很多单位花了几十上百万购买安全设备,组建安全团队,招各种各样的安全工程师,也做了很多管理工作,写了很多安全规范……似乎这样就'高枕无忧'了。
其实,传统的安全技术和管理手段,整体来讲是存在乏力的。去年买的设备,今年能不能跟得上?招的安全人才,用的是去年的知识体系,面对今年层出不穷的新漏洞,TA 有没有去学习?制定的安全规范,是否合理、是否执行到位?
网络安全攻防是一个持续对抗的动态过程,知识、技术和管理手段的更新迭代非常重要。
1. 为什么网络安全人才那么难招?
现在无论是领导、还是老板等决策层,大家都知道网络安全的重要性。国家《网络安全法》已出台,《网络安全等级保护 2.0》等合规要求也已落地。
网络安全对于大部分政企单位来说,已经从可选项变成了必选项。在以前,很多政企单位在进行 IT 部门及岗位划分时,只有研发和运维部门,安全人员直接归属到基础运维部;而现在,越来越多单位为了满足国家安全法律法规的要求,必须成立独立的网络安全部门,拉拢各方安全人才、组建 SRC(安全响应中心),为自己的产品、应用、数据保卫护航。
根据相关报告,目前中国网络安全人才供应严重匮乏,每年高校安全专业培养人才仅有 3 万余人,而网络安全岗位缺口已达 70 万,缺口高达 95%。
可以预估到,未来很长一段时间,网络安全行业都将高速增长。这个领域现在人才缺口非常大,未来会更大,这对网络安全行业的学习者和从业者都是一个好事。所以如果有志从事网络安全工作,现在就要打好技术基础,未来一定是核心技术至上。
然而当你开始在网上搜索关于网络安全的学习资料,常常会陷入自我怀疑:尝试自学后能使用工具进行简单的扫描和挖洞,但总感觉后期学习很难有突破,不知道是哪里出现问题……于是又不得不推倒重来。
了解网络安全,首先要搞清楚下面这些前提:
- 网络安全到底包含哪些技术?是否需要会编程?
- 网络安全行业有哪些职业方向?'我'该如何选择?
- 网络安全的职业发展和成长路线是什么?
这些问题,会贯穿你学习网络安全的始终,建议从入门学习开始就做好规划。
2. 你真的懂网络安全吗?
要了解网络安全行业,首先要理解网络安全技术的整体框架。
安全行业的岗位和需求层出不穷,可以站在甲乙双方来分类,可以站在攻防两端来分类、可以站在技术链来分类,也可以根据岗位具体业务来分类。
按照应用场景和技术栈,安全行业一般可以细分为以下方向:
- 网络安全(Network Security):关注网络基础设施、协议安全、流量分析等。
- Web 安全(Web Application Security):关注网站、API 接口、前端交互中的漏洞(如 SQL 注入、XSS)。
- 移动安全(Mobile Security):关注 Android/iOS 应用逆向、APP 漏洞挖掘。
- 云计算安全(Cloud Security):关注云环境配置、容器安全、虚拟化隔离。
- 数据安全(Data Security):关注数据加密、脱敏、防泄露(DLP)。
- 人工智能安全(AI Security):关注模型投毒、对抗样本防御等新兴领域。
网络安全还可以基于攻击和防御视角来分类,我们经常听到的'红队'、'渗透测试'等就是研究攻击技术,而'蓝队'、'安全运营'、'安全运维'则研究防御技术。
无论网络、Web、移动、桌面、云等哪个领域,都有攻与防两面性,例如 Web 安全技术,既有 Web 渗透,也有 Web 防御技术(WAF)。作为一个合格的网络安全工程师,应该做到攻守兼备,毕竟知己知彼,才能百战百胜。
3. 如何规划网络安全职业路径?
如果你是一个安全行业新人,推荐你先从网络安全或者Web 安全/渗透测试这两个方向先学起,原因如下:
- 发展相对成熟入门比较容易:这两个方向当前有比较成熟的学科知识体系,对新手比较友好,入门学习简单。
- 市场需求量高:这两个方向在企业招聘和项目工作中应用广泛,如各大企业经常招募的安全服务工程师、Web 安全工程师、渗透测试工程师、安全运维工程师等职位,主要技能栈就是网络安全和 Web 安全。
- 薪资待遇好:这两个方向的岗位薪资在安全行业也是非常可观的。
值得一提的是,学网络安全,是先网络后安全;学 Web 安全,也是先 Web 再有安全。安全不是独立存在的,而是建立在其他技术基础之上的上层应用技术。脱离了这个基础,就很容易变成纸上谈兵,变成'知其然,不知其所以然',在安全的职业道路上也很难走远。


