网络安全

网络安全就业方向

什么是网络安全

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不因偶然的或者恶意的原因而遭受到破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。具有保密性、完整性、可用性、可控性、可审查性的特性。

网络安全行业如何区分?网络安全岗位到底有哪些?不同网络安全岗位的技术需求和岗位职责有什么区别?适合我们的网络安全岗位又有哪些?有哪些公司在招聘安全人才?安全行业企业有哪些及薪酬如何?

1. 安全行业到底有多少领域?具体在做什么?区别与联系是什么?

根据不同的安全规范、应用场景、技术实现等,安全可以有很多分类方法,在这里我们简单分为网络安全、Web安全、云安全、移动安全(手机)、桌面安全(电脑)、主机安全(服务器)、工控安全、无线安全、数据安全 等不同领域。下面以个人所在行业和关注点,重点探讨网络/Web/云这几个安全方向。

1, 网络安全

[网络安全] 是安全行业最经典最基本的领域,也是目前国内安全公司发家致富的领域,例如启明星辰、绿盟科技、天融信这几个企业(“老三大” )。这个领域研究的技术范畴主要围绕防火墙/NGFW/UTM、网闸、入侵检测/防御、VPN网关(IPsec/SSL)、抗DDOS、上网行为管理、负载均衡/应用交付、流量分析、漏洞扫描等。通过以上网络安全产品和技术,我们可以设计并提供一个安全可靠的网络架构,为政府/国企、互联网、银行、医院、学校等各行各行的网络基础设施保驾护航。

大的安全项目(肥肉…)主要集中在以政府/国企需求的政务网/税务网/社保网/电力网… 以运营商(移动/电信/联通)需求的电信网/城域网、以银行为主的金融网、以互联网企业需求的数据中心网等。以上这些网络,承载着国民最核心的基础设施和敏感数据,一旦泄露或者遭到非法入侵,影响范围就不仅仅是一个企业/公司/组织的事情,例如政务或军工涉密数据、国民社保身份信息、骨干网络基础设施、金融交易账户信息等。

当然,除了以上这些,还有其他的企业网、教育网等也需要大量的安全产品和服务。网络安全项目一般会由网络安全企业、系统集成商、网络与安全代理商、IT服务提供商等具备国家认定的计算机系统集成资质、安全等保/分保等行业资质的技术单位来提供。

[技能需求]

· 网络协议:TCP/IP、VLAN/Trunk/MSTP/VRRP/QoS/802.1x、OSPF/BGP/MPLS/IPv6、SDN/Vxlan/Openflow…

· 主流网络与安全设备部署:思科/华为/华三/锐捷/Juniper/飞塔、路由器/交换机、防火墙、IDS/IPS、VPN、AC/AD…

· 网络安全架构与设计:企业网/电信网/政务网/教育网/数据中心网设计与部署…

· 信息安全等保/分保理论、金土/金税工程…

……

[补充说明]

· 1、不要被电影和新闻等节奏带偏,战斗在这个领域的安全工程师非常非常多,不是天天攻击别人写攻击代码写病毒的才叫做安全工程师;

· 2、这个安全领域研究的内容除了defense(防御)和security(安全),相关的Hacking(攻击)技术包括协议安全(arp中间人攻击、dhcp泛洪欺骗、STP欺骗、DNS劫持攻击、HTTP/VPN弱版本或中间人攻击…)、接入安全(MAC泛洪与欺骗、802.1x、WiFi暴力破解…)、硬件安全(利用NSA泄露工具包攻击知名防火墙、设备远程代码执行漏洞getshell、网络设备弱口令破解.. )、配置安全(不安全的协议被开启、不需要端口服务被开启…)…

· 3、学习这个安全方向不需要太多计算机编程功底(不是走研发路线而是走安全服务工程师路线),更多需要掌握常见安全网络架构、对网络协议和故障能抓包分析,对网络和安全设备能熟悉配置;

1.2 Web安全

Web安全领域从狭义的角度来看,就是一门研究[网站安全]的技术,相比[网络安全]领域,普通用户能够更加直观感知。例如,网站不能访问了、网站页面被恶意篡改了、网站被黑客入侵并泄露核心数据(例如新浪微博或淘宝网用户账号泄露,这个时候就会引发恐慌且相继修改密码等)。当然,大的安全项目里面,Web安全仅仅是一个分支,是需要跟[网络安全]是相辅相成的,只不过Web安全关注上层应用和数据,网络安全关注底层网络安全。

随着Web技术的高速发展,从原来的[Web不就是几个静态网页吗?]到了现在的[Web就是互联网],越来越多的服务与应用直接基于Web应用来展开,而不再仅仅是一个企业网站或论坛。如今,社交、电商、游戏、网银、邮箱、OA…..等几乎所有能联网的应用,都可以直接基于Web技术来提供。

由于Web所承载的意义越来越大,围绕Web安全对应的攻击方法与防御技术也层出不穷,例如WAF(网页防火墙)、Web漏洞扫描、网页防篡改、网站入侵防护等更加细分垂直的Web安全产品也出现了。

· 参考课程:《鹰客网络安全》。

[技能需求]

Web安全的技能点同样多的数不过来,因为要搞Web方向的安全,意味初学者要对Web开发技术有所了解,例如能通过前后端技术做一个Web网站出来,好比要搞[网络安全],首先要懂如何搭建一个网络出来。那么,Web技术就涉及到以下内容:

· 通信协议:TCP、HTTP、HTTPs

· 操作系统:Linux、Windows

· 服务架设:Apache、Nginx、LAMP、LNMP、MVC架构

· 数据库:MySQL、SQL Server、Oracle

· 编程语言:前端语言(HTML/CSS/JavaScript)、后端语言(PHP/Java/ASP/Python)

如果按照上面的技能全部学完,不仅时间周期非常长,估计大部分人连学后面安全的兴趣都没有了。所以,这就说到Web安全这个行业另外一个常态了:大部分做Web安全的,并不是刚开始就对Web开发技术非常熟悉的,很多都是半路杀出来了,甚至连Web网站都没有架设过的,这种大有人在。因此有更加狭义的Web安全技术点:

· 安全理论:OWASP TOP 10 、PETS、ISO 27001…

· 后端安全:SQL注入、文件上传、Webshell(木马)、文件包含、命令执行…

· 前端安全:XSS跨站脚本攻击、CSRF跨站请求伪造…

· 安全产品:Web漏洞扫描(Burp/WVS/Appscan)、WAF(Web应用防火墙)、IDS/IPS(Web入侵防御)、Web主机防护

因此,Web开发技术和Web安全技术其实是相辅相成的,如果对Web开发比较熟悉,意味着研究Web安全时能够更加底层,而不止于安全工具和脚本层面。

[补充说明]

· 1、学习Web安全方向需要有一定的编程基础,如果对代码没兴趣,建议走[网络安全]方向;

· 2、[网络安全]和[Web安全]在安全领域里面刚好是对立面存在,一硬一软、一防一攻、一上(上层)一下(底层);


1.3 终端安全(移动安全/桌面安全)

移动安全主要研究例如手机、平板、智能硬件等移动终端产品的安全,例如iOS和Android安全,我们经常提到的“越狱”其实就是移动安全的范畴。而近期爆发的危机全球的Windows电脑蠕虫病毒 - “WannerCry勒索病毒”,或者更加久远的“熊猫烧香”,便是桌面安全的范畴。

桌面安全和移动安全研究的技术面都是终端安全领域,说的简单一些,一个研究电脑,一个研究手机。随着我们工作和生活,从PC端迁移到了移动端,终端安全也从桌面安全迁移到移动安全。最熟悉不过的终端安全产品,便是360、腾讯、金山毒霸、瑞星、赛门铁克、迈克菲McAfee、诺顿等全家桶……

从商业的角度看,终端安全(移动安全加桌面安全)是一门to C的业务,更多面向最终个人和用户;而网络安全、Web安全、云安全更多是一门to B的业务,面向政企单位。举例:360这家公司就是典型的从to C安全业务延伸到to B安全业务的公司,例如360企业安全便是面向政企单位提供安全产品和服务,而我们熟悉的360安全卫士和杀毒则主要面向个人用户。

1.4 云安全

[云安全] 是基于云计算技术来开展的另外一个安全领域,云安全研究的话题包括:软件定义安全、超融合安全、虚拟化安全、机器学习+大数据+安全….. 目前,基于云计算所展开的安全产品已经非常多了,涵盖原有网络安全、Web安全、移动安全等方向,包括云防火墙、云抗DDOS、云漏扫、云桌面等,国内的腾讯云、阿里云已经有相对成熟的商用解决方案出现。

云安全在产品形态和商用交付上面,实现安全从硬件到软件再到云的变革,大大减低了传统中小型企业使用安全产品的门槛,以前一个安全项目动辄百万级别,而基于云安全,实现了真正的按需弹性购买,大大减低采购成本。另外,云时代的安全也给原有行业的规范和实施带来更多挑战和变革,例如,托管在云端的商用服务,云服务商和客户各自承担的安全建设责任和边界如何区分?云端安全项目如何做信息安全等保测评?

[补充说明]

1、安全发展趋势:从硬件到软件再到云安全、从被动防御到主动防御、从单点到全局

2、安全的未来:“机器学习+大数据+ 云安全” 或 “AI + 安全”,会不会成为行业终点?(举例:越来越多的服务直接基于云展开,以云服务商为代表的阿里云/腾讯云对其他安全企业的跨界打击)

3、求职情况:目前国内的云服务厂商在不断挖角传统网络安全厂商的人才(无论是研发还是工程实施),而且已经到了批量挖角的局面(具体哪里的,这里暂时就不提了...)

1.5 工控安全

以震网病毒(stuxnet)攻击伊朗核电厂并使其瘫痪的全球事件,从安全领域活生生撕开一道口并告诉我们,工控病毒才是真正代替核武器战争的代表。相比其他安全方向,工控安全研究的攻防对象是工业基础设施,真正影响人类生活的方方面面,例如核电、电力、水力、城市交通等基础设施。随着万物互联/物联网的进程不断推进,工控安全会成为我们继互联网和移动互联网安全之后研究的重心。

2. 安全行业到底有多少岗位?技术需求和岗位职责是什么?适合我们的安全岗位又有哪些?

2.1 安全岗位

以安全公司招聘的情况来分,安全岗位可以以研发系、工程系、销售系来区分,不同公司对于安全岗位叫法有所区分,这里以行业常见的叫法归类如下:

· 研发系:安全研发、安全攻防研究、逆向分析

· 工程系:安全工程师、安全运维工程师、安全服务工程师、安全技术支持、安全售后、Web渗透测试工程师、Web安全工程师、应用安全审计、移动安全工程师

· 销售系:安全销售工程师、安全售前工程师、技术解决方案工程师

2.2 适合我们的岗位有哪些?

安全目前主要应聘的岗位是:安全工程师、安全运维、安全服务工程师、Web渗透测试、Web安全工程师,当然,也有部分学员在做安全研发和安全售前岗位。

例如在安全公司如绿盟科技、深信服、360、天融信等做安全工程师、安全服务、渗透测试等岗位,在甲方单位例如运营商(中国移动、中国电信)、金融类公司(平安科技、招商银行)等更多做安全运维、Web应用审计、Web渗透测试等岗位

2.3 常见的安全岗位职责

这里仅列举部分,更多岗位可以到各类招聘网站如[拉勾网]上搜索相关的岗位,也可以了解不同类型公司对安全岗位的要求;也可以到知名安全公司的官网、微信公众号上了解他们校招和社招的信息;以下是我们鹰客安全在企业招聘/内推的比较多的岗位,直接贴他们的招聘需求=>


[安全工程师](产品与售后方向) 职位描述

负责网络安全项目中的产品调试和交付

负责网络安全项目中的技术方案编写

负责客户的安全应急和售后驻场

职位要求

具备扎实的计算机与网络原理,熟悉各类网络与安全设备(路由、交换、防火墙、VPN、漏洞扫描)

对网络数据包具备分析实践能力,熟练使用数据包分析工具;

熟悉常见网络通信协议(TCP/IP、交换路由协议、VPN协议等)

熟悉防火墙原理,能够熟练配置防火墙策略;

熟悉主流网络与安全厂商产品(思科/华为/华三/Juniper…)

较好的文档撰写能力、语言表达和与沟通能力。


[安全服务工程师] 职位描述

负责安全服务项目中的实施部分,包括:漏洞扫描、渗透测试、安全基线检查、代码审计、应急响应等;

爆发高危漏洞后时行漏洞的分析应急;

对公司安全产品的后端支持;

掌握专业文档编写技巧;

关注行业态势和热点。

职位要求

掌握一门及以上编程语言;

熟悉常见安全攻防技术;

有较强学习能力,能快速学习新的技术;

熟悉风险评估、应急响应、渗透测试、安全加固等安全服务;

具有良好的语言表达能力、文档组织能力。


[安全运维工程师] 职位描述

服务器与网络基础设备的安全加固;

安全事件排查与分析,配合定期编写安全分析报告,专注业内安全事件;

跟踪最新漏洞信息,进行业务产品的安全检查;

负责信息安全策略/流程的制定,安全培训/宣传及推广;

负责Web漏洞和系统漏洞修复工作推进,跟踪解决情况,问题收集。

职位要求

熟悉主流的Web安全技术,包括SQL注入、XSS、CSRF等OWASP TOP 10安全风险;

熟悉TCP/IP协议,路由交换、常用的应用层协议;

熟悉Linux/Windows下系统和软件的安全配置与加固;

熟悉常见的安全产品及原理,例如IDS、IPS、防火墙等;

熟练掌握C/PHP/Python/Shell等一或多种语言;

较好的文档撰写能力、语言表达和与沟通能力。


[Web安全工程师/渗透测试] 职位描述

对公司各类系统进行安全加固;

对公司网站、业务系统进行安全评估测试(黑盒、白盒测试);

对公司安全事件进行响应,清理后门,根据日志分析攻击途径;

安全技术研究,包括安全防范技术,黑客技术等;

跟踪最新漏洞信息,进行业务产品的安全检查。

职位要求

熟悉Web渗透测试方法和攻防技术,包括SQL注入、XSS跨站、CSRF伪造请求、命令执行等安全漏洞与防御;

熟悉Linux、Windows不同平台的渗透测试,对网络安全、系统安全、应用安全有深入的理解和自己的认识;

熟悉国内外主流安全工具,包括Kali Linux、Metasploit、Nessus、Nmap、AWVS、Burp、Appscan等;

至少掌握一门编程语言C/JS/Python/PHP/Java/JS等;

对Web安全整体有深刻理解,有一定的代码审计和漏洞分析和挖掘能力;

具有较强的团队意识、高度的责任感,有良好的文档和沟通能力;

2.4 安全岗位总结

走安全行业的工程方向的,技术上面其实有很大的重叠性,抛开甲乙方、岗位名称、岗位职责等因素来看,作为学技术的,也根据以往我们给学员推荐就业和入职情况来看,只要好好掌握以下几种技术(网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言)中的2到3个,都可以较好的胜任工作需求。

当然,从行业新人入职到真正通往大神,这里是“0到1”和“1到100”的区别了,到了工作场景中,能否根据工作需求,再横向和纵向拓展个人技术栈,这块修行就完全靠个人了,例如,这边毕业的学员,有从安全运维和售后转向安全渗透岗的,有从安全渗透岗转到安全研发的,有从安全公司跳到互联网公司的,有从互联网公司跳到安全初创企业的……)

3. 有哪些公司在招聘安全人才?薪酬标准是如何的?安全行业的薪酬标准是如何的?去哪里如何找到合适的安全公司和岗位

3.1 有哪些公司在招聘?

安全工程师已经成为一个必选项,所以已经没法再一一列举出来了,无论是互联网公司,还是网络与安全公司,还是银行、运营商、政府等,都需要安全人才加入,例如以下安全公司。

· 网络安全公司:360企业安全、绿盟科技、天融信、启明星辰、深信服、蓝盾科技、网康、斗象科技(Freebuf)、华为、锐网络……

· 互联网公司:腾讯(安平部安全实施-DDOS方向)、YY(安全研发)、4399(安全运维)…..

· 运营商/国企:中国移动(安全运维)、中国电信(安全运维)、平安科技(安全运维)…….

· 系统集成商:神州数码(F5工程师)、华讯网络(安全项目部署、亚信科技(安全运维)、中通服科技(安全售后与交付)…….

相关招聘链接

知乎:https://www.lagou.com/jobs/2404127.html?

阿里:https://job.alibaba.com/zhaopin/index.htm

百度:https://www.lagou.com/jobs/2568043.html

source=position_rec&i=position_rec-1

360:http://campus.chinahr.com/2017/360/

绿盟:http://campus.51job.com/lvmen0823_7058wh/3_5.html

启明:https://www.lagou.com/gongsi/j9231.html

深信服:https://www.lagou.com/gongsi/182070.html#company_navs

3.2 安全行业薪酬情况

薪酬这块,根据岗位的入职薪酬来看,一般都是遵循:【安全研发> 安全服务/渗透测试/Web渗透 > 安全售后/安全技术支持】。当然,不同类型的公司,发展过程中给出的薪酬也会有所差异,广深地区这边,根据学员入职安全岗位的整体情况来看,【互联网公司> 网络/安全公司 ≈ 运营商/国企 > 系统/安全集成商 】,薪酬(大学生应届毕业)上面主要分三个档(月薪):6到8k,8到10k、10到12k;从这几年的安全薪酬趋势来看,应届刚入职的这个行业的起薪越来越高了,想起2013年广州这边的学员刚入职某知名安全公司,那个时候是5k,而现在是9k,也有部分特例例如拿到某信服安全攻防岗18w年薪的….

除了入职薪酬,如果要看发展势头和未来增长性的话,建议还是直接到类似拉勾网(智联、51Job)之类的招聘网站,或者到企业的官网招聘页面,搜索以上所聊到的岗位名称或者公司,看他们的招聘需求,例如1到3年和3到5年不同工程师等级的薪酬差别,也可以给自己定一个小目标。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 203,456评论 5 477
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 85,370评论 2 381
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 150,337评论 0 337
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 54,583评论 1 273
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 63,596评论 5 365
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 48,572评论 1 281
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 37,936评论 3 395
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 36,595评论 0 258
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 40,850评论 1 297
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,601评论 2 321
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 37,685评论 1 329
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 33,371评论 4 318
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 38,951评论 3 307
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 29,934评论 0 19
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,167评论 1 259
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 43,636评论 2 349
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 42,411评论 2 342

推荐阅读更多精彩内容

  • 渐变的面目拼图要我怎么拼? 我是疲乏了还是投降了? 不是不允许自己坠落, 我没有滴水不进的保护膜。 就是害怕变得面...
    闷热当乘凉阅读 4,233评论 0 13
  • 夜莺2517阅读 127,709评论 1 9
  • 版本:ios 1.2.1 亮点: 1.app角标可以实时更新天气温度或选择空气质量,建议处女座就不要选了,不然老想...
    我就是沉沉阅读 6,876评论 1 6
  • 我是一名过去式的高三狗,很可悲,在这三年里我没有恋爱,看着同龄的小伙伴们一对儿一对儿的,我的心不好受。怎么说呢,高...
    小娘纸阅读 3,375评论 4 7
  • 那一年,我选择了独立远行,火车带着我在前进的轨道上爬行了超过23个小时; 那一年,我走过泥泞的柏油路,在那个远离故...
    木芽阅读 1,629评论 4 5