【第74期】安全工程师最详细学习和职业规划路线（书籍推荐和导图下载）
作者：华章尹老师
来源：大数据DT（ID：hzdashuju）
网络安全行业热火朝天，但我们很少看到这个领域相关职业路线的规划，这一方面是由于这个行业还比较年轻，还没有完全建立职业路径，另一方面也是因为高端职位以前比较少，很少有人到达顶峰，所以难以总结。
但随着这个行业的爆发，这恰好是网络安全行业的“后浪们”最想了解的内容之一。我们通过与企业网络安全专家联盟（诸子云）合作，针对近30名企业网络安全负责人及 CSO（首席安全官）进行了调研，分析和总结了他们的职业成长路径、以及网络安全技术的学习路线（附书籍推荐和导图下载），给大家做一个参考。
本文导引：
01 网络安全技术学习路线（附书籍推荐）
02 网络安全的职业路线
03 对新人的网络安全从业建议
01 网络安全技术学习路线（附书籍推荐）
公号图文有些压缩，如需下载导图，请关注大数据DT微信公众号，在对话框回复安全导图，可下载原图。
02 网络安全的职业路线
网络安全行业主要涉及两个方向、四类岗位。两个方向是甲方和乙方。所谓甲方是指企业内与IT相关的领域，所谓乙方是指安全厂商或服务商。四类岗位分别是安全产品研发、安全研究、安全管理、安全产品营销。在此，我们只说明前三类岗位的发展路线。
1. 研发路线
软件工程师是安全行业需求量最多的岗位，主要负责对产品的设计和实现。与其他行业的研发岗位类似，网络安全研发工程师主要职责包括系统开发、测试和文档编写，高级别工程师同时负责把握系统架构和前沿技术。
研发又分为前端和后端，从整个行业来看，前端工程师比后端工程师更加缺乏；当然，最受欢迎的是全栈工程师。根据不同的产品线，研发工程师需要对网络安全领域知识（即业务）有不同程度的了解，包括网络协议、网络攻防原理以及Linux内核等。（国内优秀的C高级工程师太过稀缺，而C是网络安全的“官方语言”。）
研发岗位的职业路线：初级工程师→中级工程师→高级工程师→架构师→首席架构师→CTO/CSO。
▼
Linux网络安全精要
作者：威廉·罗斯韦尔 丹尼斯·金赛
译者：王跃东 王云午
推荐语：本书强调了Linux的书籍或课程里经常忽略掉的网络安全部分，从Linux基础讲起，涵盖了用户和用户组、文件和数据存储、自动化、网络、进程和日志管理、软件包管理、安全任务等内容。英文原版入选BookAuthority2019年评选的“学习Linux最适合的10本新书”，并且涉及CompTIALinux+和LPIC-1考试的关键主题。
▼
网络安全与攻防策略
作者：尤里·迪奥赫内斯 埃达尔·奥兹卡
译者：赵宏伟 王建国 韩春侠 姚领田 等
推荐语：本书涵盖了新的安全威胁和防御机制，包括对云安全态势管理（Cloud Security Posture Management，CSPM）的概述和对当前威胁形势的评估，另外还重点介绍了新的物联网威胁和加密的相关内容。
▼
CSO进阶之路
从安全工程师到首席安全官
作者：张威 张耀疆 赵锐 等
推荐语：本书是一部面向各层次网络安全从业人员的职业晋升实战宝典。作者融合自己丰富的工程实践经验，详细阐述了从安全工程师晋升到首席安全官所需的知识和技能。在网络安全日益受到国家和企业重视之际，本书将成为你职场进阶的秘籍。
2. 研究路线
安全研究侧重于对某一个或几个方向进行深入研究，如漏洞挖掘、操作系统安全等。研究岗位通常不放在研发团队中，而放在较为独立的“安全实验室”。
做安全研究是否需要有研发能力呢？大部分安全研究岗位对开发技能有明确要求，在公司或学校（作为学生）从事安全研究更准确的称谓是“Research engineer”（研究工程师），他们既精通安全（业务），又有较强研发能力。
研究岗位的职业路线：初级研究员→中级研究员→高级研究员→顾问→科学家→首席科学家/CSO。
▼
互联网安全建设从0到1
作者：林鹏
推荐语：这是一本适合从安全小白到企业安全负责人阅读的安全书籍，作者林鹏将自己多年丰富的安全经验融入此书，通俗易懂，雅俗共赏，既可作为安全工程师的工具手册，解决各类常见安全问题，也可以指导安全负责人如何从0到1系统地建设企业安全体系，非常值得推荐。
3. 管理路线
安全管理主要围绕企业的信息资产开展持续的风险控制工作，具体负责ISMS建设、安全运维、IT审计等。
管理方向要求从业者有全局视野，考虑得更多的是如何实现安全的木桶原理，在资源有限的情况下让所有木板达到相同的高度，需要有比较强的沟通和协调能力，同时对企业的业务要有比较深刻的认识。资深的安全管理人员是企业中最稀缺的人才。
管理岗位的职业路线：安全员→内审员→审计师→合规专家→CSO。
03 对新人的网络安全从业建议
这里给准备进入网络安全方向的从业者提出几点建议。
自2017年6月《网络安全法》颁布后，国家对信息安全领域愈发重视。了解这个行业需要先了解网络安全相关的技术、产品和服务，下面我们简单看一下。
技术：物理安全和运行安全技术、数据安全与内容安全技术、信息对抗技术。
产品：防火墙产品、入侵检测与入侵防御产品、统一威胁管理产品、身份管理类产品、加密类产品、电子签名类产品、安全审计类产品以及终端安全管理产品等。
服务：包括安全集成、风险评估、渗透测试、合规性咨询、安全巡检、应急保障等专业信息安全服务。
▼
Kali Linux高级渗透测试
（原书第3版）
作者：维杰·库马尔·维卢 罗伯特·贝格斯
译者：祝清意 蒋溢 罗文俊 李琪
推荐语：原书第3版全新升级，Kali Linux渗透测试经典之作。本书从攻击者的角度来审视网络框架，详细介绍攻击者“杀链”采取的具体步骤，包含大量实例，并提供源码。
▼
Python安全攻防：渗透测试实战指南
作者：吴涛 方嘉明 吴荣德 徐焱 编著
推荐语：在网络安全领域，是否具备编程能力是“脚本小子”和真正黑客的本质区别。本书围绕Python在网络安全渗透测试各个领域中的应用展开，通过大量图解，从实战攻防场景分析代码，帮助初学者快速掌握使用Python进行网络安全编程的方法，深入浅出地讲解如何在渗透测试中使用Python，使Python成为读者手中的神兵利器。MS08067安全实验室出品。
▼
C++反汇编与逆向分析技术揭秘
（第2版）
作者：钱林松，张延清
推荐语：这是一部系统讲解反汇编与逆向分析技术原理、流程、方法和实用技巧的著作。本书第1版出版于2011年，10年来畅销不衰，成为反汇编与逆向工程领域的标志性著作，被数十万安全工程师和C++工程师奉为瑰宝。在全球学术界和企业界都享有盛誉，故第2版得到了全球15位安全技术专家的倾力推荐。第2版在技术、工具和案例等方面做了大量的更新和补充。
另外，对于就业前置条件，要求专业基础扎实（本科知识十分基础，这既代表它并非与时俱进，同时也代表它十分重要，你的发展和进步完全依赖于你的基础是否牢固）；英语至少要过四级，能作为工作语言当然最好，就业面会更广；以上就是这个专业的硬实力和软实力的结合。
还有一点，无论将来从事什么技能方向，一定要有有价值的项目经验积累，这里的项目不一定是指学校统一组织的项目，而是真实的落地项目，HR看了那么多模拟项目，对于模拟项目是不感兴趣的！哪怕你在校期间帮助老师管理过校园网或者大规模的机房等！
再就是，如果有机会，在毕业前可以积累一些安全行业的人脉，了解到业内的信息，这对于将来就业或者成长都会有帮助。
首先，需要树立个人职业目标，建议观察IT公司的各个职位职责，如产品经理、研发人员、售前工程师、售后工程师等。闭上眼睛想象一下自己以后想成为哪种人，哪种职业与自己的性格比较匹配。
找到自己的方向后，即可从自己的专业课里规划出重点要学习的内容，加入一些行业论坛，深入地了解要掌握的技术内容，为自己以后的求职做铺垫。
作为希望进入网络安全行业的年轻人，有一定开发基础并且网络相关知识扎实，这会让你的安全技能学习过程简单不少。你可以根据自身特点选择一个安全方向，如网络安全、移动安全、物联网安全、大数据安全等，在这些安全方向中，密码学都是必须掌握的，另外还要掌握Linux系统原理、攻防知识、逆向原理、漏洞分析技术等。
▼
物联网安全
（原书第2版）
作者：布莱恩·罗素 德鲁·范·杜伦
译者：戴超 冷门 张兴超 刘江舟
推荐语：从物联网安全建设的角度全面阐释物联网面临的安全挑战并提供有效解决方案 本书由资深的计算机安全专家撰写，全面阐释物联网面临的安全挑战及有效解决方案，为构建安全的物联网世界提供了一个切实可行的安全指南。
再看可以选择的企业类型，通常可以将其分为甲方企业和乙方企业。甲方企业是指传统的生产制造、服务与快消等传统企业，如联合利华、宝洁、上海家化、美特斯邦威等（它们一般都会设置信息部，为了支持企业内部的信息化建设与运维，会有一些专业IT人员来做开发与运维以及新的项目引进工作）；乙方企业，即为甲方企业提供软件服务或集成服务的企业，如用友、金蝶、埃森哲、SAP、浪潮、海康威视、浙江大华等。
另外，考证要有目的性，不要白白浪费时间和金钱。你可以花一些时间去了解这些认证的获得条件、费用、考试大纲和往年的教材目录，再花一定时间规划自己到底适合哪个方向。因为你要在一个领域长远发展，必须要有兴趣的支撑。
接下来，就是选一个（决不能超过两个）去学习，甚至是看情况报培训班（有的是必须的）。
在安全方向的证书中有一定含金量的包括CISSP（注册信息系统安全专家，国际认可，需要有较长的安全工作经验）、CISP（注册信息安全专业人员，国家级的）、ISO27001，其他如CSSLP、CISAW、Security+、CISA，请记住考证是有目的性的，但不是目的，它也只是让你多了一个“敲门”工具，最终还是要通过自身的技术实力说话。
再提一点，近些年计算机软考中级也将信息安全单列出来进行认证，即“信息安全工程师”，可见国家对于信息安全的重视程度。
对于专业通路：助理工程师→中级工程师→高级工程师→专家，要熟悉专业及其在企业中的职能应用，在全面了解和掌握相关知识后，在行业、产品、职能等某个细分领域进行深耕和研究，十年磨一剑。
对于管理通路：组长→主管→经理→总监→总经理，可以根据行业、企业的情况向职能管理领域发展，除了专业能力的要求，还需要具备一定管理能力和沟通协调能力。
横向通路的具体方向可以有咨询、培训、人力资源、客户服务、售前咨询、市场营销等。
以上内容，部分选自《CSO 进阶之路：从安全工程师到首席安全官》3.2节，从网络安全新人到CSO的职业路径。
相关阅读：
《数据安全法》，对所有互联网公司的大考，该如何应对？
360漏洞响应平台（SRC）为白帽子挑选的10本互联网安全好书
破案了！库里为何会花18万美元买一个猴子头像？
长按下方小程序码或点击阅读原文
发现更多安全工程好书
第073期赠书活动中奖名单公布
赠书规则
送书规则：感谢大家对华章图书的信任与支持。在留言区围绕网络安全谈谈你的想法。华章妹会在留言池随机捞2条锦鲤，分别包邮送出本推文中的1本正版书籍。
截止日期：10月11日下午17：00
特别注意：
1、请按规则结合自身工作与学习的经历留言。请规避百度式名词解释式言论，走心留言优先。
2、阅读最多、分享最多者优先。参与活跃者优先。同一人每月最多获赠一本书。
特别说明：本活动无任何内幕，最终解释权归华章公司所有。
扫码关注【华章计算机】视频号
每天来听华章哥讲书
更多精彩回顾
书讯 | 9月书讯 | 秋天的第一本书，来了
资讯 | DB-Engines 9月数据库排名：SnowFlake坐上了火箭
书单 | 送你一份入门前端学习路线图
干货 | 火山引擎 A/B 测试的思考与实践
收藏 | 一文读懂数据库语言
上新 | 【新书速递】UEFI开发探索