Еп. 40 | Кариерни пътища в кибер сигурността | гост: Красимир Коцев и Миглен Евлогиев

2:48↗как може да придобие практически опит а много важно как да имаме 20 години стаж ако сме на 18 или на 20 и току-що сме завършили училище така че според мен една добра тема аз ти предлагам може би да тръгнем от нещо за което аз най-често получавам въпроси хората към мен най-често се обръщат какви сертификати могат да да изкарат и всъщност това помага ли им в индустрията доста често хората мислят че изкарвайки сертификати това автоматично им дава поле за действие автоматично ще ги вземат на работа във всяка една фирма това как как е според теб значи сертификатът според мен е една заявка за знания която разбира се трябва да бъде верифицирана тоест самият сертификат сам по себе си не е доказателство че имаш опита и уменията аз лично ги разделям сертификатите като човек който интервюира ги разделям сертификатите на два вида едните са по-скоро практически другите са по-скоро профилирани или

3:47↗теоретични тип фиксирани въпроси неотворени въпроси или специфични за определена платформа или технология като пример например cs ssp е един практически сертификат с също според мен или osp подходящ за пен тестери е практически сертификат докато профилираните може би airos gcp и куне security сертификатите са такива които са много строго свързани с определена технология като не винаги те гарантират знанията и уменията но пък така придават една по-голяма завършеност на нали на кандидатурата на един кандидат тоест доказват някакво профилиране в някаква степен мисля че те помагат един кандидат така леко да изпъкне сред останалите кандидати но това нали не е гаранция даже напротив ако кандидатът не успее да по време на интервю процеса да докаже знанията и уменията свързани със съответния сертификат това може да изиграе нали лоша услуга на съответния кандидат тоест когато се целим да се

4:49↗развиваме от тази гледна точка и да увеличаваме портфолиото си за сертификати редно е наистина да имаме покритие с някакъв опит зад сертификат ти много правилно спомена osp и cissp обикновено това са и двата сертификата които аз търся в кадрите наистина cissp дава доста теоретични познания но огромна обща култура по отношение на управление на на системи на на инциденти проверка на сигурността изграждане на security bas lines на на системите изграждане на мрежова сигурност оценка на риска нещо което аз намирам за много много важно бизнес disaster recovery тоест на първо място трябва да познаваме бизнеса преди да познаваме технологичната страна на нещата трябва да знаем как работи една организация какво може да загуби тя кое е критичното и смятам че cissp е идеален сертификат идеален учебен материал за да получиш тези познания в много различни области в много широк спектър от области

5:53↗включително физическа сигурност оценка на риска тоест неща които са ти ключово важни ако ще работиш в в сферата на киберсигурността от друга страна osp е общо признат като най-практически сертификат който дава практически знания наистина показва че ти знаеш какво да правиш в реална среда знаеш как да провериш сигурността на една система знаеш как да пробиеш един сървър или мрежа което е много много полезно за един работодател offensive security между другото наскоро пуснах още няколко сертификата тъй като osp е с по-голяма насоченост към проникване в сървъри и мрежи offensive security засилиха доста сертификатите свързани с проверка на мобилни приложения на бб приложения api така че там доста се разраснаха нещата също така се сещам и за санс като водеща институция в сертификатите там има буквално сертификат за за всяка една възможна cyber security тема от от а я нещо

6:52↗по-особено при санс че там всъщност са доста скъпи сертификатите и аз тук бих искал да реферирам нали много хора ка казват даде ама аз тоя сертификат струва 2000 лв не мога да си го позволя не мога да си взема книгите за обучение или практическите лабове как да го изкарам нали това е непосилно ще чакам работодателя да ми го плати да де ама работодателят пък няма да те вземе на работа ако нямаш някакъв практически опит и всъщност сертификатите могат да ти помогнат да а започнеш първата си работа аз лично се сещам за две платформи ми корсера вероятно има още доста такива които всъщност там буквално за $20 може да си закупиш бъндъл от различни

7:33↗щата практика един работодател преди всчко се интересува стига да минеш hr филтъра оттам нататък работодателят се интересува дали имаш реални познания а не какви хартийки притежаваш абсолютно

7:51↗да приятели а сега правим прекъсване в което ще чуете кратка рубрика от нашите партньори веднага след което продължаваме с с епизода днес компанията east vantage ще сподели повече информация за това кои три фактора я отличават от останалите компании на пазара на първо място иванч демонстрира ангажираност към служителите си като създава благоприятна и вдъхновяваща работна среда за компанията е важно личното и професионалното израстване като предлага широки възможности за успех и кариерно развитие този фокус върху ангажираността и удовлетвореността на служителите допринася за успешните проекти и развитието на трайни взаимоотношения на второ място и vantage има глобално присъствие и си сътрудничи с клиенти от цял свят събирайки най-добрите таланти от различни култури и националности компанията придобива широка перспектива и способност да предоставя иновативни решения които отговарят на

8:42↗разнообразните нужди и предизвикателства на нейните клиенти и накрая e fage поставя силен акцент върху качеството и професионализма компанията се гордее че предоставя услуги на най-високо ниво благодарение на задълбочените си технически познания постоянният им стремеж към съвършенство позволява да реализират успешни иноваторски проекти за своите клиенти освен това непрекъснатите усилия на иван да бъде в крак с най-новите технологични тенденции им позволява да предоставят висококачествени решения като същевременно се адаптират към бързо променящите се изисквания на пазара благодарение на тези три отличителни фактора ангажираност към хората глобално присъствие и фокус върху качеството и експертните познания иванч се е утвърдила като водеща компания в своята област тя предлага изключителни възможности за работа успех и перспективи за растеж както на своите

9:30↗служители така и на клиентите си а сега се насладете на останалата част от

9:39↗епизода аз по силно препоръчвам платформите които изброи idx също става да не говорим че харвард и други популярни големи университети имат отворени курсове по cy security които човек съвсем свободно може да се запише ако желае дори да изкара някакъв вид нали тапия би могъл да си доплати ти за това нещо но обучението е безплатно дали мо може да се гледат лекции на живо да не говорим че youtube е пълно с котен криейтъри които основно на английски за съжаление на български нямаме достатъчно които са фокусирани в темата и разказват много интересни и полезни неща понякога и нали профилирани понякога по-обширни network чък например който говори за мрежова сигурност и показва и нали най-различни платформи и инструменти просто един човек който желае да се развива в сектора нали би трябвало да потърси множество начини и да намери най-подходящия за своето кариерно израстване той може да не е нали

10:37↗сертификат или нещо друго всеки има различен метод на учене и на разбиране на информацията лично аз понякога примерно чета документация или пък гледам нещо в youtube или нещо си говоря с колеги и приятели на конференция или в някой форум никога нали не се знае откъде човек може да получи и събере знания които да нали да бъдат приложени практически ако обаче се върнем нали на на чисто на темата кариерно ориентиране и да допуснем нали че човек иска да да да да се развива в нея и положи някакви усилия за сертифициране и за обучение как според теб а може един джуниър човек нали да започне работа в сектора днес в българия според мен jior хората не трябва на всяка цена да се стремят да започнат на cyber секюрити позиция за мен правилният път всъщност преди да стигнеш до киберсигурност е да имаш други it познания които много често са свързани с разработка на приложения

11:34↗скриптинг познания по компютърни мрежи знания за това как работи една операционна система една linux операционна система windows операционна система какво се случва отдолу как работят процесите тези знания според мен са много необходими преди да започнем въобще да се занимаваме с киберсигурност противен случай масово виждаме на пазара script kid които са минали един цех ci хакинг курс знаят да използват някакви инструменти и започват да да правят автоматизирани проверки които нали и да се наричат хакери това нещо не те прави експерт по киберсигурност за да си експерт по киберсигурност ти на първо място трябва да познаваш риска трябва да знаеш всъщност откъде може да се проникне в една организация да можеш да изградиш трет модел тоест изхождайки от перспективата на организацията ти трябва да се замислиш този бизнес какво би могъл да за губи какви са щетите които

12:30↗някой може да нанесе и защо тази компания има нужда да се защити или пък този човек нали не само компаниите имат нужда от защита за мен базовите познания са основополагащи за да може всъщност да надградиш в насока киберсигурност базови познания според мен в българия се изграждат в enterprise компаниите като dxc ibm има доста компании sap в които можеш да работиш на различна позиция след което да направиш преход вече к към към киберсигурност абсолютно освен това с тебе имам общо кариерно минало в част от тези компании и със сигурност това ни е помогнало и доразвило не само от гледна точка нали на бизнес процеси и разбиране ами чисто нали технологично развитие и познания контакти най-малкото хубавото е че тези компании имат страшно големи екипи в българия някои от тези екипи се занимават и с киберсигурност някои от тези екипи в момента и набират персонал

13:26↗за съжаление или не ние с теб набързо бяхме обсъдили и в момента нали работния пазар в българия в сектора може би се търсят около между 500 и 1000 кандидати в различните платформи включително и в джоб борда на def бг и това което нали направи впечатление беше че има изключително малко джуниър позиции да не кажем пренебрежимо малко нещо от сорта на под десетина може би нали тип entry level иши нали неща които не изискват никакъв опит и основно пазарът търси ми вече идит ниво специалисти с повечко години опит с нали с повече може би сертификация и с повече профилиране в най-различни нали поднаправления на кариерното развитие това което нали мен ме притеснява е че може би секторът не си дава сметка че за да стигнем до момента в който да запълним тези позиции ние трябва да ги развием тези кадри по един или друг начин какви са според теб а начините нали ти също и и търсиш нали

14:26↗кандидати в компанията в които работиш какви са начините един нали млад джуниър човек да започне своята кариера и след това да да я надгради много често към нас се обръщат стажанти хора които в момента имат необходимост да изкарат практическо обучение било то в училище или в университета ние буквално онзи ден взехме един такъв стажант това е една прекрасна кариерна възможност човек да започне като стажант някъде да се учи и в началото да прави по-базови неща свързани с конфигурация на мрежи писане на на базови скриптчета може би изграждане на firewall правила сегментация на мрежа неща които ще те запознаят на концептуално ниво според мен правилният път е човек да започне някаква позиция в it компания и да се опитва да придобие определен набор от познания в през времето при мен как се случиха нещата аз започнах работа в dxc като linux инженер след това продължих

15:22↗работа в dxc на на друга позиция като network security инженер после ми се отвори възможност да се занимавам с фактор анкей в една компания след това ми излезе възможност да работя като петрей тестър тоест аз видях различните аспекти на киберсигурността видях какво е да си от дефанзивната страна видях какво е да си от офанзивната страна и съм бил всъщност и на позиция която доста добре ме е запознала с риска в организацията и ме е накарала всъщност да мисля за тази компания какво може тя да загуби комбинацията от тези три познания офанзивни дефанзивни и това да познаваш риска grc gm и риск всъщност ти дават много добра основа да да започнеш вече на на по-сериозна позиция в организацията но това е чисто технологично аз знам че и ти в твоята компания наемаш доста доста хора ти като работодател какво търсиш освен технологичните познания в един кандидат

16:21↗може би опитът в една конкретна компания е повлияла на мо нали на моя процес на подбор на кадри най-много и това е е amazon там има доста развити рамки или фрейър за наемане на кадри за самия процес как протича той е доста интензивен аз първия път когато се сблъсках с него нали така доста предизвикателен беше не толкова технически защото и аз както теб съм минал през най-различни компании в най-различни роли дори съм бил и уб девелопър за кратко системен администратор нали мрежови администратор но определен тип позиции и компании търсят много повече от технически познания нали те са прекрасни за един джуниор човек който иска да натрупа малко опит и вече да премине на следващото ниво но може би от мид там и най-вече нали съвсем високите позиции изискват изключително много социални умения и лидерски умения така наречените behavioral въпроси които се задават на

17:13↗самия интервю процес та това което исках да кажа за този интервю процес в amazon е той включва изключително много етапи на анализиране на личността на човека дали има определени вградени качества и определени качества които биха му помогнали да се разви ви е като професионалист тоест дали е податлив на доразвитие и разбира се дали е културен фит в съответната компания това са доста интересно и доста интересна наука много нали препоръчвам нашите слушатели да почетат по темата особено тези които искат нали да имат отлични умения за провеждане на интервю и да разбират интервю процеса нали най-различни му фази и какво точно се търси в един кандидат за да бъдат успешни в този процес когато аз интервюирам естествено следвам частично този фрейм уърк разбира се адаптиран спрямо стойностите и и ценностите на нали на компанията в която работя в хол съответно и съответно екипа

18:04↗в който работим защото той е доста по-различно от нали скоростта примерно една голяма корпорация се движи със съвсем различна скорост съвсем различни отговорности има човек доста изградени пътеки има по които човек може да просто да следва и да бъде комфортен в ролята и зоната си докато в стартъпа много добре знаеш и си кофа удър на един такъв там много често носиш най-различни шапки най-различни роли покриваш много различни изисквания и неща разбира се ние си имаме конкретно търсене за нали за конкретен екип вече сме доста матр така така зрял екип и зряла компания но това което е важно за мен това което най може би важно за мен като интерв щ е кандидатът без значение от нивото дали ще е джуниър или мит синиър е да има един такъв offensive масе тоест разбиране за що някой би искал нали да компроментира една организация как и къде има един цитат между другото аз

19:01↗днес слушах също един подкаст малко по-рано има един цитат на брюс шнайдър който си го припомних който казва най-просто казано не можем да се защитим нали да превентираме един инцидент трябва да да предположим да амм че сме брич нати и нали винаги да детектва и да респон и ако човек няма според мен такова мислене в което постоянно да бъде нащрек не мисля че нали може да бъде изключително ефективен в професията нали ние си говорихме с тебе че тази професия и тази сфера киберсигурност за нас е повече от работа тое страст има хора които може би това е просто работа според мен ако това е повече от работа за теб като професионалист който иска да се развива на високо ниво в сектора това е може би едно от уменията и знанията които най-много трябва да развиваш тоест как една организация система мрежа каквото и да е било може да бъде компроментирана и разбира се това може

19:59↗човек да се обучава постоянно и медиумът постоянно се сменява дали ще бъде cloud среда сървър l среда или каквато и да е среда те много от практиките са приложими въпросът е начинът на мислене на човек да да бъде креативен защото ние в работата си защитавайки организациите за които работим ако не сме креативни нали ако не излизаме извън кутията отсрещната страна нали зловредната страна е доста креативна тя има неограничен креативен и времеви ресурс да опитва най-различни неща срещу организациите в които работим и ако ние нали не сме изобретателни да търсим пътищата и пътеките които постоянно се откриват и отварят даже един пример за това което си говорих малко по-рано е окей ние примерно намаме джуниър човек за иши и той започва да се занимава с конфигуриране на мрежи и системи и фали ами ако този човек няма достатъчно разбиране и опит за точно нали това за

20:51↗което говорим тоест да има е офанзивен майндсет ако той допусне нали човешко е греши се мис конфигу някъде това би довело до нали потенциално уязвимо за съответната организация и компания тоест лично за мен това е може би най най най-важното не техническо качество което един кандидат трябва да притежава всичко останало според мен нали има има определени неща които доста лесно се обучават и и научават да и аз тук много искам да заложа на лидерските познания в една организация и всъщност за мен е много важно един човек който работи при нас да поема отговорност за всички задачи и за всяко нещо всяка акти с която се занимава поемането на отговорност води до аз много обичам да казвам че не е with great power comes great responsibility а че обратното когато поемеш отговорност всъщност ти получаваш сила и ти можеш да оставиш по-сериозен отпечатък за мен е важно хората освен да имат технически

21:44↗бекграунд всъщност да са визионери да са лидери и да не се страхуват да да пробват няма човек който ще ще преуспее без да да се опита и без да да падне много пъти преди да да успее да да стане нещо повече така че аз много толерирам и грешките нали стига рискът да е премерен и стига хората да осъзнават какво правят и то да не е безразборно много важно е за мен и представянето на човека ние като компания която се занимава с пенетрейшън тестинг половината от работата ние как ще представим информацията на нашите клиенти тоест много често стигаме до етап в който пенетрейшън тестери откриват проблеми в инфраструктурата в приложенията обаче нямат меки умения с които да представят тази информация по правилен начин на аудиторията от една страна чрез разговор разказване да обясниш всъщност какво си открил защо това нещо е критично за организацията защо смяташ че това е ха

22:41↗или критикъл по какъв начин ще им навреди и от друга страна всъщност чисто писменно визуално графично да представиш тази информация по разбираем начин защото в компаниите за добро или за лошо мениджърите четат докладите мениджърите не винаги са технически хора те имат нужда от а доста често това информацията да да е смляна да е преработена много пъти на много лесен и разбираем език така че всъщност при мен интервюто започва още от cv то и как този човек всъщност си е направил cv тото и затова аз смятам че и cv то е много важно по какъв начин ще го оформиш и ще представиш себе си своите силни и слаби страни смятам че трябва да се представят и слабите страни в определени ситуации защото те показват всъщност дават поле за за надграждане показват къде може да се работи още тъй като ти спомена думата професия мен ми се ще малко да поговорим за професиите аз лично в моето разбиране

23:34↗така през годините съм съм изградил четири основни направления в които аз лично разделям кибер информационната сигурност първото е чисто офанзивното там където проверяваме одитираме сканираме оценяваме всичко което е проверка на сигурността под някаква форма на второ място не по важност слагам дефанзивния подход всъщност всъщност изграждането на защитата на един сървър изграждане на защита на мрежа разделяне на на правилно разделяне на мрежата правилно писане на код на сигурен код така че всъщност нашето приложение да да е сигурно обучение на персонала с което всъщност да да подсигурим това че хората няма да отварят фишинг имейли зловредни линкове прекачени файлове че ще знаят как да третират информацията след което за мен като трета трето основно направление е реакциите може би при инцидент тоест всички онези хора които са на първа линия и виждат опитите за атака в реално

24:33↗време опитват се да ги спрат да ги предотвратят или пък ако вече е станала успешна атака има инцидент хората които разследват инцидента и като четвърто направление аз бих обобщил governance където всъщност се запознаваме с изграждането на политики процедури оценка на риск една организация запознаваме се в детайли с това какво е непрекъсваемост на бизнеса тоест бизнес конти или възстановяване сед инциденти disaster recovery това са основни метрики вв във всяка една компания как виждаш ти професиите на база на твоя опит какви професии може да изпълнява един човек в кариерния си път свързани с киберсигурност аз не мисля че човек трябва да се ограничава когато се развива кариерно да експериментира за да разбере къде са най-силните страни как може да се развива особено ако нали иска да гради сериозна кариера точно къде се чувства най-ефективен лично в моя кариерен път

25:27↗съм минал през с почти всичките от изброените нали категории които дефинирахме нали те са доста доста опростено нали така дефинирано но истината е че е доста точно би могло почти всяка една под професия да се сложи някъде в тоя спектър това което между другото исках да добавя към предния предния въпрос е че едно от нещата които бих нали гледал по време на интервю извинявай че се връщам към него е интегритет за мен това е също критично важно качество на на един кандидат да бъде изключително нали честен тъй като имаме достъп до много критична и класифицирана информация повечето пъти това ще бъде може би едно от най-важните неща за които ще гледам като изключим техническите неща ако се върнем на нали на кариерните подразделения или пътеки които един кандидат може да вземе в началото на кариерата си най-вероятно може би по-скоро нали instant response или някакъв вид аналист позиция би била

26:19↗подходяща човек да развие някакъв вид умения за разбирането нали на самия сектор и самата сфера и вече когато е натрупано достатъчно опит и разбиране как нали една система се компроментира тогава вече човек може натрупвайки повече и бизнес умения и знания разбиране нали за управление на риска би могло да премине към другите нали по позиции които са по-високо ниво със сигурност ако нали един човек отговаря за сигурността в една организация от гледна точка нали вътрешна сигурност денси и по-високо ниво то му се налага да носи множество от тези шапки едновременно нали да ги гледа всичките сектори всичките подразделения в една организация как се развиват добре ли се защитава добре ли е проверена защитата а и така нататък не бих казал че нали трябва да се ограничаваме в кариерното си развитие трябва да експериментираме защото не се знае нали в бъдеще как ще се развива и самият пазар в момента

27:18↗например пазар това което видяхме от краткия анализ който направихме че търсят изключително много кадри в defensive частта а нали от секюрити инженери до архитекти im мрежови специалисти по-малко нали пенетрейшън тестери се търсят има търсене между другото пен тест е доста една интересна професия за начинаещи започващите в кариерния път защото е изключително креативна има елемент на фий дори в смисъл постоянно се търсят уязвимост и е според мен е изключително интересна професия за един човек който стартира и който желае да се развива професионално има може би безкраен цикъл на научаване на нови неща ти много добре знаеш тъй като вие предлагате подобни услуги ако ако човек стартира в точно тази пътека нали offensive пенте пътеката какви са и не само стартиране иска да развива кариерата си в нея какви са начините какви са пътищата платформите уменията и

28:14↗знанията които са необходими нали за да осъществи една успешна кариера аз чисто от гледна точка на тш тестинг позициите много залагам на практическите обучения доста често хората ме питат добре де ама аз ако не го работи това нещо как мога да практикувам как мога да да работя това нещо всъщност ти можеш да се упражняваш има множество платформи в които има предварително подготвени уязвими машини или уязвими уебсайтове в които ти можеш да експериментираш да се опитваш да пробиеш машината а такива са например hack the box v hub hack this site в който се учиш на php на web application pen testing с теб си говорихме за pentest laps ти спомена също и cloud guru това са платформи в които всеки един човек може да се регистрира някои от тях са безплатни други са платени в тези платформи може да симулираш работа като петрей тестър там може да се запознаеш какво е това да

29:07↗пробиеш една мрежа как да да се разхождаш вътре в в мрежата всъщност и да превземаш ресурсите как можеш да проникнеш в едно приложение как можеш да проверяваш за проблеми свързани с автентикация свързани с неправилно третиране на информацията недостатъчно силни крипто алгоритми и така така нататък множество множество проверки тези знания всъщност те подготвят за практическата позиция те ти дават готовност когато утре ти предложат оферта от някоя фирма и ти кажат заповядай в понеделник на работа ти ще знаеш какво да правиш ти вече ще имаш опит как се документират системите между другото offensive security също така е доста добре признато и заради това че те отделят част от изпита всъщност е подготовка на доклада което е много много важно и то всъщност е то то то ти дава онези презентационни умения показва колко си добър в това да изложиш проблемите и да ги обясниш на

30:03↗аудиторията всички тези сайтове всички тези платформи според мен дават много добра база за това да да започнеш кариерния си път аз също така разделям кариерния път на две основни направления в зависимост от това дали ще работиш в enterprise компания или стартъп компания в стартъп компанията ти растеш заедно с организацията там не е си толко фокусиран на позициите нямаш йерархия в която да пораснеш до определена позиция нали това нещо е сведено до минимум по-скоро в стартъпите всеки един човек прави всичко и ти растеш заедно с организацията много често ако са те нели на сайбер сети позиция в една стартъп компания ти ще се занимаваш с всичко и със сървъри и с мрежи и с приложения буквално с всичко ти няма да имаш строго определени отговорности че трябва да се занимаваш само с приложение или само с мрежи ти ще се учиш на вси всичко нали което те прави така може би по-общо профилиран

31:02↗експерт как обаче седят нещата в една enterprise компания аз мога да дам пример от големите enterprise компании в които съм работил dxc и amazon в тях има доста нали дефинирани пътеки по които кариерно човек може да се развива но също така има и интересни проекти които човек може да взима отстрани на нали на своя работен процес и job description както се казва те не са винаги супер строго дефинирани нали човек може там да развива кариерния си път доста добре има разбира се съответни ограничения по отношение на това какви отговорности може човек да поема тъй като са големи компании големи корпорации предполагам че и в останалите особено тези които са в българия които изброихме малко по-рано vm sap и така нататък по подобен начин са структурирани нещата включително и в киберсигурността но не мисля че нали някой мениджър или лидер би отказал ако има кандидат който желае да да се

31:57↗развива и иска да поеме повече отговорности аз поне не съм срещал такъв и не мисля че ще се случи така че ако човек желае да се развива професионално и да вземе повече отговорности както ти сподели малко по-рано не мисля че някой ще му попречи даже напротив особено ако развива бизнес уменията си за презентиране нали за показване на и представяне на репорти нали анализиране на информация опростяване на процеси освен нали всички тези технически важни умения за развитието на на една кариера мисля че никой няма да му откаже и и и това ще бъде само плюс в развитието на един кандидат дори нали в последствие да реши да напусне корпорацията да започне стартъп или да основе собствен тези умения са изключително преносими и ценни аз исках само да добавя към това което си говорихме за платформите и за опита практическия без да имаме работа тъй като доста компании поддържат така

32:53↗наречените или responsible disclosure или bug bounty тоест програми в които да речем пен тестър или чър сектора на киберсигурност може просто да отиде на съответната организация на сайта да види условията по които може да участва те са дефинирани с един стандарт казва security txt там може да се прочете политиката за репортване и за намиране на такива уязвимости и би могъл един кандидат съвсем спокойно да трупа опит и печалба в смисъл много от компаниите са склонни ако бъде намерена съществена уязвимост експлоатираща бизнес логиката им с съвсем спокойно да заплатят някаква сума не само нали компании има най-различни организации неправителствени и правителствени включително и нали и в българия се зараждат такива неща български компании участват българското правителство дори направи една много нали в лицето на министерството на електронно управление направи една такава програма за пен

33:45↗тестване и за responsable disclosure така че това също е път по който на извън платформите извън компаниите човек може да трупа опит и нали да си заплати времето тоест да да го превърне бавно в своя работа да не говорим че има и така наречените крауд платформи за работа не само offensive от типа на hacker one bug crow кобал и множество тестинг нали компании които оперират на територията на европа и човек може да кандидатства и да работи в тях без да има опит има и и и множество нали и проектни работи които би могъл да вземе в най-различните фриланс сайтове от гледна точка на обратната страна на defensive на проекти и така нататък аз лично като човек който интервюира бих гледал позитивно на на такъв тип опит тъй като това пак е опит и пак са ценни умения сега исках да се да се върнем отново на сертификатите и да те попитам спрямо дефинираните пътища които малко по-рано споделихме тоест

34:50↗instent response grc или рик мениджмът нали пътя offensive и defensive какви според теб нали какво образование човек би могъл да натрупа за да му помогне кариерно да се развива било то нали от jior мит синиър в кариерния път в тези тези пътеки или или сектори аз бих се насочил малко първо към петрей тестинг тъй като трей тестинг само по себе си включва проверка на мрежи проверка на api и уб приложения проверка на мобилни приложения в зависимост от това всъщност какво искаш да тестваш ако искаш да се занимаваш с проверка на на мрежи и на операционни системи и там да откриваш слабостите логичния път за мен е да изкараш сертификати или пък да придобиеш познания свързани с linux системна администрация windows системна администрация вероятно сиско е доста добър сертификат който да те запознае с мрежите как функционират те как се разделя една мрежа как да се запознаеш с

35:50↗протоколите смятам че е много важно да да се познават с ip адреси протоколи комуникация на мрежата преди да тръгнеш да експлоатираш едно устройство ти трябва да знаеш то как си комуникира с другото устройство в другата стая едва когато имаш концептуални познания за това как се случва комуникацията тогава ти можеш да се опиташ да я манипулираш и евентуално да да подмениш трафика или да изпратиш някакви по-особени заявки така че на първо място ти трябва да познаваш мрежата как функционира ако говорим за и там всъщност е доста полезно да да знаеш power shell скриптинг или баш скриптинг ако говорим за треш тестинг на мобилни и на уеб приложения тогава със сигурност е хубаво да поназнайваш програмен код обикновено е доста добре да знаеш php javascript java също така е полезно много често приложенията и до ден днешен се пишат на php така че един php програмист лесно може да направи преход

36:46↗към експерт по киберсигурност който прониква в който пробива такива приложения има хора които се занимават изцяло с писане на експлойти там всъщност са ти полезни познания свързани с python пъл това е много интересна дисциплина има хора които са ударили живота си на на писане на на ек на експлойти и писане на маури всъщност което също е доста интересна тема и е важно да споменем и социално инженерство което всъщност е много важна дисциплина от киберсигурността и то е опитът да проникне в човешкото съзнание всъщност на мен социалното инженерство ми е любимата дисциплина защото там трябва да си наполовина психолог там трябва да се опиташ да манипулираш човека от другата страна така че да да да му разкриеш слабостите да ти предостави информация да отвори предварително подготвен от теб уебсайт да предостави някакви данни а това е много голяма част от киберсигурността и всъщност 80% от

37:44↗успешните атаки са посредством хората в организациите абсолютно така че социалното инженерство и познанието на човешката природа е много много важен компонент в в киберсигурност когато говорим за network security аз лично съм работил като firewall инженер там съм се сблъсквал и с ips и с ids и тоест наблюдавал съм мрежовия трафик и съм анализирал заявките това което се намира вътре в тях по какъв начин те взаимодействат с устройствата ако изграждаш защитата е много важно да имаш тези познания много е важно да да знаеш на една система как да ограничиш достъпа до до файловата система как да контролираш потребителските акаунти как да забраниш изпълнението на файлове например или използването на външни носители това са основни контроли които трябва да да знаеш как да направиш как да конфигурираш за да защитиш една система и преминавам към incident response където всъщност трябва много

38:42↗добре да познаваш мрежовия трафик ако си работил като мрежовия инженер ти всъщност много добре ще се справиш и като инцидент хендлър а защото там всъщност наблюдаваш мрежовия трафик и търсиш аномалии в в самия трафик следи логове трябва да познаваш всъщност как работи машината кое стандартен лог на машината кое може да бъде считано като за увреден трафик всички тези неща идват с съответните сертификати в индустрията санс между другото прелага предлагат и много добър сертификат gl certified incident handler за security аналисти нещо за което не поговорихме до момента кариерен път като forensic expert да много е важно да да стигнем до там какво се случва когато една система е компрометирана кой всъщност разбира тя хакната ли е има ли изтичане на данни това нещо нанесло ли е щети на на организацията до какво е довело нали има едни хора които всъщност взимат

39:40↗системите взимат харддисковете започват да анализират рам паметта на на системите логовете а обикновено за тия хора най-малко се чува те са най-малко популярни и най изолирани от модерния свят но всъщност са огромен аспект от много важна част от киберсигурността и от една организация и и това само по себе си е много интересна работа лично на мен ми ми представлява доста голям интерес отново тези позиции най-вероятно ще ги срещнете в enterprise в по-малката компания много често нещата са по-динамични там рискът е по-голям позициите са по-размити не е толкова ясно кой какво прави тези ясно обособени позиции се срещат в по-големите компании разбира се се срещат и в нали cyber cme юнитите конкретно в българия в отдела по киберпрестъпления в гд боб където според мен между другото е едно много добро място за започване на кариера в сектора тъй като дава изключителни не само технически а ами и

40:43↗нали лидерски поведенчески дава и възможност за развитие на интегритета на един човек въобще такъв тип опит според мене изключително изключително ценен в такава организация тъй като човек ще има по поглед върху модерни заплахи върху модерни инциденти нали най-вероятно в такъв тип организация заплащането не е както в it сектора в нали в частния сектор но е отлично място за стартиране на кариерата и отлично място за научаване на тънкости и техники които и и и докосване до софтуер който нали такъв тип институции имат достъп а най-вероятно множество компании нямат такъв тип софтуер какъвто там се използва така че ноухау който може да се използва и и и технически и лидерски умения които биха могли да произлязат от такъв тип опит добре но много добре особи потенциалния нали потенциалното образование което и умения които човек може да придобие за да се подготви за

41:37↗отделните кариерни пътища но не сме си говорили за университети и на мен ми се искаше накратко да обобщим нали ситуацията не само в българия а и в чужбина българия хубавото е че в последните може би около т-5 години се родиха изключително много центрове в университета за киберсигурност в технически университет в унибит в пловдивския университет нов български софийски и така нататък може би са в ранен етап на своето развитие тепърва нали може би предстои една по-задълбочена симбиоза на тези центрове и тези специалности с бизнеса да разберат по-добре нуждата на бизнеса от кадри и да ги подготвят за за него така че да се запълнят тези позиции мид позиции нагоре от такъв тип специалисти това което ме радва е че много често университетите потягат ръка и канят хора от бизнеса нали практици които да преподават съответните специалности и така кадрите които излизат освен нали че

42:34↗имат потенциално технически познания по съответната нали по съответното направление кариерно имат и някакви нали проектни или лидерски умения които развиват съответните специалности и по време на проектната работа в съответния университет хубавото е че се раждат вече и платформи в които има нали среда за туриране на кандидати една от тези платформи е туктам аз я споделям защото участвам в нея и се опитвам да помагам нали на млади хора и не толкова млади които се опитват да развиват своята кариера в киберсигурността харесва ми просто че е подредено и е ясно че става въпрос точно за ментори има се фиксиран график и според мен е изключително полезно както за мен за networking и нали да откривам потенциални кандидати за бъдеще за нашите позиции така и за самите кандидати да получават директен фийдбек от хора като нали като нас които търсят кадри интервюират хора нали биха

43:30↗могли откровено да им кажат пропуски например в cv то или в развитието или в подхода и и нали да им помогнат да да развият кариерата си на следващото ниво това което ми се искаше също да разкажеш от гледна точка ная човек който е врял и кипял в сектора какво е мнението ти за по игрови нали настроени упражнения от типа на capture the flag или участие в конференции как как гледаш ти на тези неща точно натам исках и аз да да обърна разговора capture the flag според мен предоставя прекрасно място за за хората да да се учат и да експериментират като всъщност то може да е и доста доходоносно има capture the flag с награден фонд които всъщност предоставят награди на първите един два трима петима човека които са се представили най-добре capture the flag развива и много и и отборните умения защото там всъщност може с отбор от няколко човека заедно да да се борите срещу други отбори тоест

44:28↗вие сте колектив който има една обща цел това нещо изгражда екипното мислене capture the flag също така в комбинация с бъг бау и програмите може да бъде платена работа за всички онези студенти които трябва през деня да посещават университет и които искат да работят в късните часове на деня много голяма част от хакерите предпочитат нощем да да работят това е една тяхна особеност но участието в тези събития от една страна те сблъсква постоянно с нови проблеми леми тоест ти няма как да влезеш в рутина всеки път едно capture the flag събитие е различно то предоставя различни конфигурации различни предефинирани мрежи системи и приложения тоест там вече проверяваш сигурността на всяко едно ниво в it индустрията и е прекрасно място за за всички онези хора които нямат чак толкова много свободно време а според мен и чужди capture the flag събития включително в българия

45:25↗между другото преди години се организираха capture the the flag събития към днешна дата не съм сигурен има има първо има няколко събития на които се организират на bsides има capture the flag българският серт организира за младежи capture the flag които представят на едно сдание пре тениса развива се нали тази тип дейност тя е по-активна онлайн аз бих препоръчал нали на някой който иска да се развива и да тества уменията си и да отиде на ctf

45:55↗участва и индивидуално може да участва и в екип нали най-добре е в екип много по-полезно е много по-интересно е особено ако може да е на живо тоест на някой от тези събития да си донесе лаптопа да пробва някой от нали чаленджи да нали да прочете след това така наречените right ups да види как се решава съответния съответната задача нали съответния флаг как се открива това нали с времето участието в такива състезания освен че е изключително забавно и интересно в екипно а развива много както ти спомена нали лидерски технически умения и е постоянно променяща се постоянно се измислят нови и нови упражнения които нали да се пробват така че и аз много адмирирам такъв тип участие и игра и всъщност съществуват доста такива събития които едновременно проверяват познанията и на офанзивните играчи и на дефанзивните тоест виждал съм capture the flag събития в комбинация с ре тиминг и бул

46:50↗тиминг при които всъщност едните се опитват да пробият мрежата в реално време другите се опитват да да хванат инцидента да да хванат аномалията в трафика всъщност и да блокират нападателите което е много практическо познание и всъщност много полезно в реална среда в реална среда ти нямаш неограничено време да да тестваш една система и трябва в същия момент на време много бързо да реагираш когато някой те атакува така че това дава доста реални познания абсолютно аз исках да поемем разговора в една друга посока тъй като generative ai е тук за да остане той на неизбежна неизбежен инструмент и помощ в нашето кариерно развитие според моята гледна точка как виждаш какви са начините по които ai би могъл да се използва в помощ на кариерното развитие на един кандидат али помощ дори на от обратната страна на на компаниите на кариерния нали на на подбора на кадри аз

47:46↗бих искал да малко да разкажа всъщност как виждам ai в киберсигурността като цяло защото за мен в момента с машинното обучение се променя всичко ако до от днешно време хората имаше позиции в които трябваше да сортират уязвимости и да приоритизират да правят оценка на на проблемите то към днешна дата тези познания вече се изместват от машинното обучение тоест хората трябва да имат много по-дълбоки познания за това как функционира системата какво представлява един ма как се експлоатира бизнес логиката на дадено приложение а по задачите с по по-голяма повтаряемост се поемат от от ml всъщност всичко се автоматизира оценката фокуса и филтрацията на на проблемите в една организация рязко се променят към това те да се сведат до минимум и това става посредством машинно обучение ако преди години компаниите откриваха хиляди и десетки хиляди озимо и нямаха идея как

48:42↗да се справят с тях нали започнаха да се опитват да ги приоритизират и и отстраняват то към днешна дата вече масово компаниите разработват машин learning обучения които всъщност да да им помогнат да правят нещо много по-продуктивно нещо много по-креативно по-съществени неща по отношение на подбора на кадри ти как го виждаш от гледна точка на кандидатите а според мен е неизбежно използването на е а и най-малкото за подготовка на съответното cv или на обобщение на комплексни теми поне това според мен е доста интересно от гледна точка нали на подбор на кадри аз мисля че е доста рисково ако използваме нали машин learning за категоризиране на кандидати тъй като е много възможно един кандидат особено нали по-начинаещи своето си v кандидатура но той да има много интересни качества които биха могли дали допринесат съответния екип моето вярване е че ако наемаш хора които са еднакви в своите

49:44↗умения и качества няма да може да развиваш съответния екип достатъчно добре тъй като нали идеалната ти цел е по-скоро да го направиш по-комплексен самия екип тоест да те да се припокриват в своите слаби места да имат силни места които са по различен начин да има нали тази креативност и ако си използва прекалено много нали помощ от машини за сортиране на кандидати и за взимане на решения би могло да бъде доста опасно от гледна точка на пропускане на кадри които могат да имат много повече капацитет и потенциал а и разбира се маха за човешкия елемент тъй като според мен е много важно един кандидат за себе си да се чувства нали комфортно в съответната компания и светни екип да има така наречения cultural fit и обратното нали самият екип да се чувства добре и ако няма интервюта и подбор на живо нали от хора мисля че ще бъде доста доста бездушен този процес но ai е в

50:42↗невероятна помощ за автоматизиране и опростяване на част от тези оперативни задачи и дори писане на някои репорти би могло да се използва изключително много и за елементарни скриптинг или или задачи за програми миране или за просто за генериране на идеи аз лично го ползвам ежедневно и и супер много се вълнувам от бъдещото му развитие най-вече се надявам тъй като той в момента се използва и за зловредни цели една от които е нали социално инженерство генериране на нали атаки идеи за атаки ако щеш и а съдържание на мейли за фишинг той може да се използва нали машинен леник може да се използва и в обратната посока тоест идентифициране на нови патърни на нови поведенчески норми които нали да да е една стъпка пред човека да може да идентифицира заплахите малко по-бързо от нали един екип от специалисти които са ирен според мен ai е идеален за може би заменяне на на първия левъл първото ниво

51:44↗от подбора на кандидатите много често срещаме кандидати които казват аз бях на интервю но от другата страна не не разбраха нищо от това което аз разказах има го момента в който който често се случва в организациите поради недостиг на на ресурси и на на персонал всъщност първото ниво от подбора да се прави от нетехнически хора които много често пропускат нали те имат определени неща които гледат в cv то и пропускат ценни кандидати които всъщност биха били много добър фит за една организация според мен там по-скоро машин лън има почва и може да прави този базов първоначален подбор на кандидатите от друга но ще прекъсвам но тук няма ли риска че ако кандидатът да речем няма добри презентационни умения не си е добре подготвил cv то той сам да се дисквалифицира от процеса на подбор абсолютно да и всъщност тук стимулирам хората да бъдат проактивни и да се опитват да се свържат със

52:44↗следващото ниво с мениджърите в компанията с тех екипа в компанията ако ти смяташ че си недооценен смяташ че можеш да се представиш по много по-добър начин бъди проактивен опитвай търси начин да стигнеш до правилните хора в организацията които реално са десижън мейкъри и които могат да разгледат правилно твоята кандидатура недей да да спираш недей да се отказваш с това че на първото ниво в подбора не са се получили нещата много често няма да се получат въпреки че ти си добър човек че ти че ти си добър кадър но наистина неща свързани с меки умения лидършип етични норми морал на човека неговия личен мишън стейтмънт няма как да се проверят с машинно обучение според мен с изкуствен интелект абсолютно това което би могло да подпомогне на един кандидат и мисля че е доста хитро и умно е използването на текста на обявата и на ценностите на компанията в генерирането на описанията

53:40↗на работния опит на съответния кандидат разбира се това е ноще две остриета ако самият кандидат няма съответните качества за съответната позиция и нали подведе екипа по подбор на кадри с с подобен тип нали generative ai cv възможно е нали да бъде дисквалифициран нали да бъде да бъде отказан продължаването на кандидатурата но според мен ще помогне за прескачането на този първоначален подбор тъй като сиви-то му ще изглежда изключително адаптивно и адекватно спрямо позицията така че аз лично бих го препоръчал но нали с огромна доза внимание тъй като има риск да така да бефа да се отрази негативно другото нещо което нали исках така да обсъдим по-скоро високите позиции в сектора тъй като за мое и предполагам и твое огромно щастие сектора киберсигурност се развива изключително много в българия последните години има страшно много нови компании страшно много сървис компании и такива

54:40↗като твоята които са фокусирани единствено и само в този сектор което е страхотно страхотно е за икономиката ни страхотно е за за въобще за комюнитито ни какво мислиш за това професионално развитие вече отгледна точка на един нали кариерен път който се развива от мит към синиър какви са начините човек да стигне на високо ниво в сектора какви са пътищата ако ако можеш по някакъв начин да ги обобщиш и опростиш защото много ми хареса нали това с четирите пътя ами то в кръга на шегата търсят ли се въобще хора на ниски позиции ако може всички да да са синиър според мен достигането до високите позиции след като сме придобили определен набор от технични познания технологични познания изисква много добре да познаваме риска в една организация да знаем всъщност какво представлява актива в организацията защо тази информация е ценна за компанията защо клиентите на на компанията в която

55:40↗работим са ценни за нея тоест изисква да имаме доста по-добро бизнес разбиране чисто с технологични познания много трудно ще стигнем до до много висока позиция ако искаме да сме чи technical officer ф information security офис в дадена организация директор по сигурността определено се изисква да познаваме как работи една организация изисква се да имаме бизнес познания да имаме меки умения лидерски умения да смеем да поемаме риск да не се страхуваме от последствията много много много важно да можем да устойностявам макар и и базово един актив и дадена информация да разсъждаваме всъщност извън кутията и да помислим защо кой би искал да навреди на нашата организация дали това е конкурентна компания дали е злонамерен човек който иска да открадне нашата информация и да я пусне в darknet да се продава например тоест трябва да познаваме рисковете в компанията и

56:35↗потенциалните заплахи те са различни за всяка една организация но когато сме минали по този път няколко пъти нали вече доста лесно можем да се организираме в съответната компания кое е най-страшното за тях какво може да ѝ се случи и така аз много ти благодаря за за прекрасния разговор смятам че че доста поговорихме по темата и и поговорихме за сертификати за университети за професионално развитие за платформите в които един човек може да да се упражнява кои са евентуалните позиции които даден човек може да заема в дадена организация моето послание към към всички е бъдете проактивни четете учете има видеоуроци има толкова много практически ресурси и опитвайте половината хора които работят при нас не са дошли от cv а са дошли от от това че хората са ми писали в linkedin по имейл звъняли са ми по телефона непознати хора които са го намерили отнякъде бъдете проактивни

57:33↗опитвайте се и не се отказвайте когато някой ви откаже от 10 интервюта едно ще стане абсолютно много хубаво заключение изключително много ми харесва а само бих добавил с леко повторение нали това което каза че само техническите умения нали не биха могли да те изстрелят кариерно на висока позиция а трябват изключително комплексно ниво от умения от множество неща нали висока колаборативно разбиране на бизнеса екипност и така нататък изключително нали пожелавам на хората които искат да развиват своята кариера и в конкретно в киберсигурност и не само нали в it света е да помислят как да какви са техните нали deficiencies или слабости как биха могли нали да ги да ги повишат да ги използват в своя позитив пожелавам нали на нашите слушатели успешен кариерен път и нали не забравяйте че едно общество нали съответно в нашия сектор е по-здравословно когато си колаборира и

58:30↗помага и предполагам че краси няма да има нищо против да кажа че ако някой има кариерни въпроси ние винаги сме отворени да помогнем и да дадем практични съвети благодаря краси за прекрасното интервю и за прекрасния подкаст благодаря за поканата на тев пке това беше от

58:49↗нас благодарим ви че останахте до края на епизода надяваме се да ви е бил поле ако имате някаква обратна връзка ще се радваме да ни я споделите искаме да благодарим още веднъж на нашите партньори mentor technology и и не забравяйте ако търсите it работа започнете от dev.bg