امنیت سایبری بیشترین تعداد کسانی را جذب می‌کند که خیلی زود رهایش می‌کنند. دلیلش این نیست که سخت است — دلیلش این است که آدم‌ها از وسط شروع می‌کنند. یک ویدیو از اجرای یک ابزار می‌بینند، همان را تکرار می‌کنند، جواب می‌گیرد، و فکر می‌کنند این کار همین است. بعد اولین بار که محیط با ویدیو فرق دارد، هیچ کاری از دستشان برنمی‌آید.
حقیقت ساده این است: امنیت یعنی شناختن یک سیستم بهتر از کسی که ساخته‌اش. نمی‌شود چیزی را که نمی‌شناسی امن کنی، و نمی‌شود چیزی را که نمی‌فهمی بشکنی.
پیش‌نیاز اول: شبکه
بیشتر حمله‌ها از روی شبکه اتفاق می‌افتند. اگر ندانی بسته از کجا به کجا می‌رود، فایروال چه می‌کند و DNS چطور کار می‌کند، خروجی اسکنرت برایت فقط یک لیست است.
چیزی که واقعاً لازم داری: مدل OSI، TCP/IP، ساب‌نتینگ، مسیریابی، و توانایی خواندن ترافیک با Wireshark. شبکه از پایه این را می‌دهد.
پیش‌نیاز دوم: لینوکس
هم بیشتر سرورهایی که ارزیابی می‌کنی لینوکس‌اند، هم بیشتر ابزارهایی که استفاده می‌کنی روی لینوکس اجرا می‌شوند. باید در ترمینال راحت باشی: مجوزها، فرایندها، سرویس‌ها، لاگ و اسکریپت‌نویسی ساده.
معیار عملی: اگر بتوانی روی یک سرور خالی SSH بزنی و بدون گوگل‌کردن هر دستور کارت را جلو ببری، آماده‌ای. مدیریت لینوکس برای همین است.
پیش‌نیاز سوم: کمی برنامه‌نویسی
لازم نیست توسعه‌دهنده باشی، ولی باید کد را بخوانی و اسکریپت بنویسی. برای فهمیدن آسیب‌پذیری‌های وب باید بفهمی برنامه چطور ورودی را پردازش می‌کند، و برای خودکارکردن کارهای تکراری باید بتوانی چند خط پایتون بنویسی.
در حد دوره‌ی پایتون کافی است؛ عمق بیشتر بعداً به‌مرور می‌آید.
پیش‌نیاز چهارم که کسی نمی‌گوید: مستندنویسی
خروجی کار یک متخصص امنیت، یک دسترسی نیست؛ یک گزارش است. کارفرما پول می‌دهد تا بداند کجا آسیب‌پذیر است، ریسکش چقدر است و چطور رفعش کند.
کسی که نتواند یافته‌اش را روشن بنویسد و سطح ریسکش را توضیح بدهد، هرقدر هم فنی باشد، در این حرفه بالا نمی‌رود. این را از همان اول تمرین کن.
و یک پیش‌نیاز که فنی نیست
مرز قانونی. تست‌کردن سیستمی که مجوزش را نداری، در ایران و همه‌جای دنیا جرم است — حتی اگر نیتت خیر باشد و حتی اگر چیزی خراب نکنی. تنها تفاوت بین کار حرفه‌ای و جرم، یک مجوز کتبی و یک محدوده‌ی توافق‌شده است.
به همین دلیل کل تمرین‌های دوره‌ی تست نفوذ در آزمایشگاه بسته و روی سیستم‌های خود آکادمی انجام می‌شود، و بخشی از دوره صریح به همین موضوع می‌پردازد.
مسیر درست
- مبانی فناوری اطلاعات — اگر پایه نداری
- شبکه از پایه
- مدیریت لینوکس
- مبانی امنیت سایبری — طرز فکر و دفاع
- تست نفوذ — ارزیابی مهاجمانه و گزارش
این مسیر حدود یک سال با تمرین منظم طول می‌کشد. کوتاه‌تر از این هم می‌شود، ولی نتیجه‌اش کسی است که ابزار اجرا می‌کند، نه کسی که امنیت بلد است.
چطور تمرین کنیم بدون اینکه دردسر درست شود
سؤال درستی است و جوابش روشن: محیط قانونی برای تمرین کم نیست.
- آزمایشگاه خودت. چند ماشین مجازی روی سیستم شخصی، یکی آسیب‌پذیر و یکی مهاجم. کاملاً قانونی چون همه‌چیز مال خودت است.
- ماشین‌های آسیب‌پذیر آموزشی. سیستم‌هایی که عمداً برای همین کار ساخته شده‌اند و رایگان در دسترس‌اند.
- آزمایشگاه آموزشگاه. محیط بسته با سناریوهای طراحی‌شده، که مزیتش این است که کسی هست بگوید کجا را اشتباه رفتی.
آنچه هرگز نباید بکنی: اسکن‌کردن سایت یا شبکه‌ای که مجوزش را نداری، حتی «فقط برای تست». همین یک اسکن ساده هم در لاگ طرف مقابل ثبت می‌شود و توضیح‌دادنش بعداً کار سختی است.
چه شغل‌هایی در انتهای این مسیر هست
امنیت یک شغل نیست، چند شغل است و همه هم تست نفوذ نیستند:
- کارشناس امنیت زیرساخت — سخت‌سازی سیستم‌ها، مدیریت دسترسی، وصله‌گذاری. بیشترین تعداد موقعیت شغلی اینجاست.
- تحلیلگر مرکز عملیات امنیت — پایش لاگ، بررسی هشدار، پاسخ به رخداد.
- ارزیاب امنیت و تست نفوذ — جذاب‌ترین و کم‌تعدادترین؛ معمولاً بعد از چند سال تجربه در دو مورد بالا.
خیلی‌ها فقط سومی را می‌بینند و همان‌جا شروع می‌کنند. مسیر واقعی معمولاً از اولی می‌گذرد.
آیا ارزشش را دارد
اگر از فهمیدن اینکه چیزها چطور کار می‌کنند و کجا می‌شکنند لذت می‌بری، بله. اگر دنبال مسیر سریع به درآمد بالایی هستی، مسیرهای دیگری هست که زودتر جواب می‌دهند — وب از این نظر سریع‌تر است.
امنیت شغلی است که کنجکاوی می‌خواهد، و کنجکاوی چیزی نیست که بشود در دوره یاد داد.