一、零基础学网安
零基础学网安第一步先做好思想规划。要明确学网安的目的,是兴趣=兴趣还是兴趣=就业
二、如何选择适合自己的岗位?
针对这个问题,我们要分步骤来回答。
1、安全岗位分类
首先,我们一起来了解一下网络安全行业都有哪些岗位?你适合哪些岗位。
咱们新兴技术不做罗列,就算传统的安全岗位:安全产品工程师(或者售后工程师)、安全咨询师(售前工程师)、渗透测试工程师、销售、安全开发工程师、安全运维工程师、应急响应工程师、等级保护测评师、安全服务工程师。大体上这么多,其他小众岗位就不一一列举了。
2、安全岗位的大体工作内容或职责
售后工程师:安全产品的售后服务工作,包括安全产品的交付实施、售后支撑、产品调试上架。比如客户买了咱们的防火墙,咱们要派人去安装调试吧,总不能让客户自己去安装吧。这是产品工程师或者售后工程师的主要工作内容。
售前工程师:主要是协助销售完成跟单,说的通俗易懂一点就是跟销售配合,一个做商务关系(吃吃喝喝、送礼请客)一个做技术方案(解决客户的痛点),两个人配合拿下项目。
渗透测试工程师:这个岗位是大多数人梦寐以求的,展现个人技术的时候到了。主要是模拟黑客对目标业务系统进行攻击,点到为止。
销售:不再赘述,估计你们年轻的人也不太关心,但是等你成长了,你就会发现,你以前的对销售的认知是多么的扯淡。
安全开发工程师:嗯,就是搞开发,要对安全也要了解,比如开发一个web应用防火墙,连web攻击都不懂,那还开发个啥,闭门造车啊,能防的注吗?
安全运维工程师:一个单位买了那么多安全产品,肯定要有人做运维的,分析一下日志,升级一下策略。定期检查一下业务系统的安全性,查看一下内网当中有没有威胁,这都是安全运维工程师要做的内容。
应急响应工程师:客户业务系统被攻击,要快速定位安全问题,要快速恢复业务系统,有的甚至还要取证报警。(家里如果被偷东西价值太大,你还不报警?心咋这么大)
等级保护测评师:按照国家要求,重要的业务系统需要按照安全等级进行保护的,目前国家已经发布了等级保护2.0标准,要按照这个标准进行建设。等级保护测评师的工作就是协助客户检查一下业务系统是否满足等级保护的要求,不满足的赶紧整改。
安全服务工程师:好多企业把渗透测试工程师也归到安全服务工程师里面,无伤大雅。不懂安全服务,还不懂吃饭的服务员嘛,就是协助客户做好安全工作,具体的内容比如常见的漏洞扫描、基线检测、渗透测试、网络架构梳理、风险评估等工作内容。安全服务的面很大的,几乎涵盖了上述所有岗位的内容。
说了这么多岗位,把销售和开发踢出去,(大多数少年不关心这两个岗位),其他岗位咱们在划分一下,其实就是三个方向:安全产品方向、安全运营和数据分析方向、安全攻防和应急方向。除了这个方向,还有个未列出来的方向—安全管理方向,放心少年,这个方向你一时半会用不到,哪个公司傻乎乎的上来就让一个萌新去做安全管理?
3、公司招聘需求
那么问题来了?这三个方向学习的内容是一样的吗?
显然不一样,要不然分什么方向。这个就跟当年高中文理分科一样,问啥要分,因为内容太多,不同的人擅长点不一样,学习的内容那么多,时间那么少,要么压缩内容,要么拉长时间。
言归正传,这三个方向,在实际工作中需要哪些技能点?
安全产品方向:懂产品,如防火墙、上网行为管理、入侵检测/保护、网闸、vpn、数据库审计、堡垒机、抗拒绝服务、云防护产品、杀毒、准入、web应用防火墙、虚拟化安全产品等等。
安全运营和数据分析方向:安全服务、安全测评、风险评估、等级保护、ISO 27000、日志分析、威胁分析、soc运营等等。
安全攻防和应急方向:web攻防、系统攻防、内网渗透、应急响应、代码审计、移动apk监测、工控系统安全检测等等。
以技术方向举例,我们从招聘网站来看看各个公司对于安全人员的详细招聘需求:
2.1、渗透测试工程师:
任职要求汇总:
1)熟练掌握各种渗透测试工具并且对其原理有深入了解(不仅限于 Burpsuite、sqlmap、appscan、AWVS、nmap、MSF,cobalt strike 等等);
2)至少掌握一门开发语言,操作语言不限 C/C++、Golang、Python、Java 都可,要求至少能写代码;
3)熟练掌握常见的攻防技术以及对相关漏洞( web 或二进制)的原理有深入的理解;
4)具有丰富的实战经验可独立完成渗透测试工作;
5)能从防御者或者运维人员的角度思考攻防问题,对后渗透有深入了解者更佳;
6)至少熟悉Reverse、Pwn、Web、Crypto、Misc、Mobile其中一项;
7)对安全有浓厚的兴趣和较强的独立钻研能力,有良好的团队精神。
2.2、Web安全工程师
任职要求汇总:
1)计算机基础扎实,熟悉常用的数据结构和算法;
2)熟悉至少一门编程语言,具备扎实的编码能力;
3)熟悉浏览器的各项安全特性,对常见Web漏洞的攻防原理有深入理解;
4)熟悉常见Windows&linux、Web应用和数据库各种攻击手段;
5)熟悉网络安全测试方法、测试用例、漏洞判定准则;
6)熟悉渗透测试流程,了解常见的渗透测试工具的用法及原理;
7)有实际渗透测试经验,熟悉渗透测试各种提权方法;
8)熟悉常见脚本语言,能够进行WEB渗透测试,恶意代码检测和行为分析;
9)悉常见Web高危漏洞(SQL注入、XSS、CSRF、WebShell等)原理及实践,在各漏洞提交平台实际提交过高风险漏洞优先;
10)熟练使用各种安全扫描,渗透工具,有丰富的安全渗透经验并能能独立完成渗透测试;
11)掌握MySQL、MSSQL、Oracle、PostgreSQL等一种或多种主流数据库结构以及特殊性;
三、如何针对目标岗位学习提升?
看完这些,是不是差点被劝退了?
我觉得这是好事,如果你没考虑清楚是否要从事这个行业的话,劝你还是慎重选择。
虽然网络安全行业的市场需求大,但需求是对人才的需求,不是对人的需求,如果你还是想学习网络安全的话,那可以接着往下看,我给你出一个详细的自学路线图。网络安全入门学习路线
其实入门网络安全要学的东西不算多,也就是网络基础+操作系统+中间件+数据库,四个流程下来就差不多了。
1.网络安全法和了解电脑基础
其中包括操作系统Windows基础和Linux基础,标记语言HTML基础和代码JS基础,以及网络基础、数据库基础和虚拟机使用等…
别被这些看上去很多的东西给吓到了,其实都是很简单的基础知识,同学们看完基本上都能掌握。计算机专业的同学都应该接触了解过,这部分可以直接略过。没学过的同学也不要慌,可以去B站搜索相关视频,你搜关键词网络安全工程师会出现很多相关的视频教程,我粗略的看了一下,排名第一的视频就讲的很详细。
当然你也可以看下面这个视频教程仅展示部分截图:
学到http和https抓包后能读懂它在说什么就行。
2.网络基础和编程语言
3.入手Web安全
web是对外开放的,自然成了的重点关照对象,有事没事就来入侵一波,你说不管能行吗!
想学好Web安全,咱首先得先弄清web是怎么搭建的,知道它的构造才能精准打击。所以web前端和web后端的知识多少要了解点,然后再学点python,起码得看懂部分代码吧。
最后网站开发知识多少也要了解点,不过别紧张,只是学习基础知识。
等你用几周的时间学完这些,基本上算是具备了入门合格渗透工程师的资格,记得上述的重点要重点关注哦!
再就是,要正式进入web安全领域,得学会web渗透,OWASP TOP 10等常见Web漏洞原理与利用方式需要掌握,像SQL注入/XSS跨站脚本攻击/Webshell木马编写/命令执行等。
这个过程并不枯燥,一边打怪刷级一边成长岂不美哉,每个攻击手段都能让你玩得不亦乐乎,而且总有更猥琐的方法等着你去实践。
学完web渗透还不算完,还得掌握相关系统层面漏洞,像ms17-010永恒之蓝等各种微软ms漏洞,所以要学习后渗透。可能到这里大家已经不知所云了,不过不要紧,等你学会了web渗透再来看会发现很简单。
其实学会了这几步,你就正式从新手小白晋升为入门学员了,真的不算难,你上你也行。
4.安全体系
不过我们这个水平也就算个渗透测试工程师,也就只能做个基础的安全服务,而这个领域还有很多业务,像攻防演练、等保测评、风险评估等,我们的能力根本不够看。
所以想要成为一名合格的网络工程师,想要拿到安全公司的offer,还得再掌握更多的网络安全知识,能力再更上一层楼才行。即便以后进入企业,也需要学习很多新知识,不充实自己的技能就会被淘汰。
从时代发展的角度看,网络安全的知识是学不完的,而且以后要学的会更多,同学们要摆正心态,既然选择入门网络安全,就不能仅仅只是入门程度而已,能力越强机会才越多。
尾言
因为入门学习阶段知识点比较杂,所以我讲得比较笼统,最后联合CSDN整理了一套【282G】网络安全从入门到精通资料包,需要的小伙伴可以点击链接领取哦!
如果你对网络安全入门感兴趣,那么你点击这里👉CSDN大礼包:《黑客&网络安全入门&进阶学习资源包》免费分享