HBO Cyber Security - vragen

[erwin26]

Mijn vraag:

Momenteel ben ik druk bezig om te kijken wat ik verder wil gaan doen met mijn carrière op ICT gebied. Ik twijfel tussen ZZP-er worden en HBO volgen of een nieuwe werkgever zoeken en dan HBO volgen. Nu ben ik druk aan het rond kijken wat voor HBO opleiding ik dan wil volgen en kijkend naar de opties om niet 4 jaar lang aan studie te zitten, maar in korte traject of juist een langere traject. Het maakt me niet uit hoe snel of hoe lang ik er over doe, als ik het maar met privé kan koppelen en HBO haal.

Nu viel mijn oog op Cyber Security (HBO) opleiding en lijkt ethical hacker een beroep wat ik later wil worden. Alleen vraag ik mij het volgende af:

- Is het makkelijk om een switch te maken van systeembeheerder naar Cyber Security (ethical hacker)? (via HBO opleiding natuurlijk).
- Is het een probleem als je weinig tot geen kennis hebt met de programmeertalen? Powershell ken ik wel, maar PHP, Pyhton etc. niet echt. Niet echt nodig gehad als systeembeheerder.
- Worden de programmeertalen echt massief gebruikt in deze functie? Bijvoorbeeld als een ontwikkelaar?
- Heeft er iemand tips voor online course voor Pyhton/PHP met de focus op Cyber Security die gratis zijn die ook wel goed aansluiten erop? Om alvast beetje voor te bereiden en te kijken of het echt bij mij kan passen? (Ik heb nog geen Google search gedaan hiervoor, dus don't shoot me )

Kleine achtergrond over mij:

- 10+- jaar aan systeembeheerder ervaring. Begonnen op 1e lijn tot teamlead/architect voor Microsoft Cloud omgevingen. Altijd passie gehad voor beveiliging van de omgevingen.
- MBO+ niveau 4 systeembeheerder als opleiding gedaan.
- Regio Vlaanderen (wil en werk in Nederland, regio Noord-Brabant).
- Redelijk wat certificaten behaald, vooral certificaten voor Microsoft Cloud omgevingen (AZ-500, SC-100, AZ-305 etc.)

Uiteraard wil ik ook nog een gesprek voeren met een loopbaanbegeleider Zoals je kan merken ben ik vooral nog zoekende wat ik nu verder wil op werkgebied. Ik wil denk niet tot mijn pensioen "systeembeheerder" blijven en mijn kennis verbreden via HBO opleiding en daarmee hopelijk een andere/nieuwe functie tegemoet gaan.

[mannowlahn]

Gezie je ervaring zou ik hbo skippen en op zoek te gaan naar een werkgever waar je in dit vwo gebied aan de gang kan gaan. Freelance gaat je pas lukken als je een Flickr trackrecord op je naam hebt staan. HBO gaat je minder brengen dan bv 3/4 jaar meteen op de inhoud aan het werk te gaan. Je zal dan wel weer even wat tredes terug moeten doen.

[Boerenlater]

en lijkt ethical hacker een beroep wat ik later wil worden.

Waarom lijkt je dit wat?

[Furion2000]

Ik ga mee in het verhaal van @mannowlahn en wil daar aan toevoegen dat je dan ook sneller weet dat het wat voor je is en wat er voor nodig is om goed te worden.

De enige goede club die ik ken is https://www.certifiedsecure.com/frontpage waar je via de community ook veel kunt lezen/leren. Trainingen die ik daar gevolgd hebt als dev waren super leerzaam.

Ik zou het persoonlijk anders gaan aanpakken in jouw situatie. Ik zou ethical hackers gaan opzoeken en een via een gesprek onderzoeken wat er dus 'echt' voor nodig is om daarin te beginnen vanuit jouw situatie. Dan kom je achter dingen als ik ga 1000 euro netto erop achteruit en heb ervaring nodig in x,y,z en een HBO is in zoverre waardevol. Daarnaast kom je er beter achter hoe een dag van een ethical hacker eruit ziet en of dit je gaat brengen wat je zoekt. Wat ik nu lees lijkt erop dat je je dalijk op basis van 1 goede reactie gaat storten op een HBO en een paar online cursussen er 100+ uur en xxxxx euro in propt en dan denkt 'oh shit'

[erwin26]

mannowlahn schreef op maandag 17 juni 2024 @ 12:19:
Gezie je ervaring zou ik hbo skippen en op zoek te gaan naar een werkgever waar je in dit vwo gebied aan de gang kan gaan. Freelance gaat je pas lukken als je een Flickr trackrecord op je naam hebt staan. HBO gaat je minder brengen dan bv 3/4 jaar meteen op de inhoud aan het werk te gaan. Je zal dan wel weer even wat tredes terug moeten doen.

Zal VWO beter zijn op dit gebied? Is dit gelijk aan HBO als je solliciteert bij een bedrijf? Probleem is nu dat ik ook vaak te horen krijg, je hebt geen HBO sorry (voor systeembeheerder functies). Ik wil natuurlijk niet 6 jaar studeren en alsnog te horen krijgen dat ik geen HBO heb en meteen afval.

Boerenlater schreef op maandag 17 juni 2024 @ 12:19:
[...]
Waarom lijkt je dit wat?

Al vanaf kind heb ik interesse in de ICT wereld. Het begon altijd van hoe werkt de computer, waarom start het op? Zo ben ik via school naar systeembeheerder opleiding gerold en tijdens de opleiding/werk altijd benieuwd hoe nu iemand binnen kan komen in het systeem en waarom. Ook ben ik iemand die graag kijkt hoe we ervoor kunnen zorgen dat niemand binnenkomt. Het geeft me energie om de beveilig optimaal te maken van de ICT omgeving van de klant. En hoe kun je dit het beste doen als je onderzoekt hoe je binnen kan komen. Dat trekt mij dus erg aan.

[erwin26]

Furion2000 schreef op maandag 17 juni 2024 @ 12:30:
Ik ga mee in het verhaal van @mannowlahn en wil daar aan toevoegen dat je dan ook sneller weet dat het wat voor je is en wat er voor nodig is om goed te worden.

De enige goede club die ik ken is https://www.certifiedsecure.com/frontpage waar je via de community ook veel kunt lezen/leren. Trainingen die ik daar gevolgd hebt als dev waren super leerzaam.

Ik zou het persoonlijk anders gaan aanpakken in jouw situatie. Ik zou ethical hackers gaan opzoeken en een via een gesprek onderzoeken wat er dus 'echt' voor nodig is om daarin te beginnen vanuit jouw situatie. Dan kom je achter dingen als ik ga 1000 euro netto erop achteruit en heb ervaring nodig in x,y,z en een HBO is in zoverre waardevol. Daarnaast kom je er beter achter hoe een dag van een ethical hacker eruit ziet en of dit je gaat brengen wat je zoekt. Wat ik nu lees lijkt erop dat je je dalijk op basis van 1 goede reactie gaat storten op een HBO en een paar online cursussen er 100+ uur en xxxxx euro in propt en dan denkt 'oh shit'

Thanks voor de link.

Een ethical hacker opzoeken en daar wat vragen aanstellen is een heel goede tip. Gelijk bij de bron zijn geeft natuurlijk meeste informatie op alle vlakken.

Ik wil voorkomen dat ik inderdaad ga denken oh shit, had ik toch maar een andere opleiding gedaan. Ben nog erg zoekende wat ik nu precies wil, vandaar ook deze post om wat meer inzicht te krijgen .

[Morphogenesis]

Als je hacker wil worden zijn er best wel bedrijven in NL waar je aan de slag kunt zonder relevante diploma's. Als je niet de nodige offensieve mindset en ervaring hebt, zul je mogelijk een aanbod krijgen die (ver) onder marktconform is, dus aan jou te bepalen hoe graag je dat wil.

Verder, zorg dat je ècht veel snapt over een bepaald onderwerp. Dat hoeft niet in een hackers of security context te zijn, maar een shitload aan kennis hebben over een bepaald product helpt ook met specialiseren en jouw aantrekkelijkheid voor een werkgever om je aan te nemen.

Verder; als ik zinnen lees als: "Ook ben ik iemand die graag kijkt hoe we ervoor kunnen zorgen dat niemand binnenkomt. Het geeft me energie om de beveilig optimaal te maken van de ICT omgeving van de klant. En hoe kun je dit het beste doen als je onderzoekt hoe je binnen kan komen." dan denk ik dat detection engineering misschien meer wat voor je is.

Als hacker was ik nooit bezig met hacken om te bedenken hoe iets beveiligd kon worden. Ik hackte om te slopen en het rapporteren en bedenken hoe dat voorkomen kon worden voelde meer aan als prerequisite om dit werk professioneel te kunnen blijven doen. Maar iedereen kan weer anders zijn.

Edit:
Mijn hoogst genoten opleiding is MBO en heb jaren terug een stap gemaakt van systeembeheerder naar hacker. Als je één programmeertaal goed beheerst, moet het inrollen in andere soortgelijke talen geen issue zijn (van powershell naar python bijvoorbeeld).

Als ik drie tips zou geven:

• Wat ik hierboven zeg; het veld is bezaaid met middelmatigheid en mensen die tooltjes aftrappen maar niet snappen wat er gebeurt of waarom. Kies een richting (AD, web applicaties, Oauth, etc, etc) Snap de essentie, snap de techniek, protocollen erachter en lees de RFCs. Stand out in the crowd.
• Een offensieve mindset duurt lang om aan te leren. Dit is geen mindset waarbij je affiniteit met IT hebt of snapt hoe aanvallen werken. Dit is een mindset waarbij overal je eerste gedachte is: dit kan kapot. Dat staat haaks op bijna elk ander beroep in de IT wereld. Probeer eens in het dagelijks leven die hackerspet op te zetten en te bedneken; hoe zou ik dit slopen?
• Probeer wat hackingchallenges op hackthebox of certifiedsecure.com. Hiermee kan je vrij snel zien of het werkveld je leuk lijkt.

Als je tijd en geld wil investeren kan je ook kijken naar certificeringen als OSCP. Die zijn best lastig en heel gewild bij werkgevers. Maakt het sollicitatieproces ook een stuk makkelijker.

Succes

[ Voor 36% gewijzigd door Morphogenesis op 17-06-2024 13:35 ]

[sh4d0wman]

Met @Morphogenesis , als je nu al 10 jaar werkt en niks gesloopt hebt moet je nog erg veel leren. Het kan wel, en je achtergrond helpt voor infra testen, maar of het financieel aantrekkelijk is weet ik niet.

Zelf begon ik op school/met vrienden. Verstoppen van tooltjes voor de sysadmin/AV, bij elkaar trojans installeren, proberen sysadmin account te verkrijgen, etc. Tegenwoordig loop je meer risico op vervolging maar kun je bugbounties proberen en CTFs. Dan merk je wel of het iets is.

Je kunt je ook (meer) op blauw/purple richten en doorgroeien naar CISO / SOC Manager etc.

Edit: ik zag net zijn edit en het klopt wel. Loop ik langs een gebouw dan kijk ik vaak even hoe de cameras hangen. Vaak genoeg zijn er blindspots. Zelfde voor nieuwe software, wat zijn mogelijke zwakke plekken?

[ Voor 15% gewijzigd door sh4d0wman op 17-06-2024 13:43 ]

[RetroHead]

Ik zit in hetzelfde schuitje als systeembeheerder (met minder ervaring)

Ik heb al wat onderzoek gedaan en zou juist op zoek gaan naar een baan als Security Officer bij een zorginstelling/overheidsinstelling en daar je werkervaring opbouwen binnen security en direct een betaald certificaat gaan halen in cybersecurity.

Denk dan aan ISC² CISSP in plaats van HBO, dit is een beetje het entry-level must have certificaat om als security officer of CISO aan de slag te gaan. Daarnaast heb je binnen cybersecurity natuurlijk ook heel veel richtingen en kun je je in zowel red team als blue team orienteren, uitvoerend/engineer/pentester of juist met policy bezig zijn (security officer, auditor) of managementniveau (ciso).
Na de CISSP kun je doorgaan in allerlei richtingen en jezelf gericht specialiseren.

[Boerenjongen]

Hier een mede tweaker (+/-5 jaar ervaring als sysbeheerder) die zelf net het eerste jaar heeft afgerond van een HBO opleiding Cybersecurity & Cloud. Zelf ook de keuze gemaakt vorig jaar om de opleiding te doen met het oog op de toekomst waarin ik niet als systeembeheerder wil blijven werken. Omdat ik nog niet goed wist welke specifiieke kant ik op zou willen toch de stap gezet om de opleiding te doen.

Mocht je gaan kijken naar een duaal opleiding (opleiding volgen en daarbij je opdrachten onder werktijd op je werkplek uitvoeren i.c.m. een 24/32 urige werkweek) bij bijvoorbeeld Hogeschool Utrecht dan zou ik je afraden om deze opleiding te doen als je echt specifiek richting Ethical Hacking wilt studeren. Mogelijk spreek ik niet alleen voor de opleiding op de HU maar ook voor andere hogescholen.

Binnen de duaal opleiding op de HU leer je meer op HBO ICT niveau dan het daadwerkelijke cybersecurity & cloud deel. De eerste 2 jaren ben je voornamelijk bezig met allround kennis van Windows/Linux & networking opdoen. Vanaf het 3e jaar ga je de diepte in bij sommige vakken maar dit zijn dan maar periodes van 6-8 weken waarin je hiermee aan de slag gaat.

Kortom, met jouw werkervaring zijn de eerste twee jaar waarschijnlijk herhalen van kennis die je al hebt en gooi je vooral veel tijd weg met het volgen van de "verplichte" lessen. Zoals anderen ook adviseren kan je dan wellicht beter een gerichte cursus/training gaan volgen om daadwerkelijk te leren op het gebied van ethical hacking.

[erwin26]

Leuk om te lezen dat er mede collega's zijn die al in de cyber security zitten en de switch hebben gemaakt van systeembeheerder naar deze richting.

Ik had het zelfde idee als @boerenjongen volgens mij. Alleen weet ik niet 100% zeker of ik Ethical Hacking wil gaan doen of dat ik iets anders in Cyber security wil. Alleen als ik zo naar de HBO opleiding keek en de richtingen die je daarmee op kan, trok Ethical Hacking mij het meest. Ook heeft dit mij al heel mijn (ICT) leven mijn aandacht gehad van interesse. Vanaf MBO naar HBO is er nooit van gekomen, omdat de scholen (vanaf basis eigenlijk al) elke keer zeiden met jouw komt niks terecht (kort door de bocht). Toen niet echt de motivatie gehad om HBO te gaan doen of überhaupt naar te kijken. (Nu spijt van). Als ik wel HBO had gedaan was het sowieso richting de security kant opgegaan van ICT .

Met het slopen ben ik wel wat minder in, maar "slopen" heb ik wel gedaan tijdens mijn MBO opleiding. Ik vond het alleen meer kattenkwaad dan de term slopen. Nu in mijn vak ben ik daarmee niet bezig, want als Admin kan je er al bij en kan je het eigenlijk al slopen. Alleen kost het wel je baan dan. Vanuit daar ook niet direct het idee, ik moet slopen. Wel ben ik paar jaar geleden lange tijd bezig geweest met Kali Linux en daar tutorials van gevolgd hoe werkt dit nu allemaal etc. Zelf vind ik dat meer gericht als scriptkiddy en nog niet echt richting hacker termen gaan, maar interesse moet ergens beginnen, vind ik

Zoals er al is aangegeven een hacker mindset is nodig. Ik weet niet of ik dat echt heb, maar het voorbeeld herken ik me wel in van de camera's. Waar zouden de blind spots zitten en wat kan je ermee? Verder dan dat kom ik niet bij camera's, dan denk ik weer ben niet van plan om hier misbruik van te maken. Als het je baan is, dan is het natuurlijk anders. Alleen zulke zaken denk ik wel over na, ook tijdens mijn werk. Het blijft voor nu alleen bij denken en niet uitvoeren. Ik denk altijd zo, hoe kan ik iets beveiligen als ik niet weet hoe ik erin kan komen?

Ook erg fijn voor de goede tips voor certificaten of websites waar je even hack challenges kan doen. Ik ga me denk daar eerst in verdiepen en kijken of ik een certificaat kan halen en daarna misschien nog HBO doen.

HBO staat misschien ook helemaal los van het opleiding, maar meer een idee/presentatie voor me zelf. Van kijk ik heb toch HBO gehaald . Alleen als ik HBO ga doen, dan natuurlijk wel gericht op iets wat mij echt leuk lijkt.

[Orangelights23]

RetroHead schreef op maandag 17 juni 2024 @ 13:48:
Denk dan aan ISC² CISSP in plaats van HBO, dit is een beetje het entry-level must have certificaat om als security officer of CISO aan de slag te gaan.

Een entry-level certificaat heb je niet nodig voor een C-level functie Zou wat zijn: een CEO die een basiscertificaat strategisch denken heeft, of een CMO met een certificaat LinkedIn. Of nog beter, geen CFO kunnen worden omdat je geen Basiskennis Boekhouden certificaatje hebt

On-topic: Dit is een typisch vakgebied waar je (bewezen en gedocumenteerde) kennis voor moet hebben. Certificaten zijn leuk, maar de beste hackers die ik ken hebben 0 certificaten, maar wel een hoog profiel hebben op HackerOne, bijvoorbeeld. Zorg dat je bekend bent met tools, infra, business logica, maak kennis met ethisch hackers.

In mijn vorige CISO functie maakten we in het begin vaak gebruik van een paar consultancy firma’s waar ze een paar Nessus scans afvuren en vervolgens klaar zijn. 1 van de eerste dingen die ik gewijzigd heb is de vereiste om handmatig te testen. Daar is veel vraag naar: zo snel mogelijk de domain controller handmatig bereiken en deze hele chain aan vulnerabilities inzichtelijk maken, in plaats van losse kwetsbaarheden vinden met een scan.