Как я устроился на работу в сфере кибербезопасности без опыта работы, сертификатов и ученой степени.

О себе

Прежде чем перейти к основному обсуждению, я хочу представиться. Меня зовут Джонатан, и в настоящее время я работаю реверс-инженером по предотвращению вредоносного ПО в Bank of America. У меня также есть свой бренд (IAANSEC), и в свободное время я работаю консультантом по безопасности/фрилансером для других компаний, потому что я считаю, что всегда нужно иметь подработку, особенно в условиях современной экономики. Я изучал кибербезопасность в течение последних 4 лет, начиная с 2019 года. В основном я учился на таких платформах, как:

• TryHackMe
• HackTheBox
• PicoCTF
• Crackmes.one
• Udemy
• и многое другое!

Эпоха колледжа

Как и многие другие в этой области, я рос очень любознательным и любил учиться. Мой интерес к кибербезопасности достиг своего пика в выпускном классе средней школы. После окончания школы в 2016 году я понял, что хочу заняться кибербезопасностью как карьерой, но не был уверен, с чего начать. Поэтому около года я проводил исследования в этой области, немного узнал о тестировании на проникновение на Udemy и изучал учебные пособия CompTIA. Хотя в это время я работал в розничной торговле полный рабочий день и продолжал делать это в течение следующих 6 лет.

Работа в розничной торговле была ужасной, но единственное, что помогало мне пережить день, — это желание вернуться домой и заняться учебой. Мне нравился материал, который я изучал, и, придя домой после работы около 11 вечера, я оставался дома и занимался до 4/5 утра. Около года я проводил время за изучением учебных пособий CompTIA. Я также не собирался сдавать экзамен ни на одну из сертификаций CompTIA, потому что 1. В то время я не мог позволить себе потратить столько денег и 2. Я все еще решал, какой путь в сфере безопасности я хочу выбрать. Примерно в августе 2017 года родители под давлением заставили меня поступить в колледж.

В то время родители убеждали меня, что колледж — это лучший способ сделать карьеру, к которой я стремился. Поскольку у меня не было других идей, как сделать карьеру в области кибербезопасности, я неохотно согласился поступить в колледж. Уже через несколько месяцев после поступления в колледж я понял, что это не для меня и что это не может быть ЛУЧШИМ способом попасть в сферу безопасности… Поэтому я бросил колледж, и это событие стало для меня решением и жизненным уроком, который я никогда не забуду. В тот момент я научился не принимать ничьи советы как окончательное решение, я научился ВСЕГДА приходить к собственным выводам. Кто-то может спросить, не жалею ли я о том, что бросил школу, но я считаю, что бросить школу было лучшим решением, которое я когда-либо принимал.

Эра кодирования

Теперь, когда я больше не учился в колледже, мне нужен был план, потому что я отказывался зацикливаться на розничной торговле. Прошло 2 года с тех пор, как я бросил колледж, и я начал более серьезно относиться к учебе, продолжая работать в розничной торговле. Бывали дни, когда я брал с собой на работу ноутбук и занимался в обеденный перерыв. Однажды, где-то в апреле, на Youtube появилась реклама, в которой говорилось о Coding Bootcamp. Отчаявшись, я провела много исследований о загрузочных лагерях кодирования и нашла загрузочный лагерь под названием Kenzie Academy.

Я не могу вспомнить, почему именно этот лагерь я выбрала, а не другие, но это так. Хотя Kenzie была моим окончательным выбором, почти все буткемпы кодирования рекламируются одинаково: «Вы ничего нам не должны, пока не найдете работу!». ISA или Соглашение о разделе доходов было для меня самым большим аргументом при выборе буткемпа по кодингу. К сожалению, в то время буткемпы по кибербезопасности не предлагали ISA и были очень дорогими. Поэтому я решил поступить на программу обучения кодированию, так как решил, что мне все равно придется учиться кодировать, мне нужен был прочный фундамент для обучения кодированию и был потенциал для последующего трудоустройства.

Программа по разработке программного обеспечения была разделена на два 6-месячных сегмента — курсы Front End и Back End. Перенесемся в январь 2020 года, я закончил Front End-часть программы «Кодирование Bootcamp», и это был сложный путь. Я многому научился, а также почувствовал, что узнал достаточно, чтобы продолжить обучение в области безопасности и применить полученные от Кензи знания, чтобы начать создавать собственные проекты для своего портфолио. В то время я был очень уверен в том, что смогу найти работу разработчика, но после окончания front-end части coding Bootcamp прошли месяцы, а вскоре и 2 года. По прошествии двух лет я так и не смог найти работу в области разработки программного обеспечения, даже не смог пройти стажировку.

Эра полного рабочего дня

В это время я отчаянно стремился попасть в эту сферу и хотел работать только в области кибербезопасности. Я ушла с работы в розничной торговле, потому что больше не могла терпеть токсичную рабочую среду, в которой я работала. Поэтому я решил учиться полный рабочий день и развивать свою сеть LinkedIn. В это время я перешел от изучения курсов Udemy к изучению сайтов CTF, таких как TryHackMe и HackTheBox. Я тренировался на этих сайтах по несколько часов в день, параллельно создавая свою сеть LinkedIn и подавая заявки на работу, пока не перегорел и мне не пришлось сделать перерыв. За это время я так много узнал о кибербезопасности, но понял, что все еще не знаю, какую должность в сфере безопасности я хочу получить. Поэтому я изучил различные должности в сфере кибербезопасности.

Во время исследования я начал спускаться в кроличью нору, изучая различные роли в сфере безопасности. В конце концов, я наткнулся на отдел реагирования на инциденты и стал изучать различные роли в команде реагирования на инциденты, и тут я наткнулся на «Анализ вредоносных программ», одно только название которого вызвало мой интерес. После более детального изучения анализа вредоносных программ я понял, что эта роль для меня. Приняв решение, я направил все свои усилия на изучение анализа вредоносных программ. Я начал с изучения всех материалов по анализу вредоносных программ, доступных на TryHackMe, затем купил несколько книг по этой теме, таких как «Практический анализ вредоносных программ» Майкла Сикорски и Эндрю Хонига, «Поваренная книга аналитика вредоносных программ» Майкла Лайга, Стивена Адэра, Блейка Хартштейна, Мэтью Ричарда и других.

Я даже купил несколько курсов Пола Чина на Udemy. Со всем этим материалом я чувствовал себя более чем достаточно уверенно, чтобы узнать все, что я мог, об анализе вредоносных программ. Прошел год, пока я учился полный рабочий день, создавал свою сеть LinkedIn и подавал заявки на работу в области ИТ и безопасности. К этому времени я приобрел 1000+ связей в LinkedIn и был уверен, что смогу получить помощь от других членов сообщества. Я участвовал в Discord-серверах по безопасности, мероприятиях LinkedIn Cyber Security Livestream и многом другом. В конце концов, я начал общаться с другими людьми, которые также интересовались анализом вредоносных программ, чтобы обмениваться ресурсами и другой информацией, которая помогла бы мне лучше понять эту тему.

В конце 2021 года я получил связь от президента и директора по доходам моего первого клиента в качестве фрилансера. Именно здесь я начал работать в сфере кибербезопасности в качестве разработчика контента. В мои обязанности входила разработка контента для учебной платформы Cyber Security, которая используется для обучения пользователей по различным темам кибербезопасности. В основном я занимался анализом вредоносных программ, информатикой и реинжинирингом. Конечно, эта работа не была тем, чем я хотел заниматься полный рабочий день, но, тем не менее, она приносила мне доход и профессиональный опыт, который я мог использовать в своем резюме. С этой новой ролью дела пошли в гору, конечно, доход не был стабильным, но его было достаточно, чтобы я мог держаться на ногах, приобретая ценный опыт.

Двери начали открываться

Наступил 2022 год, и пришло время начать все с чистого листа. Я по-прежнему работаю фрилансером и нахожусь в поиске работы на полный рабочий день. На данный момент я полностью уверен, что у меня есть все необходимое для того, чтобы найти работу на полную ставку, вопрос только в том, чтобы компания захотела рискнуть мной. Уже около года я подаю заявки на несколько должностей исследователей безопасности, так как считаю, что они больше всего соответствуют моему опыту. Моя основная техника поиска работы заключается не в том, чтобы искать такие термины, как «Entry Level Security», «Entry Level Cyber Security Jobs» или любые другие подобные поисковые запросы, а в том, чтобы основывать свой поиск на навыках, которые я приобрел во время учебы.

Например, поскольку моя цель — стать аналитиком вредоносных программ, я искал некоторые инструменты, используемые в анализе вредоносных программ. Так что моими поисковыми запросами будут «x64dbg» или «Ghidra». Поскольку анализ вредоносных программ уже был своего рода нишевой ролью в сфере безопасности, я мог просто набрать в поисковике «анализ вредоносных программ» или «обратная разработка» и просеять результаты в поисках объявлений о вакансиях, наиболее соответствующих моему опыту.
Как только я найду интересующую меня должность, я свяжусь с рекрутером в компании и поинтересуюсь вакансией, чтобы показать свою заинтересованность. Вот пример запроса, который я отправлю рекрутеру

Hello <RECRUITER NAME>,

I hope all is well, my name is Jonathan I am a Security Researcher I came across your job posting for a <JOB POSTING> at the company and was hoping I could chat with you to express my interest in the position. I look forward to connecting with you!

Thank you

Эта техника помогла мне получить множество первичных звонков, которые привели к собеседованиям. Я прошел дюжину собеседований, на некоторых из них я дошел до процесса отбора, но, к сожалению, не был выбран. Несмотря на то, что меня не выбрали на некоторые должности, на которые я подавал заявки, было одно собеседование, которое привело к отличной возможности. Binary Defense связалась со мной, чтобы назначить собеседование, во время которого я отлично пообщался с Рэнди, вице-президентом компании по охоте за угрозами и контрразведке. К сожалению, я не был достаточно квалифицирован для этой роли, но Рэнди проводил занятия по реверс-инжинирингу и спросил, не буду ли я заинтересован в том, чтобы стать ассистентом преподавателя на этих занятиях. Вот описание курса

"This class is designed for technical security personnel who wish to gain skills in reverse-engineering malicious software for Windows operating systems. Although no prior experience is required to take the class, students who have some programming experience in C or another language will find it easiest to participate fully. The class will focus on disassembly analysis of compiled 32-bit DLL files written in C but may also touch on scripting languages such as PowerShell and Visual Basic that are used to deliver compiled malware payloads. Students will learn practical analysis and report writing techniques to pull the most useful information out of malware that can help inform threat hunting and detection engineering efforts and communicate that information effectively."

- Using Microsoft Windows 11 Developer VM (free) and Visual Studio 2022 (free), write and compile a very simple DLL file for Windows in C that writes content to a file on disk.
- Run DLL files from the command line using rundll32.
- Using IDA Free 7, perform static code analysis of a very simple DLL file and explain its purpose.
- Using x32dbg, set breakpoints and step through running the
instructions of a simple DLL file via rundll32.
- Create a Microsoft 365 Developer Tenant (free) for testing MS Teams, etc.
- Use vcpkg to install static libraries for Libcurl and cJSON in Visual Studio 2019.
- Modify the C code of a simple DLL project to send a simple message through Microsoft Teams via a webhook URL.
- Using IDA Free and x32dbg, analyze the new version of the DLL and find the instructions responsible for network connections.
- Using C source code provided by the instructor, modify the DLL project to be a typical Remote Access Trojan (RAT) capable of running commands, listing files and processes, and reporting the output to a Command-and-Control server.
- Modify the DLL to allow execution using rundll32, regsvr32, and msiexec.
- Using IDA Free and x32dbg, analyze the relevant portions of the RAT to identify the main command loop, commands recognized, network connections, and behavior-based indications of compromise that could be used by threat hunters and security engineers.
- Write a tactical malware analysis report, focusing on actionable details.
- Provide constructive feedback to other students about their
malware analysis report.
- Analyze another student’s version of the DLL with a few minor modifications and identify the relevant changes in functionality added by the other student.
- Using strings and FLOSS, extract strings from a compiled executable file.
- Using Python and C source code provided by the instructor, modify the DLL file to XOR encode some of the strings in the DLL project.
- Using IDA Free, analyze the XOR decoding function in another
student’s DLL to find the key bytes and decode the encoded strings.
- Using C code provided by the instructor, modify the DLL project to detect when it is being run in a virtual machine or debugger, causing the DLL to modify its behavior when analyzed.
- Using IDA Free and x32dbg, recognize the anti-analysis code in the DLL and patch the instructions to bypass the protections and analyze it anyway.

Этот курс длился всего 3 месяца, но он дал мне преимущество в опыте, который мне понадобится, чтобы в будущем получить должность специалиста по анализу вредоносных программ. После окончания курса я считаю, что работа в качестве волонтера была правильным выбором, потому что теперь у меня есть новые связи в Binary Defense. Примерно в апреле — мае я продолжил свой подход, обращаясь к рекрутерам и выражая свою заинтересованность в должностях в их компаниях. В процессе работы с компаниями я наткнулся на компанию «Huntress», и одна из их ролей вызвала у меня интерес, поэтому я решил связаться с генеральным директором и сказал:

Hello Kyle,
My name is Jonathan, I'm a malware analyst and I was interested in learning more about your company. I was wondering does Huntress host any paid intern/apprenticeships. It seems like a great company to work at with lots of growth potential. I look forward to chatting with you!

Thank you

После этого Кайл вышел на связь и захотел назначить интервью, чтобы мы могли пообщаться с ним и его командой. Мне был предоставлен шанс пообщаться с Кайлом, Джоном Хаммондом и другими членами команды и приобрести ценные связи. К сожалению, для той роли, которая меня заинтересовала в компании, у меня не было достаточного опыта. Несмотря на разочарование, это не обескуражило меня, я продолжил поиск и учебу, прошло совсем немного времени, и я получил приглашение на собеседование, которое должно было стать тем самым собеседованием, которое оправдает мою 6-летнюю борьбу.

Стажировка

В мае я получил приглашение на собеседование на должность Threat Analysis Intern, на которую я подал заявку за несколько месяцев до этого в компанию «IronNet Cybersecurity». Я был более чем уверен, что смогу получить эту работу, и я ее получил! Вот описание вакансии в том виде, в котором она была указана:

Our mission is simple:

Deliver the power of collective cybersecurity to defend companies, sectors, and nations. For decades, companies have been defending against cyberattacks on their own while adversaries have been organizing themselves into sophisticated hacker networks, until now with IronNet Collective Defense.

Bringing together some of the best minds in cybersecurity and an unmatched team of experts from industry, government, and academia, IronNet was born to more effectively defend enterprises, sectors, and nations against highly organized cyber adversaries and increasingly sophisticated attacks.

- Research and create lead generation queries for C2 frameworks
- Analyze C2 servers
- Create queries
- Analyze analytic results for additional use cases
- Develop hunt queries for open search
- Create common queries that look for malicious use

Как только мне предложили эту должность, я приступила к работе 1 июня, и на протяжении всей стажировки я испытывала синдром самозванца и тревогу. У меня было много бессонных ночей, когда я просто пытался выполнить работу, и много встреч с наставниками, чтобы получить помощь в устранении ошибок, которые у меня были, но я не знал, как их исправить. Несмотря на то, что эта стажировка была сложной, я все равно приобрел много ценных навыков и информации, которые смогу использовать в дальнейшем в своей карьере. Мне разрешили работать с AWS OpenSearch, ElasticSearch, работать в среде разработки команды безопасности и многое другое! Проекты, которые мне поручили, заключались в преобразовании охотничьих запросов на языке Scala в запросы и приборные панели OpenSearch для использования командами безопасности в будущем. Мой второй проект заключался в создании обертки для Open и ElasticSearch, чтобы команды безопасности могли запрашивать базу данных Open и ElasticSearch из своего CLI.

Я очень благодарен за этот опыт, хотя он длился всего 2 месяца. Я не только работал над замечательными проектами, но и познакомился с замечательными людьми во время стажировки, завел много новых знакомств и провел несколько интересных мероприятий с другими стажерами. Одним из таких мероприятий был книжный клуб, где мы должны были прочитать две книги «Лидеры едят последними» и «Уравнение счастья». Эти две книги научили меня жизненным навыкам, которые я буду помнить до конца своей жизни (я не хочу портить книги 😉). В течение 2 месяцев стажировки я продолжал подавать заявки на другие должности и все еще получал интервью на другие должности с полной занятостью в это время от таких компаний, как «Offensive Security», «Cisco», «Macquarie» и других. Была одна компания, которая изменила все для меня и помогла мне сделать карьеру моей мечты, зарабатывая $190 тыс. в год.

Финишная прямая

Когда стажировка подошла к концу менее чем через 2 недели, рекрутер из Apex Systems обратился ко мне с предложением занять должность аналитика вредоносных программ в Bank of America. Я с радостью согласился пройти собеседование, хотя я был на бесчисленных собеседованиях, но интервью никогда не становилось легче, несмотря на то, насколько я был уверен в себе. В день собеседования все прошло безупречно, из всех собеседований, на которых я был за последние 4 года, это было ЛУЧШЕЕ собеседование, на котором я был.

Я не только чувствовал себя очень хорошо во время технического собеседования, но и имел возможность пообщаться с командой во время нескольких личных вопросов. Как правило, после всех других собеседований я уходил с собеседования с чувством тревоги и уныния, так как знал, что собеседование прошло не очень хорошо. После 6 лет соискательства и прохождения собеседований я могу с гордостью сказать, что никогда не испытывала такого восторга после собеседования, и с учетом этого через несколько дней мне предложили эту должность! Это был долгий путь и чрезвычайно напряженный путь к тому, что я делаю сегодня, но в конце концов все это того стоило.

Свяжитесь со мной!