Специалисты в кибербезопасности, пожалуй, как никогда востребованы. По разным данным, за 2024–2025 количество таких вакансий в России увеличилось на 17–50%, а об огромном кадровом пробеле пишут и иностранные аналитики. Связано это с небывалым ростом киберпреступности в мире: компании и государства просто не успевают справляться с потоком новых атак и угроз, которые обходятся им дорого.
В этой статье рассказываем, с чего начать обучение или карьеру в компьютерной безопасности, и делимся полезными ресурсами.
Кем работать в кибербезопасности
Для начала стоить определиться, какие направления вам интересны, и только потом начать осваивать нужные навыки. К примеру, в кибербезе можно быть:
- ИБ-инженером — разрабатывать, внедрять и поддерживать системы защиты. Скилы: основы сетей и протоколов, знание архитектуры ОС, программирование и скриптинг, работа с системами защиты (WAF, IDS/IPS, SIEM);
- аналитиком угроз или SOC — отслеживать атаки и реагировать на них в реальном времени, анализировать логи. Скилы: понимание атак и вредоносного ПО, работа с SIEM и EDR, аналитическое мышление, внимание к деталям;
- пентестером — легально взламывать системы для поиска уязвимостей. Скилы: сетевые протоколы и HTTP, основы программирования и скриптинга, OSINT, знание типов атак;
- криптографом — разрабатывать алгоритмы и протоколы шифрования. Скилы: математика (алгебра, комбинаторика, теория чисел и т. д.), программирование, основы сетей и протоколов;
- компьютерным криминалистом — расследовать киберпреступления. Скилы: анализ логов, восстановление данных, работа с форензик-инструментами, OSINT.
Учим OWASP
Если полистать вакансии по кибербезопасности, в требованиях почти наверняка встретится «знание OWASP Top 10». Это рейтинг самых распространенных уязвимостей в веб-приложениях. Недавно проект OWASP опубликовал новый рейтинг, который не обновляли с 2021 года. Сейчас он выглядит так:
- Неправильные настройки доступа.
- Неправильные настройки безопасности.
- Уязвимости в цепочке поставок.
- Слабое/неподходящее шифрование.
- Инъекции.
- Небезопасная архитектура.
- Ошибки аутентификации.
- Нарушения целостности данных или ПО.
- Отсутствие логов и алертов / недостаточное внимание к ним.
- Ошибки обработки исключений.
Специалист по кибербезопасности с нуля — набираем практический опыт
На работу и даже на стажировку с нулевыми знаниями попасть не получится. Поначалу стоит хотя бы немного освоить IT-навыки, почитать материалы по ИБ и загрузить себе на компьютер песочницу. Щеголять сложными терминами недостаточно, поэтому в первую очередь ищем практический опыт.
Курсы по кибербезопасности
- «Белый хакер» с нуля (на русском языке).
- Введение в кибербезопасность от Гарварда (на английском; курс бесплатный, но если нужен сертификат, придется заплатить).
- Каталог бесплатных онлайн-курсов от IBM (на английском языке).
- Курс по информационной безопасности (на русском языке).
- Каталог на сайте NIST — большой выбор бесплатных курсов и ресурсов по кибербезу на английском (чтобы точно не ошибиться, вбиваем в поиск “free”).
CTF и багхантинг
Соревнования CTF (Catch the Flag) — базовая база для новичков. Сертификат участия в CTF будет жирным плюсом при поиске первой работы или стажировки. При этом не обязательно что-то выигрывать: главное, что вы уже сталкивались с реальными задачами в реальном времени. Календарь CTF-соревнований в России — здесь, по миру — здесь.
Но даже если в ближайшее время никаких соревнований не намечается, всегда можно почитать отчеты с прошлых CTF. По результатам CTF на GitHub и других форумах участники публикуют отчеты и райтапы, в которых они разбирают свои решения и ошибки.
Помимо CTF, можно попробовать поучаствовать в программах Bug Bounty, то есть искать ошибки и уязвимости в программном обеспечении или инфраструктуре компаний (с их разрешения, естественно, — иначе вы просто совершите преступление). Тоже большой плюс для резюме. За найденные уязвимости можно получить достаточно крупные суммы. Компании таким образом по сути аутсорсят задачи по ИБ — часто штатных специалистов просто не хватает на все, — но бывает, что особо прозорливым багхантерам предлагают офер или какой-то иной контракт.
В России рынок багбаунти заметно растет, хотя еще пару лет назад выплаты багхантерам были относительно скромными. На платформе Standoff Bug Bounty, например, средняя выплата за найденную уязвимость — 76 тысяч рублей (в прошлом году она составляла 58 тыс.). За поимку заурядных багов можно получить несколько тысяч рублей, а вот на обнаружении критической уязвимости можно целое состояние сколотить: некоторые компании готовы заплатить за это миллионы рублей.
Песочницы
Песочница — это безопасная изолированная среда, в которой можно спокойно тестировать код и искать уязвимости. Песочницы используют не только для тренировок, но и во время работы, если нужно, например, посмотреть, как работает вредоносный код.
- HackTheBox — одна из самых популярных песочниц. Можно также заглянуть в их сообщество на Discord.
- VulnHub — коллекция уязвимых виртуальных машин для локального развертывания. Подходит тем, кто хочет тренироваться офлайн и ближе к реальным сценариям. Хорошо прокачивает навыки работы с Linux, сетями и эксплуатацией уязвимостей.
- Root Me — платформа с CTF-задачами по вебу, криптографии, реверсу и бинарной эксплуатации. Есть обучающие материалы и активное сообщество. Подходит как для новичков, так и для специалистов (а еще есть поддержка на русском языке!).
- TryHackMe — геймифицированные задачи, которые запускаются в браузере. Бесплатно можно освоить основы сетей, криптографии и пентеста.
- PortSwigger Web Security Academy — песочница от создателей Burp Suite, заточенная под веб-безопасность. Есть лаборатории по SQL-инъекциям, XSS, CSRF, аутентификации и логике приложений. Отлично подойдет тем, кто хочет работать в вебе.
Хакатоны
Отличная возможность сразу попасть на работу или стажировку. Хакатон — это командное соревнование, где участники совместно решают прикладные задачи для заказчиков. С простеньких хакатонов можно уйти с дипломом русского медвежонка сертификатом участия (что, впрочем, тоже полезно для портфолио), с более серьезных — с денежным призом или офером в компанию.
Иногда хакатоны проводят прямо во время обучающих курсов. Полезные ссылки:
- календарь международных хакатонов;
- календарь хакатонов в России.
Загружаем Kali Linux
Правая рука любого кибербезопасника. Это дистрибутив от Linux, в котором предзагружены сотни разных инструментов для аналитики, пентеста, OSINT, форензики и многого-многого другого. Самое приятное, что Kali Linux не требует мощного железа: его можно загрузить без графической оболочки даже на самый хиленький ПК.
Правда, перед тем как пользоваться инструментами, советуем внимательно изучить, как они работают и для чего они нужны, — иначе можно совершить что-то противозаконное по незнанию.
Прочие полезные ресурсы
- Krebs on Security — полезное чтиво о реальных инцидентах и новостях в мире ИБ.
- Securelist — новости и исследования о киберугрозах на русском языке.
- NetworkChuck (ютуб-канал) — информационная безопасность для чайников.
- John Hammond (ютуб-канал) — разбор уязвимостей и заданий по CTF.
- Information Security Stack Exchange и Bleeping Computer — Q&A-форумы с ответами на технические вопросы по ИБ.
Стажировки
Сертификат с горем пополам получили, песочницу развернули, на хакатон залетели — пришло время искать стажировку. В России сейчас их очень-очень много — как в корпорациях (Kaspersky, Yandex и т. д.), так и в среднем бизнесе. Следить можно здесь:
- обновляемая подборка от Future Today;
- подборка от ibcourses;
- стажировки на карьерном портале Хабра (не забудьте выбрать специализацию);
- телеграм-каналы: «Вакансии в ИБ», RuSecJobs;
- международные стажировки можно поискать на LinkedIn и платформе Indeed.
Подводим итоги
- Специалисты по кибербезопасности крайне нужны — в России и мире наблюдается дефицит кадров из-за роста киберугроз и атак.
- Существует несколько ключевых ролей: ИБ-инженер, аналитик SOC, пентестер, криптограф, цифровой криминалист — каждая требует своих навыков.
- Начинать стоит с изучения OWASP Top 10, получения фундаментальных IT-навыков и накопления практического опыта через песочницы (HackTheBox, TryHackMe, VulnHub), CTF-соревнования и багбаунти-программы.
- Доступны как бесплатные, так и платные курсы, а также специализированные дистрибутивы вроде Kali Linux и обучающие YouTube-каналы и форумы.
- Участие в хакатонах, прохождение стажировок в компаниях и активность в профессиональных сообществах помогут устроиться на работу даже без опыта.
