经常有同学问关于网络安全学习的问题,还有学习方向的选择问题,学什么不学什么等等,由于存在以下三个问题,所以经常会感到迷茫,想学习无从下手。
- 急功近利
每个人进入安全行业的时候都有问题和诱惑,比如某些排行榜,看着大佬们挖洞那么容易,肯定也会羡慕;各大CTF比赛,别人团队突破那么多题目,自己智能做个签到题;各种黑客大会,大佬们展示自己挖到的0day漏洞,什么浏览器、什么路由器、什么系统漏洞这些CVE编号,会问自己怎么不行。
安全圈也是一个江湖,有江湖的地方就会有排行榜,就会有大佬和菜鸟,每一个菜鸟都想成为大佬,如何成为大佬就是菜鸟们最关注的问题。所以就涌现出好多的急功近利者,这个知识点没有弄清楚,就去看另外一个知识点;普通的漏洞都没有挖到过,还想要去挖0day漏洞,期望可以通过这种方式成为大佬,脱离菜鸟的队伍。
任何学习参考、学习路径和方向,都不能让你直接成为大佬,基础一定是自己努力后的结果。大家从小就听过拔苗助长的故事,不符合发展规律的方式只会让你根基不稳,虽然学了很多花拳绣腿的东西,真正实战的时候根本无法解决问题。最后还是靠自己扎实的学习,解决问题的能力在社会上立足。
所以急功近利的心态一定不能有,别人的成功不是一朝一夕的事情,踏踏实实的学习,安全相关的基础不能丢!
- 眼高手低
安全圈算是互联网里比较小的一个群体,这个群体在用户的眼里还是很神秘的,比如大家都知道黑客、病毒这类词语,对于安全从业者的认识也是从新闻中一些xxx黑客入侵了xxx,哪些电脑中了xxx病毒,电脑卡,文件被锁等等。在圈子里,存在一个顺口溜:唬得住 50k、唬不住 5k,解释一下就是在找安全工作的时候,面试好了可以要 50k,面试不好可以要 5k,说明安全行业没有一个好的标准去评判一个人的能力水平,公司企业懂安全的人也比较少,大量的面试官是没有能力识别安全人员的水平到底怎么样的。
为什么会说眼高手低呢?因为面试主要看聊的怎么样,往往你看的资料多,啥都说一说,就能唬住大量的面试官,不可能让你实战去搞一个网站,人都是趋于懒惰的,能不动手尽量不动手,能看懂技术文章就认为自己会了,而不去亲自实践,这也是大量的安全初学者喜欢看视频学习的原因,讲师在视频里搭建环境,测试教学,学员看完就觉得学会了,自己并不会去实践,然而这种学习方式是非常不可取的,一方面记忆是个问题,用不了多久就忘了,另一方面在自己解决问题的时候,遇到问题发现一脸懵逼,老师就是这么操作的,为啥我会有问题呢?最后还是要自己去研究原理,或者主动搜索解决办法,解决前辈的经验。
技术不是理论,看一看就行,技术对于动手能力的要求是非常关键的,理论指导实践,没有理论你就没有方向,没有技术你没法解决实际问题,我们作为安全技术的人才,实践动手能力不可缺,能动手就不要光看,别人说的不一定对,相信自己的操作,一定要实操验证,不能人云亦云,真理是实践出来的。
- 三心二意
在学习web安全的时候,看到很多公众号在发内网渗透的技术和文章,又觉得自己内网方面啥都不会,很焦虑,这就是三心二意惹的祸,吃的碗里看着锅里,在安全初学的时候一定要专注,先把一个领域研究透了,再去扩展其他方面,由浅入深的学习方法是可以复用的,一个方面学深,另一个方向再去学的时候会事半功倍,很容易做好。
安全行业的细分领域太多,每两年就会出一个新的概念,从最开始的渗透测试、web 安全,内网渗透到现在的红蓝对抗、威胁情报、移动安全、代码审计、态势感知等,对于安全初学者而言,最有吸引力的还是渗透和红蓝对抗,因为这两个方向是攻击领域的,也是突破权限最有成就感的事情,研究的技术都是最新最有用的,是走在安全技术的前沿的,也是学习和研究人数最多的。
在初学安全的时候,一定会经受各种各样的诱惑,时间和精力是有限的,如今的人才标准是 T 字型的人才,在一个方向深扎下去,可以体现自己的能力,然后扩展知识面,可以在多个领域发挥自己的作用,这样的人才是所有公司都想要的人才。
总结
关于学习这个事儿,每个人都有自己想法,没有一个通用的学习方法适合所有的人,我们能做的就是分享自己的一些想法和经验,希望可以帮助一些目前正在面临一些选择和迷茫的同学