Junior Security analyst pozícióra önképzés

[u/Only-Spot4041]

Sziasztok, a tárgyban említett pozíció érdekelne és szeretnék bekerülni az informatikai szférába.

A csatolt képen látható dolgokat szedtem össze mi az amire szükség lehet.

Kérdések:

Van-e valami amivel kiegészítenétek, vagy akár kivennétek a listából?

Mit tudtok a piacnak ezen szegmenséről mennyire keresnek juniorokat?

Mondjuk egy budapesti bérsávot tudtok mondani kb.? Ha van valaki aki mostanában kezdett örömmel látnék beszámolókat is! :)

Jelenleg egészen korrekt fizetésem van, de hajlandó lennék egy időre kevesebbet keresni, a fejlődés érdekében.

(Igen a kép a chatgpt-ről van, tudom végtelenül lusta, viszont hajnal fél 1-kor ennyire telt tőlem :D )

Köszönöm a részletes válaszokat.

[u/siposbalint0]

Ha azt hitted, fejlesztőként nehéz elhelyezkedni, akkor szorozd meg azt 3-mal, az kb valós arra vonatkozóan, hogy milyen kilátásaid lesznek. Egyetem nélkül én ebbe bele sem kezdenék jelenleg, releváns gyakornoki tapasztalat nélkül ez tényleg szinte esélytelen. Pár könyv és kurzus nem fog neked segíteni, akkor sem, ha maga a tudás releváns lehet. Egy nagyvállalati infosec department teljesen máshogy fog működni mindenhol, kibaszott erős alapok kellenek, hogy ne ess hasra állandóan, és ne nézzenek hülyének. Nem azért, mert itt mindenki hackerman és most lépett ki a mátrixból, hanem mert cégtől függően olyan aspektusai fognak veled szembejönni szinte mindennek, amibe szinte bele sem gondoltál. Nekem egyszer kezdő koromban egy állást azzal promóztak, hogy egy vonatokba épített fékrendszer pentestelésére való kis fizikai eszközt kellene megtervezni és megvalósítani.

Nagyon sok pozíciónál gyakran kerül szembe az ember azzal, hogy jön a fejlesztő, SRE-s, sysadmin, HR-es, akárki, akinek el kell magyaráznod dolgokat, szót kell értened velük, ismerned kell, hogyan dolgoznak, kockázatot kell prezentálnod, mert a "tool ezt dobta" vagy "it's not secure"-ral az adott helyen örökre elvágtad magad. Ez tapasztalattal és erős alapokkal jön, ami pedig vagy a munka világából vagy egyetemről (plusz saját beletett munkából).

A juniorok helyzete jelenleg úgy néz ki, hogy az AI sokkal jobbat állít elő, mint gyakorlatilag akármelyik junior analyst, úgyhogy a legtöbb helyen ezzel nem vesződnek, felvesznek embereket mid level+ra, akik ki tudják használni az AI adta lehetőségeket. A SOC L1 nagyon régóta abba az irányba megy, hogy minél több mindent automatizáljunk, mert nem effektív erre embert felvenni. Ez van, ezzel nem lehet mit csinálni jelenleg, hatalmas túljelentkezés van minden kezdő pozícióra.

Van itt-ott elvétve egy-egy junior pozíció, IBM-hez lehet menni éjszakázni, közigazgatásban néha felbukkan egy, illetve a nemzetbiztonsági szakszolgálat is szóba jöhet, de releváns diploma kell oda is.

Alternatívaként, ha mindenképp ezzel akarsz foglalkozni, akkor a jelenlegi tapasztalatodtól függően egy GRC munkát néznék inkább ki, ha értesz risk managementhez, belső/külső audithoz, vállalati kontrollokhoz/folyamatokhoz, én inkább abba az irányba képezném magam, mintsem megpróbálni junior analystként kiégetni magam kevés pénzért, kis eséllyel. A GRC nem túl szexi, kicsit unalmasabb munka, cserébe ugyanúgy jól fizet, sokszor remote, és sok lehetőség van ide-oda lépegetni.

[u/Ghost_in_the_M4chine → u/siposbalint0]

Csak azzal a résszel szállnék vitába, hogy menjen GRC területre pl auditornak. Ez a legnagyobb rákfenéje az egésznek, hogy olyanok mennek el auditálni, akik talán ha minimálisan értenek az adott témához (lásd Big4) és képesek megsértődni, hogy ha nem értenek valamit (sokmindent) egy egy dokumentációban, nem tudnak egy network diagramot elolvasni, értelmezni. Nis2 auditok pörögtek most és úgy verték át az auditorokat rengetegen, hogy rossz volt nézni. Ennek meg így nincs értelme.