Это не «продвинутый пентест», а другая задача: проверяют не систему, а тех, кто её защищает. Операция идёт месяцами, цель одна, и оценивают тебя по тому, что защита увидела и чего не увидела, а не по длине списка находок. С нуля сюда не приходят: это следующая роль после нескольких лет пентеста.
Что это за работа
Операция идёт 1–3 месяца, и половина этого срока проходит до первого действия в чужой сети: согласование правил и границ, легенда, каналы связи с «белой ячейкой» заказчика, сборка собственной инфраструктуры — доменов, промежуточных серверов, сертификатов. В команде обычно 2–4 человека с разделёнными ролями: кто-то держит инфраструктуру, кто-то делает доставку, кто-то работает внутри. Дальше начинается медленная часть: ты получаешь доступ и три дня не делаешь ничего, потому что лишнее действие в первый час — это конец операции, которую собирали месяц. Каждое твоё действие пишется в журнал с точным временем: потом по этому журналу защита сверит, что она увидела, а что пропустила, и это и есть главный результат работы. Заканчивается всё двумя документами и совместным разбором с командой защиты, где ты по шагам показываешь, где их телеметрия молчала.
Чья это работа
Тебе здесь будет хорошо, если
Здесь ценится терпение вместо скорости: правильный ход часто звучит как «подождать до вторника», и это профессиональная норма, а не лень. Работа командная и длинная, с одной целью на месяцы, и её самая интересная часть — не техника сама по себе, а вопрос «как это будет выглядеть в их журналах». Готовое здесь почти не работает: приходится много писать и переделывать собственные инструменты, потому что публичное ловится. И финал — не список чужих ошибок, а разговор с защитниками, где ты объясняешь, как тебя надо было увидеть; тем, кому нравится именно этот разговор, здесь хорошо.
Что здесь тяжело
Половина операции — не атака, а подготовка и бумага: согласование правил, сборка инфраструктуры, журнал каждого действия с отметкой времени, два документа в конце и пошаговый разбор. Ожидание — основной режим: бывают недели, когда ты буквально ничего не делаешь, потому что действовать сейчас значит сгореть, и объяснять это себе приходится каждый раз заново. Одна ошибка операционной дисциплины обнуляет месяц работы всей команды, и знают об этом все, включая заказчика. Ограничений тут больше, чем в пентесте, а не меньше: письменное разрешение, согласованные границы, запрещённые системы, обязательное согласование всего, что может задеть продуктив, — «а давайте попробуем» здесь не бывает. И работа почти невидима: NDA плотнее, публично рассказать нельзя ничего, а со стороны это выглядит как «он опять неделю ждал». Наконец, вакансий в стране единицы, и попасть в них — вопрос не желания, а очереди.
Вход с нуля
Нет, и делать вид, что да, мы не будем. На эту роль не берут без нескольких лет за спиной, junior-позиции в ней не существует, и продавать её как первый трек — это продажа, а не совет. Приходят сюда после 2–4 лет в пентесте инфраструктуры, реже — со стороны защиты, из зрелого SOC или DFIR. Если ты начинаешь с нуля, твоя цель называется «пентестер инфраструктуры», а сюда ты посмотришь года через три-пять. Всё осмысленное, что можно делать в эту сторону прямо сейчас, — это Windows, Active Directory и понимание того, что именно видит защита.
Переход из другой профессии
Настоящий вход один: ты уже пентестер инфраструктуры с 2–4 годами проектов, и тебя берут вторым номером в чужую операцию — держать инфраструктуру и вести журнал. Остальные латеральные переходы ведут не сюда напрямую, а в пентест как в пересадочную станцию, и это надо называть честно. Из администрирования Windows и AD переносится карта домена; из разработки — способность писать и переделывать инструменты, что в зрелых командах вообще отдельная роль; из DevOps и эксплуатации — умение поднять и удержать собственную инфраструктуру, а это ровно половина подготовки операции. Из зрелого SOC переходят реже, но переходят: человек, который сам писал правила детекта, лучше других понимает, чего в них нет.
Системный администратор Windows / Active Directory
Что уже засчитывается
Ты знаешь домен изнутри и видишь, как в реальной организации устроены права, доверия и почта, — а операции почти всегда идут через домен и через людей в нём. Понимание сети как связанной картины и умение читать журналы после падения здесь превращаются в главный рабочий вопрос: что о моём действии окажется в их телеметрии.
Что добрать
Промежуточный шаг: сюда не переходят из администрирования напрямую. Сначала 2–4 года пентеста, и только потом операции. Не хватает всего наступательного слоя, операционной дисциплины (что можно делать в первый час, а что нельзя вообще), навыка сборки собственной инфраструктуры и очень большого объёма письменной фиксации, к которому администрирование не готовит.
Самоучка: CTF, HTB/THM, домашняя лаборатория, без работы в отрасли
Что уже засчитывается
У тебя есть сделанное с артефактами и привычка сидеть над одной задачей неделями без гарантии результата — а ожидание здесь основной режим. Свои скрипты и готовность переписывать чужой инструмент ценнее, чем на любой другой позиции: публичное здесь ловится, и переделывать приходится постоянно.
Что добрать
Всё, что отличает операцию от машины на площадке: цель, заданная заказчиком, а не флаг; месяцы вместо вечера; правила, которые нельзя нарушить даже когда очень хочется; и журнал каждого действия. И главное — стаж: без нескольких лет боевых проектов в такую команду не берут, сколько бы машин ни было пройдено.
Разработчик (бэкенд или веб)
Что уже засчитывается
Ты читаешь чужой код и видишь, где автор понадеялся на пользователя, и ты умеешь писать своё, а не только запускать готовое. В зрелых командах это отдельная роль: тот, кто делает инструменты, которые ещё не ловятся, — и на такую позицию разработчика берут охотнее, чем оператора.
Что добрать
Инфраструктура и Windows целиком: домен, аутентификация, боковое перемещение, телеметрия защиты. Плюс контекст операции — правила, скоуп, дисциплина. Реалистичный маршрут для тебя — не «оператор», а «разработчик наступательного инструментария» либо сначала веб-пентест и AppSec, а инфраструктурная сторона позже.
DevOps / SRE / инженер эксплуатации
Что уже засчитывается
Ты умеешь собрать и удержать конвейер и инфраструктуру: домены, сертификаты, промежуточные серверы, автоматизация развёртывания — это буквально первая половина операции, и делает её обычно отдельный человек. Дежурства по продакшену научили работать по правилам, когда цена ошибки высокая.
Что добрать
Наступательная часть полностью: что делать после получения доступа, как выглядит домен со стороны атакующего, что попадает в чужие журналы. И промежуточный шаг: попасть сюда можно на роль инфраструктурщика операции, но роль оператора закрывается стажем в пентесте, которого у тебя нет.
Что здесь ценится
Вы знаете домен изнутри — с той стороны, с которой его и ломают
Вы уже пробовали ломать по-настоящему, а не в теории
Вы автоматизируете то, что второй раз делали руками
Вы уже читаете схему сети и находите, где рвётся
Вы читаете чужой код и видите, где автор понадеялся на пользователя
Вы пишете так, что к тексту потом не придерутся
Вы уже проводили недели в поиске без гарантии результата
Как устроена эта работа
Как приходит работа
«очередь с нормативом»: непрерывный поток, на каждую единицу срок в минутах, смена кончается по часам, а не по завершённости«блок с одним финалом»: две-три недели на один объект, никто не дёргает, всё решается в конце. Между ними два самостоятельных режима: «внезапный» (обычная неделя, но звонок в 03:40 отменяет всё) и «календарный» (неделя из встреч и согласований, своя работа — в промежутках).
Через сколько видно результат
«результат каждые десять минут»: задача закрыта, счётчик сдвинулся, к вечеру видно, сколько сделано«недели без результата, и это норма»: три недели работы, ничего не найдено, работа при этом сделана правильно — просто нечего было находить, и отчитаться всё равно надо.
Сколько в работе одинакового
«одно и то же, много раз»: за смену 200 срабатываний, примерно 190 окажутся ложными, проверить надо все 200, потому что иначе теряют смысл остальные; через месяц вы узнаёте их по первой строке«каждый раз новое»: двух одинаковых задач подряд не бывает, и опыт помогает меньше, чем хотелось бы.
Регламент или своё решение
«по инструкции, и отступать нельзя»: есть документ, в нём написано, что делать в вашей ситуации, и по вашим действиям потом будет разбирательство — поэтому шаг в сторону хуже, чем неоптимальный шаг по инструкции«процедуры нет»: вы смотрите на незнакомую систему и сами решаете, с чего начать; если выбрали не то, потеряли два дня, и никто вам этого не скажет.
Через людей или напрямую
«напрямую с системой»: результат зависит от вас и от машины, договариваться почти не нужно«результат наступает, только если другие люди что-то сделают»: вы нашли проблему и вы правы, но чтобы её починили, нужно, чтобы четыре человека со своими сроками и премиями сделали лишнюю работу — и убедить их и есть ваша работа, а не то, что было до.
Сколько в работе текста
«текста почти нет»: пара строк в тикете, дальше следующая задача«половина работы — писать»: вы не ищете и не чините, а формулируете — так, чтобы понял человек, который не видел вашего экрана, и так, чтобы через год к этому тексту нельзя было придраться.
Ломать чужое или удерживать своё
«найти, где рвётся, и доказать»: вам дают чужую систему, вы ищете, где она не выдерживает, и предъявляете это владельцу так, чтобы он не мог возразить; ваш результат — список чужих проблем«сделать так, чтобы держалось»: система ваша, вы за неё отвечаете, и ваш лучший результат — то, что ничего не произошло и никто вашей работы не заметил.
Цена и скорость решения в моменте
«есть время подумать»: сутки на решение, можно перепроверить, ошибку можно откатить, никто не стоит над душой«решать сейчас, при неполных данных, и это дорого»: 03:20, данные утекают прямо сейчас, у вас 60% информации, можно отключить сегмент — тогда встанет производство и это заметят все — или оставить и наблюдать; решение ваше и на него пять минут.
Реальность рынка
Настоящих red team-команд в России мало: несколько крупных игроков рынка ИБ и внутренние команды нескольких банков и телекомов — вакансий там единицы, и они закрываются людьми, которые уже в отрасли. В требованиях 2026 года стабильно стоит «успешный опыт red team» или 3+ лет анализа защищённости; позиции руководителей направления просят 6+. Junior-вакансии в этой роли не существует; ближайшая существующая — младший в отделе анализа защищённости, откуда через несколько лет и берут в операции. Первый год уже внутри роли — это не «ты ведёшь операцию», а ты держишь инфраструктуру, готовишь доставку и ведёшь журнал за командой. Данные по рынку — на август 2026, перепроверяй.
