Bir pratisyenin ‘dünyanın en iyi işi’ olarak tanımladığı bir işte kariyer yapmak ister misiniz? Nasıl olduğunu öğrenmek için okumaya devam edin…
Madem okuyorsun günlük yudummuhtemelen zaten bir kalem test cihazının yazma araçlarını inceleyen biri olmadığının farkındasınızdır.
Aslında, elbette, bir kalem veya penetrasyon test cihazı, güvenlik açıklarını belirlemek ve bildirmek için bilgisayar sistemleri, ağlar ve altyapı üzerindeki siber saldırıları simüle etmeyi içeren uzman bir rolü yerine getirir.
Bug bounty ve pen test şirketi Intigriti’nin bilgisayar korsanları başkanı Inti De Ceukelaire, “Bir kalem testçisi olarak, sistemlerdeki potansiyel güvenlik açıklarını belirlemek ve ele alınabilmeleri için bunları bildirmekle sorumlusunuz.” günlük yudum.
“Bazıları etik bilgisayar korsanlarının kalem testçileri ile eşanlamlı olduğunu söyleyecektir, ancak benim deneyimlerime göre etik bilgisayar korsanları raporlamaya daha az ve mevcut gerçek siber güvenlik sorunlarının tanımlanmasına daha çok odaklanırken, kalem test uzmanları ayrıca sistemlerde gelecekteki teorik zayıflıklar hakkında tavsiyelerde bulunabilir.”
Bir kalem test cihazı ne yapar?
Sızma testi süreci, hem manuel teknikler hem de otomatik araçlar kullanılarak müşterilerin gereksinimlerini belirlemek ve buna göre testler oluşturmak için müşterilerle birlikte çalışmayı içerir. Güvenlik zayıflıkları için testler yerinde veya uzaktan yapılabilir.
Her adım, müşteriye sunulan raporlar ve önerilerle belgelenir ve sürecin sonunda tüm değişiklikler onaylanır. Mevcut yapılandırmalara ve mimariye dayalı olarak gelecekte ortaya çıkma olasılığı bulunan güvenlik sorunları hakkında da önerilerde bulunulabilir.
Pen test uzmanları, kurum içinde, ulusal ve çok uluslu şirketler için veya büyük kamu sektörü kuruluşlarında, izleme uygulamalarında, ağ cihazlarında ve bulut altyapılarında çalışabilir. Alternatif olarak, genellikle çeşitli müşteri sözleşmeleri üzerinde veya serbest olarak çalıştıkları bir güvenlik firmasında çalışabilirler.
Bir kariyer seçimi olarak kalem testi ne kadar popüler?
Penetrasyon test cihazlarına olan talep hızla artıyor. ABD Çalışma İstatistikleri Bürosu’na (BLS) göre, 2021 ile 2031 yılları arasında sızma testçileri de dahil olmak üzere bilgi güvenliği analistleri için büyümenin %35’e ulaşması bekleniyor. Bu, ABD’deki tüm meslekler için ortalamadan çok daha hızlı.
Artan sayıda şirketi ürünlerinin güvenlik açıkları için test edildiğini kanıtlamaya zorlayan, dünya çapında her zamankinden daha katı yasal gereksinimler bu büyümeyi körüklüyor.
De Ceukelaire, “Etik hacker yörüngeleri sunan daha fazla okul ve üniversiteye rağmen, kalem testçileri de dahil olmak üzere siber güvenlik uzmanları konusunda hala bir eksiklik var” diyor.
“Genel olarak, bir kariyer seçimi olarak kalem testinin yıllar içinde daha popüler hale geldiğini, ancak özellikle uygulama, IoT, scada veya blockchain kalem testi gibi belirli niş alanlarda kalem testçilerine olan talebin daha da hızlı arttığını tahmin ediyorum. ”
Nasıl kalem testçisi olunur?
Resmi nitelikler açısından, kalem testi yapanların çoğu bir tür BT veya siber güvenlik disiplininde derece sahibi olacaktır.
Sızma testi uzmanları, etik bilgisayar korsanlığı konusunda özel eğitim almadan önce genellikle ağ yönetimi, ağ mühendisliği veya web tabanlı uygulama programlama alanlarında işe başlar.
Infosec Institute, International Council of E-Commerce Consultants, Global Information Assurance Certification, CompTIA, Offensive Security ve (ISC)² gibi kuruluşlardan temin edilebilen bir dizi sertifika programı vardır. Bunların birçoğu evde bireysel çalışma yoluyla elde edilebilir.
Güvenlik firması Cyllective’de saldırgan güvenlik testi ekibine liderlik eden Dave Miller, “Güvenlik alanındaki herhangi bir giriş seviyesi iş yardımcı olur veya OSCP sertifikası gibi bazı sertifikalar da bölgede bir kariyer elde etmeye yardımcı olabilir” diyor. günlük yudum.
“Bir sistem yöneticisi, yazılım mühendisi veya benzeri bir BT mühendisliği geçmişi de faydalıdır.”
MUTLAKA OKUYUN Siber güvenlik alanında bir kariyer başlatmak için kaba bir rehber
De Ceukelaire, teknik olmayan becerilerin de tazelenmesini öneriyor.
“Tanınmış logolara sahip daha büyük danışmanlık şirketlerinde, düzgün ve kendi kendini açıklayan raporlar yazabilmek bazen teknik güvenlik açıklarına derinlemesine dalmaktan daha önemlidir. Belgeleme ve raporlama, büyük bir danışmanlık şirketi için çalışmak istiyorsanız ihtiyaç duyacağınız hafife alınan bir beceridir” diyor.
“Bir danışmanlık işi için çalışmak istiyorsanız, teknik iş yazımı, raporlama ve analiz kursları da almak isteyebilirsiniz.”
Bağımsız kalem testçilerine gelince, şöyle diyor: “Yeni müşteriler çekmek istiyorsanız, biraz satış bilgisi ve muhasebe de gereklidir.”
İyi zaman yönetimi becerilerine sahip olmak, bir ekibin parçası olarak çalışabilmek ve bulunan herhangi bir güvenlik açığının sonuçlarını anlamak ve iletmek için belirli bir miktarda iş bilgisine sahip olmak da önemlidir.
Kalem testine giden alternatif yollar
İşi fiilen yapma yeteneği önemli olan şeydir ve akademik nitelikler yolunda fazla bir şey olmadan bir penetrasyon testçisi olmak mümkündür.
Ekiplerin veya bireylerin bir dosyayı veya kodu ‘ele geçirmek’ için savunmasız sistemleri kasıtlı olarak hacklediği Bayrak Yakalama (CTF) yarışmaları, becerileri geliştirecek ve bilgisayar korsanlarına bazı yararlı bağlantılar sağlayacaktır. Örnekler arasında Hack the Box, Hack.me, Hack This Site ve WebGoat sayılabilir.
Bu arada, bug bounty programları sadece tam zamanlı serbest çalışanlar için değildir ve şirketlerin kodundaki güvenlik açıklarını bulan ve bildiren herkese büyük ödemeler sunabilir.
Bugcrowd ve HackerOne gibi sitelerde mevcut ödüllerin listeleri bulunurken Intigriti, hizmet olarak penetrasyon testi “Hibrit Testi” için bağımsız kalem testçilerini potansiyel müşterilerle buluşturuyor.
“Siber güvenlikteki birçok rol gibi, profesyonel bir kalem testçisi olmak da doğru zihniyete ve becerilere sahip olmakla ilgilidir – [for example] mantıksal düşünme, problem çözme, [and] yaratıcı yaklaşımlar,” diyor eğitim ve sertifikalandırma kar amacı gütmeyen kuruluşun (ISC)² CISO’su Jon France. günlük yudum.
KAÇIRMAYIN Nasıl CISO olunur – Kurumsal güvenlik merdiveninin tepesine tırmanma rehberiniz
Bu arada, Trustwave’deki SpiderLabs’in EMEA direktörü Ed Williams, biraz profil yükseltmeyi öneriyor: “Bir blog başlatın, işlerin nasıl yürüdüğünü anlayın, işleri bozun, görevleri otomatikleştirmek için kod yazın, tutkunuzu göstermek için kodu GitHub’da yayınlayın.” diyor.
Pek çok penetrasyon test uzmanı, şirketlere doğrudan spesifikasyonlar üzerinde yaklaşarak iş bulur; bu, özellikle küçük kuruluşlar için etkili bir strateji olabilir.
İstihdam türleri
Büyük kuruluşlar, yalnızca şirketin kendi sistemlerine odaklanan projelerle tam zamanlı kalem testçilerinden oluşan bir ekibe sahip olabilir.
Daha küçük şirketler – ve bazen daha büyük olanlar da – genellikle aynı anda birden fazla olmak üzere çeşitli projelerde maaşlı kalem testçilerinin çalışacağı güvenlik şirketlerine yönelme eğilimindedir.
“Günlük işimi harika bir ekipte ve diğer ekip üyelerinden değiş tokuş yapma ve onlardan öğrenme olanağıyla geçirmek güzel. Ayrıca işverenim Cyllective’in bana sağladığı esneklik ve güvenden de keyif alıyorum” diyor Miller. “Ve tabii ki sabit gelir.”
Üçüncü bir seçenek, birçoğu kendi ticari marka becerilerine ve metodolojilerine sahip olacak ve halihazırda iyi bir itibar geliştirmiş olacak olan bir serbest meslek sahibi olmaktır.
France, “Geniş bir yelpazede katılımlar elde ettiğiniz ve çeşitli dikey sektörlerde çalışmaya başladığınız için, serbest çalışmak eğlenceli olabilir” diyor.
Kalem testçilerine ne kadar para ödenir?
Payscale’e göre ABD’de kalem testçisi maaşları yaklaşık 58.000 dolardan başlıyor ve yıllık ortalama maaş çeki 88.500 dolardan başlıyor. İkramiyeler veya kâr payı planları, 20.000 ABD doları daha ekleyebilir.
Indeed’e göre kalem testçileri için başlangıç maaşları Birleşik Krallık’ta yaklaşık 30.000 £ (36.000 $), ortalama taban maaş ise yaklaşık 56.000 £ (67.000 $) civarındadır.
Serbest çalışma ücretleri, kalem testçisinin uzmanlığına ve işin karmaşıklığına bağlı olarak çılgınca değişir, ancak günde birkaç yüz pound veya dolar olma eğilimindedir.
İş sonunda bilgi güvenliği sorumlusu (CISO) gibi daha kıdemli ve kazançlı rollere yol açabilir.
İşin en iyi yanları nelerdir?
Saldırgan güvenlik testi, çok sayıda problem çözmeyi içerir ve serbest çalışanlar için büyük ölçüde esneklik sunabilir.
“Benim için kalem testi bir işten çok bir hobi ve yaşam tarzı. Her görevde yeni yazılımı analiz etmek ve kırmak çok çeşitlidir,” diyor Miller. “Ve hiçbir şey, bir sisteme bir mermi yerleştirmenin verdiği adrenalin patlamasının yerini tutamaz.”
Trustwave’de SpiderLabs’in EMEA direktörü Ed Williams şöyle diyor: “Bence bir kalem testçisi olmak dünyadaki en iyi iş, bir şeyleri kırmaya ve kuruluşların güvenliklerinde daha iyi olmalarına yardımcı olmaya aktif olarak teşvik ediliyorsunuz – bunda beğenilmeyecek ne var?
“Kendi kariyerimi düşünürsem, kalem testiyle dünyayı dolaşacak kadar şanslıydım ve aynı zamanda dünyanın oldukça hassas bazı yerlerinde bulundum.”
Kalem testçilerinin hissettiği zorluklar ve hayal kırıklıkları nelerdir?
Bazen bir kalem testi, sinir bozucu olabilecek ve hatta şirketin güvenlik açıklarının tanımlanıp ele alındığını gerçekten görme konusunda çok az gerçek ilgisi olduğu anlamına gelebilecek basit bir onay kutusu alıştırmasıdır.
Miller, “İşletmeler genellikle hala uygun güvenlik testlerine duyulan ihtiyacı görmeye ihtiyaç duyuyor” diyor. “Bir müşteri veya düzenleyici kurum onlardan bunu yapmalarını istediği için uyumluluk kontrolü için yalnızca bir sızma testi isteyen firmalardan birçok talep alıyoruz.”
Bu arada Williams, bunun beraberinde getirdiği tüm stresle birlikte çok yüksek baskı içeren bir rol olabileceğini söylüyor.
“Siber sürekli değişiyor ve buna ayak uydurmak zor ve zaman alıcı olabilir” diyor. “Oldukça sık, insanların çok uzun süre çok şey yaparak tükendiklerini ve sonunda kalem testinden çıktıklarını görüyorum, bu da meslek ve endüstri için üzücü.”
Nasıl pentester olunacağına ilişkin özelliğimizin ikinci bölümü için bizi izlemeye devam edin.
ŞUNLAR DA HOŞUNUZA GİDEBİLİR “Sorunsuz beceriler, bug bounty endüstrisinin en az araştırılan alanıdır” – Bilgi güvenliği eğitimindeki bir boşluğu doldurma konusunda “Reconless” YouTubers