Дмитрий

Читайте статьи на сайтах разработчиков софта для пентеста и этичного хакинга - Acunetix, PortSwigger и других. Изучите OWASP и примеры реализации ошибок в веб. А книги слишком быстро устаревают, особенно в переводах на русский язык.

Все зависит от Компании. Во многих сейчас очень большая нехватка именно спецов в пентесте (тестированию на проникновение). Советую зарегистрироваться на HTB и Hacker One и оттуда начать изучать именно практику

Если сайт не участвует в bugbounty то лучше не стоит это раскручивать... А так стоит почитать про "iframe injection" и XSS.

Таких ресурсов очень много... Есть более или менее популярные: https://www.hackthis.co.uk/ , https://www.hackthissite.org/ , https://www.hellboundhackers.org , https://www.root-me.org/ , https://hack.me/ , https://www.hackthebox.eu/ и другие. И еще можно находить уязвимости и получать за это деньги: HackerOne, Bugcrowd

Сейчас попасть в ИБ лучше именно начиная участвовать в различных CTF и BugBounty. Вас заметят, если репутация будет соответствующая. Будут приглашать уже что-то из себя представляющих. Хотя и в маленькие конторки, которые только набираются опыта, тоже можно попасть, но все равно нужны знания и навыки.

По web'у посоветую курс на Stepic "Анализ безопасности веб-проектов". Основы он все дает и, к тому же бесплатно... Но еще посоветую купить подписку на журнал Хакер и HackTheBox с прохождениями и виртуалками для пентеста. При должном усердии вы уже будете на голову выше проходивших курсы по ИБ.

Сначала определитесь с темами: web-приложения, реверсинг, исследование малвари, мобильные приложения и т.п. А уже потом ищите материалы и обучения. По вебу сейчас достаточно уже информации, по другим темам все гораздо хуже... Советую посмотреть курс по веб-безопасности на Stepik "Анализ безопасности веб-проектов". Он полностью бесплатен.

- Нападение и защита web-приложений
- Реверс-инжиниринг
- Изучение вирусов и другой малвари
- Прописывание правил и политик Безопасности
- И много всего остального...

Начните с выбора специализации:
- Нападение и защита web-приложений
- Реверс-инжиниринг
- Изучение малвари
- Много всего другого...

Сейчас актуально почти все, т.к. уязвимостей полно и в существующих системах... Но дяди работают над АСУ ТП, IoT, "безопасность транзакций" и т.п. Но возьмите за основу OWASP и геморроя меньше и материала море!..

Говорят была атака на оборудование конечных пользователей Ростелекома... Были использованы старые прошивки сетевого оборудования и модемов. Хотя в реале сейчас трудно определить...

С теории и практики поиска уязвимостей! Теория без практики потраченное время впустую...

С поиска уязвимостей! Читайте про ошибки в программах и веб-приложениях... Их очень много! А теории полно и в книгах и на сайтах, но она устаревает либо просто теоретическая...

Официально наверное не получится... Смотря на кого нарветесь... Есть примеры негативных сотрудничеств вплоть до шантажа и угроз от "братков".
А так официально еще bugcrowd.com

Аналогично искал ответ на похожий свой вопрос... Отправлял со "своего" темного e-mail. Но даже "Спасибо" многие не пишут обратно... И естественно многие даже баги не правят! )) Что иностранцы, что свои...

Не на всех сайтах есть открытые редиректы. Посмотрите на сайтах с уязвимостями, может там есть и ваш сайт в списке. Как пример, openbugbounty.org

Есть много способов... Хранить данные в БД на сервере и при первом открытии приложения проверять доступ.
Хранить данные в локальной SQLite базе с хешами и солью и постоянно проверять доступы...

Начните сначала с выбора тематики ИБ... Сети, крякинг, анализ веб приложений, анализ безопасности мобильных приложений и т.д. Интересного много и главное инструментов еще больше. Поэтому советовать пока очень трудно.
С Университетом всегда так, актуального обучения пока в России почти нет... Тем более по информационной безопасности. Ну разве, что в Москве и то не во всех универах учат адекватные преподаватели... Много просто болтунов и старперов. Они мало что дадут и смогут посоветовать. Поэтому остается самообразование и правильные поисковые запросы