Ethical Hacking carrière

[Athylus]

Beste vrienden,

Ik ben onlangs afgestudeerd van mijn HBO studie. Een jaar geleden ongeveer had ik nog een thread gemaakt waarin ik advies heb gevraagd, waarbij ik kon kiezen uit twee stages. Een van die stages was het hacken van een autolaadpaal bij bedrijf A en de andere was het schrijven van een regelsysteem voor een boiler van een koffiemachine bij bedrijf B. Uiteindelijk heb ik met veel pijn in mijn hart voor de tweede gekozen, en dit bleek de goede keuze te zijn. De school waar ik aan studeer had wat problemen met bedrijf A en er zijn meerdere studenten geweest die niet succesvol zijn afgestudeerd daar.

Met vlag en wimpel ben ik geslaagd bij bedrijf B. Maar ik wil toch de security kant op, dat is gewoon waar mijn hart ligt. Als kind was ik al bezig met cheat engine en het exploiten van games zoals Maplestory, zwaarden en sandalen e.d. Mijn interesses liggen ook bij linux, C, C++, embedded, communicatieprotocollen en crypto. Het liefst wil ik meer leren hierover en uiteindelijk devices pentesten.

Nu is het mijn vraag of het verstandig is om eerst te ontwikkelen voordat ik ga hacken? Ik heb al gesolliciteerd bij EVBox als embedded engineer, dit doet mijn hart warm worden namelijk. Ook heb ik even zitten kijken bij security bedrijven zoals PwC en Secura. Ik zie dat ze bij secura junioren nodig hebben, en dan volg je een traject van een jaar. Maar hier krijg ik van alles, ook web hacking, mobile, e.d. Maar het liefst blijf ik bij bits & bytes.

Wat is jullie gedachte hierover? Eerst embedded ontwikkelen, dan pas security? Of gewoon meteen het koude water inspringen en beginnen bij een security bedrijf.

[Orangelights23]

Ethisch hacker hier. Ik zou je adviseren een basiskennis programmeren op te doen - misschien heb je dat al. Beste taal is Python, en dan verder naar Javascript, HTML, etc. Er zijn veel organisaties waar je aan de slag kunt zonder specifieke 'hack ervaring'. Die bieden dan een traject aan van een jaar of twee en daarna kan je eigenlijk wel zelfstandig aan de slag zoals je al aangeeft. Vaak kan je wel een voorkeur uitspreken, maar je zult uiteindelijk met alles soorten pentests meelopen. Ook het beste voor jou, je hebt dan eerst een brede kennis en vanuit daar kun je jezelf specialiseren.

Heb je kali linux al draaien? Dat zou je alvast kunnen doen mocht dat niet het geval zijn en je vanuit daar verdiepen in de 'bits & bytes'.

[Douweegbertje]

Orangelights23 schreef op woensdag 2 september 2020 @ 17:34:
Ethisch hacker hier. Ik zou je adviseren een basiskennis programmeren op te doen - misschien heb je dat al. Beste taal is Python, en dan verder naar Javascript, HTML, etc. Er zijn veel organisaties waar je aan de slag kunt zonder specifieke 'hack ervaring'. Die bieden dan een traject aan van een jaar of twee en daarna kan je eigenlijk wel zelfstandig aan de slag zoals je al aangeeft. Vaak kan je wel een voorkeur uitspreken, maar je zult uiteindelijk met alles soorten pentests meelopen. Ook het beste voor jou, je hebt dan eerst een brede kennis en vanuit daar kun je jezelf specialiseren.

Heb je kali linux al draaien? Dat zou je alvast kunnen doen mocht dat niet het geval zijn en je vanuit daar verdiepen in de 'bits & bytes'.

Ik heb totaal een andere mening gezien het geen wat TS aangeeft.

Sowieso om te beginnen; beste taal? Er is geen beste taal. En met wat TS aangeeft is Python al helemaal niet de beste taal (embedded ontwikkelen..) . Gewoon blijven bij C, C++ is helemaal prima. Zeker om ooit te gaan spelen met de hooks/detours etc.

Mijn ervaring is dat de grotere partijen toch niet zo heel tof zijn. Nogmaals dat is echt mijn mening en jij kan dat anders vinden. Echter ben ik van mening dat kleinere bedrijfjes soms wat leukere dingen oppakken en dieper met security bezig zijn dan bijv een Secura die toch wel echt de "enterprise" kant op gaat.

De vraag is of je de ruimte krijgt om jezelf te ontwikkelen en te specialiseren of dat je standaard tests kan gaan uitvoeren terwijl je in een pak loopt en daarbij 90% van de tijd papierwerk zit te schrijven. Natuurlijk super zwart-wit uitgeschreven maar er zijn ook partijen die eigenlijk 90% van de tijd zitten te 'nerden'

Check bijv eens bedrijven als https://zolder.io/ & https://radicallyopensecurity.com/

Nu is het mijn vraag of het verstandig is om eerst te ontwikkelen voordat ik ga hacken

Hangt erg van je richting af en hoe goed je bent
Ik ben oprecht van mening dat als jij in 4-5 jaar tijd je tot een erg goede ontwikkelaar kan ontwikkelen, je erg grote stappen kan maken in de security wereld met die kennis.

Ik kan ook niet je niveau inschatten maar wat ik zo een beetje lees zou ik een junior security functie misplaats vinden. Ik denk namelijk met de juiste keuzes, eigen inzet, etc. dat je die stap gewoon kan overslaan en binnen korte tijd een vettere functie kan verdienen. Mits uiteraard je ook een beetje kan netwerken en de juiste mensen kent.

[Athylus]

Ik heb ondertussen 2 jaar ervaring met Python en begrijp de taal redelijk goed, maar weet tegelijkertijd dat ik nog veel te leren heb in de diepte. Met een beetje Google en eigen ervaring kan ik veel voor elkaar krijgen, zeker nuttig.

Die trajecten waar @Orangelights23 het over heeft heb ik wel eens gezien. Bij Secura bijvoorbeeld, maar goed.. dan moet ik dus web/mobile stuff leren terwijl ik gwn richting firmware/hardware en reversing wil gaan. Printplaten, SPI, UART, pirate bus, ARM, etc.

Wat zijn hooks/detours? Hooks heb ik wel eens van gehoord, maar binnen het de bot wereld van gamen. En idd wat jij zegt @Douweegbertje, dat je met 4-5 jaar ervaring in ontwikkelen dat je ook een eind komt. Als je embedded devices wilt pentesten, dan moet je wel weten hoe je ze maakt. Je kan ook geen slot kraken zonder te begrijpen hoe het werkt, niet waar?

Mijn ervaring is net afgestudeerd aan HBO Technische Informatica. Twee zeer succesvolle stages afgerond, allebei Python OOP. Blijven werken bij de eerste stage een jaar lang als bijbaan. Daarnaast veel thuis projecten. Dus ja, net geen beginner meer.. maar zeker geen medior. Begin wel 'laat' met de instap op 26 jarige leeftijd (naar mijn idee at least..).

Een wat kleinere club die ik ken is QBit in Haarlem. Vroeger zat hier in de buurt (Alkmaar) ook Dearbytes, maar hoort nu bij KPN geloof ik.

Morgen een sollicitatie sturen naar een embedded club in Alkmaar, maken best toffe apparaten. Alle technieken waar ik kennis van zou moeten hebben voordat ik die devices ga hacken.

De vraag is of je de ruimte krijgt om jezelf te ontwikkelen en te specialiseren of dat je standaard tests kan gaan uitvoeren terwijl je in een pak loopt en daarbij 90% van de tijd papierwerk zit te schrijven. Natuurlijk super zwart-wit uitgeschreven maar er zijn ook partijen die eigenlijk 90% van de tijd zitten te 'nerden'

Het liefst het tweede!

[ Voor 3% gewijzigd door Athylus op 02-09-2020 20:38 ]

[Rukapul]

Bedenk ook dat heel veel pentest werk in de basis zeer repetitief werk betreft. De reden is simpel: uitgebreid creatief testen kost relatief veel zonder dat veel opdrachtgevers daar veel waarde aan ontlenen.

Als (security) software engineer zal in de basis de kans groter zijn voor gevarieerd werk.

Idem voor groei en carrière.

Maar dat gaat om gemiddelden. Afhankelijk van de eigen capaciteiten en persoonlijkheid en de specifieke werkgever is bij beide paden veel te bereiken uiteraard.

Ik zou dus eens doordenken waar je over een paar jaar wilt staan en hoe je daar denkt te komen.

Denk daarbij aan of je een scheppend of beschouwend beroep wilt, consultancy vs in-house, etc.

[Orangelights23]

Athylus schreef op woensdag 2 september 2020 @ 20:37:

Die trajecten waar @Orangelights23 het over heeft heb ik wel eens gezien. Bij Secura bijvoorbeeld, maar goed.. dan moet ik dus web/mobile stuff leren terwijl ik gwn richting firmware/hardware en reversing wil gaan. Printplaten, SPI, UART, pirate bus, ARM, etc.

Er zijn meer bedrijven dan Secura Genoeg organisaties waar je kunt aangeven waar je je op wilt focussen. Alleen wat ik aangaf, is het misschien best verstandig om eerst wat breder te beginnen. Met name om inzicht te krijgen in alle relaties en correlaties in apparatuur, netwerken, etc. Zo heb ik infra pentests gehad, waar ik - zonder details te mogen delen - uiteindelijk via een bluetooth device op het netwerk kon komen. En een collega die juist weer focust op de bits & bytes, zoals je het noemt, die juist weer via een device op een netwerk kon komen, etc. Kortom, brede focus en dan verdiepen, dat kan al prima na een paar maanden.

[DiedX]

Ik heb een tijdje rondgelopen bij Riscure. Die doen volgens mij wat je wilt

[Athylus]

Repetitief werk is ook niet leuk, dat wilt niemand.. zeker in IT niet waar het gewoon niet hoeft.

Ik houd gewoon meer van de microcontrollers, linux, C(++), IOT e.d. Gebaseerd op wat ik tot nu heb gezien.

Hoe dan ook, het lijkt mij beter om eerst in-house te gaan en daarna pas consultancy. Lijkt me erg vreemd om te beschouwen voordat je iets hebt leren creëeren. Ook lijkt het mij makkelijker om van software engineering de overstap te maken naar het hacken hiervan, i.p.v. andersom.

Waar zie ik mezelf uiteindelijk? Het lijkt me geweldig om uiteindelijk te kunnen freelancen als consultant. Op een gegeven moment ben ik ook uitgekeken op creëeren en de hele dag achter een scherm zitten.

[BrtH]

@Athylus Als je graven in embedded dingen leuk lijkt kan je ook het Nederlands Forensisch Instituut eens overwegen. Ik sprak ze twee jaar geleden op een carrièrebeurs, en toen waren ze hard op zoek naar embedded systems of elektrotechniek mensen, denk bijvoorbeeld aan het on-board uitlezen van het geheugen van een telefoon die als bewijs ingenomen is. Misschien meer reverse engineering dan ethisch hacken.