Портфолио этичного хакера: что показать работодателю, когда взламывать нельзя

Привет, бро! Главная мысль статьи такая: работодателю нужны доказательства, что ты умеешь находить уязвимости, описывать их и объяснять бизнесу. Чужие сервера для этого не нужны. 😎 «Хакни мне что-нибудь» без скоупа и разрешения называется статьёй УК, а не портфолио.

Что на самом деле покупает наниматель

Пентестер день за днём пишет отчёты, общается с клиентами и документирует свои действия. Это видно по описанию профессии на HackTheBox. Тот же источник советует приложить к заявке образец отчёта: это помогает выделиться. Для этичного хакера ключевое слово «рамки», то есть разрешённый скоуп, сроки и формат отчётности.

Вывод: портфолио должно показывать три вещи.

• Ты умеешь ломать.

• Ты умеешь это задокументировать.

• Ты не нарушаешь закон.

Векторы: 7 блоков, которые можно показать легально

1. Write-up’ы по HTB, TryHackMe и CTF. Это базовый кирпич. Публичные разборы машин на GitHub и участие в CTF с разбором задач рекомендуют как основные направления. Пример репозитория: папка Writeups с разборами HTB, где в каждом описаны шаги и команды. Не выкладывай разборы активных машин и платных лабораторий. Это нарушает правила платформ и показывает тебя не с лучшей стороны. 🔍

2. Домашняя лаба. Подними DVWA, Vulnhub-машины и AD-стенд в Docker или на виртуалках, а потом задокументируй атаки. Покажи схему стенда, цепочку атаки и, главное, фиксы.

3. Образец отчёта. Это твой главный козырь. Структура такая:

• executive summary на понятном бизнесу языке;

• scope и методология;

• находки с оценкой риска (CVSS);

• PoC;

• рекомендации по исправлению.

Если у тебя есть сертификация CPTS, пример отчёта из экзамена можно включить в портфолио. Нужен отчёт без сертификации? Возьми свою лабу и оформи её как настоящий проект. Для каждой находки покажи before/after и простой план ремедиации, так видно, что ты думаешь как консультант.

4. Bug bounty в легальных рамках. Берёшь только программы с публичным scope, например на HackerOne, Bugcrowd или в российском BI.ZONE Bug Bounty. После закрытия репорта и с разрешения программы покажи disclosed-отчёты. Если отчёты закрыты NDA, укажи только метрики: количество валидных находок, severity и рейтинг на платформе.

5. Свои тулзы и скрипты. Python для автоматизации, расширение для Burp Suite, парсер вывода nmap, шаблон Nuclei. Выложи код на GitHub с README и примерами запуска.

6. Контент. Блог, разборы и туториалы на Medium, Хабре или своём сайте. HackTheBox называет портфолио из контента сильным активом для первой работы.

7. Сертификаты и рейтинги. Профили HTB и THM, OSCP, PenTest+ или CPTS. Сертификаты закрывают вопрос «а он вообще учился?».

Команды: как упаковать всё это

Структура GitHub должна быть как у консультанта. В корневом README опиши фокус и ссылки на проекты. Внутри каждого проекта заведи папки: scope, метод, доказательства, отчёты. Добавь короткую этическую заметку и убери все чувствительные данные. Скриншоты подписывай, а демо-клипы делай по 30–60 секунд.

Примерный скелет репозитория:

Объём: российские курсы называют минимумом 3–4 проекта, оптимально 7–8, или много мелких работ плюс один основной проект. Не пытайся залить 40 одинаковых write-up’ов по SQLi. Лучше 1 полный пентест лабы, 3–4 разбора, 1–2 инструмента и 1 образец отчёта.

Лайфхаки: что показывать нельзя 💣

• Реальные IP, домены и креды клиентов, даже «обезличенные кривовато».

• Находки из чужих систем без разрешения. «Просто посмотрел» в портфолио не оправдание.

• Скриншоты с токенами и cookie.

• Разборы активных машин HTB.

• Эксплойты без пояснения, как закрыть уязвимость.

• Хвастовство «хакнул гос-сайт». Админы, которые считают код безопасным, это оценят, но не как достоинство. 😏

Чек-лист перед отправкой резюме

• Есть README с позиционированием: web, AD или OSINT.

• Минимум один образец отчёта в PDF.

• 3–5 write-up’ов по разрешённым целям.

• Профили HTB и THM со ссылками.

• Блог или статьи, ведущие на GitHub.

• Явно прописано, что всё тестировалось в лабе или в рамках программ.

• На собеседовании ты можешь за 5 минут рассказать любой проект и показать, как исправить найденное.

И помни: в этичном хакинге выигрывает не тот, кто громче «взломал», а тот, у кого есть скоуп, отчёт и репутация.