浅析全球网络安全的8个主流岗位（2024）

本文阅读大约需要20分钟；

网络安全领域，机遇与挑战并存，吸引着越来越多的年轻人跃跃欲试。然而，面对种类繁多的岗位，如何选择合适的职业发展方向，成为许多新人的困惑。今天，我们就来深入探讨网络安全行业的八大主流岗位，为你拨开迷雾，指明方向。这些岗位之所以在全球网络安全职业规划中占据核心地位，是由安全威胁的不断演变、市场经济发展的驱动，以及前沿技术革新的推动等多重因素共同作用的结果。它们覆盖了安全防御体系的各个关键环节，并在全球范围内都拥有极高的需求和适配性。

从技术角度来看，这些岗位涵盖了攻击和防御、合规和风险管理、以及新兴技术的应用等多个方面，它们共同构成了一个完整的网络安全生态系统。无论你对哪个领域感兴趣，都能在其中找到适合自己的位置。随着网络安全形势日益严峻，以及云计算、 大数据、人工智能等新技术的蓬勃发展，这些岗位的重要性还将进一步提升，成为网络安全领域未来发展的重要方向。

对于我国的网络安全从业者来说，了解并掌握这些主流岗位的技能要求，将是你开启职业生涯的关键。同时，积极学习和借鉴国际先进经验，不断提升自身技能，才能在竞争日益激烈的全球网络安全市场中脱颖而出，成就你的 “安全梦想”。

八大主流岗位解析

以下我将从专业的角度，深入解析八个网络安全热门岗位的定位、国际适配度、核心技能、知识领域、学习实践资源和求职建议。

求职建议可以帮助你提高获得第一份网络安全工作的几率：

1. 渗透测试工程师  (Penetration Tester)

• 定位: 在授权范围内模拟真实攻击，评估目标系统的安全性，并提供改进建议。

• 国际适配度：全球通用，只是具体测试内容和方法可能因地区而异，例如，  GDPR  等数据隐私法规会影响欧洲地区的渗透测试范围。

• 核心技能:  道德黑客技术、漏洞评估、渗透测试方法论、安全测试工具使用、报告撰写。

• 知识领域：网络安全、Web 安全、移动安全、操作系统安全、数据库安全等。

• 学习实践资源：在线课程  (例如  Offensive Security、  SANS Institute)、 专业认证  (例如  OSCP、GPEN)、渗透测试靶场 (例如  HackTheBox、  VulnHub、 TryHackMe)、CTF 比赛。

• 求职建议：

• 获取 OSCP 等权威认证: OSCP 认证在全球范围内都受到高度认可，是渗透测试工程师的 “黄金证书”。

• 参与 CTF 比赛:  CTF 比赛可以锻炼你的实战技能，并提升你的知名度。

• 搭建个人渗透测试靶场:  这可以展示你的技术能力和学习热情。

• 撰写博客或微信公众号文章，分享你的渗透测试经验和技巧。

• 积极参加行业会议和活动，拓展人脉。

• 准备好你的简历和作品集，并针对不同的职位要求进行定制。

2.  SOC  分析师  (Security Operations Center Analyst)

• 定位：安全运营中心 (SOC)  的核心成员，负责监控、检测、分析和响应安全事件。

• 国际适配度：全球通用，但不同国家和地区的  SOC 成熟度和运营模式可能有所不同。

• 核心技能：安全信息和事件管理 (SIEM) 工具使用、入侵检测和防御系统  (IDS/IPS)  管理、威胁情报分析、事件响应、安全日志分析。

• 知识领域：网络安全、系统安全、应用安全、恶意软件分析、攻击和防御技术。

• 学习实践资源:  在线课程  (例如  SANS Institute、 Cybrary)、专业认证  (例如  Security+、CySA+、GCIH)、SIEM 平台 (例如  Splunk QRadar、ELK Stack)、 安全数据集  (例如  SecRepo.com)。

• 求职建议：

• 熟练掌握至少一款 SIEM 平台：例如Splunk、QRadar  等，并学习如何编写  SIEM 规则和进行安全数据分析。

• 学习  IDS/IPS  的配置和管理，以及安全日志分析。

• 获取  Security+、CySA+、GCIH 等相关认证。

• 参与网络安全社区，例如 FreeBuf、安全客等，与其他安全从业者交流学习。

• 了解  MITRE ATT&CK  框架和网络杀伤链，这些框架可以帮助你更好地理解攻击者的行为和攻击模式。

• 积极寻找实习机会，积累  SOC 工作经验。

3. IT 审计员 (IT Auditor)

• 定位： 评估组织的IT 系统和流程是否符合相关的安全策略、标准、法律法规和最佳实践。

• 国际适配度：全球通用，但不同国家和地区的法律法规和合规性要求可能有所不同，例如，欧洲的  GDPR (通用数据保护条例) 与中国的《个人信息保护法》  就存在差异。

• 核心技能：IT 审计流程、控制框架  (例如  COBIT、COSO) 、风险评估、合规性审计、报告撰写。

• 知识领域：IT 治理、IT 风险管理、IT 控制、安全策略、法律法规、 审计标准。

• 学习实践资源: 专业课程 (例如ISACA、IIA)、研讨会、会议、专业认证 (例如  CISA、CIA、CRISC)。

• 求职建议：

• 获得  CISA、CIA、CRISC  等相关认证：这些认证在 IT 审计领域具有很高的认可度。

• 了解  ISO 27001、SOC 2、PCI DSS 等常见的安全标准和法规。

• 从 IT 相关职位开始，例如系统管理员、网络工程师等，逐步转型到  IT 审计领域。

• 参与 IT 审计相关的实习项目，积累实战经验。

• 加入 ISACA、IIA 等专业机构，与其他  IT 审计员交流学习，拓展人脉。

• 提升你的沟通能力和报告撰写能力，因为 IT 审计员需要清晰地表达审计结果和建议。

4. 风险分析师 (Risk Analyst)

• 定位：识别、评估和管理组织面临的各种风险，包括网络安全风险、运营风险、财务风险等，并提出风险缓解方案，帮助组织做出明智的的决策。

• 国际适配度：全球通用，风险管理的原则基本一致，但不同行业和地区的具体风险和法规可能有所不同。

• 核心技能：风险评估方法论、定量和定性风险分析、风险管理框架、沟通能力、   报告撰写。

• 知识领域：风险管理、业务连续性管理、灾难恢复计划、网络安全、合规性。

• 学习实践资源: 学术课程 (例如金融、风险管理专业)、专业认证 (例如  FRM、  PRM) 、行业出版物  (例如  COSO  框架、ISO 31000)。

• 求职建议：

• 获得 FRM、PRM 等风险管理相关认证。

• 了解常见的风险管理框架，例如  COSO、ISO 31000  等。

• 积累金融或商业分析经验，这有助于你更好地理解业务风险。

• 参与风险评估相关的实习，例如在金融机构、咨询公司等。

• 参加行业交流活动，例如风险管理论坛、研讨会等，拓展人脉，了解行业最佳实践。

• 提升你的沟通能力和报告撰写能力，因为风险分析师需要清晰地向管理层和业务部门解释风险。

5. 漏洞赏金猎人 (Bug Bounty Hunter)

• 定位：独立安全研究员，发现并报告软件和系统中的漏洞，并获得奖励。

• 国际适配度：全球通用，漏洞赏金计划在全球范围内都越来越受欢迎。

• 核心技能:  漏洞挖掘、渗透测试、逆向工程、Web  安全、移动安全、代码审计、漏洞利用。

• 知识领域：Web  应用安全、移动应用安全、操作系统安全、数据库安全、加密技术、安全编码实践、漏洞类型  (例如  OWASP Top 10)。

• 学习实践资源：在线漏洞赏金平台 (例如  HackerOne、Bugcrowd、Synack)、   漏洞靶场  (例如  HackTheBox、VulnHub、TryHackMe)、 CTF 比赛、安全会议、安全书籍和博客。

• 求职建议：

• 选择一个或多个你感兴趣的领域，例如  Web 应用安全、移动应用安全等，  并深入学习相关知识和技能。

• 积极参与漏洞赏金计划，从简单的漏洞开始，逐步挑战更复杂的漏洞。

• 提交高质量的漏洞报告，详细描述漏洞的复现步骤、影响和修复建议，这有助于你获得更高的奖励，并提升你的声誉。

• 与其他赏金猎人交流学习，分享经验和技巧。可以加入一些漏洞赏金社区，  例如，HackerOne  社区、Bugcrowd  社区等。

• 参加安全会议和 CTF 比赛，提升你的技能和知名度。

• 建立个人品牌，例如，创建一个个人博客或网站，分享你的漏洞研究成果。

6. 云安全专家 (Cloud Security Specialist)

• 定位：负责保护云环境的安全，包括云平台、云应用和云数据。

• 国际适配度：全球通用，云安全是全球性问题，但不同云服务提供商的平台和安全机制可能有所不同。

• 核心技能：云安全架构设计、云安全配置和管理、云安全监控和响应、云安全审计、云原生安全、容器安全。

• 知识领域：云计算基础架构、云服务模型  (IaaS、PaaS、SaaS)、云安全最佳实践、云安全合规性 (例如  CSA CCM、  ISO 27017) 、容器技术 (例如  Docker、  Kubernetes)。

• 学习实践资源: 云供应商提供的培训和认证  (例如  AWS Certified Security - Specialty、Azure Security Engineer、Google Cloud Professional Cloud Security Engineer) 、专业课程、技术研讨会、云安全书籍和博客。

• 求职建议：

• 获得云服务提供商的专业认证，例如AWS Certified Security - Specialty、Azure Security Engineer、Google Cloud Professional Cloud Security Engineer 等。

• 深入学习云安全架构设计、云安全配置和管理、 云安全监控和响应等方面的知识和技能。

• 了解  CSA CCM、ISO 27017 等云安全合规性标准和最佳实践。

• 学习  Docker、Kubernetes 等容器技术，并了解容器安全相关的知识。

• 参与开源项目，例如  Kubernetes  安全项目，可以提高你的技能和知名度。

• 积极寻找云安全相关的实习或工作机会。

7. 应用安全工程师 (Application Security Engineer)

• 定位：在软件开发生命周期  (SDLC)  中，确保软件的安全性。

• 国际适配度：全球通用，安全开发生命周期  (SDL) 是全球公认的软件安全开发最佳实践。

• 核心技能：安全编码实践、静态应用安全测试 (SAST)、动态应用安全测试  (DAST)、 交互式应用安全测试 (IAST)、 软件成分分析  (SCA) 、威胁建模。

• 知识领域：Web 应用安全、移动应用安全、API  安全、安全设计原则、安全编码规范、漏洞类型  (例如  OWASP Top 10) 、 软件开发生命周期  (SDLC)。

• 学习实践资源: 开发课程、网络研讨会、安全会议、专业认证 (例如  GWAPT、   CSSLP)、安全编码规范 (例如  OWASP  的  Code Review Guide)、静态代码分析工具 (例如  SonarQube、Fortify)、动态应用安全测试工具 (例如  Burp Suite、OWASP ZAP)。

• 求职建议:

• 打好软件开发基础，掌握至少一门编程语言，例如 Java、Python、C++  等。

• 学习安全编码规范，例如  OWASP 的  Code Review Guide，并进行大量的代码审计练习。

• 学习使用  SAST、DAST、IAST 等应用安全测试工具。

• 学习威胁建模方法论，例如  STRIDE、DREAD  等。

• 参与开源项目，例如  OWASP 的项目，可以提高你的技能和知名度。

• 积极寻找应用安全相关的实习或工作机会。

8. 计算机取证调查员 (Computer Forensics Investigator)

• 定位：收集和分析数字证据，还原攻击事件的真相，并将调查结果用于法律诉讼或内部调查。

• 国际适配度：全球通用，但不同国家和地区的法律法规和取证流程可能有所不同。

• 核心技能：数字取证流程、证据收集和保全、数据恢复、恶意代码分析、时间线分析、报告撰写。

• 知识领域：操作系统、文件系统、网络协议、数据库、恶意软件、取证工具、法律法规。

• 学习实践资源: 取证认证 (例如 EnCE、CHFI)、研讨会、学术课程、执法部门培训、取证工具 (例如  EnCase、FTK、 Autopsy)、安全数据集 (例如恶意软件样本库)。

• 求职建议：

• 获得  EnCE、CHFI 等权威的取证认证。

• 熟练掌握  EnCase、FTK、Autopsy 等取证工具。

• 深入学习操作系统、文件系统、网络协议等基础知识，  以及恶意代码分析、时间线分析等取证技术。

• 了解相关的法律法规，例如《网络安全法》、《数据安全法》等。

• 在 IT 支持或安全领域积累经验，例如  SOC  分析师、 安全工程师等。

• 志愿服务于执法机构或律师事务所，或者参与相关的实习项目，积累实战经验。

希望以上分析和建议能够帮助你更好地规划你的网络安全职业生涯。请记住，网络安全是一个充满挑战和机遇的领域， 只有持续学习和实践，才能在这个领域取得成功。

如果您觉得文章对您有所帮助，还请您关注我！

原文始发于微信公众号（再说安全）：浅析全球网络安全的8个主流岗位（2024）