對(duì)滲透工程師培訓(xùn)的內(nèi)容
我只愛攝影
小丫夏夏
學(xué)習(xí)完網(wǎng)絡(luò)安全之后，可從業(yè)的崗位有很多，其中最為常見的就是滲透測(cè)試工程師。滲透測(cè)試工程師是信息安全行業(yè)中比較獨(dú)特的崗位，也是大家進(jìn)入信息安全領(lǐng)域的首要目標(biāo)，那么滲透測(cè)試工程師學(xué)多久?崗位職責(zé)是什么?以下是詳細(xì)的內(nèi)容介紹。 滲透測(cè)試工程師學(xué)多久? 0基礎(chǔ)學(xué)習(xí)網(wǎng)絡(luò)安全的時(shí)間一般在3-4個(gè)月之間，這個(gè)時(shí)間說(shuō)的就是大家把這一整段時(shí)間用在學(xué)習(xí)網(wǎng)絡(luò)安全上，每天花8個(gè)小時(shí)左右去學(xué)習(xí)。除了學(xué)習(xí)滲透測(cè)試相關(guān)內(nèi)容之外，還需要學(xué)習(xí)源碼審計(jì)、等級(jí)保護(hù)、等保測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估、應(yīng)急響應(yīng)等內(nèi)容，學(xué)完之后有多種崗位可以選擇，比如：滲透測(cè)試工程師、網(wǎng)絡(luò)安全工程師、安全運(yùn)維工程師、安全服務(wù)工程師等，可根據(jù)自己的情況來(lái)決定。 滲透測(cè)試屬于網(wǎng)絡(luò)安全體系的一小部分，學(xué)習(xí)周期的話大概在20-30天左右。不過(guò)想要成為一名優(yōu)秀的滲透測(cè)試工程師單一學(xué)習(xí)滲透測(cè)試的知識(shí)遠(yuǎn)遠(yuǎn)不夠，全方面了解才可以獲得更好的發(fā)展機(jī)會(huì)。 滲透測(cè)試工程師崗位職責(zé)是什么? ①負(fù)責(zé)對(duì)客戶系統(tǒng)進(jìn)行滲透測(cè)試，盡可能發(fā)現(xiàn)存在的安全問(wèn)題并提出修復(fù)建議。 ②客戶系統(tǒng)出現(xiàn)安全事件時(shí)進(jìn)行應(yīng)急處置，協(xié)助客戶修復(fù)安全漏洞。 ③跟蹤國(guó)內(nèi)外信息安全動(dòng)態(tài)，進(jìn)行安全攻防技術(shù)研究。 ④對(duì)網(wǎng)絡(luò)安全攻防感興趣，熟練掌握滲透測(cè)試技巧，熟練運(yùn)用各種安全軟件、安全測(cè)試工具。 ⑤熟練掌握Windows、Linux平臺(tái)使用、攻擊技術(shù)。 ⑥熟悉常見的Web安全漏洞的原理、測(cè)試方法、加固方法。 ⑦具有較好的工作習(xí)慣及較強(qiáng)的文檔、報(bào)告、方案編寫能力。 ⑧熟悉各主流安全廠商產(chǎn)品。
Moser～子涵
網(wǎng)絡(luò)安全培訓(xùn)內(nèi)容分別是：基礎(chǔ)篇、web安全、滲透測(cè)試、代碼審計(jì)、安全加固、企業(yè)篇。
1、培訓(xùn)采用案例與理論相結(jié)合的方式，因案例貼合生活，形象生動(dòng)，更加通俗易懂，十分具有借鑒意義，給人以警醒。由于有些知名度比較高的網(wǎng)站，每天的工作量和資料信息都是十分龐大的，所以在網(wǎng)站正常運(yùn)行狀態(tài)中肯定會(huì)出現(xiàn)各種問(wèn)題，這個(gè)時(shí)候就需要一個(gè)網(wǎng)站維護(hù)人員了。
2、網(wǎng)絡(luò)安全工程師，為了防止黑客入侵盜取公司機(jī)密資料和保護(hù)用戶的信息，許多公司都需要建設(shè)自己的網(wǎng)絡(luò)安全工作，而網(wǎng)絡(luò)安全工程師就是直接負(fù)責(zé)保護(hù)公司網(wǎng)絡(luò)安全的核心人員。
3、通過(guò)模擬黑客攻擊，利用黑客技術(shù)、挖掘漏洞，提出修復(fù)的建議，涉及到的技術(shù)有：數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)技術(shù)、編程技術(shù)、操作系統(tǒng)、滲透技術(shù)、攻防技術(shù)、逆向技術(shù)等。
網(wǎng)絡(luò)安全培訓(xùn)的意義：
1、主要在于普及網(wǎng)絡(luò)安全知識(shí)，完善參加培訓(xùn)人員的網(wǎng)絡(luò)信息安全知識(shí)，增強(qiáng)網(wǎng)絡(luò)信息安全意識(shí)和防騙意識(shí)，為網(wǎng)絡(luò)安全工作奠定良好基礎(chǔ)，促進(jìn)信息的健康傳播，減少信息泄露不良等事件的發(fā)生。
2、幫助用戶了解網(wǎng)絡(luò)安全的法律和道德問(wèn)題,以保護(hù)自己和他人的隱私和數(shù)據(jù)。網(wǎng)絡(luò)安全意識(shí)培訓(xùn)對(duì)于個(gè)人、企業(yè)和政府機(jī)構(gòu)都很重要,因?yàn)樗麄兌伎赡苊媾R網(wǎng)絡(luò)安全威脅。
3、通過(guò)培訓(xùn)，將網(wǎng)絡(luò)安全發(fā)展的新動(dòng)態(tài)、新理論和新信息傳遞給接受培訓(xùn)的人員，培養(yǎng)參加培訓(xùn)人員在網(wǎng)絡(luò)安全方面的技能和水平，保證學(xué)員充分吸收網(wǎng)絡(luò)安全知識(shí)，還要提高防護(hù)網(wǎng)絡(luò)安全技能和水平。
lindadoncry
滲透測(cè)試需要的基礎(chǔ)技能必須有網(wǎng)絡(luò)基礎(chǔ)、編程基礎(chǔ)、數(shù)據(jù)庫(kù)基礎(chǔ)、操作系統(tǒng)等基本技能。學(xué)習(xí)的話可以從html、css、js、編程語(yǔ)言、協(xié)議包分析、網(wǎng)絡(luò)互聯(lián)原理、數(shù)據(jù)庫(kù)語(yǔ)法等進(jìn)入，學(xué)習(xí)了這些基礎(chǔ)技能之后，就可以進(jìn)行滲透測(cè)試的深入學(xué)習(xí)了，如web方面的學(xué)習(xí)OWASP TOP 10漏洞挖掘、主機(jī)系統(tǒng)服務(wù)漏洞檢測(cè)、App漏洞檢測(cè)、內(nèi)網(wǎng)滲透等方面。在操作方面，滲透測(cè)試工程師需要進(jìn)行以下內(nèi)容的實(shí)戰(zhàn)學(xué)習(xí)。信息收集：通過(guò)各種方式獲取所需要的信息。信息收集是信息得以利用的第一步，也是關(guān)鍵的一步。信息收集工作的好壞，會(huì)影響整個(gè)滲透測(cè)試流程的進(jìn)行。收集的信息越多后期可進(jìn)行測(cè)試的目標(biāo)就越多。信息收集包含資產(chǎn)收集但不限于資產(chǎn)收集。信息收集的分類：主動(dòng)信息收集：通過(guò)直接訪問(wèn)網(wǎng)站，在網(wǎng)站上進(jìn)行操作，對(duì)網(wǎng)站進(jìn)行掃描等。這種是有網(wǎng)絡(luò)流量經(jīng)過(guò)目標(biāo)服務(wù)器的信息收集方式。被動(dòng)信息收集：基于公開的渠道，比如搜索引擎等，再不與目標(biāo)系統(tǒng)直接交互的情況下獲取信息，并且盡量避免留下痕跡。這兩種方式各有優(yōu)勢(shì)，主動(dòng)信息收集你能獲取更多的信息，但是痕跡較為明顯，容易被溯源。被動(dòng)信息收集因?yàn)椴皇轻槍?duì)網(wǎng)站進(jìn)行特定的掃描，所以一般來(lái)說(shuō)收集的信息會(huì)相對(duì)比較少，但是你的行動(dòng)并不會(huì)被目標(biāo)主機(jī)發(fā)現(xiàn)。所以我們要靈活運(yùn)用不同的收集方式，才能保證信息收集的完整性。漏洞分析：在之前收集到的信息，都可能作為滲透測(cè)試中的攻擊手段，我們需要借此判斷可能會(huì)出現(xiàn)的漏洞，并測(cè)試他們是否可以被利用。期間當(dāng)然要注意不要碰觸到紅線，也是就事先確定好測(cè)試的范圍。另外，我們?cè)谶@個(gè)步驟中經(jīng)常會(huì)用到一些專業(yè)的掃描工具，這里就不例舉了。攻擊和修復(fù)：想要知道怎么修復(fù)漏洞，你得先知道怎么攻擊，透測(cè)試工程師應(yīng)該有能力在特定環(huán)境中提供漏洞的修復(fù)建議。滲透測(cè)試是建議完成之后，測(cè)試人員應(yīng)該清理環(huán)境，將之前在測(cè)試階段修改的配置復(fù)原，并協(xié)助完成漏洞的修復(fù)。報(bào)告整理：報(bào)告是滲透測(cè)試很重要的一個(gè)方面，一方面在于它本身的價(jià)值，代表這個(gè)項(xiàng)目的結(jié)果;另一方面也是一次滲透測(cè)試工程師的復(fù)盤，這是一次知識(shí)的積累和沉淀。
Sissy有福相
第一部分，基礎(chǔ)篇，包括安全導(dǎo)論、安全法律法規(guī)、web安全與風(fēng)險(xiǎn)、攻防環(huán)境搭建、核心防御機(jī)制、HTML&JS、PHP編程等。第二部分，滲透測(cè)試，包括滲透測(cè)試概述、信息收集與社工技巧、滲透測(cè)試工具使用、協(xié)議滲透、web滲透、系統(tǒng)滲透、中間件滲透、內(nèi)網(wǎng)滲透、滲透測(cè)試報(bào)告編寫、源碼審計(jì)工具使用、PHP代碼審計(jì)、web安全防御等。第三部分，等級(jí)保護(hù)，包括定級(jí)備案、差距評(píng)估、規(guī)劃設(shè)計(jì)、安全整改、等保測(cè)評(píng)等。第四部分，風(fēng)險(xiǎn)評(píng)估，包括項(xiàng)目準(zhǔn)備與氣動(dòng)、資產(chǎn)識(shí)別、脆弱性識(shí)別、安全措施識(shí)別、資產(chǎn)分析、脆弱性分析、綜合風(fēng)險(xiǎn)分析、措施規(guī)劃、報(bào)告輸出、項(xiàng)目驗(yàn)收等。第五部分，安全巡檢，包括漏洞掃描、策略檢查、日志審計(jì)、監(jiān)控分析、行業(yè)巡檢、巡檢總體匯總報(bào)告等。第六部分，應(yīng)急響應(yīng)，應(yīng)急響應(yīng)流程、實(shí)戰(zhàn)網(wǎng)絡(luò)應(yīng)急處理、實(shí)戰(zhàn)Windows應(yīng)急處理、實(shí)戰(zhàn)Linux應(yīng)急處理、實(shí)戰(zhàn)、Web站點(diǎn)應(yīng)急處理、數(shù)據(jù)防泄露、實(shí)戰(zhàn)行業(yè)應(yīng)急處理、應(yīng)急響應(yīng)報(bào)告等。
優(yōu)質(zhì)工程師考試問(wèn)答知識(shí)庫(kù)