В целом, всё верно, но ещё бы добавил, что для старта полезно освоить основы сетей и немного Linux. Без этого пентестить будет сложно, даже если инструменты знать. И главное — постоянно практиковаться, на простых легальных задачах. Это реально помогает быстрее понять, что и как работает, а не просто читать теорию.