Как стать специалистом по кибербезопасности: SOC и Red Team

Три года назад я разбирал по 200 алертов за 12-часовую смену в SOC банка - девять из десяти оказывались false positive. Через 14 месяцев перешёл на L2 с ростом оклада на 40%, ещё через год попал в Purple Team-проект, где одновременно атаковал и защищал одну инфраструктуру. Ни один из этих переходов не потребовал профильного диплома. Потребовались разобранные инциденты в портфолио, домашний стенд со Splunk и способность на техническом интервью объяснить, почему PowerShell с Base64-кодированием (T1059.001, Execution по MITRE ATT&CK) заслуживает эскалации, а не молчаливого закрытия тикета. Ниже - дорожная карта для тех, кто хочет понять, как стать специалистом по кибербезопасности через SOC или Red Team: грейды, инструменты, вилки на российском рынке и план на шесть месяцев.

Blue team vs red team: какой путь в кибербезопасности выбрать​

«SOC или пентест?» - спрашивает каждый второй, кто приходит в ИБ. Два разных ритма работы, два разных порога входа. Разберёмся. Подробнее - в нашем обзоре карьера в кибербезопасности.


SOC-карьера подходит тем, кто хочет быстрый вход и предсказуемый рост. Red team roadmap - для готовых дольше учиться на старте ради автономной проектной работы.

Граница между blue team и red team размывается. Purple Team-проекты требуют людей, понимающих обе стороны. Начать с SOC и через два-три года перейти в offensive - нормальный путь. Я сам его прошёл.

SOC карьера: обязанности аналитика по грейдам​

SOC (Security Operations Center) делит аналитиков на три уровня - Tier 1, Tier 2 и Tier 3. Обязанности SOC аналитика зависят от грейда и зрелости конкретной команды.

Tier 1: мониторинг и триаж алертов​

L1-аналитик работает с потоком алертов из SIEM - Splunk, Microsoft Sentinel или MaxPatrol SIEM. Основная задача - отделить false positive от реальных инцидентов. В очереди за день проходят алерты на фишинговые вложения (Spearphishing Attachment, T1566.001, Initial Access), подозрительные запуски скриптов (T1059.001, Execution), аномальные аутентификации. L1 проверяет индикаторы компрометации через threat intelligence, документирует вердикт и эскалирует подтверждённые инциденты.

По данным HackerDNA, типичный день Tier 1: приём смены в 7:00, разбор очереди алертов до 11:00, одно углублённое расследование до обеда, обновление тикетов и передача смены. Выглядит рутинно - и это нормально. Именно рутина учит замечать аномалии. Когда ты закрыл 500 одинаковых тикетов, 501-й, который чуть отличается, бросается в глаза.

Tier 2: расследование инцидентов​

L2 получает эскалированные кейсы и строит таймлайн атаки. Корреляция событий из SIEM, EDR (CrowdStrike, Defender for Endpoint) и логов Active Directory. Задачи: маппинг действий атакующего на MITRE ATT&CK - обнаружение дампа LSASS Memory (T1003.001, Credential Access), латеральное перемещение через SMB (T1021.002, Lateral Movement), попытки очистки логов (T1070.001, Defense Evasion). На этом уровне аналитик уже не просто закрывает тикеты - он объясняет, что произошло и как предотвратить повтор.

Tier 3: threat hunting и detection engineering​

Senior-аналитик ищет угрозы, которые не сработали ни на одном правиле. Пишет detection rules, настраивает автоматизацию в SOAR, ведёт Purple Team-упражнения. По данным SANS SOC Survey (2026), SIEM - самый востребованный навык при найме аналитиков, с отрывом от EDR вдвое. Именно L3 определяет, какие правила попадут в SIEM и что увидит L1 на дашборде завтра утром. По сути, L3 программирует «зрение» всего SOC.

Red team: обязанности специалиста и с чего начать пентест​

Red team специалист обязанности сосредоточены на имитации реального противника. В отличие от стандартного пентеста, red team работает в условиях, максимально приближённых к боевым: активные средства защиты, ограниченные сроки, реальная инфраструктура заказчика.

Пентест с нуля в 2026 году - движение по конкретному стеку:

1. Сетевые основы - TCP/IP, DNS, HTTP/HTTPS, маршрутизация. Без этого не поймёшь ни результаты сканирования, ни поведение эксплоитов. Тут как с анатомией у хирурга - пока не знаешь, что где лежит, резать нельзя.
2. Linux и Windows - командная строка, процессы, разграничение прав. Kali Linux как рабочая среда.
3. Разведка и сканирование - nmap для обнаружения сервисов, Burp Suite для веб-приложений. По данным OWASP, Injection (A03:2021) и Security Misconfiguration (A05:2021) остаются среди самых критичных рисков.
4. Эксплуатация уязвимостей - Metasploit Framework для отработки типовых сценариев (Exploit Public-Facing Application, T1190, Initial Access). Начинать стоит с учебных машин, не с боевых систем. Серьёзно - не надо учиться на проде.
5. Post-exploitation - BloodHound для анализа путей атаки в Active Directory, закрепление и повышение привилегий.

Порог входа в red team выше, чем в SOC. Вакансии junior-пентестера на hh.ru обычно требуют: уверенное знание сетей, скриптинг на Python, знание OWASP Top 10 и опыт решения CTF-задач.

Обучение кибербезопасности для начинающих: roadmap на 6 месяцев​

План работает для обоих направлений - развилка наступает на четвёртом месяце.

Месяц 1-2: фундамент. Сети (TCP/IP, DNS, DHCP, модель OSI), операционные системы (Windows Event Logs, процессы, реестр; Linux - syslog, права, cron). Бесплатные треки: TryHackMe Networking Fundamentals, LetsDefend SOC Fundamentals.

Месяц 3: основы ИБ. Типы атак, OWASP Top 10, базовая криптография. Параллельно - материалы CompTIA Security+ как структурированный конспект тем. Готовиться к Security+ полезно, даже если экзамен сдавать не планируете: его объективы покрывают ровно то, что спросят на первом собеседовании.

Месяц 4: развилка.

• SOC-трек: домашний стенд - Splunk Free или Elastic SIEM, Windows VM с Sysmon для генерации логов, Wireshark для анализа трафика. Первый поисковый запрос: index=sysmon EventCode=1 ParentImage="[I]powershell[/I]" - так ищется запуск процессов от PowerShell в логах Sysmon. Когда увидите, сколько всего запускается от powershell.exe на обычной рабочей станции - поймёте, почему L1 тонет в алертах.
• Red Team-трек: Kali Linux, первые машины на HackTheBox или TryHackMe. Каждый writeup - в портфолио.

Месяц 5: MITRE ATT&CK и реагирование. Матрица ATT&CK: как атаки маппятся на тактики - Initial Access, Execution, Credential Access, Lateral Movement, Impact (T1486, Data Encrypted for Impact - сценарий шифровальщика). Для SOC - построение таймлайна инцидента от первого алерта до вердикта. Для Red Team - прохождение kill chain от разведки до закрепления.

Месяц 6: портфолио и подготовка к собеседованию. 3-5 оформленных кейсов: расследования алертов с таймлайном для SOC, writeup'ы решённых машин для Red Team. Публикация на GitHub или в блоге. По данным ISC2 Cybersecurity Workforce Study (2025), 95% команд отмечают дефицит конкретных навыков в составе - работодатели ищут компетенции, а не тёплое тело на штатную единицу.

Карьера в информационной безопасности 2026: вилки и требования вакансий​

По данным hh.ru (анализ открытых вакансий), зарплатный диапазон для аналитиков ИБ - от 40 000 до 300 000 рублей, для инженеров по информационной безопасности - от 30 000 до 450 000 рублей. Нижняя граница - junior-позиции в регионах, верхняя - senior-роли в Москве и крупных компаниях. Перед переговорами по офферу проверяйте три-пять актуальных вакансий по своему грейду и городу - цифры двигаются быстро.

Для международного контекста: по данным Бюро трудовой статистики США (BLS, май 2025), медианная зарплата information security analysts - $129 180 в год с прогнозируемым ростом 21% до 2035 года. Но по данным ISC2 (2025), 39% компаний одновременно замораживали найм. Работодатели ищут не сертификат на стене, а доказанную способность работать руками.

Что реально требуют вакансии SOC L1 на российском рынке: знание TCP/IP, опыт с хотя бы одним SIEM (Splunk, MaxPatrol, ELK), базовое понимание Windows и Linux, готовность к сменному графику. Для junior-пентестера - Python, OWASP Top 10, Burp Suite, решённые CTF. Soft skills в обоих случаях: внятная письменная речь (тикеты читает следующий аналитик, и если он не поймёт ваш вердикт - считайте, вы его не написали), умение приоритизировать под давлением и способность объяснять технические вещи нетехническим коллегам.

Сертификации ИБ и портфолио: что проверяют на техническом интервью​

На техническом интервью для SOC L1 дают фрагмент лога и просят определить - атака это или нет. Для пентестера описывают сценарий и ждут, что кандидат назовёт вектор. В обоих случаях важна не зубрёжка, а способность рассуждать вслух и строить цепочку от события к выводу. Я проводил десятки таких интервью и видел кандидатов с тремя сертификатами и нулём разобранных инцидентов. И видел людей без единого сертификата, которые получали оффер - потому что показывали GitHub с пятью расследованиями и парой Sigma-правил.

Рынок ИБ в России перенасыщен курсами, но не специалистами. Каждый второй онлайн-курс обещает карьеру, а выпускники приходят на собеседование и не могут отличить TCP от UDP. Проблема не в нехватке образовательных продуктов - проблема в нехватке практики.

В ближайшие два года главный сдвиг произойдёт не из-за AI-хайпа и не из-за квантовых вычислений, а из-за банального повышения требований к L1. AI-агенты уже забирают рутинный триаж алертов, и первый грейд в SOC будет всё больше напоминать то, что раньше было L2. Кто начинает roadmap сегодня, должен закладывать в план не только мониторинг дашбордов, а расследование и маппинг на ATT&CK с первого месяца. Если хотите не собирать фундамент по кускам из YouTube - на IB Basics учат не «что такое CIA-triad», а как делать первые задачи в SOC и blue team.