nix, безумовно, добре

Я не знаю, що конкретна інформація там допомагає, але, маю надію, це допомагає, можливо, в пріоритетах чи напрямках!


Як я це бачу, будь-який коментар когось із поля є кращим, ніж мої власні здогадки. Дякую!
Кара Марфія

1

Залежно від того, в якому конкретному місці ви опинилися, може також бути важливим не лише робота з вашої технічної сторони, але й до того, до яких груп, мереж тощо ви можете долучатися.

Можливо, в залежності від вашої місцевості є кудись важливі місця ( IETF , NANOG тощо). Не забувайте про різні центри реагування, такі як DNS-OARC для безпеки, пов’язаної з DNS.

Однією з найбільших проблем у роботі з охороною є те, що люди, як правило, зберігають таємницю, коли знаходять проблему. Іноді краще ділитися та працювати разом через організаційні межі, ніж це працювати у вакуумі.


1

З мого досвіду, ти не можеш бути досвідченим захисником, поки не дізнаєшся, на що здатний правопорушення. Деякі конференції, які я вважаю корисними:

http://www.blackhat.com/
http://www.defcon.org/


Мені подобається читати про них щороку. Я хотів би поласувати собою, відвідуючи один із цих днів, але важко було б покинути ноутбук надовго. ;)
Кара Марфія

@ "Кара Марфія" ви могли повністю взяти свій ноутбук у Black Hat, не хвилюйтесь. DefCon - інша історія. ;) Ви можете піднести свій ноутбук до DefCon, якщо припустити, що ваша ОС була загартована, що у вас відключені бездротові пристрої та пристрої Bluetooth & Infared і що ви ніколи не підключаєте його до мережі DefCon. Або принесіть його та залиште у своєму готельному номері, використовуючи його лише вночі;)
paxos1977

0

Знайомтесь із OWASP: http://www.owasp.org

Також значна частина безпеки пов'язана з процесом / експлуатацією.

OWASP надає OpenSAMM, але існують такі рамки, як ISO 27000 (як хтось інший), COBIT, SABSA тощо.

Ура

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.