onice
2018-09-07 12:06:18 +08:00
搞安全不好找工作，起薪没程序员高，相对薪资满意的话，对能力要求比较高。我以前找这方面的实习，很痛苦，机会太少了，后来还是做 Java 去了。
真心喜欢的话，可以找个自己感兴趣的领域深耕。安全分好多细分领域的。常见的有 web 安全，移动安全，网络安全，反病毒，渗透测试。它们的侧重点都不一样.
web 安全研究的是 SQL 注入，跨站脚本攻击这些。楼主可以看下 OWASP TOP10，这个上面写了 web 安全排行前十的威胁。要做好需要一些代码功底，要能看懂 web 代码，有个岗位叫代码审计，就是专门挖漏洞的，不能挖漏洞的都叫脚本小子（具体含义可以百度）。这个领域的人最多，目前也最火。
移动安全主要是研究的目前市场上移动端的两个主流平台，安卓和 IOS，要做好需要懂一些逆向，要能反编译 APP，从中找到后门，或者是鉴定一个 APP 是不是木马程序。这块不多说，我也不太懂。。
网络安全的话，就是研究一些协议了，常见的是 TCP/IP 协议，像 ARP 欺骗攻击，拒绝服务攻击，中间人这些都是网络安全的范畴。做网络安全，经常跟网络设备打交道，像防火墙，入侵检测系统。想做好也要对底层协议比较精通，要有网络设备的研发能力。例如出现一个新的漏洞，需要写一些检测规则。
反病毒一般是指 PC 端的，就是我们常见的杀毒软件了。像反病毒工程师，就需要有反汇编的能力。要能分析可执行程序，并从中抽取出病毒特征码。
渗透测试的话，要做好就需要你掌握比较全面的知识了，不要求你精通，但什么都要懂一点，基本上是上下通吃了。要能够掌握各种攻击手段和方法，渗透测试的目的就在于模拟黑客的攻击，来评估目标系统的安全性。
国内的环境不好，乌云网也被端了，专门做安全的公司也很少，搬手指头都数的过来。做安全也经常背锅，大家对安全也不重视，对安全从业者的态度普遍是：没出问题，你是多余的。出了问题，要承担责任。
有独立安全部门的公司也很少，原因也跟上面一样，大家对安全都不重视。
另外，安全的水很深，比开发深多了，做开发比做安全更容易取得成绩。