Pentesting/Security Opcje

[MBU]

Hej,

ciekawa jestem czy powszechne wśród PHP devów jest myślenie o ścieżce IT security? Pytam bo jako rekruter szukam obecnie Pentesterów z aktualną wiedzą PHPową (PHP 7, Symfony) lub programistów z pasją w tym kierunku, nie musi być to doświadczenie komercyjne, ale duża motywacja i samodzielne uczenie wystarczą (IMG:style_emoticons/default/smile.gif) Także mega fajna szansa. Pytanie jednak czy spotkaliście się z takimi zainteresowaniami u kolegów?

pozdrawiam,
Monika

[Damonsson]

Przeszedłem ścieżkę od developera PHP do Pentestera, więc trochę opowiem.

Na pewno ciężko zostać specem od IT Security w każdej dziedzinie, bo Security ma mnóstwo specjalizacji. Ja skupiłem się na Web Security i w tym się wyskillowałem, wszedłem na bardzo wysoki poziom w ciągu ~9 miesięcy "zabawy" z Security po godzinach. Przed rozpoczęciem wdrażania się nie potrafiłem znaleźć trudniejszej dziury SQLinjection, więć startowałem naprawdę z niskiego poziomu. Dzisiaj jestem osobą, która pracowała jako Team Leader w zespole testującym największe polskie banki.

Oczywiście wszystko zależy jaki masz chłonny mózg. Jeśli po X latach nie jesteś dobrym devem, to dobrym pentesterem pewnie też nie zostaniesz nagle w X czasu. Ja też nie uważam siebie za wyjątkowo zdolnego, porównując wiedzę z całego przekroju Security (sieci, hardware, revers engineering itd.) osób z którymi np. pracowałem. Dlatego specjalizacja w jednej dziedzinie (web) była moim wyborem i możliwością zaistnienia.

Zarobki określiłbym tak:
- Jeśli zaczynasz w Security i zaczynasz jako Developer, więcej statystycznie zarobisz w Security. Mało osób się tym w ogóle interesuje i jeżeli coś umesz to jest już duża wartość. Oczywiście "zaczynasz" w sensie coś tam już umiesz,a nie jesteś kompletnie zielony.
- Jeśli jesteś ekspertem to te stawki już są bardzo podobne. Bardzo dobry dev (leader) zarobi podobnie jak bardzo dobry pentester. I tu i tu znajdziesz bardzo fajne warunki jak będziesz dobrze szukał.

Znanie jakiegoś języka np. PHP i testowanie aplikacji napisanej w tej języku na pewno jest jakims ułatwieniem (wiesz gdzie można łatwo popełnić błąd). Ale jeśli jesteś programistą, a nie wyuczyłeś sie manuala PHP, to naprawdę nie robi róznicy czy pentestujesz coś napisanego w PHP, JAVA czy .NET itd.

Nikt raczej nie zainwestuje w kogoś totalnie zielonego, musisz najpierw sam zainwestować w naukę.

Bycie Pentesterem nie wygląda tak jak na filmach w Hollywood, 90% czasu to nudne, powtarzalne robienie tego samego. Ale za to te 10% to spora dawka emocji. Pytanie czy dla Ciebie to będzie ok.