Ethical hacking - első lépések

Kezdésnek ezt a kurzust ajánlanám.
Szerk.: inkább ezt, a másik ennek a folytatása, bár van átfedés.

CCNA-t tanítok középfokú intézményekben.
A CCNA tananyag hálózatbiztonságból nagyon kis szeletet tartalmaz (ma már/ma még/ma).
Viszont elérhető egy szintén Cisco tananyag, ami eleve erről szól: Cisco Network Security.
Azt nem tanítom, de valamennyire belelátok. Azt gondolom, hogy azzal a tudással egy banki rendszert nem szívesen terelgetnék el (ismeret/felelősség arány).
De első lépésnek ilyesmit meg lehet nézni. Számomra nagyon Ciscoeszköz-specifikus, bár annyit legalább látok belőle, hogy a CCNA sem fedi le a cisco eszköztípusok magabiztos százalékát - már ami a nagy rendszerek cisco-s építőelemeit érinti.

Ezeket szigorúan csak az "én véleményem" szintjén vállalom fel.

A kovetkezo az csak Szvsz szoval ne vegyel mindent kezpenznek:

Az etikus hackeles piaca meg messze nem telitett, sot inkabb hiany van a jo szakemberekbol. A skilljeid annyira szamitanak mint inkabb a gondolkodasod a dolgokrol(gyors problema megoldas ,allando tanulni akaras es a mindenki kedvence: "thinking outside the box").

Rengeteg rendszer letezik es altalaban a teameket is ugy teszik ossze hogy mindenbol legyen valaki aki ert valamihez. Rendszeradmin alapok szerintem nagyon jo alapok. Programozni tudni kell de ennek is megvannak a maga szintjei munkakortol fuggoen Python jo valasztas, az industry mostansag migral Python 3.x fele.

Nagy altalanossagban 2 fele lehet menni: Business type, /awareness raising/pre-sales/training/konzultans szal ahova CEH (ceh-et szemely szerint nem szeretem), CISSP, CISM, GCIH es hasonlo anyagokat nezegessed

Technikailag jobban megerolteto pentest szal(OSCP) es altalaban minden ami Offensive Security anyagok jo kezdet.

A fizetesrol annyit hogy meg junior pozicioban is keveselem, de en nem vagyok otthon az otthoni arakban,bar van par kollega Prágában akik 2x ennyiert vallaltak munkat. Probalj nagy cegekhez bejutni akik jelentos hangsulyt fektetnek a trainingre. Altalaban altalanos erdeklodes a szakma irant meg elegendo a bejutashoz.

Sok Sikert!

- Jó, ha van rálátásod a programozásra, a python például teljesen jó scriptelgetni.
- Remek alap a rendszergazdai háttér, mert álltál a barikád másik oldalán is :). De penteszt ismeretek nélkül a sérülékenységvizsgálat nem fog menni.
- Vannak kifejezetten securitys minősítések (mint csillag az égen...), ha konkrétan pentesztelni szeretnél, akkor az Offensive Security OSCP-jével kezdd szerintem. Feleannyiba kerül, mint a CEH, de legalább tényleg hackelni kell. Kiváló alapot ad.
- A 350 bruttó nagyon kezdő összeg. Nagy hiány van _jó_ securitysből, pár év tapasztalattal jóval vastagabban foghat a ceruza.

-----
A problémáim velem kezdődtek és utánam megmaradnak. Ez az én hozzájárulásom az Emberiség Nagy Művéhez.

"- mennyire kell pengének lenni programozásból? elég ha ismerek 1 prognyelvet és ezek mellett script nyelveket? (bash,python stb)"

Nem kell, de bizonyos aspektusai nagyon hasznosak. Juniorkent ez kb. azt jelenti, hogy meg tudd irni a sajat tooljaidat, vagy hozza tudj nyulni a meglevokhoz. Ez kulonosebben magasszintu fejlesztoi tudast nem igenyel.

A masik oldalrol viszont, ha tudod hogy a fejlesztok hogy gondolkodnak (pl. itt egy feature, ez valoszinuleg igy van implementalva, es tuti hogy elrontottak itt meg itt), ha tudod hogy hogy pontosan mukodik egy webes framework, egy appszerver, a JVM, egy hashtabla, egy operacios rendszer, mi az a paging, mire jo az SMAP, stb. az rendkivul hasznos a kesobbiekben (mas kerdes, hogy ezt onmagaban a fejlesztoi tapasztalat sem garantalja).

"- 4 év rendszergizdaság után mennyire hülye ötlet egy Junior It biztonsági pozira jelentkezni, amiben azt ígérik a log turkálás mellett, hogy sérülékenységvizsgálatot, illetve rendszerek analizálását is csinálod?"

"Karrierut szempontjabol" semennyire, minden komolyanveheto penteszter volt par evig rendszergazda (ha mashol nem, szabadidejeben a kolihalon). Hogy megeri-e, az attol fugg, hogy melyiket szeretned jobban csinalni.

"- mennyire kötelező MCSA,CCNA megléte?"

Semennyire. A cegek minden ilyesminek orulnek, mert neha vannak ajanlatkiirasok, ahol fel kell mutatni X db ilyen-olyan certtel biro embert, de a felvetelnel nem szamit.

"- milyen fizetésre számíthat az ember? 350 bruttó alatt nem nagyon szeretnék váltani"

A junior fizetesekkel nem annyira vagyok kepben, de ennel szvsz lehet tobbet kerni.

"Zsebből nem tenném ki az 500+áfa-s tanfolyamot + vizsgát, ezért keresek alternatív megoldásokat."

CEH-re ne menj, ido es penzpazarlas. Tenyleg. Juniorkent a fo skill amit neznek, az a webes blackbox teszt. SQLi-XSS-CSRF-session fixation-stb. temakornek nezz utana (az OWASP wikije jo kiindulopont), par alap toolt tanulj meg hasznalni (burp suite, nmap, sqlmap, dirbuster), csinalj CTF-eket (lehetoleg webeset, a binary ninja skill-ek jok, de a munka nagy resze sajnos nem az lesz), nyomkodd vegig a DVWA-t meg a gruyere-t, keress (es reportolj) vulnokat random Wordpress/Joomla pluginekben (ha a base-ben is talaltal, akkor mindenkepp kuldj CV-t! :) ). Normalis cegnel ha talaltal par igazi vulnt igazi szoftverben, az tobbet szamit mint barmilyen cert. Ja, es angolul tudni kell. Nem csak doksiolvasas szintjen, hanem tenyleg.

Amit meg erdemes tudni: a penteszt keves kiveteltol eltekintve altalaban consulting munkat jelent, ami magaval hoz nehany dolgot:
- utazas - nem minden munkat lehet megcsinalni tavolrol. Teljesen normalis dolog, hogy egy kollegat 2-3 hetig nem latunk az irodaban. Ha a cegnek nemzetkozi ugyfelkore van, ez sok esetben repulozest meg hotelben alvast is jelent, meg hogy max. hetvegere tudsz hazajonni.
- ugyfelek - tudni kell kommunikalni kell veluk, adott esetben angolul.
- hataridok - olyan, hogy egy projektre tul sok ido van, nem letezik. Nem tudom, hogy nalatok milyen a munkatempo, de ez valoszinuleg szorosabb lesz.

--
"You're NOT paranoid, we really are out to get you!"

subi

sub

sub

sub

*

+Subscibe

subscribe

sub

sub

sub

Obudai egyetemen is szokott lenni CEH (v7), es 'csak' 150e, két hét alatt lezavarjak az anyagot. Sajnos nem tul up-to-date, de a vizsgaanyag mar sokkal jobb (v9 főleg)

subscribe();

sub

sub

subscribe

sub

Nyilván valamivel túlmutat a kérdéseden, de figyelmedbe ajánlanám a Tallinn University of Technology Cyber Security MSc képzését. A képzés tandíjmentes és ismerőseimtől úgy tudom, hogy magas színvonalú. Ha nagyon az akadémiai jellegű tanulásra mennél rá és jól teljesítesz, különböző ösztöndíjakból el lehet lenni. Ha inkább praktikusabb hozzáállású vagy, akkor az iskola eléggé "dolgozóbarát" és secc perc alatt tudsz találni magadnak suli mellé IT munkát, amiből megélsz (én ez utóbbi verziót nyomom ugyanitt, csak másik képzésen).

Szia, igy 2 ev eltelte utan hogyan alakul a szakma valtas? Sikerult bekerulnod a "security berkekbe"?
Bocs hogy itt tezsem fel a kerdest es nem privatban, cska gondoltam lehet mast is erdeklne a tortened.
Koszi

sub