Какие источники gerçekten надежны для изучения пентестинга и с чего начать?

Даже не суйтесь в пентест без идеального понимания сетевого уровня. TCP 3-way handshake, DNS poisoning, ARP и HTTP-методы надо знать от зубов. Перехватить трафик между браузером и сервером через прокси и руками покрутить пакеты — это самый базовый старт.

Я бы посоветовал такой порядок: 1) Командная строка Linux и базовые скрипты. 2) Открытые гайды по веб-безопасности. 3) Браузерные лабы с уязвимостями. 4) Инструменты дампа и анализа трафика. 5) Шаблоны отчетов по легальному пентесту.

Переходя из сисадминов в ИБ, я в первый год отпахал 600 часов практики. На лабы из бюджета ушло всего 8.000 TL. Как только забил на готовые софтины и научился читать код, сразу начал затаскивать собесы. Дорогие курсы нафиг не нужны.

советую держаться подальше от курсов по авто-сканерам. софтанары которые прогоняют автоскан и вставляют отчет в doc на рынке нахрен не нужны. в общем без понимания базовой механики уязвимость нормально не найти.

Большинство турецких курсов за 30-40 тысяч лир — тупо скам на бабки. Зачитывают криво переведенные слайды из паблик-документации. Берегите деньги не на курсы, а на практические экзамены с международной аккредитацией.

Бэкграунд сисадмина — огромный плюс имхо. Я начинал сразу со сканеров и утилит, но без знания сетевой архитектуры месяцами не мог въехать, что вообще значит уязвимость из отчета.

прямо сегодня ставьте виртуалку, накатывайте Linux и качайте заведомо дырявое веб-приложение. начинайте локально крутить SQLi и эскалацию привилегий.

Вы правы.

самое упускаемое из вида в теме источники по пентестингу: Не стесняйтесь спрашивать, молчание всегда обходится дороже.

меры, принятые без инвентаризации оставляют открытыми двери о которыых вы не знаете.. потом пишите, если есть вопросы, отвечу по мере возможности.

Не знал об этом.

Я тоже так считаю. Не полагайтесь на одну меру защиты; действуйте слоями.

Я бы пошел этим путем.

здесь описано ровно то, что пережили мы. честно изменение платежных данных никогда не подтверждаеттся через тот же канал.

на этом всё, извините, если затянул.

не знал об этом но короче первые три месяца все идет хорошо, проблемы всплывают на четвертом.

если напишете результат здесь, это поможет и другим.

Краткое резюме для новичков: Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Изменение платежных данных никогда не подтверждается через тот же канал. Удачи.

Сведу тему в кучу, так как ответов было несколько разных. Решения работающие в малом масштабе, рушатся при росте я узнал это слишком поздно.

Главное не цифра, а то на основе чего она получена. Конечно, если ваша ситуация отличается, всё меняется.

Согласен, хочу даже особо подчеркнуть. При принятии решений записывайте и худший сценарий, а не только лучший.

Оставлю как заметку пригодится.

Слежу за темой.

обсуждение размылось, давайте структурируем потом безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

пишите если есть вопросы отвечу по мере возможности.