Для начала разберемся с понятием кибербезопасности. Если совсем на пальцах: кибербезопасность — это искусство делать так, чтобы твоя цифровая жизнь не превратилась в достояние общественности или инструмент в чужих руках.
Твой смартфон, ноут и аккаунты — это не просто иконки на экране, а твоя виртуальная квартира. Кибербезопасность — это всё: от надежного замка на двери до понимания того, что не стоит открывать окно и кричать незнакомцам свой номер карты.

Но как хакеры взламывают эти замки на дверях? Социальная инженерия - самый популярный способ «развести». Хакерам лень ломать сложный шифр, но можно просто прислать тебе ссылку или позвонить - «Смотри, тут твои голые фотки!», сообщение от «техподдержки банка» или «силовых служб».
• Суть: Тебя заставляют паниковать или любопытничать, чтобы ты сам отдал пароль.
• Защита: Критическое мышление. Видишь странную ссылку или файл от друга, который внезапно заговорил как робот? Не кликай. Говорят, чтобы сказал пароль или смс-код? Не говори.
Вроде всё кажется очевидным, но ежедневно таким способом хакеры банкротят фирмы, шантажируют людей, похищают деньги, сливают ваши данные в сеть. Представьте, что такой хакер нарвался не на вас, а на ваших родителей или бабушек-дедушек, позаботьтесь и скажите им, что никакие пароли ни при каком случае они никому не говорят, что пусть они лучше позвонят вам, а вы убережете и их финансовое состояние, и их нервы.
Но как хакеры могут обмануть и такого как ты? Самые популярные способы – это фишинг и вирусы.
• Фишинг - то уже не просто кривые письма. Это поддельные страницы входа (например, Steam или Discord), которые выглядят идентично оригиналу. Ты вводишь данные, и их тут же перехватывает скрипт. Вроде бы и сайт выглядит точно также, и функции все те же. Но это всё обман. Как защититься? Вводи пароли только на проверенных сайтах, будь внимателен к адресу сайта, не ведись на подозрительные сообщения.
• Ну а чтобы защититься от вирусов, не нужно быть гением. Всё до ужаса просто – скачивай с проверенных источников. Если скачиваешь с подозрительных источников – скачай сначала на песочницу (виртуальную среду), протестируй там и только потом скачивай на само устройство.
Вот ты прочитал это, думаешь, что ты уже достаточно осведомлён в этой теме, но это только верхушка айсберга. Смоделируем ситуацию: приходишь в кафе, подключаешься к местной вай-фай сети, а тут бац и у хакера есть пароль от твоего Стима, твой номер, адрес, и он уже знает, что ты заказывал вчера на ужин. Что произошло? Правильно – ты попался на Evil Twin, так называемую фальшивую сеть. Когда ты в кофейне подключаешься к бесплатному Wi-Fi, твои данные летят по воздуху. Когда ты подключаешься к такому «Злому двойнику», хакер буквально встает между твоим смартфоном и интернетом. Все, что ты вводишь — логины, пароли, данные карт — проходит через его устройство. Будьте внимательны, когда подключаетесь к общественным сетям!
В нынешнее время существует множество способов украсть ваши данные, взломать вас и навредить кому-то от вашего лица. Именно поэтому важно следить за своим цифровым следом и своими данными. Будьте аккуратны в интернете, он далеко не «белый и пушистый».

Третья часть моего рассказа о направлениях кибербезопасности. И тема:Threat Hunting

Обратите внимание: Threat Hunting — продвинутая специализация. Обычно требуют 1-2 года опыта в SOC или IR. Но путь можно начать с нуля и сразу ориентироваться на эту цель.

Этап 0: Фундаментальная база (4-6 месяцев)

Цель: Получить знания, без которых охотиться не на что и негде.

1. Операционные системы — экспертное понимание
Windows (глубоко):

Архитектура: процессы, потоки, дескрипторы, реестр, DLL

Механизмы аутентификации: NTLM, Kerberos (как это выглядит в логах)

WMI, PowerShell, RPC — как используются злоумышленниками (Living off the Land)

Критически: Автозапуск (Persistence): Run Keys, Services, Scheduled Tasks, COM Hijacking

Linux:

Системные вызовы (syscalls), процессы, cron, systemd

Аудит: auditd правила, как детектировать подозрительные вызовы Файловые системы, скрытые каталоги, атрибуты

2. Компьютерные сети — видеть аномалии

Не просто теория, а аномалии:

DNS: запросы на DGA-домены, tunneling, fast-flux

HTTP/S: нестандартные User-Agent, beaconing (регулярные "звонки" на C2)

Протоколы: SMB, RDP, SSH — признаки brute-force и lateral movement

Инструменты: Wireshark, Zeek/Bro, tcpdump — не просто смотреть, а строить behavioural-

базу

3. Кибербезопасность — атаки и защита

MITRE ATT&CK Framework — ваш основной язык и карта

Изучить все тактики (Tactics), ключевые техники (Techniques)

Понимать, как каждая техника проявляется в данных (Data Sources)

Кибер-убийственная цепочка (Cyber Kill Chain) — альтернативный взгляд

Этап 1: Ядро Threat Hunting (6-8 месяцев)

Цель: Освоить методологию, инструменты и мышление охотника.

1. Методологии охоты

Гипотезно-ориентированный подход: Самая важная концепция!

"А что, если...?" → Гипотеза → Поиск данных → Анализ → Выводы

Пример: "А что, если в сети есть скрытый C2-канал через DNS?"

Модели:

Persistence Hunting: Поиск механизмов выживания в системе
Anomaly Hunting: Поиск отклонений от базовой линии
Intel-Driven Hunting: Охота по конкретным IOC и TTP из отчетов
Картирование к ATT&CK: Каждая ваша гипотеза должна быть привязана к конкретной технике MITRE (например, T1059.003 - Windows Command Shell)
2. Ключевые техники охоты

1. Stack Counting: Анализ вызовов процессов (какая программа кого запустила)
2. Baselining: Понимание "нормы" для вашего окружения (какие порты обычно открыты, какие процессы)
3. Deception Technology: Использование ловушек (honeytokens, canary files)
4. Hunting for LOLBAS: Поиск использования легитимных инструментов в злонамеренных целях

Первым фото прикреплю, что вы должны знать: где искать и что искать

Этап 2: Практика в лабораториях (параллельно с Этапом 1)

Цель: Наработать мышечную память и образ мышления.

1. Лабораторные платформы

TryHackMe:
"Threat Hunting" path (обязательно!)
"Windows Event Logs" room

"Red Team" rooms (чтобы понять TTP злоумышленников)

Hack The Box (Defensive Paths):

"Cyber Defense" track

Сложнее, но ближе к реальности

LetsDefend.io:

Реалистичная SIEM, можно практиковать гипотезы Кейсы, основанные на реальных инцидентах

2. Создание домашней лаборатории для охоты

Продвинутая схема:

[Атакующий (Kali)] → [Жертва (Win10 + Linux)] → [Данные] → [Аналитическая платформа]

↓

[Сбор данных: EDR, Sysmon, Zeek]

↓

[SIEM: Elastic Stack + HELK или Security Onion]

↓

[Threat Hunter (вы) + Jupyter Notebook]

Что настроить:

1. Sysmon + SwiftOnSecurity Config на Windows — золотой стандарт логирования

2. Zeek для сетевого трафика — генерирует структурированные логи

3. Elastic Stack или Security Onion как платформа для анализа

4. Atomic Red Team для симуляции атак и тестирования гипотез

3. Инструменты охотника

Сбор и обогащение - OSQuery, Velociraptor, Logstash

Анализ данных - Jupyter Notebook + Python (Pandas, Matplotlib), R

Анализ процессов - Sysinternals Suite, Process Explorer, Process Monitor

Сетевой анализ - Zeek, RITA (BlackHat), Stenographer

EDR-подобные - Wazuh, Elastic Agent, LimaCharlie

Оркестрация - TheHive, Cortex (для управления гипотезами)

Этап 3: Углубление и специализация (4-6 месяцев)

Цель: Перейти от проверки гипотез к проактивной охоте.

1. Data Science для охотника

Основы Python: Не просто скрипты, а анализ

Pandas для работы с большими объемами логов

Matplotlib/Seaborn для визуализации аномалий

Jupyter Notebook как основная рабочая среда

Статистика: Понимание распределений, выбросов (outliers), корреляций Машинное обучение (базово): Кластеризация для поиска аномалий

2. Углубление в атаки

Red Team视角: Пройти базовые курсы по пентесту

Основы Active Directory атак (Kerberoasting, Pass-the-Hash)

Техники обхода защиты (AV/EDR evasion)

Современные C2-фреймворки (Cobalt Strike, Sliver)

Цель: Не стать хакером, а понимать, что и где искать

3. Сертификации

Для начала: CompTIA CySA+ (охватывает основы анализа)

Специализированные:

Blue Team Level 1 (BTL1) — практическая база

Certified Threat Intelligence Analyst (CTIA) — понимание угроз

GIAC Cyber Threat Intelligence (GCTI) — продвинутый уровень

Идеальная цель: SANS FOR508: Advanced Incident Response, Threat Hunting, and Digital Forensics → GCFA/GCTI
Этап 4: Формирование портфолио и поиск работы

Цель: Стать Junior Threat Hunter.

1. Портфолио охотника

GitHub:

Jupyter Notebooks с разборами охоты

Скрипты для автоматизации (парсинг логов, enrichment IOC)

Конфигурации Sysmon, Zeek, детекционные правила

Блог/Write-ups:

Полные циклы охоты: гипотеза → поиск → находки → рекомендации

Пример: "Охота на Kerberoasting в Active Directory"

Разборы реальных APT-отчетов и их TTP

Участие в сообществе:

Публикация детекционных правил в форматах Sigma или YARA

Контрибьюшн в open-source проекты (Velociraptor, OSQuery)

2. Ключевые компетенции для резюме

Hard Skills:

Знание MITRE ATT&CK и умение строить гипотезы

Опыт работы с EDR/XDR платформами (CrowdStrike, SentinelOne, Microsoft Defender) Навыки анализа данных (SQL, Python, ElasticSearch/Kibana)

Понимание современных атак и TTP

Soft Skills:

Любопытство и настойчивость (главное качество!) Критическое мышление Умение визуализировать и объяснять данные

Способность работать с неполной информацией

3. Типовые задачи на собеседовании

Теоретические:

"Опишите вашу любимую технику MITRE ATT&CK и как бы вы искали её в сети?" "Как бы вы обнаружили lateral movement в сегментированной сети?"

"Что такое beaconing и как его детектировать статистически?"

Практические:

Дадут набор логов (Sysmon + Proxy) и спросят: "Есть ли здесь компрометация?" Попросят написать гипотезу для охоты на конкретную угрозу (например, ransomware) Предложат проанализировать дамп трафика на наличие C2
Ресурсы для обучения

Бесплатные:

MITRE ATT&CK Navigator — интерактивное изучение матрицы

Detection Lab от Chris Long — готовая лаборатория на GitHub

PurpleSharp — инструмент для симуляции атак и тестирования детекций

Threat Hunter Playbook от Roberto Rodriguez (@Cyb3rWard0g)

Awesome Threat Detection — curated list ресурсов на GitHub

Платные (но стоящие):

Hunt Evil — практический курс от автора Practical Threat Intelligence

SANS FOR508 — лучший, но дорогой курс

Pluralsight — курсы по анализу данных для security

Сообщества:

Open Threat Research Forge (OTRF) — Discord с профессионалами

SOC & Threat Hunting — Telegram-чаты

Twitter: @Cyb3rPandaH, @Cyb3rWard0g, @huntresslabs, @SwiftOnSecurity

Критически важные советы:

1. Начинайте с малого: Одна хорошая гипотеза в неделю лучше 10 поверхностных.

2. Документируйте всё: Даже неудачные охоты — это опыт. Ведите "Hunter's Journal".

3. Мыслите как противник: Регулярно смотрите записи с Red Team конференций.

4. Автоматизируйте рутину: Если дважды делаете одно действие — пишите скрипт.
5. Создайте свою "карту охоты": Таблица: TTP → Гипотеза → Где искать → Инструменты.

Путь сложный, но это одна из самых творческих и востребованных ролей в cybersecurity. Вы становитесь не просто реагирующим аналитиком, а проактивным исследователем. Прикреплю фото таблицы, чтобы можно было заскринить план обучения. Всем благ, дальше расскажу о Red Team / Pentest.

Продолжаю рассказывать о направлениях в кибербезопасности. Сейчас расскажу о этапах обучения в направлении: Incident Response

Этап 0: Фундаментальная база (4-6 месяцев)

Цель: Построить прочную основу без которой расследование инцидентов невозможно.

1. Компьютерные сети - обязательное знание на уровне администрирования

Глубокое понимание: TCP/IP стек, все основные протоколы (DNS, HTTP/S, SMTP, DHCP, ARP, ICMP)

Критически важное: Чтение и анализ сетевого трафика в Wireshark

Практика:

Сборка тестовой сети в GNS3/EVE-NG

Решение заданий на анализ PCAP-файлов (примеры на Malware-Traffic-Analysis.net)

Книга: "Wireshark 101" by Laura Chappell

2. Операционные системы - на уровне продвинутого пользователя

Windows (обязательно глубоко):

Архитектура ОС (процессы, службы, DLL, реестр)

Журналы событий (Event Logs): Security, System, Application

Аутентификация (NTLM, Kerberos)

Автозапуск (AutoStart Extensibility Points)

Linux:

Файловая система, права, процессы

Журналирование (syslog, journald, auditd) Bash-скрипты для автоматизации

3. Основы информационной безопасности

Модели угроз, векторы атак, жизненный цикл атаки Базовые понятия: IOC, TTP, MITRE ATT&CK Framework

Курс: SANS SEC301 (можно найти материалы) или CompTIA Security+

Этап 1: Специализированные знания IR (6-8 месяцев)

Цель: Изучить непосредственно дисциплины, составляющие инцидент-респонс.
1. Форензика (Digital Forensics)

Дисковая форензика:

Работа с образами дисков (dd, FTK Imager)

Анализ файловых систем (NTFS, ext4 - метаданные, журналы)

Timeline analysis (Plaso, log2timeline)

Поиск артефактов: Prefetch, ShimCache, AmCache, SRUM

Оперативная память (Memory Forensics):

Создание дампов памяти (DumpIt, winpmem)

Анализ с помощью Volatility Framework

Поиск процессов, сетевых соединений, инжектированных библиотек

Сетевая форензика:

Анализ PCAP-файлов на предмет аномалий

Выявление C2-трафика, эксфильтрации данных Инструменты: NetworkMiner, Capa

2. Малаварный анализ (начальный уровень)

Статический анализ: strings, PE-структура, импорты/экспорты

Динамический анализ в песочницах: Any.run, Hybrid-Analysis, локально Cuckoo Sandbox

Базовый анализ отчетов VirusTotal

3. Процесс расследования инцидентов

Модели: NIST SP 800-61, SANS PICERL (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned)

Документирование: Chain of Custody, форматы отчетов

Коммуникация: Как общаться с другими отделами во время инцидента

Этап 2: Практика и инструменты (параллельно с Этапом 1)

Цель: Наработать практические навыки.

1. Лабораторные среды и платформы

TryHackMe:

"Incident Response" path

"Forensics" rooms

"Malware Analysis" introductory rooms

LetsDefend.io:

Лучшая платформа для IR практики

Реалистичные симуляции инцидентов

Работа с SIEM как в реальном SOC

Blue Team Labs Online (Security Blue Team): Более сложные сценарии

SANS DFIR SIFT Workstation: Установите и освойте набор инструментов

2. Создание домашней лаборатории

Минимум:

1. Виртуальная машина Windows 10 (жертва)

2. Виртуальная машина Kali Linux (атакующий + инструменты анализа)

3. Виртуальная машина с REMnux (форензика)

4. SIEM/лог-сервер (Elastic Stack/Wazuh)

Практические сценарии:

Сымитировать атаку (например, с помощью Atomic Red Team) Собрать артефакты (дампа памяти, диска, логи)

Провести расследование Написать отчет

3. Инструменты - обязательный набор (будет фото ниже)

Этап 3: Углубление и сертификации (4-6 месяцев)

Цель: Систематизировать знания и получить подтверждающие документы.

1. Сертификации - оптимальный путь
1. CompTIA Security+ (база) → CompTIA CySA+ (аналитика) → CompTIA Pentest+ (понимание атак)
2. GIAC Certified Incident Handler (GCIH) - золотой стандарт, но дорогой

3. EC-Council Certified Incident Handler (ECIH) - более доступный вариант

4. Blue Team Level 1 (BTL1) - практический экзамен

2. Углубленные темы

Threat Hunting: Proactive поиск угроз

Анализ больших данных: Основы ElasticSearch/KQL, Splunk SPL

Автоматизация: Python/Go для автоматизации сбора артефактов Клауд-форензика: Основы расследований в AWS/Azure

Этап 4: Подготовка к работе (постоянно)

Цель: Найти первую позицию Junior IR Analyst.

1. Портфолио и проекты

GitHub:

Скрипты для автоматизации (парсинг логов, сбор артефактов)

Конфигурации инструментов

Docker-образы с настройками лаборатории

Блог/Write-ups:

Подробные разборы инцидентов из LetsDefend

Анализ малвари с VirusTotal/Hybrid-Analysis

Обзоры инструментов и методик

2. Ключевые компетенции для резюме

Технические:

Расследование инцидентов по методологии NIST/SANS Форензический анализ (диск, память, сеть)

Базовый малаварный анализ

Работа с системами мониторинга (SIEM)

Знание MITRE ATT&CK

Софт-скиллы:

Внимание к деталям

Умение работать под давлением

Техническое письмо (отчеты)

Коммуникация с нетехническими специалистами

3. Собеседование - к чему готовиться

Технические вопросы:

"Опишите процесс расследования компрометации рабочей станции" "Как определить, что система заражена малварью?"

"Что такое Living off the Land атаки? Приведите примеры"

"Как вы будете расследовать подозрительную активность в сети?"

Практические задания:

Анализ PCAP-файла на наличие C2-трафика

Исследование образа диска на предмет persistence-механизмов Разбор логов на предмет bruteforce-атаки

Также в фотографии добавлю план обучение на первый год. Ну а сейчас дам то, где же вам брать те самые необходимые данные:
Бесплатные курсы:

SANS DFIR YouTube Channel - вебинары от экспертов 13Cubed YouTube Channel - отличные tutorials по форензике

Cybrary - курсы по IR

DFIR Diva - ресурсы от Kristin Gudbrandsen

Книги:

1. "The Practice of Network Security Monitoring" by Richard Bejtlich

2. "Windows Forensic Analysis" by Harlan Carvey

3. "The Art of Memory Forensics" by Michael Hale Ligh

4. "Incident Response & Computer Forensics" by Jason Luttgens

Сообщества:

DFIR Discord - общение с практиками r/computerforensics на Reddit

Ну и конечно же советы:

1. Практика > Теория - 70% времени уделяйте hands-on

2. Документируйте всё - ведите заметки в формате, который поймет коллега

3. Специализируйтесь - после освоения основ выберите нишу (облачная форензика, мобильные устройства и т.д.)
4. Сети - посещайте митапы (например, OWASP), общайтесь в профессиональных чатах

Всем безопасникам удачи, дальше расскажу о Threat Hunting

Кибербезопасность — это не одна работа и не один путь. Здесь нет универсального «стань киберспецом». Кто-то целыми днями смотрит логи и ловит атаки. Кто-то расследует взломы. Кто-то ломает системы легально. А кто-то вообще не пишет код, но управляет рисками и аудитами. Этот пост — карта направлений в кибербезопасности. Он нужен, чтобы Вы поняли, куда реально идти, что там делают на практике и чего ждать по деньгам и сложности. Без мотивационных сказок. Без «войти за месяц». Только честная картина рынка и вариантов развития. Прочитай — и выбери путь осознанно, а не наугад.

SOC / Blue Team Этап 0:
Фундамент (3-6 месяцев)
Цель: Понимать, как всё устроено. Без этого этапа дальнейшее обучение будет шатким.
1. Компьютерные сети (Самое важное!):
• Теория: Модель OSI и TCP/IP. Протоколы: Ethernet, IP, TCP/UDP, DNS, HTTP/HTTPS, DHCP, ARP. NAT, VLAN, Subnetting.
• Ресурсы: Книга "Компьютерные сети" Таненбаума, курс Network+ от CompTIA (бесплатные видео на YouTube).
• Практика: Настроить домашний роутер, поработать с Wireshark для просмотра базового трафика.
2. Операционные системы:
• Windows: Архитектура, процессы, службы, реестр, журналы событий (Event Log). Управление через PowerShell (основы).
• Linux: Обязательно! Установите дистрибутив (Ubuntu, CentOS). Изучите командную строку (bash), структуру файловой системы, управление процессами, пакетами, правами (chmod/chown), основы сетевых утилит (netstat, ss, tcpdump).
• Ресурсы: Microsoft Learn, сайт likegeeks.com, книга "Linux для начинающих".
3. Кибербезопасность - основы:
• Триада CIA (Конфиденциальность, Целостность, Доступность).
• Базовые понятия: угрозы, уязвимости, риски, виды атак (DoS, фишинг, malware).
• Ресурсы: Введение в кибербезопасность от Cisco Networking Academy (бесплатно), TryHackMe - комнаты "Pre Security" и "Introduction to Cyber Security".
Этап 1: Ядро Blue Team (6-9 месяцев)
Цель: Получить конкретные навыки, необходимые для работы в SOC.
1. Системный и сетевой мониторинг:
• SIEM (Security Information and Event Management): Основная рабочая среда SOCаналитика.
• Практика: Разверните дома ELK-стек (Elasticsearch, Logstash, Kibana) или Wazuh (бесплатный SIEM с HIDS). Настройте сбор и анализ логов с вашего ПК.
• Изучите: Что такое корреляция событий, алерты, дашборды.
2. Анализ угроз (Threat Intelligence):
• Понять: Что такое IOC (Indicators of Compromise) - хэши, IP-адреса, домены.
• Научиться: Пользоваться открытыми источниками (OTX AlienVault, VirusTotal, Abuse.ch).
• Форматы: STIX/TAXII (базово).
3. Расследование инцидентов (Incident Response):
• Жизненный цикл: Подготовка → Обнаружение → Анализ → Устранение → Восстановление → Уроки.
• Практика на CTF: Расследуйте "утечки данных", "заражение вирусом" на платформах для тренировок.
• Форензика (базово): Анализ дампов оперативной памяти, дисков (автономно). Инструменты: Volatility, Autopsy.
4. Основы защиты сетей:
• Firewall (МЭ): Разберитесь с понятием политик (allow/deny), stateful inspection.
• IDS/IPS (Системы обнаружения/предотвращения вторжений): Чем отличаются, как работают (на основе сигнатур и аномалий).
• Практика: Поработайте с open-source решениями: Snort (IDS), Suricata (IDS/IPS), pfSense (firewall).
5. Логи и их анализ:
• Какие логи критичны: Windows Security/System Logs, Linux auth.log/syslog, веб-сервера (Apache/nginx), сетевые устройства.
• Научиться: "Читать" логи, вытаскивать из них ключевую информацию (IP, имя пользователя, временная метка, действие).
Этап 2: Практика и сертификации (параллельно с Этапом 1)
Цель: Закрепить знания, получить подтверждающие документы для резюме.
1. Лабораторная практика:
• TryHackMe: Лучший старт! Пройдите все комнаты из дорожки "Cyber Defense" и "SOC Level 1". Интерактивно, с пояснениями.
• LetsDefend.io: Платформа, созданная специально для Blue Team. Вы выступаете в роли SOC-аналитика, работаете с реальной SIEM, расследуете инциденты. Критически важно!
• Blue Team Labs Online (Security Blue Team): Более продвинутые лабораторные работы.
• Создайте свою домашнюю лабу: В VMware/VirtualBox разверните мини-сеть: "жертва" (Windows), "атакующий" (Kali Linux), "защитник" (Linux с ELK/Wazuh).
2. Сертификации (выберите 1-2 для старта):
• CompTIA Security+: Фундаментальный сертификат по безопасности. Обязателен к изучению программы, даже если не сдаете экзамен.
• CompTIA CySA+ (Cybersecurity Analyst): Более сфокусирован на анализе и навыках Blue Team. Отличный следующий шаг после Security+.
• Blue Team Level 1 (BTL1) от Security Blue Team: Практический экзамен в формате лаборатории. Очень ценится сообществом.
• EC-Council Certified SOC Analyst (CSA): Специализированный сертификат для SOC.

Этап 3: Трудоустройство (поиск первой работы)
Цель: Получить позицию Junior SOC Analyst или Security Operations Center Intern.
1. Портфолио:
• GitHub: Выкладывайте свои скрипты (например, на Python для парсинга логов), конфигурации для SIEM, отчеты по расследованию инцидентов из LetsDefend.
• Блог/Write-ups: Пишите разборы решенных вами заданий с TryHackMe/LetsDefend. Показывайте ход мыслей аналитика.
2. Резюме и LinkedIn:
Резюме: Делайте упор на навыки (SIEM, анализ логов, IDS, основы сетей, Linux) и практический опыт (лабы, CTF, пет-проекты). Укажите пройденные курсы и сертификаты.
LinkedIn: Заполните профиль на 100%. Укажите ключевые слова: "SOC Analyst", "Cybersecurity", "Threat Hunting", "SIEM".
Подпишитесь на хедхантеров и компании.
3. Подготовка к собеседованию:
• Техническая часть: Будьте готовы: Разобрать пейлоад (PCAP-файл) в Wireshark. Проанализировать образец лога и сказать, что произошло. Объяснить, как работает DDoS-атака и как ее обнаружить. Рассказать, что вы будете делать, если увидите алерт "Множественные неудачные попытки входа в систему".
• Поведенческая часть: Говорите о своем энтузиазме, желании учиться, внимательности к деталям. Ты должен быть лучше, чем другие в глазах работодателя, покажи уверенность, даже если ты боишься.
Ключевые навыки Junior SOC Analyst:
• Hard Skills: Понимание сетей, ОС, основ безопасности. Умение работать с SIEM, анализировать логи, понимать IOC. Базовые знания по IDS/IPS, фаерволам.
• Soft Skills: Аналитическое мышление, внимание к деталям, стрессоустойчивость (работа в сменах), умение ясно излагать мысли в отчете, желание постоянно учиться.
Об остальных направлениях расскажу в следующих постах.

Короче, забудьте всё, что вам втирали в голливудских фильмах типа «Проекта Х», «Мальчишник в Вегасе» и прочим подобным. Первый поход в клуб — это не эстетичные замедленные кадры с конфетти, а жесткое столкновение с реальностью, где пахнет вейпом, вокруг липкий пол и летающие локти. Мне 19, и до этого момента мой максимум ночной жизни — это катки в «Доту» и ночной жор. Но мой кореш решил, что нам пора «влиться в движ», и притащил меня к клубу «Луна». На входе стоял шкаф в черном, который с таким подозрением разглядывал мой паспорт, что я чуть сам не поверил, что я не я. На фотке в 14 лет я был пухляшом под сотку, а сейчас перед ним стоял дрыщ с парой прыщей на лбу. Охранник посмотрел на меня с такой жалостью, будто я пришел просить милостыню, а не танцевать, но всё-таки кивнул — проходи, мол, бедолага.
Внутри меня сразу накрыло звуковой волной. Музыка басила так, что мои зубы начали чечетку выбивать прямо в челюсти. Воздух — это отдельная тема: смесь кальяна,алкоголя и чьих-то духов за три копейки. Мы пробились к бару, и Дэн (так звали кореша), строя из себя мажора, заказал два «Лонг-Айленда». На вкус это было как смесь бензина с жидкостью для мытья окон, но для храбрости зашло на ура. Дэн тут же улетел на танцпол, исполняя какие-то конвульсии, которые он называл танцем, а я остался подпирать колонну. Старался делать лицо «таинственного гуру», хотя на самом деле просто пытался не оглохнуть и прикидывал, сколько катов в «Доту» я сейчас пропускаю.
Я смотрел по сторонам, на парней, выясняющих отношения у бара, на тех, кто танцует, на своего кореша, но вдруг я увидел их... Две девчонки в кожаных топах, такие боевые, что сразу понятно — они тут главные хищницы. Одна из них, рыжая и невысокая, смотрела по сторонам так, будто выбирала, кого принести в жертву. Наши взгляды пересеклись, и она, не дожидаясь, пока я соберу челюсть с пола, подошла вплотную. «Ты тут типа мебель охраняешь или танцевать умеешь?» — спросила она. Я, сам от себя не ожидая, выдал: «Я в режиме энергосбережения». Кристина (так её звали) оценила мою тупую шутку, схватила за руку и потащила в самый эпицентр ада.
На танцполе был лютый замес. Кто-то пролил коктейль, пол превратился в каток, и я пару раз чуть не исполнил тройной тулуп прямо в толпу. Вокруг все толкались, мне в ребра прилетали чьи-то локти, а мимо пролетел какой-то чел, которого охрана тащила за шкирку к выходу — он орал, что он «король города», пока его пафосное лицо не встретилось с дверью. Но Кристине было пофиг на хаос. Мы терлись друг об друга в этой потной толпе, и когда она поцеловала меня прямо под колонкой, я почувствовал вкус Red Bull’а, помады и, как следствие, взрыв своих барабанных перепонок. Но в тот момент мне казалось, что я поймал Бога за бороду.
Она потащила меня на выход, мы рванули через толпу, опрокидывая чьи-то кальяны и уворачиваясь от злых взглядов парней у бара. На улице холодный воздух ударил в лицо так, что я моментально протрезвел, но азарт никуда не делся. Поймали тачку, и я уже рисовал в голове сцены из категории «18+», как в лучшем кино. Приехали к ней в общагу, проскочили мимо вахтерши. В комнате был филиал свалки: пустые коробки из-под пиццы, разбросанные шмотки и запах каких-то дешевых свечек. Всё началось быстро и максимально неловко. Кровати в общагах — это отдельный вид искусства - они скрипят на весь этаж, докладывая всем о твоём подвиге. В какой-то момент мы так увлеклись процессом, что просто свалились на пол вместе с одеялом. Мы замерли, посмотрели друг на друга и просто начали дико ржать. В итоге весь «бурный» запал ушел в смех, мы заказали еще пиццу и до утра смотрели какой-то трэшовый сериал.
Утром я проснулся с ощущением, что в моей голове чеканят монеты. Одежда в пыли, в кармане откуда-то взялся чужой браслет, во рту — как будто стадо кошек ночевало. Кроссовки — на выброс. Но, честно, это было легендарно. Теперь я знаю, что клуб — это не про пафос, а про грязь, пот и умение вовремя посмеяться над своим же кринжем.