网络安全的现状如何？怎么看待如今的网络安全圈子？

1 网安行业现状

1.1 薪酬最高

互联网是计算机行业中薪酬最高的，而技术工程师是互联网中薪酬最高的，而安全工程师又是技术工程师中最高的。安全行业井喷式的爆发，使得每家互联网企业的安全部门成为标配并逐渐蔓延开来，而由于高校的安全专业才开始普及，安全从业人员紧缺且入门门槛较高从而导致了薪酬水涨船高。

1.2 良莠不齐

好处是会有更多的人投身于安全，当然坏处也很明显，着急的岗位和紧缺人员导致存在大量良莠不齐的人在其中浑水摸鱼，明显的特征是你跟他聊技术细节他跟你聊推进落地，你跟他聊推进落地他跟你聊方向把控，你跟他聊方向把控他跟你聊团队管理，你跟他聊团队管理他跟你聊行业空间，如果这些方面都能聊一点那也行，更多的人是答非所问又或者句句有理但空洞没有屁用，又或者是今天这里听到一个理论还没弄明白呢明天就来跟你拽个概念，虽然这么说会得罪一部分人。

1.3 圈子文化

安全是一个小圈子，圈内的事情传播的非常快，比如谁家数据库泄露了、谁家被薅羊毛了、谁被抓了、谁被处罚了，这也是小圈子最大的好处，圈内的人很快能知道这个行业的新技术、新方向、新政策。你也可以很容易的知道每家公司的安全建设情况，比如你可以和阿里的人聊他们的线下配合公安的手段有多强，也可以和腾讯的人聊他们的SRC如何运营的这么好，也可以和百度的安全人聊如何让机器学习赋能安全产品的，这一切在安全圈内非常的容易。也有很多的安全会议可以学习到每家公司的经验，不用所有的事情都自己摸索也用闭门造车。

弊端也很明显，搞所谓的”圈子文化“，混迹于各种会议去主动认识各种圈内的人（当然这里不是指各家SRC运营的同学，这些是运营同学的工作一部分），认识的各种人如果是交流技术那也行，加了微信除了打招呼的自我介绍那句话就再也没说过有意义的东西，以为这样就进入了圈中心，可笑可悲。

2 安全从业人员的必要素质

具备基础的工程师素质是一切的基础，在这个基础之上如果在攻防渗透和软件开发、兴趣驱动和适应能力上比较亮眼，则能很好的适应工作挑战。

2.1 攻防渗透和软件开发

首先要明确一个概念，术业有专攻在安全行业不是常态。安全本身就是一个覆盖了客户端、前端、网络、后端、服务器等涉及JavaScript、Python、PHP、Java等各语言的工作，如果非要讲究术业有专攻就没法做了，当你可以有擅长的方向，但前提是你都懂，这个懂不应该停留在了解的层面，如果你是安全开发工程师除了研发技能外还必须知道常见漏洞的形成原因、利用方式和修复方案，如果你是渗透工程师除了理解各种漏洞的攻击细节外，还必须有基本的开发能力。

同时拥有攻防渗透和软件开发的人，在后面做事的方方面面会体现出极大的优势。

我们有过很资深研发工程师，但安全产品不同于用户产品，往往是都没有经验也没有参照物的，摸黑前行最好的情况是你曾住过这个房子，所以往往需要有很强的安全背景/不断的试错调整才能开发最好的产品。甚至在很多时候，沟通交流/思维上都需要进行转变才能更好的协作，减少代沟和沟通成本。这个要求并不是非要精通各种。

现状是安全行业更多的人是偏向于攻防渗透，而如果同时拥有很强的开发技能，优势将非常明显。在安全产品开发/漏洞挖掘/代码审计上。

不同岗位间的互补显得非常重要，做漏洞扫描器的如果在SRC挖过漏洞、做代码审计如果会软件开发、做合规审计的如果有CISP证书就会得心应手。

2.2 兴趣驱动

像安全产品开发一样，渗透测试也需要不断的试错，不断的将各种可能存在漏洞的地方一一测试，往往测试数百个请求才有所收获，这需要很好的坚持，但坚持这种品质无法立刻学会，但往往有很多东西能促使我们坚持，比如兴趣。我对于安全的坚持就是兴趣所驱动的，我会遇到一个线索从早上折腾到凌晨，会因为一个突破点从晚上摸索到下午。我见过太多优秀的白帽子都是因为热爱，他们能跨行业的热爱。

2.3 适应能力

软件工程师是三年换一轮新技术，而安全工程师则是每年都有新的方向。每天都会有新的漏洞/新的攻击方式/新的语言漏洞，每年也会有新的安全技术、安全防御手段、安全方向，而应对别无他法唯学习，良好的自驱自学能力是一切的基础。

3 安全入门与学习

网安学习的过程中，每个模块的知识并不难，但涉及的知识面太广，如果没有方向，太容易走弯路了，效率也特别低。我以前就是吃了这个亏，浪费了太多时间。

好在现在已经上岸了，在求职过程中，根据各个岗位需求，总结了快速入门的学习路线，有兴趣的小伙伴可以参考下：

高清可展开脑图点击获取

第一阶段：基础操作入门，学习基础知识

入门的第一步是学习一些当下主流的安全工具课程并配套基础原理的书籍，一般来说这个过程在1个月左右比较合适。

在这个阶段，你已经对网络安全有了基本的了解。如果你学完了第一步，相信你已经在理论上明白了上面是sql注入，什么是xss攻击，对burp、msf、cs等安全工具也掌握了基础操作。这个时候最重要的就是开始打地基！

所谓的“打地基”其实就是系统化的学习计算机基础知识。而想要学习好网络安全，首先要具备5个基础知识模块：

1.操作系统

2.协议/网络

3.数据库

4.开发语言

5.常见漏洞原理

学习这些基础知识有什么用呢？

计算机各领域的知识水平决定你渗透水平的上限。

【1】比如：你编程水平高，那你在代码审计的时候就会比别人强，写出的漏洞利用工具就会比别人的好用；

【2】比如：你数据库知识水平高，那你在进行SQL注入攻击的时候，你就可以写出更多更好的SQL注入语句，能绕过别人绕不过的WAF；

【3】比如：你网络水平高，那你在内网渗透的时候就可以比别人更容易了解目标的网络架构，拿到一张网络拓扑就能自己在哪个部位，拿到以一个路由器的配置文件，就知道人家做了哪些路由；

【4】再比如你操作系统玩的好，你提权就更加强，你的信息收集效率就会更加高，你就可以高效筛选出想要得到的信息

第二阶段：实战操作

1.挖SRC

挖SRC的目的主要是讲技能落在实处，学习网络安全最大的幻觉就是觉得自己什么都懂了，但是到了真的挖漏洞的时候却一筹莫展，而SRC是一个非常好的技能应用机会。

2.从技术分享帖（漏洞挖掘类型）学习

观看学习近十年所有0day挖掘的帖，然后搭建环境，去复现漏洞，去思考学习笔者的挖洞思维，培养自己的渗透思维​​​​​

3.靶场练习

自己搭建靶场或者去免费的靶场网站练习，有条件的话可以去购买或者报靠谱的培训机构，一般就有配套的靶场练习

第三阶段：参加CTF比赛或者HVV行动

推荐：CTF比赛

CTF有三点：

【1】接近实战的机会。现在网络安全法很严格，不像之前大家能瞎搞

【2】题目紧跟技术前沿，而书籍很多落后了

【3】如果是大学生的话，以后对找工作也很有帮助

如果你想打CTF比赛，直接去看赛题，赛题看不懂，根据不懂的地方接着去看资料

推荐：HVV（护网）

HVV有四点：

【1】也能极大的锻炼你，提高自身的技术，最好是参加每年举行的HVV行动

【2】能认识许多圈内的大佬，扩大你的人脉

【3】HVV的工资也很高，所以参加的话也能让你赚到不少钱

【4】和CTF比赛一样如果是大学生的话，以后对找工作也很有帮助

根据这个学习计划，全部完成的话，单单找一个有前景的工作或者实习，完全没问题。

这个计划相对应的是视频教程我也收集了，每个阶段都有对应的视频和资料笔记等：

尾言

说实话，上面讲到的资料包获取没有任何门槛。 但是，我觉得很多人拿到了却并不会去学习。 大部分人的问题看似是 “如何行动”，其实是 “无法开始”。 几乎任何一个领域都是这样，所谓 “万事开头难”，绝大多数人都卡在第一步，还没开始就自己把自己淘汰出局了。

如果你真的确信自己喜欢网络安全/黑客技术，马上行动起来，比什么都重要。

网络安全领域就像是一棵硕果累累的参天大树，底下站着无数观望者，他们都声称自己喜欢网络安全，想上树摘果，但面对时不时垂下来的藤枝，他们却踌躇不前，犹豫不决。

实际上，只要任意抓住一根藤枝，都能爬上这棵树。 大部分人缺的，就是这么一个开端。

这份完整版的网安学习资料已经上传，朋友们如果需要可以微信扫描下方CSDN官方认证二维码或者点击链接免费领取【保证100%免费】

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费领取https://mp.weixin.qq.com/s/rB52cfWsdBq57z1eaftQaQ