В ответ на Насколько сложно найти работу пентестером? .
Также по теме: отвечать от чипик .
ОБНОВЛЯТЬ отвечать от человека, который непосредственно брал интервью, что многое проясняет. Этот пост отражает мою личную точку зрения.
Уважаемые абитуриенты, нам не важно кто вы - женщина, мужчина, гуманоид, гей, эукариот или токсоплазма - главное, что вы разумны.
Это означает, что заявительница по каким-то причинам предположила, что решающим фактором является именно биологический пол, такова была ее воля.
А у нас есть девушки, которые работают и, кстати, дают фору многим молодым людям.
Я надеялась, что это настолько очевидно, что не стоит об этом писать, но все же.
Теперь подробнее: к сожалению, мир наполнен людьми, которые, кажется, в последнее время немного замечтались, начитавшись Интернета и счастливых историй стартапов, и которые хотят всего и сразу, толком ничего не умея.
И ладно бы, если знания — вещь приобретаемая, но общее понимание и умение нестандартно мыслить, что крайне важно для пентестера и является первоочередным требованием, у многих, к сожалению, полностью отсутствует. Главное по теме интервью Чипик уже написал, хотя самых главных «перлов» не раскрыл.
Поэтому я не буду повторяться, а лучше расскажу вам на примере, как это было у меня, чтобы каждый мог снять розовые очки и, о боже мой, осознать, какая у вас трудная судьба.
В 2006 году я чуть не попросился на собеседование в Digital Security. Кстати, к собеседованию я готовился долго, так как знал, что оно будет непростым.
И через некоторое время я наконец это понял.
На собеседовании меня методично швыряли лицом в грязь более 2 часов, и во многом не с обычными вопросами о том, что такое пентест и как он проводится, а с вопросами типа: «почему именно и что , если подуматьЭ» Но что, если уязвимый IIS находится во внутренней сети, и доступен снаружи через прокси-шлюз, а шелл-код привязки, находящийся в публичном распространении, естественно, работать не будет? и так далее… Если до этого я думал, что что-то понял, то мне давали понять, что это не совсем так.
И вопросы были вовсе не о том, что такое SQL-инъекция, а о том, как обойти ограничения в особо сложных ситуациях типа Order by или что-то в этом роде (уже забыл), причем, как я узнал позже, на At на тот момент публичных методов не существовало, и меня проверяли на то, насколько развито нестандартное мышление, а не на то, насколько я запомнил названия уязвимостей.
В общем, после собеседования мне дали 2 тестовых задания — типа, просто терпи, если очень хочешь работать.
Первое: найти уязвимость переполнения буфера в бинарном приложении и написать эксплойт, второе — то же самое, но с обходом ASLR. Еще раз напоминаю: это 2006 год, это сейчас не для вас с большим количеством информации для чайников и обилием литературы, курсов корела и так далее.
Только после успешно выполненного задания и немалого количества писем и звонков с вопросами «Ну, есть ли шансыЭ» В конце концов меня наняли стажером, и первый месяц я работал бесплатно, возясь, насколько я помню, с безопасностью McAfee EPO. Почему бесплатно? Да, потому что я проводил исследования и обучение до того, как мне предоставили доступ к реальным проектам, потому что компания в тот момент тратила на меня больше, чем получала взамен, обучая меня и вводя в курс дела.
Но потом, со временем, когда я смог много раз проявить себя реальными действиями, я стал тем, кем являюсь сейчас, и ни о чем не жалею.
И да, я не пошел работать программистом, как 90% моих коллег в университете, и да, поначалу они получали значительно больше меня, значительно.
Но я знал, что делаю то, что мне действительно интересно, я получаю кайф от работы и получаю это сейчас, и знал, что рано или поздно все будет здорово.
И я не ошибся хотя бы потому, что на следующей неделе мне предстоит в третий раз выступать на BlackHat в Вегасе, а когда-то я просто пытался разобраться в презентациях, которые скачивал и читал по вечерам.
.
Сейчас требования к стажерам стали мягче, и вводное обучение гораздо лучше, и рост зарплаты у тех, кто проявит себя, происходит гораздо быстрее, так что вам, конечно, повезло больше.
Ну а по поводу бесплатной удаленной работы - ну вы неправильно поняли, вы учитесь удаленно, а не работаете, а мы помогаем, чем можем и чем можем.
И как только вы начнете приносить какую-то пользу, вы, несомненно, получите вознаграждение.
А если ты в принципе ничего не понимаешь, то непонятно, как тебя вообще пустят на настоящие пентесты.
И наконец.
Честно говоря, я в шоке от нынешнего уровня знаний студентов в области информационной безопасности.
В этом отношении, господа, вам так легче! У вас огромное количество литературы по всем темам, масса обучающих материалов почти на видео, которые заполонили Интернет, в том числе и на русском языке, масса дистрибутивов, на которых можно тренироваться искать уязвимости, тогда как раньше это можно было сделать только на живые системы.
В университетах уже учат основам пентестинга, тогда как раньше это все собиралось по кусочкам, и что дальше, системы виртуализации те же - еще один огромный плюс для обучения, и даже в России появились две конференции по безопасности.
! Так каков результат? Люди на собеседовании в принципе не понимают самых банальных вещей, и если они хоть как-то отвечают на вопрос, что такое XSS, то возникает вопрос: «что можно сделать, чтобы XSS не возникалоЭ» - это выше наших сил, в Хакере такого не написали (простите ][, мой любимый журнал).
Ну и самое главное: в те славные времена, еще до докторантуры, когда меня не принимали в Агнитум, я хоть и выполнял контрольное задание, но не пускал слюни и не тратил драгоценное время на обидные посты, а продолжал учиться.
Теги: #информационная безопасность #информационная безопасность
-
В Openbsd Пока Не Обнаружено Бэкдоров Фбр.
19 Oct, 24 -
Государственные Тесты Глазами Программиста
19 Oct, 24 -
Каким Должно Быть It-Образование?
19 Oct, 24 -
Фрида-Нода Или Немного Странный Код
19 Oct, 24
