运维怎么转行网络安全？

经常有人问我：干网工、干运维多年遇瓶颈，想学点新技术给自己涨涨“身价”，应该怎么选择？

聪明人早已经用脚投票：近年来，越来越多运维的朋友寻找新的职业发展机会，将目光聚焦到了网络安全产业。

1、为什么我建议你学习网络安全？

有一种技术人才：华为阿里平安等大厂抢着要，甚至高薪难求——白帽黑客。白帽黑客，就是网络安全卫士，他们“低调”行事，同时“身价”不菲。

根据腾讯安全发布的《互联网安全报告》，目前中国**网络安全岗位缺口已达70万，缺口高达95%。**而与网络安全人才需求量逐年递增局面相反的是，每年高校安全专业培养人才仅有3万余人，很多企业却一“将”难求，网络安全人才供应严重匮乏。

这种供求不平衡直接反映在安全工程师的薪资上，简单来说就是：竞争压力小，薪资还很高。

而且安全行业就业非常灵活，既可以就职一家公司从事信息安全维护和研究，也可以当作兼职或成为自由职业者，给SRC平台提交漏洞获取奖金等等。

随着国家和政府的强监管需求，一线城市安全行业近年来已经发展的相当成熟工作机会非常多，二三线城市安全也在逐步得到重视未来将有巨大缺口。

作为运维人员，这几年对于安全的技能要求也将不断提高，现阶段做好未来2到3年的技术储备，有非常大的必要性。如果刚好有安全项目来，并且自己能扛住，也很容易成为安全团队的负责人。现在很多运维人员在老家，现在是逼着成为所谓的CSO（首席安全官），他们前两年学了安全知识虽然在二三线城市用不到，但是今年用上了，一下就成为了安全负责人。

2、运维转型成为网络安全工程师，是不是很容易？

运维这几年转安全的，确实特别多，尤其这几年的devops浪潮之后，很多运维朋友在考虑下一个战场。

首先要说明的是，没有容易学的技术。对于初识网络安全的大多人来说，都有这个毛病：一方面没学过安全技术和安全产品、前后端编程这块也比较差、没做过基本的安全攻防项目等；另一方面自己心态又比较急躁，想要急于求成。

安全是一个“附生技术”，需要把前面底子打稳，学习后面攻防才能学会。学网络安全，是先网络后安全；学Web安全，也是先Web再有安全。

如果已经能做基本的漏洞挖掘和安全服务工作，就可以考虑红队渗透中高级技术。如果没做过相关工作，只是零散自学过，还是建议先打好基础。

运维转安全，因为本身有很好的Linux基础，相对于其他人来说，确实有一定的优势，入门会快一些。从安全的面试和招聘经验来看，运维转安全要尽量补充下这些知识：

1. 补充网络安全（network security）的技能，在等保2.0的规范下，学习各类安全技术和产品

2. 补充应用安全的技能，例如Web或APP应用的安全，熟悉OWASP TOP10，对未来企业上架的各类业务系统进行安全评估和渗透测试；

3. 补充软件编程能力，HTML/CSS/JS/Python/Django等，以代码视角更好的理解安全漏洞问题

4. 如果有云计算和容器的基础，再加深下云安全这个内容，目前算是招聘加分项，比如云原生安全问题、容器逃逸问题等。

无论走红队还是蓝队，以上技能都要好好学好。

网络安全的知识多而杂，怎么科学合理安排？

下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

初级网工

1、网络安全理论知识（2天）

①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）

①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）

①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）

①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

6、Web渗透（1周）

①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

【“脚本小子”成长进阶资源领取】

7、脚本编程（初级/中级/高级）

在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级网工

这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。

一些我自己买的、其他平台白嫖不到的视频教程：

需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。