核心内容摘要
Step3-VL-10B-Base与GitHub工作流的智能集成
很多从事IT网络运维工作的年轻小伙伴都会有个疑问自己做的工作很杂似乎很基础而且重复很多年究竟有没前途。
作为过来人告诉一个
总结前途大小工资多少跟你的岗位和职称资质没有多少关系跟你的经验技能和平台有关系。
我今天来详细讨论下IT运维工程师的出路在哪里。
IT运维工程师分很多种。
如果是做基础底层的硬件设施空调ups等维护强弱电布线运维设备搬迁实施那你这个待遇估计天花板了。
但是你做到中级的运维负责一些软件系统网络的维护和一些技术支持一些网络设备服务器存储设备的基础维护那你考个认证可以力争过五位数。
如果想更多偏向于安全那你就要做到高级安全运维要做的是整个数据中心机房的核心网络外联冗余灾备数据安全负责WAFIDS/IPS堡垒机防火墙防病毒这些安全设备参与公司基础网络安全架构的建设制定安全解决方还要解决日常安全问题在出现网络攻击或安全事件时进行紧急响应、恢复系统及调查取证日志审计支持。
基础运维工程师的出路就是逐渐偏向网络安全工程师。
伴随着互联网的产生和发展网络安全问题层出不穷各式各样安全漏洞的涌现运维与安全这两个专业日渐交融人们对运维安全的重视程度越来越高出现了一个新的交叉领域叫“运维安全”。
黑客、白帽子忙于挖掘运维安全漏洞企业忙于构建运维安全体系一时间无数漏洞纷至沓来座座堡垒拔地而起。
现实中的业务、运维、安全的关系是互相关联、彼此依赖的而衍生出三个不同与安全相关的子专业“运维安全”“安全运维”“业务运维安全”。
在互联网公司招聘岗位里我们经常看到的是运维安全工程师、安全运维工程师这两个岗位比较好对号入座。
而“业务运维安全”通常被包含在安全工程师的岗位中。
而且网络安全里面也分为几大方向就是渗透、运维和逆向二进制这三者选择深耕哪一类才能在未来竞争愈发激烈的行业赛道中脱颖而出获得高薪并保持竞争力避免互联网的35岁职场“灰犀牛”。
毕竟学习一门学科需要付出大量的时间成本只有事前对行业进行深入的分析才能做出相对科学的决策为自己拟定一个更具优势的职业规划。
要弄清楚这个问题首先我们要了解网络安全行业发展的主要方向。
工信部在2022年1月12日发布了国内最权威的《网络安全产业人才岗位能力要求》标准以下简称《要求》文中通过一张网络生命周期表明确给出了网络安全的从业范围。
如上图所示安全规划与设计是整个网络安全生命周期的基础环节安全建设与实施是整个网络安全生命周期的关键环节 安全运行与维护是整个网络安全生命周期的重要环节安全应急与防御是整个网络安全生命周期的重要保障安全合规与管理贯穿整个网络安全生命周期。
由此得出网络安全产业主要涉及图示的“四阶段一整体”5 个方向的主要岗位安全规划与设计、安全建设与实施、安全运行与维护、安全应急与防御、安全合规与管理。
在给出具体方向后《要求》列举了38个具体的主要岗位及职责。
例如安全规划与设计方向主要包括系统安全需求分析师、安全产品分析师、业务安全分析师等5类安全建设与实施方向主要包括安全开发工程师、网络安全产品工程师、终端安全产品工程师等6类安全运行与维护方向主要包括安全运维工程师、安全运营工程师、数据安全管理工程师4类安全应急与防御方向主要包括 网络安全监测工程师、网络安全态势分析工程师、漏洞挖掘工程师等11类安全合规与管理方向主要包括安全咨询工程师、安全合规风控咨询师、安全产品售前咨询师等13类。
那么这38个技术岗位的薪资待遇情况如何呢报告中提到网络安全领域的薪酬近年来稳步增长2021年上半年网络安全领域的平均招聘薪酬达到22387元 /月较去年同期提高了
85%其中市场需求量最高的研发技术岗成为含金量最高的岗位2021年上半年平均月薪24887元/月。
相较于全行业的平均工资偏高的主要原因是大部分公司通过社会招聘网站希望招募的人才都是“经验足、技术强”的人才。
那么对于“经验足、技术强”的理解结合《要求》中提到的38个具体技术岗位能力的解释可知至少
年的信息安全及安全服务作经历熟悉主要的信息安全和安全攻防技术孰悉安全管理体系建立和风险管理了解业务系统的安全控制技术和实现方案。
熟悉信息安全评估的理论和方法熟悉安全加固和安全审计技术有丰富的实践经验熟悉漏洞扫描、漏洞处理相关知识拥有漏洞处理经验。
更进一步则包括能负责客户信息安全体系建设咨询风险评估、推动整改等、针对客户安全规划咨询需求独立排写安全规划建设相关方案梳理各项信息安全的流程管理情况。
综上我们做选择前主要需了解两个问题。
第一需要了解目前这三者在市场中的岗位需求状况。
二进制逆向代码审计的岗位目前供小于求市场需求量大工作技术含量高而专业人才稀缺。
企业基本都要求具有1年以上的移动安全领域相关的经验熟悉逆向技术熟练使用安全分析测试工具和网络安全事件应急响应方法能够对网络安全事件进行分析溯源并输出分析报告具备一定的威胁情报分析和挖掘能力。
其次运维岗需求也很多入行门槛较低但在求职平台是个很宽泛的定义不同公司对招聘运维的要求也不一样。
有些公司运维工作是桌面helpdesk ,有些公司是网络管理各个层次的招聘都会存在仅有少数公司或者大厂的运维参与开发运维或者自动化运维。
再次目前渗透在市场中属于三者中较难求职的一类中低水平的人已经比较饱和企业对求职者的工作和项目经验要求较高所以求职者通常需要通过三五年的实际工作经验才能达到相应的水平。
第二我们还需要思考的是学习三者的难易程度以及所需的资金和时间成本去综合考量。
毫无疑问二进制的学习难度最大所需时间最多。
不同的机构线下课程价格在
万之间。
可以说二进制是程序猿水平的分水岭。
二进制安全本质上是指在传输数据时保证二进制数据不被篡改、破译等保障应用程序运行不被修改覆盖到信息安全的各方各面。
二进制运算也是计算机最底层的运算如果攻击能在二进制层面及时检测出来将极大提升效率。
在网络安全中二进制安全占据着至关重要的基石地位0day漏洞挖掘、漏洞库研发、恶意代码检测、杀软、沙箱、反调试、二进制木马查杀的安全工作都基于这个方向的研究。
移动基带、物联网、硬件等新兴领域的安全研究也都离不开二进制安全。
虽然目前尚未有关于前景的专业调研数据但顶级黑客大都是懂加密、会防护、能挖洞、擅逆向破解的二进制高手。
二进制安全大致有以下六个发展方向网络安全逆向工程师**、恶意代码分析工程师、二进制漏洞分析工程师、二进制漏洞挖掘工程师、游戏安全工程师、二进制安全研发工程师。
作为极客高阶技能二进制安全也需要个人投入较多的时间与精力研究技术。
**其次是渗透。
不同的机构线下课程价格在
万之间。
初级的渗透岗适合自学但大多数都只能达到“脚本小子”级别自学成黑客高手的可能性极低可谓凤毛麟角。
尽管渗透的学习周期比二进制短。
但如今渗透的入行门槛也越来越高相关技术能力堂握要求越来越高渗透需要掌握的知识内容比较多所以需要多花一些时间它不像软件测试和前端开发掌握一定的编程能力就可以了渗透测试掌握代码是基础其次还需要学习服务器操作系统数据库相关知识、web安全基础、渗透测试基础、漏洞原理和挖掘复现能力代码审计、攻击和防守等等相关技术。
因此如果走这个方向的话需要多花一些时间去系统学习。
最后运维属于三者中起步低最容易学习及入行的一类不同的机构线下课程价格在
之间。
随着中国互联网的高速发展目前中国网民已跃升为全球第
网站规模越来越来大、架构越来越复杂对专职网站运维工程师、网站架构师的要求会越来越急迫特别是对有经验的优秀运维人才需求量加大由于运维岗位所接触的知识面非常广阔更容易培养或发挥出个人某些方面的特长或爱好如内核、网络、开发、数据库等方面可以做得非常深入精通、成为这方面的专家。
运维学习需要分为四个阶段linux初级入门——linux中级进阶——linux高级提升和资深方向细化。
综上所述我们大致可以得出以下四个结论
目前网络安全行业运维安服岗位需求最多占比80%。
少部分安服企业需要渗透的岗位要求较高必须具备相当充足的技术经验。
所以目前学习安全运维就业机会最多其实有一点最重要的就是安全运维必须也是懂攻才懂防。
如果善于学习后期还可以转向系统架构师或者cto前文提到了运维虽门槛较低但是很多企业的具体工作可能跟预想的反差较大选择学习运维则主要考虑自己的客观条件未来是否有机会进入一二线城市的大型企业去接触自动化运维devops云计算这样会更利于未来的职业发展。
二进制。
门槛以及深入学习的成本较高学习曲线比较陡峭但是非常适合兴趣导向专心做技术的同学。
web渗透可以快速入门进步但是二进制安全光有兴趣是远远不够的在做漏洞挖掘病毒分析软件逆向前需要补充大量的基础知识通常这些基础都是挺枯燥的所以更需要坚持踏实与耐心。
如果你有技术理想做二进制安全研究是一个很好的选择当然需要的付出也是巨大的未来的成长空间广阔。
渗透属于信息安全领域专业性较强的工作种类。
所以抛开前景兴趣才是做选择的一个重要出发点。
web渗透是网络安全大行业里入门板块就像10年前的软件开发一样前景和薪资都非常的诱人渗透测试对技术的要求性不高对思维和手段的要求性较高。
基于前文中提到的公司多数要求经验足、技术强那么对于刚毕业的新人来说并不适合一毕业就考证证书对于有足够业内经验的人来说才是锦上添花。
用人单位HR经验丰富很清楚新人花钱考的证含金量并不高所以建议新入行积累一定经验后再去考认证更容易寻求到好的就业机会。
下面列出网络安全运维 需要掌握的技能如下参考
对目前现有网络架构有一定的了解熟悉防火墙WAF路由交换IDSIPS等等设备以及原理作用能熟练操作也会让基础更扎实。
熟悉OWASP TOP 10 榜单上常见的应用软件风险了解产生的原因以及逻辑了解常见的处理方式。
熟悉常见的各类操作系统的命令比如需要查询linux日志以作为被攻击后能接用日志分析对方进攻思路熟悉windows各类日志查询及分析。
熟悉一套安全\网络响应流程以便优化本项目\其他安全网络项目。
了解红蓝对抗你需要知道别人怎么进攻才会知道怎样防御怎样检查怎样溯源。
具有一定的日志分析基础可以根据日志分析找到对方留下的后门或被修改的文件。
具有一定的文案能力需要周期的汇报安全成果。
安全核心是在预防所以很多时候这个职位并不是很受别人重视需要有一定的自驱力不断去国内外的安全社区学习新的知识了解新的漏洞以及可使用的方式或逻辑。
而运维安全首先是运维。
日常工作中与IT、安全和网络部门关系都十分密切保持与兄弟部门的良好沟通和信息共享非常重要。
下面我们探讨一下与他们合作的可能性。
与IT部门主要是办公网安全尤其是网络接入系统通常是IT维护但由于历史原因或者技术支持的需求NAC可能需要运维安全人员提供技术支持比如前面提到的堡垒机服务。
与安全部门运维安全属于安全的一个分支但是不在安全部门管理之下但其与安全部门的联系极其密切可以说无论是业务安全还是运维安全都是“站在巨人之上”。
安全部门提供基础设施如DDoS防御系统包括目前公有云里的高防服务WAF这些都很重要和对外统一接口如SRC等安全部门提供SDL支持运维与产品部门的联系较安全部门更为密切很多时候需求先到运维才到安全所以通过运维安全一起推动安全培训、安全架构设计与落地、渗透测试等工作也不少见。
相对应的运维安全也能根据运维部门和产品具体情况实现精细化的漏洞运营同时推动漏洞高效修复。
与网络部门很多企业的运维和网络很长一段时间都是放在同一个部门之下即便拆分出来之后两者合作也是最多。
对于运维安全而言在访问控制和DDoS防御上非常需要网络部门支持。
访问控制如网络隔离和统一出入口访问控制的落地DDoS防御网络打通、流量采集与包括ip资产信息在内的数据共享本文从运维安全的概念入手强调了运维安全困境导致了我们的重视也从安全意识和基础架构建设上剖析了导致该困境的原因然后就事论事希望通过运维安全意识培养、运维安全规范以及运维安全技术体系的建设来保障一套完整的运维安全体系的有效运转为业务发展保驾护航。
安全运维是企业管理中躲不开的一个环节有一套良好的安全运维规范可以帮助企业降低安全隐患。
那么到底应该如何做好安全运维安全运维包含两层意思第一层是维护一个组织的信息完全管理体系比如使用防火墙维护公司的安全域划分第二层意思是在运维工作中落实安全管理要求降低运维工作中的安全风险。
由此可见第二层的意思立足于第一层安全运维的前提是企业有明确的信息安全管理体系信息系统有较合理的安全架构。
学习资源如果你是也准备转行学习网络安全黑客或者正在学习这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。
知识库价值深度 本知识库超越常规工具手册深入剖析攻击技术的底层原理与高级防御策略并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等提供了独到的技术视角和实战验证过的对抗方案。
广度 面向企业安全建设的核心场景渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点是应对复杂攻防挑战的实用指南。
实战性 知识库内容源于真实攻防对抗和大型演练实践通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。
部分核心内容展示360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式既夯实基础技能更深入高阶对抗技术。
内容组织紧密结合攻防场景辅以大量真实环境复现案例、自动化工具脚本及配置解析。
通过策略讲解、原理剖析、实战演示相结合是你学习过程中好帮手。