Vom SOC Analyst zum Penetration Tester: ein realistischer Übergang

Warum dieser Übergang funktioniert

SOC Analysts sind besser für offensive Security positioniert, als sie denken. Du verstehst bereits, wie Angriffe in Logs aussehen, wie Detections versagen und wie Untersuchungen unter Druck verlaufen. Der Übergang heißt nicht, von null an Angreifen zu lernen. Er heißt, gezielt die Artefakte zu erzeugen, die du untersucht hast.

Der Mindset Wechsel ist real, aber begrenzt. Offensive Arbeit belohnt Geduld, methodische Enumeration und Berichtschreiben mehr als "Hacker" Energie. Die meisten dieser Eigenschaften existieren bereits in guten SOC Analysts. Wenn du noch früher in deiner defensiven Karriere stehst, beschreiben der SOC Analyst Karrierepfad und der Security+ zu OSCP Pfad die vorherige Stufe.

Warum defensive Erfahrung dich zum besseren offensiven Engineer macht

Die stärksten Junior Pentester im EU Markt sind heute nur selten frische CTF Spieler. Es sind SOC Alumni, die drei Dinge in den offensiven Sitz mitbringen: Wissen, was geloggt wird, Wissen, was übersehen wird, und die Disziplin, Dinge aufzuschreiben. Wenn du zwölf Monate Defender Alerts triagiert, Sysmon Event ID 1, 3 und 11 Ketten geparst und Sigma Regeln gebaut hast, weißt du bereits, welcher Mimikatz Aufruf welches Event produziert und welcher AMSI Bypass welche Spur hinterlässt.

Diese Detection Literacy wird zu Operator Wert, sobald du in einer Kundenumgebung bist. Du hörst auf, Techniken zu wählen, weil sie berühmt sind, und beginnst, Techniken zu wählen, weil sie zur SOC Posture passen, der du gegenüberstehst. Du weißt, dass ein Default Cobalt Strike Beacon von der Hälfte der in Europa verkauften EDRs erwischt wird. Du weißt, dass die Default Collection von BloodHound LDAP Traffic erzeugt, auf den jeder vernünftige Detection Engineer alarmiert. Du weißt, welche Kerberoasting Anfragen laut wirken und welche wie gewöhnliche Service Ticket Aktivität aussehen. Nichts davon steht in einem Lehrplan, aber alles steht in jedem offensiven Vorstellungsgespräch auf dem Tisch.

Der offensive Skill Stack, den dir fehlt (und wie du ihn baust)

Behandle den offensiven Stack als fünf eigene Oberflächen. Du wirst nicht alle fünf vor deiner ersten Rolle meistern, aber du solltest in dreien funktionierende Kompetenz zeigen können.

Webanwendungen. OWASP Top 10 ist der Boden, nicht die Decke. Der OWASP Web Security Testing Guide (WSTG) ist die Methodik, an der echte Beratungen ihre Arbeit ausrichten. PortSwigger Web Security Academy ist das Lab, das dich mit Burp Suite vertraut macht, einschließlich manueller Proxy Arbeit, Intruder, Repeater Workflow und Erweiterungen wie Autorize und Logger++. Plan: die apprentice und practitioner Labs abschließen und Burp Suite Certified Practitioner ablegen.

Active Directory. Hier finden die meisten internen Engagements statt. Du musst Kerberos, NTLM, ACL Missbrauch, GPO Missbrauch, Active Directory Certificate Services Angriffe (ESC1 bis ESC8) und Trust Beziehungen verstehen. Die CRTP und CRTS Module von HackTheBox Academy decken das Terrain ab. PNPT von TCM Security und CRTP von Altered Security sind glaubwürdige verwandte Zertifizierungen.

Netzwerk und Infrastruktur. Reflexartige Enumeration, Service Exploitation, Post Exploitation, Pivoting via Chisel oder Ligolo. OffSec PEN-200 und OSCP sind die offensichtlichen Ziele.

Mobile und Thick Clients. Eine kleinere Oberfläche, aber ein Differenziator. Frida, Objection, MobSF und der OWASP Mobile Application Security Verification Standard (MASVS) bilden das Toolkit.

Cloud. AWS, Azure und GCP Angriffspfade tauchen zunehmend in scoped Engagements auf. PwnedLabs, CloudGoat und die Azure AD Module von Pentester Academy sind die üblichen Trainingspfade.

Die Lab Sequenz, die Recruiter erkennen

Es gibt eine erkennbare Lab Progression, der Hiring Manager in EU Beratungen tatsächlich vertrauen. Sie sieht so aus: HackTheBox Academy Module für Technik, TryHackMe Paths für Breite, OffSec Proving Grounds Practice für OSCP Methodik, dann PEN-200 Lab Zeit vor dem OSCP Versuch. Füge 5 bis 10 retired HackTheBox Maschinen pro Monat mit vollständigen Markdown Write-ups in einem öffentlichen Repository hinzu. Die Write-ups zählen genauso viel wie die Maschinen. Pentest Hiring ist eine der wenigen Security Nischen, in denen ein öffentliches GitHub Portfolio von Lab Arbeit den Ausschlag gibt, weil der Hiring Manager deine Methodik lesen kann, bevor er dich trifft.

eJPT vs CPTS vs OSCP: Wahl deiner ersten offensiven Zertifizierung

Drei Credentials dominieren die Erst Zert Entscheidung. Der eLearnSecurity Junior Penetration Tester (eJPT) ist der günstigste und zugänglichste: eine praktische, szenario-basierte Prüfung, die nachweist, dass du auf Junior Level enumerieren, exploiten und pivoten kannst. Ein starkes CV Signal für einen SOC Analyst, der sich auf seine erste interne Red Team Rotation bewirbt.

Der HackTheBox Certified Penetration Testing Specialist (CPTS) liegt eine Stufe darüber. Strenger als eJPT, günstiger als OSCP, mit der praktischen Tiefe, die europäische Beratungen zunehmend anerkennen. Die Prüfung ist ein 10 Tage Pentest mit schriftlichem Bericht. Die nächstgelegene OSCP Generalprobe, die man kaufen kann.

OSCP von Offensive Security bleibt das anerkannteste Badge in den EU und UK Märkten. PEN-200 plus zwei bis drei Monate dedizierte Lab Zeit ist der glaubwürdige Pfad. CEH (EC-Council) und PenTest+ (CompTIA) stehen daneben als Multiple Choice Optionen, nützlich für compliance getriebene Arbeitgeber und Regierungsarbeit, aber mit weniger operativem Gewicht als OSCP. Siehe den OSCP Zertifizierungs Guide, CEH und das Security+ Fundament für Kontext.

Active Directory Angriffspfade, die du beherrschen musst

Du solltest einem Hiring Manager diese Pfade ohne Notizen erklären können. Initialer Zugang über Kerberoasting oder ASREPRoasting aus einem Low Privilege Konto. Lateral Movement mit PsExec, WMIExec und SMBExec unter einem gestohlenen NT Hash. BloodHound Graph Lesen, einschließlich Shortest Path Queries zu Domain Admins und Missbrauch von GenericAll, GenericWrite, WriteOwner und WriteDacl auf User, Group und Computer Objekten. Constrained Delegation Missbrauch, Resource-Based Constrained Delegation (RBCD), Unconstrained Delegation. Active Directory Certificate Services Angriffe, besonders ESC1 und ESC8. DCSync gegen einen Domain Controller mit Replikationsrechten. Mimikatz Operationen: sekurlsa::logonpasswords, lsadump::dcsync, lsadump::lsa, kerberos::golden und die parallelen Rubeus Equivalente. Pass-the-Ticket und Overpass-the-Hash. Die defensive Kehrseite ist das, was du aus dem SOC mitbringst: welche dieser Aktionen welchen Log auslöst.

Web Application Pentest Methodik (PTES + OWASP WSTG)

Der Penetration Testing Execution Standard (PTES) und der OWASP Web Security Testing Guide (WSTG) sind die beiden Methodik Referenzen, an denen sich deine Berichte orientieren sollten. PTES gibt dir die sieben Phasen (Pre-Engagement, Intelligence Gathering, Threat Modelling, Vulnerability Analysis, Exploitation, Post Exploitation, Reporting). WSTG gibt dir die Test Cases. Ein glaubwürdiger Web Pentest deckt Information Gathering, Configuration und Deployment Management, Identity Management, Authentication, Authorisation, Session Management, Input Validation, Error Handling, Cryptography, Business Logic und Client Side Testing ab. Burp Suite Pro ist das Arbeitstier. Manuell Requests im Repeater zu craften ist wertvoller, als mit Active Scan zu scannen.

Berichtschreiben ist die 50%, die niemand trainiert

Die Hälfte eines echten Pentest Engagements ist Schreiben. Das Deliverable ist ein Dokument, das zuerst eine Führungskraft liest, dann ein Entwickler im Detail, dann später ein Auditor. Jeder Finding braucht einen klaren Titel, einen Evidence Abschnitt mit Screenshots und Request und Response Beispielen, eine CVSS oder Risiko Bewertung mit Begründung, eine Business Impact Aussage in einfacher Sprache und Remediation Guidance, die das Entwicklungs oder Plattform Team tatsächlich umsetzen kann. Die OffSec OSCP Prüfung testet das direkt: 24 Stunden Testing gefolgt von 24 Stunden Reporting. Die meisten gescheiterten Versuche sind Reporting Fehlschläge, keine Exploitation Fehlschläge. Übe das Berichtschreiben für deine TryHackMe und HackTheBox Arbeit und lass es von einem Peer prüfen. Die Samples auf deinem GitHub werden gelesen.

Realistischer 12 Monats Übergangsplan

Monate 1 bis 3: PortSwigger Web Security Academy Apprentice und Practitioner Labs, Burp Suite Certified Practitioner Prüfung, eJPT. Monate 4 bis 6: HackTheBox Academy AD Module, 20 bis 30 retired easy und medium HackTheBox Maschinen mit Write-ups, BloodHound und Mimikatz Fluency in einem heimischen AD Lab. Monate 7 bis 9: OffSec Proving Grounds Practice (40 bis 60 Maschinen), PEN-200 Einschreibung, CPTS Versuch als glaubwürdige OSCP Generalprobe. Monate 10 bis 12: OSCP Prüfung, gezielte Bewerbungen bei internen Red Team Teams und Big Four Cyber Beratungen, CRTO oder OSWA als Folgesignal. Der vollständige Weg zum offensiven Sitz ist im Pentester Karriere Guide zusammengefasst.

Gehaltsrealität: SOC zu Junior Pentest zu Senior Pentest in der EU

EU SOC L1 Gehälter fallen typischerweise in das Band EUR 32.000 bis 40.000, mit Hubs wie Madrid, Lissabon und Warschau am unteren Ende und München, Amsterdam und Dublin am oberen Ende. Eine Junior Penetration Tester Rolle landet üblicherweise zwischen EUR 40.000 und 55.000, was bedeutet, dass der unmittelbare Sprung real, aber bescheiden ist. Die Kurve divergiert schnell: Mid Level Pentester mit OSCP und zwei bis drei Jahren Engagement Erfahrung erreichen üblicherweise EUR 55.000 bis 75.000, und Senior Pentester oder Red Team Leads mit OSCP, CRTO und OSEP überschreiten EUR 80.000 in den meisten EU Hauptstädten und überschreiten häufig EUR 100.000 in der Schweiz, in den Nordics und Teilen Großbritanniens. Vergleiche die Bootcamp Gehaltsergebnisse und ob das Bootcamp es wert ist für den Fundamentkontext.

Wo das Bootcamp passt

Wenn du noch defensive Grundlagen aufbaust, deckt das Unihackers Cybersecurity Bootcamp die SOC seitige Basis ab, die diesen Übergang realistisch macht. Das Pentesting Modul des Bootcamps (m10) führt offensive Technik gegen denselben Stack ein, den du in m7 und m8 verteidigst. Siehe die Lehrplan Aufschlüsselung für Modul Details.

Häufige Blockaden

Drei Muster erklären die meisten festgefahrenen Übergänge. Tools sammeln ohne Bericht Praxis. Tools zu kennen wiegt weniger, als zu wissen, wie man aufschreibt, was man gefunden hat. Die Pentester, die eingestellt werden, sind die, deren Berichte sich klar lesen. Web und AD überspringen. Der Großteil interner Pentest Arbeit berührt beides. Einen davon zu meiden reduziert den Rollenpool drastisch. OSCP zu früh angehen. OSCP belohnt Methodik und Ausdauer, nicht rohe Skill. Sammle erst genug Lab Stunden, sonst verbrennst du den Versuch.

Der Übergang ist begrenzt und glaubwürdig, wenn du ihn als bewussten Zwölfmonats Aufbau behandelst, nicht als Rebranding.