自己电脑做网站主机,wordpress 导航栏搜索,电子商务网站的设计与实现,企业做淘宝客网站前言
一、什么是网络安全 网络安全可以基于攻击和防御视角来分类#xff0c;我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术#xff0c;而“蓝队”、“安全运营”、“安全运维”则研究防御技术。 无论网络、Web、移动、桌面、云等哪个领域#xff0c;都有攻与防… 前言
一、什么是网络安全 网络安全可以基于攻击和防御视角来分类我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术而“蓝队”、“安全运营”、“安全运维”则研究防御技术。 无论网络、Web、移动、桌面、云等哪个领域都有攻与防两面性例如 Web 安全技术既有 Web 渗透也有 Web 防御技术WAF。作为一个合格的网络安全工程师应该做到攻守兼备毕竟知己知彼才能百战百胜。 二、怎样规划网络安全
如果你是一个安全行业新人我建议你先从网络安全或者Web安全/渗透测试这两个方向先学起 一、是市场需求量高 二、则是发展相对成熟入门比较容易 值得一提的是学网络安全是先网络后安全学Web安全也是先Web再有安全。
安全不是独立存在的而是建立在其他技术基础之上的上层应用技术。脱离了这个基础就很容易变成纸上谈兵变成“知其然不知其所以然”在安全的职业道路上也很难走远。
如果你是原本从事网工运维那么可以选择网络安全方向入门 如果你原本从事程序开发推荐选择Web安全/渗透测试方向入门。 当然学到一定程度、或者有了一定工作经验不同方向的技术耦合会越来越高各个方向都需要会一点。
根据以上网络安全技能表不难看出网络安全需要接触的技术还远远很多
常见的技能需要学习 三、网络安全的知识多而杂怎么科学合理安排
1、基础阶段 中华人民共和国网络安全法 包含18个知识点 Linux操作系统 包含16个知识点 计算机网络 包含12个知识点 SHELL 包含14个知识点 HTML/CSS 包含44个知识点 JavaScript 包含41个知识点 PHP入门 包含12个知识点 MySQL数据库 包含30个知识点 Python 包含18个知识点 入门的第一步是系统化的学习计算机基础知识也就是学习以下这几个基础知识模块:操作系统、协议/网络、数据库、开发语言、常用漏洞原理。 前面的基础知识学完之后就要进行实操了。 因为互联网与信息化的普及网站系统对外的业务比较多,而且程序员的水平参差不齐和运维人员的配置事物所以需要掌握的内容比较多。
2、渗透阶段 SQL注入的渗透与防御包含36个知识点 XSS相关渗透与防御包含12个知识点 上传验证渗透与防御包含16个知识点 文件包含渗透与防御包含12个知识点 CSRF渗透与防御包含7个知识点 SSRF渗透与防御包含6个知识点 XXE渗透与防御包含5个知识点 远程代码执行渗透与防御包含7个知识点 掌握常见漏洞的原理、使用、防御等知识。Web渗透阶段还是需要掌握一些必要的工具。 主要要掌握的工具和平台burp、AWVS、Appscan、Nessus、sqlmap、nmap、shodan、fofa、代理工具ssrs、hydra、medusa、airspoof等以上工具的练习完全可以利用上面的开源靶场去练习足够了
3、安全管理提升 渗透报告编写包含21个知识点 等级保护2.0包含50个知识点 应急响应包含5个知识点 代码审计包含8个知识点 风险评估包含11个知识点 安全巡检包含12个知识点 数据安全包含25个知识点 主要包括渗透报告编写、网络安全等级保护的定级、应急响应、代码审计、风险评估、安全巡检、数据安全、法律法规汇编等。
这一阶段主要针对已经从事网络安全相关工作需要提升进阶成管理层的岗位。如果你只学习参加工程师方面的岗位这一阶段可学可不学。
4、提升阶段提升 密码学包含34个知识点 JavaSE入门包含92个知识点 C语言包含140个知识点 C语言包含181个知识点 Windows逆向包含46个知识点 CTF夺旗赛包含36个知识点 Android逆向包含40个知识点 主要包括密码学、JavaSE、C语言、C、Windows逆向、CTF夺旗赛、Android逆向等。 主要针对已经从事网络安全相关工作需要提升进阶安全架构需要提升的知识。 四、网络安全学习路线
如果你真的想通过自学的方式入门web安全的话那建议你看看下面这个学习路线图具体到每个知识点学多久怎么学自学时间共计半年左右亲测有效文末有惊喜
1、Web安全相关概念2周 熟悉基本概念SQL注入、上传、XSS、CSRF、一句话木马等。 通过关键字SQL注入、上传、XSS、CSRF、一句话木马等进行Google/SecWiki 阅读《精通脚本黑客》虽然很旧也有错误但是入门还是可以的 看一些渗透笔记/视频了解渗透实战的整个过程可以Google渗透笔记、渗透过程、入侵过程 等
2、熟悉渗透相关工具3周 熟悉AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan等相关工具的使用。 了解该类工具的用途和使用场景先用软件名字Google/SecWiki 下载无后门版的这些软件进行安装 学习并进行使用具体教材可以在SecWiki上搜索例如Brup的教程、sqlmap 待常用的这几个软件都学会了可以安装音速启动做一个渗透工具箱
3、渗透实战操作5周
掌握渗透的整个阶段并能够独立渗透小型站点。 网上找渗透视频看并思考其中的思路和原理关键字渗透、SQL注入视频、文件上传入侵、数据库备份、dedecms漏洞利用等等 自己找站点/搭建测试环境进行测试记住请隐藏好你自己 思考渗透主要分为几个阶段每个阶段需要做那些工作例如这个PTES渗透测试执行标准 研究SQL注入的种类、注入原理、手动注入技巧 研究文件上传的原理如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用IIS、Nignix、Apache等参照上传攻击框架 研究XSS形成的原理和种类具体学习方法可以Google/SecWiki可以参考XSS 研究Windows/Linux提权的方法和具体使用可以参考提权 可以参考: 开源渗透测试脆弱系统
4、关注安全圈动态1周 关注安全圈的最新漏洞、安全事件与技术文章。 通过SecWiki浏览每日的安全技术文章/事件 通过Weibo/twitter关注安全圈的从业人员遇到大牛的关注或者好友果断关注天天抽时间刷一下 通过feedly/鲜果订阅国内外安全技术博客不要仅限于国内平时多注意积累没有订阅源的可以看一下SecWiki的聚合栏目 养成习惯每天主动提交安全技术文章链接到SecWiki进行积淀 多关注下最新漏洞列表推荐几个exploit-db、CVE中文库、Wooyun等遇到公开的漏洞都去实践下。 关注国内国际上的安全会议的议题或者录像推荐SecWiki-Conference。
5、熟悉Windows/Kali Linux3周 学习Windows/Kali Linux基本命令、常用工具 熟悉Windows下的常用的cmd命令例如ipconfig,nslookup,tracert,net,tasklist,taskkill等 熟悉Linux下的常用命令例如ifconfig,ls,cp,mv,vi,wget,service,sudo等 熟悉Kali Linux系统下的常用工具可以参考SecWiki,《Web Penetration Testing with Kali Linux》、《Hacking with Kali》等 熟悉metasploit工具可以参考SecWiki、《Metasploit渗透测试指南》。
6、服务器安全配置3周 学习服务器环境配置并能通过思考发现配置存在的安全问题。 Windows2003/2008环境下的IIS配置特别注意配置安全和运行权限可以参考SecWiki-配置 Linux环境下的LAMP的安全配置主要考虑运行权限、跨目录、文件夹权限等可以参考SecWiki-配置 远程系统加固限制用户名和口令登陆通过iptables限制端口 配置软件Waf加强系统安全在服务器配置mod_security等系统参见SecWiki-ModSecurity 通过Nessus软件对配置环境进行安全检测发现未知安全威胁。
7、脚本编程学习4周 选择脚本语言Perl/Python/PHP/Go/Java中的一种对常用库进行编程学习。 搭建开发环境和选择IDEPHP环境推荐Wamp和XAMPPIDE强烈推荐Sublime一些Sublime的技巧SecWiki-Sublime Python编程学习学习内容包含语法、正则、文件、网络、多线程等常用库推荐《Python核心编程》不要看完 用Python编写漏洞的exp然后写一个简单的网络爬虫可参见SecWiki-爬虫、视频 PHP基本语法学习并书写一个简单的博客系统参见《PHP与MySQL程序设计第4版》、视频 熟悉MVC架构并试着学习一个PHP框架或者Python框架可选 了解Bootstrap的布局或者CSS可以参考SecWiki-Bootstrap;
8、源码审计与漏洞分析3周 能独立分析脚本源码程序并发现安全问题。 熟悉源码审计的动态和静态方法并知道如何去分析程序参见SecWiki-审计 从Wooyun上寻找开源程序的漏洞进行分析并试着自己分析 了解Web漏洞的形成原因然后通过关键字进行查找分析参见SecWiki-代码审计、高级PHP应用程序漏洞审核技术 研究Web漏洞形成原理和如何从源码层面避免该类漏洞并整理成checklist。
9、安全体系设计与开发5周 能建立自己的安全体系并能提出一些安全建议或者系统架构。 开发一些实用的安全小工具并开源体现个人实力 建立自己的安全体系对公司安全有自己的一些认识和见解 提出或者加入大型安全系统的架构或者开发 看自己发展咯~
五、补全知识框架学习内容 在整理好自己的知识框架知道该怎么学习之后下一步就是往框架里面填充内容了。 此时我们的选择也可以很多比如CSDN比如知乎再比如B站都有很多人在分享自己的学习资料但我觉得这里存在的很大一个问题就是不连贯、不完善大部分免费分享的教程都是东一块西一块前言不搭后语学着学着就蒙了这是我自学之后的亲身感受。 全阶段学习路线 点赞收藏评论区留言“已关注 求 ”都可以分享给大家大家注意看后台消息就行 给小伙伴们的意见是想清楚自学网络安全没有捷径相比而言系统的网络安全是最节省成本的方式因为能够帮你节省大量的时间和精力成本。坚持住既然已经走到这条路上虽然前途看似困难重重只要咬牙坚持最终会收到你想要的效果。 点赞收藏评论区留言“已关注 求 ”都可以分享给大家大家注意看后台消息就行 2.黑客工具SRC技术文档PDF书籍web安全等可分享 六、网络安全前景
人才需求量很大的市场空缺大像物联网网应用的普及、5G的普及等都会增加网络安全岗位的需求。
从长久来看网络安全只会越来越火智能学科的崛起必定带动新型的网络安全技术发展。
网络安全未来三大发展方向 网络安全安全等保 云原生安全 AI 人工智能在网络安全的运用 ChatGPT ) 发展空间大
在企业内部网络工程师基本处于双高地位即地位高、待遇高。就业面广一专多能实践经验适用于各个领域。
增值潜力大
掌握企业核心网络架构、安全技术具有不可替代的竞争优势。职业价值随着自身经验的丰富以及项目运作的成熟升值空间一路看涨。
职业寿命长
网络工程师工作的重点在于对企业信息化建设和维护其中包含技术及管理等方面的工作工作相对稳定随着项目经验的不断增长和对行业背景的深入了解会越老越吃香。
七、书单推荐 点赞收藏评论区留言“已关注 求 ”都可以分享给大家包含电子书单 计算机操作系统
【1】编码隐藏在计算机软硬件背后的语言
【2】深入理解操作系统
【3】深入理解windows操作系统
【4】Linux内核与实现
编程开发类
【1】 windows程序设计
【2】windwos核心变成
【3】Linux程序设计
【4】unix环境高级变成
【5】IOS变成
【6】第一行代码Android
【7】C程序语言设计
【8】C primer plus
【9】C和指针
【10】C专家编程
【11】C陷阱与缺陷
【12】汇编语言王爽
【13】java核心技术
【14】java编程思想
【15】Python核心编程
【16】Linuxshell脚本攻略
【17】算法导论
【18】编译原理
【19】编译与反编译技术实战
【20】代码整洁之道
【21】代码大全
【22】TCP/IP详解
【23】Rootkit 系统灰色地带的潜伏者
【24】黑客攻防技术宝典
【25】加密与解密
【26】C 反汇编与逆向分析技术揭秘
【27】web安全测试
【28】白帽子讲web安全
【29】精通脚本黑客
【30】web 前端黑客技术揭秘
【31】程序员的应用
【32】英语写作手册风格的要素
特别声明 此教程为纯技术分享本教程的目的决不是为那些怀有不良动机的人提供及技术支持也不承担因为技术被滥用所产生的连带责任本教程的目的在于最大限度地唤醒大家对网络安全的重视并采取相应的安全措施从而减少由网络安全而带来的经济损失。
