Согласен, теория без практики — вроде учебник читать, а толку мало. Но без понимания основ легко запутаться или шаг влево сделать. Вот мой вариант — чётко понять, как работают атаки, и сразу ставить на тестовой среде, чтобы ощутить, как это реально происходит. И ещё: не забывать об обновлениях и базовых защитах — это кирпичики, без которых дом развалится.