Pentestiportfolio 2026: 7 eettistä hakkerointiprojektia

Kyberturvaan murtautuminen vuonna 2026 kiteytyy edelleen näyttöön. Työnantajat haluavat nähdä, miten laajuus määritellään, miten testata tehdään ja miten riskiä kommunikoida – ei vain sen, että osaat ajaa työkaluja. Vahva pentesti-portfolio muuttaa uteliaat rekrytoijat innokkaiksi haastattelijoiksi, koska se näyttää todellisen päättelyn, todellisen näytön ja todellisen vaikutuksen.

Tässä oppaassa rakennat seitsemän käytännöllistä projektia, jotka vastaavat ydintaitoihin Aktiivinen Directorysta pilven IAM-virhekonfiguraatioihin. Jokaisessa projektissa kerrotaan, mitä tehdä, mitä näyttää ja miten paketoida tulokset niin, että GitHubisi ja ansioluettelosi kertovat selkeän, työvalmiin tarinan.

Miksi pentesti-portfolio voittaa yhä vuonna 2026

Rekrytiimit silmäilevät kymmeniä profiileja päivässä. He pysähtyvät, kun näkevät menetelmä, vaikutus ja selkeys. Se tarkoittaa selkeästi määriteltyä scopea, yhtä tai kahta ketjutettua exploittia sekä napakkaa johdon yhteenvetoa, jonka ei-tekninen sidosryhmä ymmärtää minuutissa.

Pidä portfoliosi tiiviinä ja luettavana. Käytä lyhyitä kappaleita, selkeästi nimettyjä kuvakaappauksia ja 30–60 sekunnin demoklippejä. Näytä jokaisesta korjauksesta ennen/jälkeen ja päätä yksinkertaiseen korjaussuunnitelmaan, joka todistaa ajattelevasi konsulttina.

Projekti 1: Active Directory -hyökkäys–puolustus kotilabra

Pystytä miniyritys, jossa on Domain Controller, kaksi Windows-asiakasta ja Linux-hyökkäyskone. Lisää tahallisesti heikkoja ACL:ia tai rajoittamaton delegation ja kulje hyökkääjän polku aloitusjalansijasta toimialueoikeuksien eskalointi ja dokumentoi, mitä blue-tiimi näkisi.

Keskity jokaisen siirron miksi-perusteluun. Tallenna Sysmon-lokeja, Event Viewer -jälkiä ja kevyt detektiomuistio, joka selittää, mikä telemetria vahvisti kompromissin. Päätä yhden sivun kovennussuunnitelmaan, joka vahvistaa identiteetit, palvelut ja delegation-ketjut.

Mitä näyttää: hyökkäyspolun kaavio, keskeiset komentokatkelmat ja red/blue-aikajana. Korostettava lopputulos: miten virhekonfiguraatiot kasvattivat riskiä ja miten korjaukset pienensivät sitä. Mentorointia rakentaessa katso Cybersecurity Bootcamp -ohjelman kurssi ja tuki.

Projekti 2: Verkkosovelluksen pentesti realistiseen kohteeseen

Kohtele tarkoituksella haavoittuvaa sovellusta kuin asiakaskeikkaa. Kirjoita lyhyt rules-of-engagement-dokumentti ja testaa puutteellinen käyttöoikeuksien hallinta, injektio ja tunnistautumisen heikkoudet. Ketjuta matalan tason auth-ohitus IDORiin päästäksesi arkaluonteisiin tietoihin ja näytä liiketoimintavaikutus selkeästi.

Selitä jokainen havainto kahdessa osassa. Ensin napakka tekninen yhteenveto pyyntö/vastaus-eroilla ja siistityillä payload-arvoilla. Toiseksi liiketoimintakäännös: ketä vahingoittaa, mitä menetettäisiin ja miten korjaus muuttaa riskimaisemaa.

Mitä näyttää: lyhyet PoC-GIFit, lopullinen taulukko priorisoiduista korjauksista ja secure-by-default-asetukset. Bonus: Vertaa korjausohjeitasi käytäntöihin, joita opit Web Development Bootcamp -ohjelmassa, jotta teet parempaa yhteistyötä kehittäjien kanssa.

Projekti 3: Langattoman verkon arviointi kontrolloidussa labrassa

Rakenna turvallinen langaton testialusta omalla access pointilla ja asiakaslaitteilla. Tarkista WPA2/WPA3-konfiguraatiot, kokeile kontrolloitua kaksoistukiasemahyökkäys ja todenna, altistavatko EAP-asetukset tai heikot salasanat helppoihin voittoihin.

Raportissa käsittele operatiivista todellisuutta huolellisesti. Korosta laillinen laajuus -rajausta, suostumusta ja turvakontrolleja. Anna lyhyt “omistajan opas” pienelle toimistolle: vahvat salasanalauseet, SSID-hallinta, firmware-päivitykset ja vierasverkot erillään kriittisistä järjestelmistä.

Mitä näyttää: pakettikaappaukset, työkaluista otetut merkityt kuvakaappaukset ja selkeä mitigointien tarkistuslista. Tavoite: osoita, että löydät ongelman, selität sen yksinkertaisesti ja autat maallikkoa korjaamaan pelottelematta.

Projekti 4: Pilven IAM-virhekonfiguraatio ja tallennuksen altistus

Luo minimaalinen AWS- tai Azure-tili ja virhekonfiguroi tarkoituksella yksi storage-bucket ja muutama IAM-politiikka. Enumeroi identiteetit, löydä eskalaatiopolut ja näytä, miten vähimmän oikeuden periaate estää tahattoman pääsyn arkaluonteisiin objekteihin.

Näytä koko kaari löydöstä puolustukseen. Sisällytä politiikan ennen/jälkeen, työkuormalle minimitarvittavat oikeudet ja pieni skripti, joka uudelleenauditoi poikkeaman aikataulussa. Pidä data keinotekoisena mutta realistisena ja vältä ylimääräisiä oikeuksia helppouden vuoksi.

Mitä näyttää: arkkitehtuuri- ja vaikutusaluekaaviot, CLI-jäljet ja tarkistuslista uusille projekteille. Korostettava lopputulos: ymmärrät shared-responsibility-mallin ja osaat coachata tiimejä turvallisempiin oletuksiin.

Projekti 5: Mobiilisovelluksen liikenne ja API-turvan katselmus

Käytä hallitsemaasi demo-sovellusta mobiili–API-ketjun tutkimiseen. Sieppaa liikennettä, arvioi token handling, testaa hintarajoituksia ja ID:n ennustettavuus. Vahvista certificate pinning ja tarkista, voiko arkaluonteiseen dataan päästä vaihtamalla objektien ID:itä.

Kerro tarina käyttäjän näkökulmasta. Mitä hyökkääjä voi tehdä ilman tunnuksia? Mitä muuttuu kirjautumisen jälkeen? Missä tokenit elävät ja kuinka kauan? Sido jokainen havainto konkreettiseen dev-toimeen, kuten vahvempiin palvelinpuolen tarkistuksiin tai kovennettuun tallennukseen.

Mitä näyttää: pyyntöjen kartat, token-elinkaarikaaviot ja rate-limit-testien tulokset. Toimitettava: API-riskirekisteri, jossa on vakavuus, hyödynnettävyys ja korjauksen ETA, jotta tiimit voivat tehdä tietoisen kompromissin.

Projekti 6: Kontituspinon supply chain ja ajonaikainen kovennus

Koosta pieni sovellus, jossa on käyttöliittymä, API ja tietokanta. Skannaa imaget tunnetuista CVE:istä, generoi SBOM ja lukitse ajoaika seccomp- tai AppArmor-profiileilla sekä vain luku -tiedostojärjestelmillä, kun mahdollista. Yritä labraan rajattua container-breakoutia ja dokumentoi, mikä sen estää.

Sillanrakennus kehityksen ja tietoturvan välillä vaatii empatiaa. Selitä, miten kehitysnopeus säilyy samalla kun alkuperä ja käytäntö varmistetaan. Kaappaa tarkat diff-muutokset Docker Compose- tai Kubernetes-manifesteissa, jotta arvioijat voivat toistaa lopputuloksen nopeasti.

Mitä näyttää: skannaustulokset kontekstilla, policy-pätkät ja “devistä prodiin” kovennuslista. Lopputulos: todista, että ajattelet rakentajana ja suojaat kuin hyökkääjä.

Projekti 7: Raportoinnin masterclass löydöstä hallituksen valmiiseen tarinaan

Valitse kaksi tai kolme vahvinta havaintoasi ja kokoa viimeistelty raportointipaketti. Aloita johdon yhteenvedolla, joka kertoo riskin selkokielellä, jatka toistettavilla teknisillä vaiheilla ja päätä priorisointimatriisi-taulukkoon ja retest-muistiinpanoihin.

Kunnioita lukijan aikaa. Pidä yhteenveto sivun mittaisena, käytä johdonmukaisia vakavuuskriteerejä ja näytä ennen/jälkeen-näyttöä, joka tekee edistymisestä ilmeistä. Tee visuaaleista luettavia läppärillä ilman zoomausta.

Mitä näyttää: tiivis paketti PDF- tai markdown-sivuja, muutospäiväkirja ja hyväksytyt korjausaskeleet. Tavoite: osoita viestintätaitoja, jotka avaavat luottamusta, budjettia ja toimeenpanoa.

Miten paketoit portfoliosi, jotta se luetaan

Jäsennä GitHub kuten konsultti jäsentää toimeksiannon. Ylätason README, joka selittää fokuksesi ja linkittää joka projektiin, ja projektikohtaiset kansiot: scope, method, evidence ja report. Lisää lyhyt etiikkahuomio ja poista kaikki arkaluonteinen data.

Pidä todiste tiiviinä ja visuaalisena. Lyhyt video voittaa tekstimuurin; selkeä kaavio voittaa tuhat sanaa. Käytä johdonmukaisia tiedostonimiä, kuville alt-tekstejä ja kuvatekstejä, jotka tekevät todisteista skannattavia kiireiselle arvioijalle.

Ohjattuun paketointiin, portfolioarvioihin ja harjoitushaastatteluihin tutustu Cybersecurity Bootcamp -ohjelmaan. Hiomme tarinankerrontaa yhtä paljon kuin tekniikkaa, jotta rekrytoijat muistavat työsi.

Käytännöllinen 4–6 viikon suunnitelma

Viikolla 1 pystytä AD-labra, määrittele scope ja aloita lokitus ajoissa, jotta “blue”-todiste on rikasta. Viikolla 2 viimeistele AD-hyökkäyspolku, luonnostele korjaukset ja aloita web-testi, jotta momentum säilyy eri domeeneissa.

Viikolla 3 kiillota web-raportti ja tartu joko langattomaan tai mobiiliin kiinnostuksen ja roolitavoitteiden mukaan. Viikolla 4 aja pilven IAM-labra ja committaa poikkeama-audit-skriptit, ja päätä viikot 5–6 kontti-kovennusprojektiin ja reporting masterclass -pakettiin.

Julkaise joka viikko lyhyt tilannepäivitys ja linkitä se README:hen. Tämä rytmi näyttää kurinalaisuutesi, viestii etenemisestä ja antaa rekrytoijille syyn palata.

Mitä rekrytoijat etsivät ja miten sen todistat

He haluavat menetelmä ennen työkaluja: selität, miksi askeleet merkitsevät, et vain mitä nappeja painoit. He haluavat päästä päähän -ajattelu: ketjutat löydöt liiketoimintavaikutukseen ja ehdotat korjauksia, jotka oikeasti pienentävät riskiä.

He haluavat myös viestintä: briiffaat kehittäjän klo 10 ja johtajan klo 16 muuttamatta ydinsanomaa. Lopuksi he katsovat etiikka: testaat vain omaa tai luvallista kohdetta ja kunnioitat turvallisia, laillisia rajoja.

Seuraava askeleesi: rakenna strukturoidusti, työllisty nopeammin

Jos haluat oikeasti aloittaa tai vaihtaa kyberturvaan vuonna 2026, rakenna valmennuksen kanssa, joka tiivistää oppimisen ja maksimoi rekrysignaalit. Vertaa aikatauluja, rahoitusta ja uratukea Cybersecurity Bootcamp -ohjelmassa tai selaa kaikkia kursseja.

Rakenna projekteja, jotka työnantajat tunnistavat. Kerro tarina, jonka he muistavat. Muunna se tarina ensimmäiseksi tarjoukseksi – Code Labs Academy tukenasi.