Je suis administrateur depuis 20 ans (15 ans professionnellement), principalement Unix avec un tiret de Windows comme requis. Depuis le début, j'ai tendance à jouer à l'administrateur paranoïaque, principalement parce que c'est pratique et instructif, pas parce que je pense que des pirates informatiques de l'autre côté du globe ciblent mes serveurs. ;-) La sécurité est vraiment une exigence d'administrateur système de facto , qui peut être pratiquée quotidiennement.
Vous ne spécifiez pas si vous souhaitez porter le badge officiel de "spécialiste de la sécurité" et faire des choses telles que des tests de stylo, un audit de conformité PCI, une réponse aux incidents (criminalistique, etc.) ou si vous voulez simplement être un administrateur avec une sécurité élevée des crédits pour vous aider à élargir vos possibilités de carrière et défendre les systèmes de haut niveau sous votre responsabilité.
Parmi les rares pairs que je connais dans la catégorie "officielle", le certificat CISSP a été le premier à être abordé et ils ont décroché des emplois décents à cause de cela (bien sûr, ils avaient plus de 10 ans d'expérience pratique, comme vous, pour le sauvegarder). Il y a des tonnes de matériel en ligne, en plus du matériel et des cours de formation officiels, pour évaluer votre compréhension du matériel.
Bien que les concepts puissent être appris et appliqués sur n'importe quelle plate-forme, je recommande personnellement Unix, car vous obtenez un accès de bas niveau à tout, avec l'avantage supplémentaire de pouvoir accéder facilement à ces informations via un shell distant: regarder des sessions tcpdump en direct, syslog entrées, journaux de serveur Web, snort dumps, vidage de la mémoire système en direct, vers un million d'autres outils open source pour jeter un œil et fouiller dans les entrailles d'un système en cours d'exécution.
Étant donné qu'Unix est une plate-forme idéale pour apprendre ce genre de choses, il s'ensuit facilement qu'un excellent moyen d'apprendre est de se jeter auprès des loups proverbiaux. Procurez-vous un VPS Linux ou FreeBSD d'entrée de gamme, un vrai VPS virtualisé (comme Xen) avec tout le "matériel" et l'accès administrateur dont vous aurez besoin pour simuler la vraie affaire dans un environnement Internet en direct et exposé.
Installez-vous avec un système vivant et fonctionnel. Lancez un serveur SMTP en direct, surveillez les robots de spam et recherchez les logiciels malveillants. Configurez un serveur Web et regardez les script kiddies essayer des attaques par injection SQL dans vos journaux Web et DB. Regardez vos journaux ssh pour les attaques par force brute. Créez un moteur de blog commun et amusez-vous à combattre les robots collecteurs de spam et les attaques. Découvrez comment déployer diverses technologies de virtualisation pour partitionner les services les uns des autres. Apprenez de première main si les ACL, MAC et l'audit au niveau du système valent le travail supplémentaire et les tracas par rapport aux autorisations système standard.
Abonnez-vous aux listes de sécurité du système d'exploitation et de la plate-forme logicielle que vous choisissez. Lorsque vous recevez un avis dans votre boîte de réception, lisez l'attaque jusqu'à ce que vous compreniez comment elle fonctionne. Corrigez les systèmes affectés, bien sûr. Vérifiez vos journaux pour tout signe qu'une telle attaque a été tentée et si elle a réussi. Trouvez un blog ou une liste de sécurité à votre goût et suivez-le quotidiennement ou hebdomadairement (selon le cas), en prenant le jargon et en lisant ce que vous ne comprenez pas.
Utilisez des outils pour attaquer et auditer vos propres systèmes, en essayant de casser vos propres trucs. Cela vous donne une perspective des deux côtés de l'attaque. Tenez-vous à la pointe de la mentalité du "chapeau noir" en lisant des articles et des présentations de conférences bien établies comme DEFCON. Les archives des dix dernières années à elles seules sont un trésor d'informations, encore valable.
Certes, je n'ai aucune certification et je ne facture pas les services de "spécialiste de la sécurité". Je fais simplement partie de ma routine quotidienne de suivre ce genre de choses pour devenir un meilleur administrateur. Que ce soit ou non les certs sont souhaités ou requis pour vos objectifs est mieux laissé à quelqu'un qui les a. Cependant, je crois qu'une approche pratique lourde est la meilleure façon d'apprendre ce genre de choses, et j'espère que certaines de mes suggestions donneront matière à réflexion.