• Ardıcıllıq mövzu siyahısından vacibdir: şəbəkəni anlamayan adam logu oxuya bilmir.
• İlk alət Wireshark, ilk mühit virtual maşındır. SIEM üçüncü mərhələdə gəlir.
• Ən çox ilişilən yer log toplamaqdan korrelyasiyaya keçiddir — bu, tək hadisə ilə hadisələr zənciri arasındakı fərqdir.
• Müdafiə tərəfi sıfırdan başlayan üçün daha strukturlu girişdir; hücum tərəfi əvvəlcədən sistem və şəbəkə biliyi tələb edir.
• Öyrəndiyinizi ölçmək üçün eyni hücumu iki dəfə işə salın: playbookdan əvvəl və sonra.

Sıfırdan kibertəhlükəsizlik öyrənmək real olaraq mümkündürmü?

Bəli, mümkündür. Bu sahəyə gələnlərin böyük hissəsi universitetdə təhlükəsizlik oxumur — IT dəstək, şəbəkə və sistem administratorluğu, bəzən tamam başqa peşədən gəlirlər. Səbəb sadədir: müdafiə işi əsasən sistemin normal davranışını tanımaq və ondan kənara çıxanı görmək bacarığıdır.

Faktiki olaraq lazım olan ilkin bacarıqlar qısa siyahıdır:

• Kompüterdə sərbəstlik: fayl sistemi, quraşdırma, parametrlər — qorxmadan yeni pəncərə açmaq.
• İngilis dilində oxumaq: alət interfeysləri, sənədləşmə və log mesajları ingiliscədir. Danışmaq deyil, oxumaq lazımdır.
• Diqqət və səbir: log analizi eyni ekrana uzun müddət baxmaq deməkdir.
• Həftədə sabit vaxt: gündə 1–1,5 saat ardıcıl iş, həftədə bir dəfə 8 saatdan yaxşıdır.

Realist gözlənti də vacibdir. 6 ayda təhlükəsizlik əməliyyatları mərkəzi (SOC) analitiki səviyyəsində başlanğıc bacarıqlar formalaşa bilər — log oxumaq, aşkarlama qaydası (detection rule) qurmaq, hadisəni araşdırmaq. Ekspert olmaq isə iş təcrübəsi ilə gəlir, kurs ilə deyil.

Kurslarımızda ən çox verilən sual budur: «IT sahəsində başım çıxmır, başlaya bilərəm?» Cavab: bəli. Təlimlər sıfırdan başlayır — müdafiə komandası proqramının ilk iki modulu şəbəkə trafikini oxumaq və sistem loglarını başa düşmək üzərində qurulub, kod yazmaq tələb olunmur. Proqramlaşdırma sonradan, avtomatlaşdırma mərhələsində köməkçi bacarıq kimi lazım olur.

Kibertəhlükəsizliyi hansı ardıcıllıqla öyrənmək lazımdır?

Mövzu siyahısı tapmaq asandır; çətin olan onları düzgün sıra ilə öyrənməkdir. Səhv ardıcıllıq ən çox vaxt itirən səbəbdir: SIEM-ə birinci gündə girən adam ekranda nə gördüyünü anlamır, çünki şəbəkə və sistem davranışını bilmir. Aşağıdakı beş pillə məntiqi asılılıq üzərində qurulub və hər pillə əvvəlkinin nəticəsindən istifadə edir.

1. Şəbəkə əsasları. TCP/IP, portlar, protokol davranışları, DNS və HTTP-nin normal görünüşü. Yoxlama meyarı: Wireshark-da tutulmuş trafikdə hansı sessiyanın adi, hansının qəribə olduğunu izah edə bilirsiniz.
2. Əməliyyat sistemləri. Linux (Red Hat) və Windows-da istifadəçilər, icazələr, proseslər, audit siyasətləri. Yoxlama meyarı: Event Viewer və Auditd-də uğursuz girişi, yeni istifadəçi yaradılmasını və icazə dəyişikliyini tapırsınız.
3. Log oxumaq. Log mənbələrini tanımaq, vaxt zolağı qurmaq, hadisə ID-lərini oxumaq. Yoxlama meyarı: bir hadisənin nə vaxt, hansı hesabla və hansı maşında baş verdiyini loglardan bərpa edirsiniz.
4. SIEM və korrelyasiya. Splunk, ELK və ya IBM QRadar-da log axıtmaq, sorğu yazmaq, aşkarlama qaydası qurmaq, yanlış müsbət (false positive) səviyyəsini azaltmaq. Yoxlama meyarı: iki ayrı mənbədəki hadisəni birləşdirən qayda yazırsınız.
5. Hadisəyə reaksiya (incident response) və avtomatlaşdırma. Araşdırma addımları, hesabat, playbook, təhlükəsizlik orkestrasiyası və avtomatlaşdırılmış cavab (SOAR) platformaları. Yoxlama meyarı: eyni hücum təkrar işə salındıqda cavabın avtomatik icra olunduğunu göstərirsiniz.

Hər pilləni nəzəriyyə ilə deyil, laboratoriya tapşırığı ilə bağlamaq lazımdır. «Oxudum, anladım» ilə «etdim, işlədi» arasında bu sahədə çox böyük fərq var.

İlk 6 ayda konkret nə öyrənilir?

Aşağıdakı cədvəl müdafiə komandası proqramının modul quruluşuna əsaslanır və hər mərhələni alət ilə bacarığa bağlayır. Belə bölgü ilə hansı ayda hansı alətə toxunacağınızı əvvəlcədən bilirsiniz.

Diqqət edin: cədvəldə SIEM üçüncü sıradadır, birinci deyil. Bu, təsadüf deyil — birinci iki ay olmadan üçüncü ay ekranda mənasız sətirlərə baxmaqla keçir.

Başlanğıc üçün hansı alətləri öyrənmək lazımdır?

Alət siyahısı yığmaq asandır, onları rola görə sıralamaq faydalıdır. Başlanğıcda bir-iki alətdə dərinləşmək, on alətin interfeysini tanımaqdan yaxşıdır.

• Trafik analizi (ilk növbədə): Wireshark ilə başlayın, tcpdump ilə komanda sətrinə keçin, Zeek-i şəbəkə hadisələrini strukturlaşdırmaq üçün sonraya saxlayın.
• Sistem və audit (ikinci): Windows tərəfdə Event Viewer və PowerShell, Linux tərəfdə Red Hat, Auditd və SELinux. Burada məqsəd log mənbələrini tanımaqdır.
• SIEM (üçüncü): birini seçib dərinləşin. Splunk sorğu dili ilə güclüdür, ELK açıq ekosistemdir, IBM QRadar korporativ mühitlərdə tez-tez rast gəlinir.
• Son nöqtə (dördüncü): CrowdStrike və Cortex kimi agentlərdə davranış analizi və cavab əməliyyatları. Bunlar üçün əvvəlcədən proses biliyi lazımdır.
• Təhdid kəşfiyyatı (beşinci): MITRE ATT&CK çərçivəsi hücum texnikalarının ümumi lüğətidir; MISP göstəriciləri paylaşmaq, VirusTotal isə fayl və domen yoxlaması üçündür.
• Avtomatlaşdırma (sonda): Cortex XSOAR və Splunk SOAR. Bunlara yalnız əl ilə araşdırma prosesini bildikdən sonra keçmək məntiqlidir.

MITRE ATT&CK-i xüsusi qeyd edirik, çünki o, alət deyil — real hücumlarda müşahidə edilmiş taktika və texnikaların açıq bazasıdır. Aşkarlama qaydalarınızı bu çərçivəyə bağlamaq öyrənməni sistemləşdirir.

Müdafiə komandası (Blue Team), yoxsa hücum komandası (Red Team) — sıfırdan hansı ilə başlamaq?

Bu sual sıfırdan başlayanların ən çox səhv etdiyi yerdir. Hücum tərəfi sosial şəbəkələrdə daha cəlbedici görünür, lakin o, mövcud bilik üzərində qurulan istiqamətdir: sistemi sındırmaq üçün əvvəlcə onun necə işlədiyini bilmək lazımdır.

Yaxın istiqamətlər də var. Linux administrasiyası müdafiə tərəfinə keçid üçün güclü baza verir — sistem biliyi olmadan log analizi səthi qalır. DevSecOps isə proqram təminatının hazırlanma prosesinə təhlükəsizliyi qatır və artıq CI/CD ilə tanış olanlar üçün məntiqlidir. Sıfırdan gələn üçün ardıcıllıq belədir: sistem → müdafiə → sonra ixtisaslaşma.

Sıfırdan başlayanlar ən çox harada ilişir?

Gözlənilənin əksinə, ilk aylar deyil. Şəbəkə və sistem mövzuları çətin görünsə də, praktikada tez oturur. Əsl əyilmə nöqtəsi üçüncü mərhələdə, SIEM modulunda gəlir.

Tədris müşahidəmiz belədir: ən çətin keçid logları toplamaqdan korrelyasiyaya keçiddir. Splunk-a log axıtmaq və idarə paneli qurmaq tələbələr üçün asan olur. Çətinlik odur ki, iki ayrı mənbədəki iki adi hadisənin birlikdə bir hücum mənası verdiyini görmək lazımdır — məsələn, uğursuz girişlər üstəgəl yeni istifadəçi yaradılması. Bu iki hadisə ayrılıqda gündəlik haldır. Birlikdə isə hesab ələ keçirilməsinin izidir. Tələbənin «hadisə» ilə «hadisələr zənciri» arasındakı fərqi tutması üçün iki-üç dərs lazım gəlir.

Bu keçidi çətinləşdirən tipik səhvlər isə bunlardır:

• Yalnız video izləmək. İzləmək tanışlıq yaradır, bacarıq yaratmır — alət açılmayıbsa, öyrənmə baş verməyib.
• Laboratoriya qurmamaq. Öz virtual maşınında hadisə yaratmayan adam logun necə göründüyünü heç vaxt görmür.
• Alət kolleksiyası yığmaq. On alətin adını bilmək bir alətdə sorğu yazmaqdan zəifdir.
• Yanlış müsbətləri göz ardı etmək. Qayda yazmaq asandır; şirkəti xəbərdarlıq selindən qorumaq üçün onu daraltmaq əsl bacarıqdır.
• Hadisəni sona qədər aparmamaq. Araşdırma hesabatla bitmirsə, iş yarımçıqdır.

Öyrəndiyinizi necə praktikaya çevirməli və özünüzü necə yoxlamalısınız?

Ev laboratoriyası bu sahədə əsas öyrənmə mühitidir. Adi bir noutbukda iki-üç virtual maşın kifayət edir: bir Windows, bir Linux, bir də log toplayan sistem. Sonra təkrarlana bilən ssenari qurursunuz.

1. İki virtual maşın qurun — biri Windows, biri Red Hat. Şəbəkəni izolyasiya edin.
2. Audit siyasətlərini aktivləşdirin: Windows-da uğurlu və uğursuz girişlər, Linux-da Auditd qaydaları.
3. Logları bir SIEM-ə axıdın (ELK ilə başlamaq pulsuzdur) və mənbələrin gəldiyini yoxlayın.
4. Sadə hücum ssenarisi işə salın: ardıcıl uğursuz girişlər, sonra yeni istifadəçi yaradılması.
5. İki mənbəni birləşdirən aşkarlama qaydası yazın və alertin işlədiyini görün.
6. Cavab addımlarını playbook kimi sənədləşdirin: kimi bloklayırsınız, hansı maşını ayırırsınız, kimə bildiriş gedir.
7. Eyni hücumu təkrar işə salın və vaxtı ölçün — bu, sizin ölçülə bilən nəticənizdir.

Laboratoriyamızda bunu son modulda belə edirik: SIEM-də şübhəli autentifikasiya silsiləsi görünür. Tələbə əvvəlcə Splunk və ya IBM QRadar-da hadisəni izləyir, sonra Cortex XSOAR-la cavab addımlarını sıraya düzür — hesabın bloklanması, son nöqtənin şəbəkədən ayrılması, məsul şəxsə bildiriş. Playbook hazır olandan sonra eyni hücum yenidən işə salınır və tələbə cavabın avtomatik icra olunduğunu görür: əl ilə 20 dəqiqə çəkən iş bir neçə saniyəyə düşür. Bu fərq CV-də yazıla bilən konkret nəticədir.

Təkbaşına öyrənmək, yoxsa təlim mərkəzində? Fərq nədədir?

Təkbaşına öyrənmək mümkündür və pulsuz materialların həcmi kifayətdir. Fərq materialda deyil — ardıcıllıqda, laboratoriya mühitində və geribildirimdə. Səhv yazılmış aşkarlama qaydasının niyə yanlış olduğunu sizə kimsə deməsə, səhv təkrarlanır.

Proqramın modulları, müddəti və formatı Blue Team proqramı səhifəsində ətraflı təsvir olunub.

Öyrənməyə başlamaq üçün ilk addım nədir?

İlk 30 günü mövzu axtarmaqla keçirməyin. Aşağıdakı plan bir aylıqdır və sonunda əlinizdə göstərilə bilən nəticə olur.

1. 1–7-ci günlər: şəbəkə əsasları. TCP/IP, portlar, DNS və HTTP-nin normal davranışı. Gündə 1 saat.
2. 8–14-cü günlər: virtual maşın qurun. Bir Linux, bir Windows. Şəbəkə parametrlərini özünüz konfiqurasiya edin.
3. 15–21-ci günlər: Wireshark ilə ilk trafik oxuma. Öz brauzer trafikinizi tutun, DNS sorğularını və TLS əlaqələrini tapın.
4. 22–27-ci günlər: bir SIEM-ə log axıdın. ELK qurun, Windows hadisə loglarını göndərin, ilk sorğunu yazın.
5. 28–30-cu günlər: uğursuz girişləri sayan sadə xəbərdarlıq qurun və nəticəni qeyd edin. Bu, öyrənmə jurnalınızın birinci səhifəsidir.

Bir ay sonra özünüzü yoxlayın: bu addımlar sizə maraqlı gəldisə, istiqamət uyğundur. Hansı istiqamətin sizin təcrübənizə uyğun olduğunu müzakirə etmək istəyirsinizsə, proqram məsləhətçimizlə pulsuz konsultasiya təyin edə bilərsiniz.

Sıfırdan kibertəhlükəsizlik öyrənmək nə qədər vaxt aparır?

Başlanğıc səviyyədən işə hazır müdafiə analitiki bacarıqlarına qədər adətən 6 ay ardıcıl iş lazım gəlir — həftədə 8–10 saat praktika ilə. Bu müddət log oxumaq, SIEM-də aşkarlama qaydası qurmaq və hadisəni araşdırmaq üçün kifayətdir; dərinləşmə isə iş təcrübəsi ilə davam edir.

Kibertəhlükəsizlik üçün proqramlaşdırma bilmək şərtdirmi?

Şərt deyil. Müdafiə istiqamətinin ilk mərhələləri şəbəkə trafiki və sistem logları üzərində qurulur, kod yazmaq tələb olunmur. Avtomatlaşdırma mərhələsində PowerShell və sadə skript biliyi işi asanlaşdırır, lakin bu, giriş şərti deyil.

Kibertəhlükəsizliyi öyrənmək çətindirmi?

Mövzular çətin deyil, həcmlidir. Ən çətin hissə tək hadisədən hadisələr zəncirinə keçid — yəni korrelyasiya təfəkkürüdür. Bu, laboratoriya təkrarı ilə formalaşır; yalnız video izləməklə formalaşmır.

Kibertəhlükəsizlik sahələri hansılardır?

Əsas bölgü müdafiə komandası (Blue Team) və hücum komandası (Red Team) arasındadır. Yaxın istiqamətlər: SOC analitikası, təhdid ovu, təhdid kəşfiyyatı, hadisəyə reaksiya, DevSecOps və Linux/infrastruktur təhlükəsizliyi.

İngilis dili bilmədən kibertəhlükəsizlik öyrənmək olar?

Dərslər Azərbaycan dilində keçirilə bilər, lakin alət interfeysləri, log mesajları və sənədləşmə ingiliscədir. Ona görə oxuma səviyyəsində ingilis dili praktik tələbdir; danışıq səviyyəsi isə vacib deyil.

Sıfırdan başlayan biri üçün Blue Team, yoxsa Red Team daha uyğundur?

Sıfırdan başlayan üçün müdafiə komandası daha uyğundur, çünki iş prosesi strukturludur və giriş yolu daha aydındır. Hücum komandası əvvəlcədən şəbəkə, Linux və Windows biliyi tələb edir, ona görə orta səviyyə üçün planlaşdırılır.

Kibertəhlükəsizlik öyrənmək üçün hansı kompüter lazımdır?

Virtual maşınları rahat işlətmək üçün 16 GB operativ yaddaş və SSD olan noutbuk kifayət edir. 8 GB ilə də başlamaq mümkündür, sadəcə eyni vaxtda iki maşın işlətmək çətinləşir. Əməliyyat sistemi fərq etmir.

Universitet diplomu olmadan bu sahədə işə düzəlmək olarmı?

Bu sahədə işəgötürənlər praktik bacarığa və göstərilə bilən nəticəyə baxır: laboratoriya işləri, yazdığınız aşkarlama qaydaları, araşdırma hesabatları. Diplom bəzi korporativ vakansiyalarda üstünlük olur, ancaq CompTIA Security+ kimi beynəlxalq başlanğıc sertifikatlar və portfolio da qəbul edilən sübutdur.

1. MITRE ATT&CK — hücum taktika və texnikalarının bilik bazası
2. CompTIA Security+ — sertifikatın rəsmi tələbləri

İkinci ay adətən qaydaların dəqiqləşdirilməsi ilə keçir. False positive-ləri saymaq, mənbəyini tapmaq və qaydanı yenidən yazmaq analitikin ən dəyərli vərdişidir — komandanın diqqətini boş alertlərdən qoruyur.

Üçüncü ayda artıq hadisəni özün sənədləşdirirsən: nə baş verdi, hansı hostlar toxundu, hansı addım atıldı, nə qalıb. Yaxşı yazılmış hesabat sonrakı hadisədə komandaya bir gün qazandırır.

Laboratoriyada bu üç mərhələni ardıcıl keçiririk: hazır SIEM üzərində növbə simulyasiyası, öz Sigma qaydanın yazılması və yekun insident hesabatı.

Kerberoasting kimi klassik texnikaların dəyəri odur ki, müdafiə tərəfə nə görünür sualını da cavablandırır: hansı hadisə ID-si düşür, hansı sorğu anomal görünür.

Hücumu qurduqdan sonra eyni ssenarini müdafiə tərəfindən təkrar edirik. Tələbə həm zənciri qurur, həm də onu öz SIEM-ində aşkar edir — bu, kursun əsas prinsipidir.

Yekunda hesabat yazılır: risk səviyyəsi, təsir dairəsi və remediasiya addımları müştəri dili ilə.

Praktikada ardıcıllıq belədir: secret scanning (ən ucuz və ən faydalı), sonra asılılıq təhlili, sonra SAST. Hər mərhələ üçün nəticələrin triage prosesi qurulur.

Konteyner tərəfində imicin minimallaşdırılması və imzalanması, runtime-da isə admission siyasətləri qalan riskin böyük hissəsini bağlayır.

Kursda tələbə sıfırdan belə bir boru kəməri qurur və öz auditini yazır.

Minimal siyahı belədir: bash-da rahat hərəkət, systemd ilə xidmət idarəsi, şəbəkə konfiqurasiyası, paket idarəsi və log yerləri.

Bu təməl 4 aylıq Linux Administrator proqramında qurulur; ondan sonra Blue və ya Red Team istiqaməti xeyli sürətli gedir.