确保未来安全：应对云安全的复杂性

云是业务运营的重要组成部分，它改变了组织扩展、创新和适应的方式。然而，其影响力日益增长的广度和深度不仅仅局限于商业领域。云环境是我们日常生活中不可或缺的一部分，负责存储和传输全球平民最敏感的数据。随着大量企业和个人利用云，此类环境现在成为攻击者的活跃游乐场也就不足为奇了。

与云环境保持同步的艰苦努力让许多首席信息安全官和安全从业人员彻夜难眠。云带来了一系列独特的安全复杂性，并且其不断的发展不断增加复杂性。

不断扩大的威胁格局

云环境的广阔性和独特性，每个环境都具有广泛的应用程序和连接，并且具有各自的配置，这使得 IT
和安全团队越来越难以对其进行监控。这种复杂性增加了安全事件的风险，因为不正确的配置和开放 API
很容易被利用。威胁行为者经常寻找这些漏洞来进入组织的网络并获得对特权帐户的未经授权的访问。由于许多组织通常缺乏对其云环境的全面可见性，因此他们可能不知道自己的云已受到损害，从而使攻击者有更多时间收集大量数据。

随着越来越多的组织部署和利用更强大的云安全控制，网络犯罪分子正在创新并改变策略和技术来规避这些措施。根据最近的一份报告，Darktrace 在 2023 年
9 月 1 日至 12 月 31 日期间在其客户群体中发现了 1,040 万封网络钓鱼电子邮件，这些电子邮件旨在欺骗收件人共享敏感信息。在这些电子邮件中，有
38% 被发现利用了新颖的社会工程技术，这表明威胁行为者正在创新以改进他们的战术。

ChatGPT
等生成式人工智能工具的兴起，增加了不断变化的威胁形势的复杂性。人工智能极大地降低了攻击者的进入门槛，使不同技术能力水平的威胁行为者能够实施更大规模、更复杂的攻击。同一项研究显示，在观察到的网络钓鱼电子邮件中，28%
包含“大量文本”，这表明威胁行为者利用生成式 AI 工具帮助自动化社会工程活动，以创建越来越令人信服的网络钓鱼活动，从而对云安全构成更高的风险。

云安全的复杂挑战

云的可定制性也意味着一刀切的安全方法不再有效。云需要能够适应每个环境的特定需求的安全策略。

云环境是多层的，每个环境都有独特的配置，这为安全和 IT
团队监控和理解创造了一个困难的领域。不幸的是，目前关键网络安全专业人员的短缺为保护云安全增加了另一个障碍。ISC2最新的网络安全劳动力研究显示，尽管网络安全劳动力增长了近
10%，但对熟练专业人员的需求与供给之间的差距仍在扩大，近 400 万名专业人员的短缺创历史新高。尽管拜登-
哈里斯政府去年颁布了《国家网络劳动力和教育战略》等举措，不断努力缩小这一差距，但对熟练网络安全人才的需求仍远远超过供应，组织仍然感受到压力。

积极主动的安全策略

尽管外部和内部威胁带来了复杂性和风险，但云安全隧道的尽头还是有曙光。组织必须明白它需要一个独特的战略；尤其是当坏人越来越多地利用人工智能来突破边界时。从超越传统安全措施的主动方法开始，投资不旨在简化云的安全工具，而是利用其复杂性并利用其规模和复杂性可以帮助组织加强云安全。

这要求组织全面了解其云生态系统，包括用户行为、应用程序架构和潜在漏洞。组织必须投资于合格的 IT
和安全人员，他们实施先进的工具并构建强大的防御策略来保护其云环境。组织还应投资加速和扩大培训和学徒计划，以培养员工的网络安全意识文化。强烈的意识对于最大限度地减少人为错误的威胁和保护云环境至关重要。

除了熟练人才之外，组织还必须投资先进的解决方案，提供对现有和新兴威胁的洞察。人工智能驱动的解决方案可以提供对组织多云环境的动态可见性，从而实现威胁检测和响应的云原生方法。典型的静态安全解决方案仅在部署前提供云环境的快照，而忽略了集成后出现的实时威胁。人工智能驱动的安全解决方案可以实时精确地检测漏洞，使企业能够快速响应并防止业务运营中断。如果发生与云相关的事件，组织应该制定强大的事件响应计划，鼓励快速有效的响应，从而大大减少影响。网络弹性是整体网络安全战略中至关重要但经常被忽视的一部分。

虽然云对于业务创新和增长非常重要，但其重要性是一把双刃剑，网络攻击的可能性也随之增加。保护云环境很复杂，但在不断发展的数字时代至关重要。通过实施主动的安全策略、投资于熟练的网络安全人才并利用，借助人工智能驱动的安全措施，组织可以获得云的诸多好处，同时确保其环境免受先进的网络威胁。

关注公众号：网络研究观 获取更多信息

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。