从《黑客帝国》风靡全球到如今信息技术迅猛发展，网络安全or黑客一直在许多人心里都有着一份向往的心。今天，我们就来聊聊，关于网络安全学习的一些事儿。

什么是网络安全

网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。具有保密性、完整性、可用性、可控性、可审查性的特性。

网络安全工程师的定义

首先，我们来看看网络安全工程师的定义：指遵照信息安全管理体系和标准工作，防范黑客入侵并进行分析和防范，通过运用各种安全产品和技术，设置防火墙、防病毒、IDS、PKI、攻防技术等。同时进行安全制度建设与安全技术规划、日常维护管理、信息安全检查与审计系统帐号管理与系统日志检查等的人员。

从这个定义中，我们能清楚的看到从事网络安全工作需要掌握的技能。这些知识和技能不是一朝一夕就能修成正果的。需要注意的是：计算机知识与网络安全息息相关，学校学习的计算机基础知识是进阶到网络安全学习的基石，因为网络安全工程师是网络安全众多分支中的一条路径，所以，必须要把计算机知识这个根基打牢，这样，后期在学习或应用中，才能在网络安全众多分支中自如切换。

黑客（网络安全）入门必备

关于「黑客」，可能每个人都有自己的定义和理解。但作为一名合格的黑客，抛开技术层面，首先应该具备以下这些能力或品质：

• 正直善良的价值观：遵法守纪、严守底线、拒绝黑灰产

• 科学合理的方法论：终身成长、知识管理、第一性原理

• 持续有效的执行力：自我驱动、实践为先、结果导向

【价值观】

学习并掌握了所谓的「黑客技术」之后，即便从事的不是保家卫国护网之类的网络安全职位，仍有较大几率听闻或接触到这些关键词：拿站、脱裤、挂马、菠菜、资金盘、黑帽 seo、杀猪盘、薅羊毛……在互联网上，拒绝黑灰产要跟拒绝黄赌毒一样坚决，一旦你碰了，是很难回头的。人性在巨大的金额回报诱惑下，是很容易摇摆的。到底向左还是向右走，真的取决于你的价值观取向。

因此，秉持正直善良的价值观、遵法守纪、严守底线，是你进入黑客之旅务必要携带的护符，它能为你驱除杂念、为你的职业生涯保卫护航。

【方法论】

黑客或网络安全学科，起源计算机科学，但又不止于计算机，还涉及社会工程学、心理学、信息战等多个领域，学习曲线属于典型的「入门易精深难」，而很多人走着走着就迷路了，本质是缺少方法论的支撑。因此，关于「如何学习」、「如何坚持」则需要相应的方法论支撑，包括了：

终身成长，即采用持续成长的心态，将学习与成长周期无限拉长到一生。

知识管理，即 PKM（Personal Knowledge Management ），是研究如何科学高效管理知识的一套方法论。

第一性原理，即 First Principle Thinking，简单来说就是透过事物现象看本质。

【执行力】

价值观再正，方法论再好，若没有执行力，那便是纸上谈兵。因此，持续有效的执行力也是黑客必备的能力。那么，如何做到持续有效执行（学习/工作/成长）？这里就有3点：

自我驱动。对各类技术知识足够狂热、有强烈的兴趣和好奇心、遇到问题刨根问底、有较强的自律能力…… 只有保持这样的自我驱动，才能真正做到持续稳定。

实践为先。学到的知识是否真的有用，先动手再说，所谓“实践出真知”。

结果导向。同样是干活，也有“干了”和“干好”的差别。因此，无论看书做实验搞项目，一定要结果导向，用数据和效果说话。

简单来说，保持自我驱动的状态，多动手实践，以结果为依据，以此获得持续有效的执行力，这是学习或从事黑客（网络安全）工作的基石。

黑客（网络安全）职业指南

过去，黑客在公众眼里甚至是个贬义词，在企业里面，安全工程师甚至是可有可无的“消耗型”岗位。而随着《国家网络空间安全战略》《网络安全法》《等保2.0》等一系列政策/法规/标准的持续落地，网络安全产业从小众产业逐步发展成为国家战略性新兴产业，与人工智能、大数据、云计算等领域并驾齐驱。

政企单位的网络安全建设也从以往的“可选项”逐步变为“必选项”甚至是“强制项”，很多企业在进行 IT 部门及岗位划分时，以往往往只有研发和运维部门，安全人员直接归属到基础运维部；而现在，越来越多企业成立独立的安全部门，拉拢各方安全人才、组建 SRC（安全响应中心），为自己的产品、应用、数据保卫护航。

越来越多高校也陆续开设了网络空间安全 / 信息安全学科，为互联网、金融、电商、运营商、政企等各行各业输送人才。

短短几年间，黑客不仅成为了正规军，还直接跃升为国家战略型资源，成为企业“一将难求”的稀缺资源。

因此，要想体系化的了解黑客的职业发展道路，那我们就必须了解网络安全行业的方方面面。

首先，根据不同的安全规范、应用场景、技术实现等，安全可以有很多分类方法，在这里我们简单分为网络安全、Web安全、云安全、移动安全（手机）、桌面安全（电脑）、主机安全（服务器）、工控安全、无线安全、数据安全等不同领域。针对不同的领域，其技能需求也不尽相同。

[网络安全] 便是安全行业最经典最基本的领域，也是目前国内安全公司发家致富的领域。这个领域研究的技术范畴主要围绕防火墙/NGFW/UTM、网闸、入侵检测/防御、VPN网关（IPsec/SSL）、抗DDoS、上网行为管理、负载均衡/应用交付、流量分析、漏洞扫描等。通过以上网络安全产品和技术，我们可以设计并提供一个安全可靠的网络架构，为政府/国企、互联网、银行、医院、学校等各行各行的网络基础设施保驾护航。

其次，有关网络安全职位分类，以安全公司招聘的情况来分，安全岗位可以以研发系、工程系、销售系来区分，不同公司对于安全岗位叫法有所区分，这里以行业常见的叫法归类如下：

研发系：安全研发、安全攻防研究、逆向分析

工程系：安全工程师、安全运维工程师、安全服务工程师、安全技术支持、安全售后、渗透测试工程师、Web安全工程师、应用安全审计、移动安全工程师

销售系：安全销售工程师、安全售前工程师、技术解决方案工程师

走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，好好掌握以下几种技术（网络协议与安全设备、linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。

当然，从行业新人入职到真正通往大神，这里是“0到1”和“1到100”的区别了，到了工作场景中，能否根据工作需求，再横向和纵向拓展个人技术栈，这块修行就完全靠个人了。

黑客（网络安全）学习导航

1、法律法规政策，知道在什么框架下行事。

《中华人民共和国刑法》

《中华人民共和国网络安全法》

《网络安全等级保护制度2.0》

2、国家政府机构，知道谁在管事。

中央网络信息安全领导小组：http://www.cac.gov.cn/

国家互联网应急中心：http://www.cert.org.cn/

中国国家信息安全漏洞库：http://www.cnnvd.org.cn/

国家信息安全漏洞共享中心：http://www.cnvd.org.cn/

中国信息安全测评中心：http://www.itsec.gov.cn/

中国信息安全等级保护网：http://www.djbh.net/

中国反网络病毒联盟：https://www.anva.org.cn/

中国互联网络信息中心：http://www.cnnic.net.cn/

3、安全工具

sectool：http://sectools.org/

kali：https://www.kali.org/

nmap：https://nmap.org/

wireshark：https://www.wireshark.org/

metaspolit：https://www.metasploit.com/

nessus：http://www.tenable.com/

openvas：http://www.openvas.org/

sqlmap：http://sqlmap.org/

w3af：http://w3af.org/

burpsuite：https://portswigger.net/burp/

awvs：https://www.acunetix.com/

Appscan：https://www.ibm.com/developerworks/cn/downloads/r/appscan/

shodan：https://www.shodan.io/

cobaltstrike：https://www.cobaltstrike.com/

masscan：https://github.com/robertdavidgraham/masscan

hydra：https://www.thc.org/thc-hydra/

John the Ripper：http://www.openwall.com/john

modsecurity：http://www.modsecurity.org/

4、网络安全学习路线