20 yıldır (profesyonel olarak 15 yıl) yönetici oldum, çoğunlukla Unix, Windows'un gerektiği gibi bir çizgi ile. Başından beri, paranoyak yöneticiyi oynama eğilimindeydim, çoğunlukla pratik ve öğretici olduğu için, dünyanın diğer tarafındaki bilgisayar korsanlarının sunucularımı hedeflediğine inanmadığım için değil. ;-) Güvenlik gerçekten de fiili sysadmin gereksinimidir, günlük olarak uygulanabilir.
"Güvenlik Uzmanı" nın resmi rozetini giymek isteyip istemediğinizi ve kalem testi, PCI uygunluk denetimi, olay yanıtı (adli tıp vb.) kariyer seçeneklerinizi genişletmenize ve yüksek profilli sistemleri sizin sorumluluğunuzda savunmanıza yardımcı olacak krediler.
"Resmi" kategoride tanıdığım birkaç akran arasından, CISSP sertifikası ilk mücadele ettikleri ve onlardan dolayı iyi işlere devam ettiler (elbette, sizin gibi 10 yıldan fazla süren bir deneyime sahiplerdi, yedeklemek için). Resmi eğitim materyallerine ve kurslarına ek olarak, materyali kavradığınızı değerlendirmek için çevrimiçi olarak tonlarca materyal var.
Kavramlar herhangi bir platformda öğrenilip uygulanabilse de, kişisel olarak Unix'i öneririm, çünkü her şeye bu kadar düşük seviyeli erişim elde edersiniz, ayrıca bu bilgilere uzak kabuk yoluyla kolayca erişebilmenin yararı: canlı tcpdump oturumlarını izleme, syslog girişler, web sunucusu günlükleri, snort dökümleri, canlı sistem belleğini boşaltma, çalışan bir sistemin iç kısımlarına bakmak ve alay etmek için bir milyon açık kaynak aracına.
Unix'in bu tür şeyleri öğrenmek için ideal bir platform olması nedeniyle, öğrenmenin harika bir yolunun kendini atasözü kurtlara atmak olduğunu kolayca takip eder. Kendinize giriş düzeyinde bir Linux veya FreeBSD VPS, gerçek bir sanallaştırılmış VPS (Xen gibi) tüm "donanım" ve yönetici erişimine sahip olun ve canlı, açık bir internet ortamında gerçek anlaşmayı simüle etmeniz gerekir.
Kendinizi canlı, çalışan bir sistemle kurun. Çalışan bir SMTP sunucusu edinin ve spam botlarını izleyin ve kötü amaçlı yazılım arayın. Bir web sunucusu kurun ve komut dosyalarının web ve DB günlüklerinizde SQL enjeksiyon saldırılarını denemelerini izleyin. SSH günlüklerinizi kaba kuvvet saldırılarına karşı izleyin. Ortak bir blog motoru kurun ve spam botları ve saldırılarıyla savaşın. Hizmetleri birbirinden bölümlemek için çeşitli sanallaştırma teknolojilerini nasıl dağıtacağınızı öğrenin. ACL, MAC ve sistem düzeyinde denetimin ekstra çalışma ve standart sistem izinleri üzerinde uğraşmaya değip değmeyeceğini ilk elden öğrenin.
Seçtiğiniz işletim sistemi ve yazılım platformunun güvenlik listelerine abone olun. Gelen kutunuza bir danışma geldiğinde, nasıl çalıştığını anlayana kadar saldırıyı okuyun. Etkilenen sistemleri elbette yamalayın. Günlüklerinizde böyle bir saldırının denendiğini ve başarılı olup olmadığını gösteren herhangi bir işaret olup olmadığını kontrol edin. Beğendiğiniz bir güvenlik blogu veya listesi bulun ve günlük veya haftalık (hangisi geçerliyse) takip edin, jargonu alın ve anlamadığınız şeyleri okuyun.
Kendi sistemlerinizi kırmaya çalışırken kendi sistemlerinize saldırmak ve denetlemek için araçlar kullanın. Bu size saldırının her iki tarafından da bakış açısı kazandırır. DEFCON gibi köklü konferanslardan bildiriler ve sunumlar okuyarak "siyah şapka" zihniyetinin üstünlüğünü yakalayın. Sadece son on yıldaki arşivler hala geçerli olan bir hazine bilgisidir.
Verilen sertifikalarım yok, ne de "güvenlik uzmanı" hizmetler için faturalandırıyorum. Kendimi daha iyi bir yönetici yapmak için bu şeylere ayak uydurmayı günlük rutinimin bir parçası yapıyorum. Hedeflerinizin hedeflerinin istenip istenmediği veya gerekip gerekmediği, onlara sahip olan birine daha iyi bırakılır. Bununla birlikte, ağır bir uygulamalı yaklaşımın bu şeyleri öğrenmenin en iyi yolu olduğuna inanıyorum ve umarım bazı önerilerim düşünce için yiyecek sağlar.