Ce que j’aurais fait différemment pour apprendre la cybersécurité

Voilà comment j’apprendrais la cybersécurité si je pouvais recommencer à zéro

L’objectif de Neuralink est de créer une interface à haut débit avec le cerveau afin que nous puissions vivre en symbiose avec l’IA, un peu comme un Fitbit dans votre crâne avec de minuscules fils. Le domaine de la cybersécurité est passionnant.

Aujourd’hui, le parcours de vie attendu et préféré après le lycée est généralement le suivant :

• à 22 ans, vous obtenez votre licence,
• vous trouvez un emploi bien rémunéré,
• vous vous mariez,
• vous achetez une maison,
• vous avez des enfants,
• ou du moins c’était le cas avant l’inflation. Je sais que vous devez être frustré. Je peux le comprendre, mais c’est un autre problème.

Et bien, ce n’est pas ce qui m’est arrivé. J’ai obtenu mon diplôme d’études secondaires, j’ai commencé à travailler dans une grande surface, j’ai joué à World of Warcraft jusqu’à quatre heures du matin, et j’ai fait cela pendant environ un an avant de réaliser que je devais aller à l’université pour trouver un bon emploi. Je me suis donc inscrit dans un établissement d’enseignement supérieur local pour commencer des études en informatique. C’est vrai, j’ai commencé à coder.

Après avoir échoué en physique, pris un peu de temps pour moi, eu mon premier enfant, repris mes études, échoué en algèbre linéaire, pris une autre année sabbatique, eu un autre enfant et enfin découvert le programme de cybersécurité, j’ai dû recommencer mon cursus depuis le début. Puis, la Covid a frappé pendant mon dernier trimestre à l’université. Le marché de l’emploi semblait morose, j’ai donc décidé de créer une entreprise. Cela a fonctionné pendant environ un an et demi. J’ai gagné de l’argent, j’ai acheté une maison, j’ai eu un autre enfant. L’entreprise s’est effondrée, j’ai donc dû sortir mon diplôme et trouver un vrai travail.

Et j’ai beaucoup appris. Alors, que ferais-je si je devais recommencer, sachant ce que je sais maintenant ? Eh bien, une chose est sûre, j’ai appris que la cybersécurité n’est pas aussi facile à aborder que je le pensais. Il faut y consacrer du temps et mettre de côté tout ce qui vous procure de la joie.

Que ferais-je différemment ?

Eh bien, la première erreur que j’ai commise a été de ne pas choisir de niche dès le début. Quand j’ai commencé mes études en cybersécurité, j’étais évidemment complètement perdu. Je ne savais pas ce que je voulais faire de ma vie. Je ne savais pas quoi faire de mon diplôme, car je passais sans cesse d’un programme d’informatique à un autre. Mais une fois que j’ai commencé la cybersécurité, j’aurais dû choisir une niche dans ce domaine sur laquelle me concentrer.

Je pensais donc que connaître les bases du programme (ligne de commande Windows, commandes Linux, réseaux, vulnérabilités et exploits courants, et tout ce qui était enseigné dans mon cursus) suffirait. Que je pourrais obtenir mon diplôme et choisir un emploi dans le créneau de mon choix. Je ne pensais pas avoir besoin de perfectionner mes compétences tout au long du cursus.

Je pensais que les offres d’emploi allaient pleuvoir. À l’époque, je ne savais pas si je voulais travailler dans le domaine des réseaux ou devenir analyste en sécurité. Honnêtement, je ne savais même pas ce que faisaient les analystes en sécurité à l’époque. Peut-être que je voulais être administrateur de base de données et faire du SQL. Peut-être que je voulais travailler avec des pare-feu et devenir administrateur de pare-feu. Et je pensais que les tests d’intrusion semblaient être les plus amusants, comme tout le monde qui en entend parler. Peut-être que je deviendrais testeur d’intrusion une fois diplômé.

Maintenant, je sais que c’est un poste de niveau intermédiaire à supérieur et que je n’avais absolument aucune chance d’obtenir cela avec mon diplôme. Je vivais dans un monde imaginaire, je jouais à des jeux vidéo, je faisais mes devoirs à moitié et, honnêtement, je gaspillais tout mon temps libre.

Si j’avais su à quel point j’avais besoin d’apprendre et d’acquérir des connaissances pour avoir une chance d’obtenir ne serait-ce qu’un entretien d’embauche, j’aurais probablement fait plus d’efforts. J’aurais probablement suivi le programme Hack The Box, participé à des événements de type « capture the flag » et fait plus d’activités extrascolaires en dehors de mes cours. Je suis stupéfait de voir à quel point j’étais naïf à l’époque.

Donc, à moins de choisir une carrière très spécifique, vous allez vous retrouver coincé à apprendre beaucoup de choses basiques, comme je l’ai fait. Et lorsque vous finirez par choisir une voie, vous vous rendrez compte de toutes les connaissances spécifiques que vous devez acquérir et pour lesquelles vous devez consacrer du temps et de l’énergie afin d’apprendre comment obtenir ce poste.

Comment l’apprendre ?

Bon, j’aurais donc choisi un créneau plus tôt. Mais qu’aurais-je appris et comment l’aurais-je appris ? Eh bien, je peux vous dire une chose avec certitude, c’est que ma façon d’apprendre à l’époque était inefficace, voire très mauvaise.

Voici ce que j’ai fait à l’université : j’ai assisté aux cours, j’ai pris des notes environ 10 % du temps. Je n’ai pratiquement jamais utilisé ces notes. Honnêtement, je ne sais même pas pourquoi je les ai prises. J’ai fait les devoirs. Le lendemain, je ne me souvenais plus de ce que j’avais fait. J’ai bachoté la veille des examens, et un mois plus tard, j’avais tout oublié. Est-ce que vous avez fait la même chose ? Je ne suis pas le seul, n’est-ce pas ?

Eh bien, sans surprise, j’ai pratiquement tout oublié de ce que j’ai appris. Je pense que cela reste enfoui dans mon esprit et que cela me reviendra comme un rêve lorsque je serai en danger immédiat, comme une sorte de réaction de combat ou de fuite, mais au lieu de me battre, je crache des lignes de code folles.

Donc, si vous voulez éviter d’apprendre comme je l’ai fait, je vous recommande de suivre les cours Coursera. Oui, je sais ce que vous pensez, mais cela vous donnera un aperçu de la meilleure façon dont les humains apprennent et des aspects du processus d’apprentissage que vous négligez peut-être, ce qui vous empêche de retenir certaines informations et pourrait vous aider à apprendre plus rapidement.

J’ai immédiatement choisi cette voie

Bon, j’ai immédiatement choisi cette voie, sans attendre 10 ans, et maintenant, j’apprends comme un pro. Qu’est-ce que j’apprends ? Eh bien, vous allez vouloir commencer par apprendre le minimum d’informations dont vous avez besoin pour vous lancer dans la pratique.

Par exemple, vous ne pouvez pas participer à un concours de capture du drapeau si vous ne savez pas ce qu’est une ligne de commande. Mais une fois que vous aurez appris à vous familiariser avec les lignes de commande grâce à ma prochaine vidéo sur les lignes de commande Windows que vous devez tous connaître, vous pourrez participer à un concours de capture du drapeau et commencer à explorer, voir à quoi ressemble le concours et observer ce que font les autres. Cela devient une expérience plus pratique que vous retiendrez bien mieux que si vous étiez assis dans une salle de classe, à moitié attentif au professeur et à moitié endormi.

Il y a une différence entre apprendre à partir d’un livre et apprendre dans le feu de l’action, lorsqu’il y a quelqu’un qui essaie de s’introduire et quelqu’un d’autre qui essaie de défendre le château et de renforcer les murs. Les êtres humains ne sont pas seulement des banques de mémoire qui stockent des informations et les restituent. Nous apprenons à faire des choses afin de pouvoir les faire.

Que pourrais-je faire d’autre ?

Pour apprendre ces choses, j’ai bien sûr créé des logiciels malveillants farfelus, afin d’apprendre les tenants et les aboutissants des processus et des fichiers sous Windows, Mac ou Linux que je pouvais exploiter. Car quand j’ai quitté l’université, je ne savais pas vraiment comment m’introduire dans les systèmes. On nous a seulement enseigné quels outils nous pouvions utiliser pour pirater et comment nous vendre à une entreprise à l’aide de modèles, de graphiques et du concept de risque, ainsi que comment vendre le risque afin de pouvoir expliquer la nécessité de la cybersécurité dans cette optique.

C’est ce que je regrette d’avoir appris dans mon cours, et je pense que je n’aurais jamais dû avoir besoin d’apprendre cela. Si je pouvais changer le programme de cybersécurité, je le ferais. Mais de toute façon, la moitié des études universitaires ne servent qu’à faire de l’argent. Je pense notamment aux sciences humaines.

L’autre moitié concerne les aspects techniques. Les mathématiques discrètes, s’il vous plaît, supprimez-les. Vous n’en avez pas besoin. Nous ne sommes pas vraiment des codeurs. Toutes les mathématiques, vous pouvez les laisser de côté, sauf si je suis des cours sur le cryptage. Je n’ai pas besoin de connaître les algorithmes. Je n’ai encore jamais vu un spécialiste en cybersécurité souligner l’importance de connaître le calcul ou les statistiques. Quelle est la probabilité que j’utilise ce cours ? Zéro pour cent.

Rédaction technique : ChatGPT fait. Ce cours ne m’a absolument rien appris. Je n’ai fait que perdre mon temps. N’est-ce pas ? Des dissertations inutiles. Et puis, en quoi la biologie, la chimie et la physique vont-elles m’aider à trouver un emploi dans l’informatique ? Qu’en pensent les professeurs ? Quelqu’un ? Personne. Oui, c’est bien ce que je pensais. Personne ne peut l’expliquer.

Oui, vous voyez où je veux en venir. Il y a beaucoup de choses que vous n’avez pas besoin de savoir à l’université, ce qui est un énorme inconvénient, mais malheureusement, c’est quelque chose que j’ai dû endurer.

Faut-il quand même obtenir un diplôme ?

Curieusement, je recommande tout de même d’obtenir une licence, car notre société et le marché du travail sont tellement avides de diplômés. Tous ces responsables R.H. salivent devant les diplômes, alors que plus de la moitié des matières enseignées dans le cadre de ces diplômes n’ont même pas de rapport avec le poste à pourvoir. C’est comme un système de Ponzi, et le gouvernement paie simplement ces entreprises pour exiger un diplôme. C’est un sujet complexe, que nous aborderons une autre fois.

Mais la seule façon d’éviter ces cours inutiles est de trouver un meilleur diplôme et un meilleur programme de licence, ou tout au moins d’en trouver un qui ne comporte pas autant de matières inutiles. J’aurais cherché des cours en ligne comme ceux de la WGU ou d’autres établissements, car honnêtement, une licence est une licence. Et si vous pouvez obtenir ces diplômes en ligne en deux ou trois ans et ne pas être coincé dans ces programmes universitaires de quatre ans, alors c’est évidemment la voie à suivre.

Ou des certifications. Honnêtement, je choisirais probablement les certifications. J’ai l’impression que je pourrais atteindre ma position actuelle en bachotant pendant un an pour obtenir des certifications. L’université est formidable pour me motiver à aller en cours et à apprendre, mais sachant ce que je sais maintenant et à quel point les certifications sont supérieures, je choisirais sans hésiter les certifications si je devais recommencer à zéro aujourd’hui.

L’époque de mon ignorance juvénile est révolue depuis longtemps.

L’avenir de la cybersécurité et de l’IA

Bon, j’aurais donc choisi une voie, j’aurais appris plus efficacement et je n’aurais pas appris toutes les bêtises que j’ai dû apprendre pendant mes études. Eh bien, en plus de ne pas apprendre ces bêtises, je réalise maintenant qu’il faut apprendre plus que les bases.

Pourquoi ai-je besoin d’en savoir plus que les bases ? À cause de ceci : nous nous approchons rapidement soit d’une annihilation totale de la race humaine, soit d’une automatisation complète. Ainsi, les tâches de base telles que la détection et la correction des menaces pesant sur le réseau ou les terminaux sont en train d’être automatisées à l’aide de l’IA.

Dans mon travail actuel, nous disposons d’outils qui détectent les e-mails visant à collecter des identifiants. Ils vérifient et analysent le site web vers lequel mène l’URL et déterminent avec une grande précision s’il est malveillant ou non. S’il est malveillant, ils suppriment immédiatement l’e-mail de la boîte de réception. Et le mieux, c’est que seul un e-mail sur 200 environ est un faux positif, c’est-à-dire un e-mail inoffensif qui aurait dû être conservé dans la boîte de réception. C’est un très bon résultat.

Il existe également des outils qui bloquent les installations, les processus et les scripts qu’ils détectent comme malveillants. S’ils détectent quoi que ce soit de malveillant, ils bloquent le processus et mettent le fichier en quarantaine. Tout cela en informant la personne devant l’ordinateur de ce qui se passe. Ainsi, si elle ne comprend pas pourquoi son logiciel de jeu grayware s’installe, elle recevra un message.

C’est la direction que prend la cybersécurité : vers la révolution de l’automatisation et de l’intelligence artificielle. Et le travail des analystes en sécurité devient de plus en plus compliqué. Dans une vidéo précédente, quelqu’un a dit que cela n’avait aucun sens, que vous alliez être remplacé par l’intelligence artificielle. Ce serait vrai si je ne savais faire que les tâches de base que l’intelligence artificielle sera bientôt capable d’accomplir de manière plus efficace et efficiente que les humains.

Comment conserver notre emploi ?

Eh bien, nous devons continuer à apprendre comment ces outils fonctionnent afin de pouvoir accéder à un poste plus élevé, celui d’ingénieur analyste en sécurité. C’est là que les connaissances en matière de logiciels et de codage vont devenir plus importantes.

Il est difficile de savoir dans combien de temps les outils qui nécessitent une interaction humaine pour analyser seront remplacés par des outils d’IA. Mais ce que les gens ne comprennent pas lorsqu’ils disent des choses comme « dans deux ans, votre emploi sera obsolète », c’est à quel point il est difficile de réviser les outils de sécurité dans les organisations de taille moyenne à grande.

Il y a tellement d’engrenages dans la machine que si vous introduisez une IA dans l’environnement sans la tester correctement, celle-ci peut simplement se mettre en marche, saturer le réseau, mettre en quarantaine des terminaux ou même l’ensemble du réseau si elle n’est pas correctement réglée.

Je vais vous donner un exemple. Dans le cadre de mon dernier emploi chez un fournisseur de services gérés, nous fournissions des services à une entreprise dont plus de la moitié des cent employés utilisaient encore Windows 7. Et cela s’est produit l’année dernière, alors que Windows 11 était déjà disponible. Il faudra donc probablement entre 10 et 20 ans, si tout va bien, pour que toutes les entreprises adoptent ces outils d’IA.

Cela donne donc aux professionnels de la cybersécurité comme vous et moi le temps non seulement d’apprendre les bases, mais aussi d’apprendre le code machine et l’automatisation. Commencez à apprendre dès maintenant si vous le pouvez. Et si vous ne savez pas ce qu’est l’IA, faites une recherche sur Google.

Mais en gros, pour simplifier ma compréhension du sujet, l’IA n’est qu’un long algorithme de code programmé pour exécuter des tâches qui lui ont été assignées à l’avance, sur des millions d’itérations. Plus elle effectue d’itérations, plus elle devient efficace et performante.

Imaginez à quel point vous seriez doué si vous jouiez un million de fois aux échecs avec quelqu’un qui vous expliquait vos erreurs à chaque partie. C’est ça, l’IA, et elle peut jouer ces parties en quelques fractions de seconde, en fonction de sa puissance de calcul, bien sûr. Ajoutez maintenant l’informatique quantique à l’IA, et ces millions de parties peuvent être jouées en quelques fractions de seconde. C’est de la folie.

Alors oui, tirez parti de l’IA à votre avantage

Entrez du code et demandez : « Comment puis-je provoquer un débordement de tampon avec ce code ? » Il vous le dira en moins d’une minute, à condition que vous débloquiez la fonctionnalité Dan.

Et c’est tout. C’est ce que je ferais si je devais tout recommencer. J’espère que vous pourrez tirer les leçons de mes erreurs et en apprendre davantage que moi à mon âge avancé, alors que j’approche la quarantaine. Je ne peux que rêver que l’IA offrira une expérience virtuelle pour World of Warcraft où je pourrai vivre ma retraite en tant que guerrier d’Azeroth.

Oui, je choisirais donc un parcours professionnel, mais j’apprendrais à apprendre le plus efficacement possible, j’éviterais d’apprendre toutes les bêtises que l’on apprend dans un cursus classique de quatre ans, j’apprendrais les bases et je commencerais immédiatement à travailler sur des projets pratiques dès que possible, en veillant à ne pas m’arrêter d’apprendre après avoir acquis les bases, car l’IA arrive et elle vient pour nos emplois.

Foire aux questions

Pourquoi est-il important de choisir tôt un créneau dans le domaine de la cybersécurité ?

Parce que la cybersécurité est un domaine vaste et qu’essayer d’apprendre tout sans se concentrer sur un domaine particulier conduit à des connaissances superficielles. Choisir tôt une voie spécifique vous aide à développer les compétences approfondies et spécialisées nécessaires pour décrocher un véritable emploi.

Un diplôme universitaire est-il nécessaire pour faire carrière dans la cybersécurité ?

Si de nombreux services des ressources humaines exigent encore un diplôme de licence, une grande partie du programme d’études n’est pas pertinente. Les certifications ou les programmes en ligne spécialisés comme ceux proposés par la WGU peuvent constituer des alternatives plus rapides et plus pratiques.

L’IA va-t-elle remplacer les emplois dans le domaine de la cybersécurité ?

L’IA automatise des tâches basiques telles que la détection des menaces, mais la supervision humaine reste essentielle, en particulier dans les environnements complexes ou hérités. Les professionnels qui apprennent à travailler avec l’IA et développent des compétences de niveau ingénierie resteront pertinents.

Quelles activités pratiques sont les plus utiles pour apprendre la cybersécurité ?

Participer à des événements de type « capture the flag », utiliser des plateformes telles que Hack The Box et développer des projets tels que des logiciels malveillants (dans des environnements sécurisés) permettent d’acquérir une expérience pratique qui fait souvent défaut dans l’apprentissage en classe.

Faut-il encore apprendre à coder pour la cybersécurité ?

Oui, d’autant plus que les rôles évoluent vers l’ingénierie de la sécurité. Comprendre le code vous aide à analyser les menaces, à automatiser les tâches et à interagir efficacement avec les outils de sécurité basés sur l’IA.