Około 50. dnia poczułam ogromne zmęczenie. Dokładnie tak samo jak rok temu. W te wakacje po raz drugi podeszłam do wyzwania: przynajmniej 62 dni codziennej nauki cybersecurity. I po raz drugi go nie dowiozłam.
Podejście pierwsze, czyli chaos w szukaniu wiedzy
Rok temu moja wiedza o cyber była nieporównywalnie mniejsza niż dziś. Podchodząc spontanicznie do wyzwania, nie do końca wiedziałam, z jakich źródeł skorzystać, by zdobyć maksymalnie dużo wiedzy w ograniczonym czasie. Czy spróbować laboratoriów od PortSwigger? Może słuchać nagrań z NTHW? Czasem wpadł jakiś ciekawy webinar, innym razem moje oko zawieszało się na super krótkim kursie na interesujący mnie temat...
Trochę nie wiedząc, od czego zacząć, próbowałam wszystkiego po trochu. To zaś zaowocowało rosnącym poczuciem zagubienia. W końcu cyberbezpieczeństwo to ogromna dziedzina, w której po pierwsze łatwo stracić orientację, widząc ogrom tematów do opanowania, a po drugie łatwo dać się uwieść różnej jakości kursom, które wydają się oferować solidną wiedzę, ale nawet jeśli faktycznie ją oferują, nie pozwalają nowicjuszowi osadzić jej w szerszym kontekście.
Tamto wyzwanie pokazało mi kilka istotnych rzeczy w nauce cyberbezpieczeństwa. I przyszedł czas by się nimi podzielić.
Lekcja 1: warto opanować podstawy, zanim ruszy się dalej
Gdybym rok temu poświęciła czas na opanowanie podstawowych tematów ważnych w cybersecurity, czy to w ramach Hack The Box Academy, czy TryHackMe, byłoby mi o wiele łatwiej odnaleźć się w mnogości nagrań i kursów dostępnych na rynku. I nie chodzi mi wyłącznie o ogólną teorię pt. jakie dziedziny obejmuje cyberbezpieczeństwo, lecz przede wszystkim o praktykę: podstawy systemów operacyjnych i ich konsoli, podstawy sieci, obsługę narzędzi wykorzystywanych przy pentestach itd.
Wypracowanie ogólnego pojęcia, co w cybertrawie piszczy, pozwala na lepsze dobranie dalszych narzędzi do rozwoju - niezależnie od tego, czy będą to maszynki do hackowania, webinary, kursy, czy certyfikacje.
Lekcja 2: w grupie jest (zazwyczaj) raźniej
Nieważne, czy dzieli się postępami w social mediach, czy umawia się ze znajomymi na to, że w najbliższym czasie każde z nas będzie codziennie poświęcać nieco czasu na rozwój. Powiedzenie komuś o swoim celu zazwyczaj sprawia, że zaczynamy patrzeć na jego osiągnięcie nieco poważniej.
Oczywiście życie lubi zaskoczyć i nie zawsze będziemy w stanie spełnić nasze obietnice, jednak sama świadomość, że ktoś może zapytać "jak nam idzie", potrafi już zmienić nasze nastawienie do celu. Nie mówiąc o tym, że wspólne dzielenie się małymi sukcesami i wzajemne wspieranie się w trudniejszych chwilach pozwala dalej zajść.
Lekcja 3: dobrze jest zawrzeć kontrakt ze sobą
Deklaracja wobec innych ma swój ciężar, ale nie zastępuje decyzji podjętej wobec siebie. Na tym złapałam się nie raz od zeszłorocznego wyzwania. Wiele moich pomysłów, od poprzedniego wyzwania zaczynając, poprzez chęć podejścia do BSCP, rozbiło się o niedookreślenie celu, który sobie stawiam.
Na ten brak szczegółów wpływać może wiele rzeczy - u mnie największym czynnikiem były inne priorytety życiowe związane z wychodzeniem z wcześniejszych kryzysów. Dopiero patrząc z perspektywy czasu widzę, że otwarcie deklarowałam chęć podejścia do BSCP, podejmowałam kroki, mające na celu naukę do tego certyfikatu, a jednocześnie nie miałam przestrzeni by przyznać się przed sobą, że mam na tapecie inne, ważniejsze cele i że tak naprawdę to nimi się zajmuję. Ten sam problem, choć już w nieco innej odsłonie, pojawił się w tegorocznym wyzwaniu (zobacz: Lekcja 4).
Mądrzejsza o to doświadczenie teraz widzę, że zanim po raz kolejny podejdę do większego tematu - czy to wyzwania 100 dni, czy nauki do certyfikatu - warto poświęcić nieco czasu na to, by zastanowić się, co na dany moment jest dla mnie priorytetem. Jeśli, korzystając np. z techniki SMART, stwierdzę, że mam przestrzeń na podjęcie działań na rzecz danego celu, to - by umocnić się w decyzji - warto podpisać ze sobą kontrakt.
Kontrakt ze sobą to coś innego niż niezobowiązujące stwierdzenie "chciałabym zrobić to i tamto". To drugie daje wciąż furtkę do wyjścia, to pierwsze oznacza chęć podjęcia konkretnych działań i dążenia do celu mimo różnych przeciwności, które mogą pojawić się po drodze. I ma swój ciężar niezależnie od tego, czy ktokolwiek poza mną o tym celu wie.
Podejście drugie, czyli o Czerwonym Cyberkapturku zbierającym kwiatki
Tegoroczne podejście do cyberwakacji przypominało bajkę o Czerwonym Kapturku, który miał określony cel - dotrzeć do Babci z plackiem i winem, jednak dał się zwieść równie atrakcyjnemu celowi podstawionemu przez Wilka. Przecież kto by nie chciał do takiej paczuszki dla ukochanej osoby dodać własnoręcznie zebranych kwiatów? Nieważne, że miało się iść prostą drogą do Babuni...
Bogatsza o zeszłoroczne doświadczenie nakreśliłam sobie za cel zrobienie ścieżek Pre Security i Cybersecurity 101 z TryHackMe. Decyzja ta była dla mnie naturalną kontynuacją nauki po zdobyciu certyfikatu Google Cybersecurity, który robiłam w ramach INCO Academy. Zainspirowana tym, co opowiadał na dodatkowych zajęciach związanych z tym certyfikatem Karol Wróblewski, zaczęłam eksplorować ścieżki oferowane przez TryHackMe. Wydawały się odpowiedzią na mój problem - rozjazd między teoretyczną wiedzą a praktycznym hackowaniem maszynek - więc ochoczo ruszyłam do działania.
Potem jednak okazało się, że TryHackMe organizuje wakacyjny CTF. Moja energia poszła w wątek poboczny nauki, czyli hackowanie maszynek, których poziom w zależności od dnia wyzwania bardzo się różnił. Co prawda na samym końcu była satysfakcja, że z pomocą innych osób zdobyłam sporo wiedzy i mogę się pochwalić certyfikatem ukończenia tego CTFu. Z drugiej jednak strony... cóż. Kosztowało mnie to tyle energii, że zanim wróciłam do regularnej nauki cybersecurity minęło sporo czasu.
Lekcja 4: kiedy pojawia się wybór między wytyczoną ścieżką i jej zmianą
Jest jedna rzecz gorsza od zbyt długiego podążania błędną ścieżką: zejście z niej w chwili, w której pierwszy raz przyjdzie nam to do głowy.
Jakiś czas temu usłyszałam, że warto sobie stawiać cele na np. 90 dni i się ich trzymać przez chociaż jakiś czas, nawet, jeśli potem okaże się, że nie są one najlepsze. Chodzi o to, by między momentem, gdy zauważymy potrzebę zmiany, a momentem, gdy podejmiemy decyzję o zmianie, minęło trochę czasu. Ten czas potrzebny jest, by ocenić, czy zmiana jest czymś dyktowanym przez realną potrzebę zmiany kierunku, czy jakimś impulsem, który ostatecznie odciągnie nas od celu, który sobie postawiliśmy.
Ja sobie tego czasu nie dałam i bezrefleksyjnie zrezygnowałam z wytyczonej ścieżki na rzecz wakacyjnego CTF, na który nie byłam gotowa. Tak, zdobyłam pewną wiedzę, jednak zdecydowanie efektywniej wykorzystałabym ten czas, gdybym posiedziała nad prostszymi maszynkami (np. z zakresu eskalacji uprawnień w systemie). O ubytkach w energii nie wspominając - gdy dopiero zaczyna się naukę w danym obszarze, kilkugodzinne walenie głową w mur, ponieważ sięgnęło się po coś zdecydowanie za trudnego na ten moment, nie sprzyja dalszej motywacji.
Lekcja 5: może lepiej skupić się na sobie, nie na rekruterze?
W tym roku postanowiłam tworzyć treści codziennie, by dzielić się notatkami z nauki i pokazywać w przestrzeni LinkedIna moje zaangażowanie w naukę. Po około 30 dniach stało się to kolejnym ogromnym kamieniem włożonym do plecaka, który przyczyniał się do jeszcze większego obciążenia.
Oczywiście mogłabym generować treści z AI, tylko wtedy nie powtórzyłabym zdobytej wiedzy w sposób, który rzeczywiście pomaga mi w nauce. Mogłabym też pisać, że dziś nauczyłam się tego i tamtego, jednak wtedy wpisy byłyby kolejnym wysypem niewiele znaczącej treści pod tytułem: chwalę się. Gdybym mogła doradzić sobie sprzed tych kilku miesięcy, powiedziałabym sobie: jeśli chcesz, to publikuj, ale np. raz w tygodniu, wpis na bloga, tak, by został jakiś ślad Twojej nauki. Jednak jeśli chcesz się intensywnie uczyć, to skup się na nauce, a w socialach sygnalizuj postępy w większych odstępach czasowych.
Panuje przekonanie, że dobrze jest relacjonować takie wyzwania, by pokazać rekruterowi to, że ciągle się rozwijamy. Myślę jednak, że przecenia się znaczenie takich publikacji, szczególnie gdy uwzględni się to, że w znaczącej większości przypadków przez ATS pomoże nam przejść konkretny certyfikat, a nie codzienne chwaliposty, nawet najlepsze. Warto też samemu wyważyć, ile czasu możemy poświęcić na naukę, a ile na budowanie marki osobistej, i też budowanie w jakiej formie. Publikacji na blogu? Writeupów na GitHubie? Wpisów na socialach? Warto to przemyśleć przed startem - żeby nie dodawać sobie, tak jak ja, kamieni do plecaka i tak ciężkiego od zdobywanej wiedzy.
Lekcja 6: co się dzieje, kiedy nie dowiezie się wyzwania?
Najbardziej boli, kiedy deklarujesz swoje wyzwanie i go nie dowozisz do końca, a inni ludzie są świadkami Twojego potknięcia. I nawet nie masz pewności, czy jak spróbujesz po raz trzeci, to Ci wyjdzie, czy znowu inni zobaczą, że coś nie wyszło.
Pocieszę Cię: większość osób nawet tego nie zauważy. Część zauważy, ale nie będzie przywiązywać do tego wagi. Może ktoś zapyta, o ile nie zapomni w natłoku codziennych spraw. Mnie jeszcze nikt nie spytał, choć od momentu, gdy przestałam relacjonować wyzwanie minęło kilka tygodni.
Świat się nie zawalił, ludzie mnie nie skreślili, ucierpiało tylko moje ego i przekonanie o tym, że mam nadludzką siłę i mogę pokonać od ręki wszystkie przeciwności, bez uszczerbku dla nauki. Nie, nie mam nadludzkiej siły. Nie, nie zawsze potrafię zmniejszyć wpływ sytuacji na moje deklaracje, nie wspominając już o sytuacjach, gdy nieświadomie sama rzucam sobie kłody pod nogi.
Czy to znaczy, że wyzwanie zakończyłam znowu porażką? Same liczby nie oddają zdobytego doświadczenia oraz licznych refleksji, które pojawiły się, gdy zaczęłam myśleć nad samym wyzwaniem. Dlatego też myślę już o kolejnym - lepiej przygotowana do działania.
