如何尋找信息安全相關工作？

02-14

現在的主流招聘網站很少有這個行業細分，而圈子內的介紹又真假難分？

大部分工作的要求其實都不高，就是簡單的搬磚，所以我儘可能少的例舉這些崗位的充分條件，很簡單的一些tips，但要踏踏實實做了並不容易。

首先是 滲透測試工程師

基本要求：對Web安全整體有較深刻理解，具備Web滲透技能，熟悉滲透測試流程，熟練掌握各類安全測試工具。
基本職責：負責公司承接的滲透測試項目，跟蹤國際/國內安全社區的安全動態，進行安全漏洞分析、研究與挖掘，並進行預警。
如何做到：

學習常用的安全工具

AWVS

掃描靶場了解常見漏洞的攻擊方式
通過漏洞報告學習漏洞原理

Burpsuite

學習 Proxy 抓包改包
學習 Intruder 爆破模塊
學習實用 Bapp 應用商店中的插件

Nmap

使用 Nmap 探測目標主機所開放的埠
使用 Nmap 探測目標主機的網路服務，判斷其服務名稱及版本號

SQLMap

對 AWVS 中掃描出的 SQL 注入漏洞使用 SQLMap 進行數據獲取
實踐常見漏洞類型的挖掘與利用方式
《黑客技術攻防寶典：Web實戰篇》

有一定基礎可以先看 9-12 章

練習常見 Web 漏洞的挖掘

http://www.vulnweb.com/
http://www.dvwa.co.uk/
使用 Docker 搭建
https://hub.docker.com/r/citizenstig/dvwa/

關注安全資訊

http://freebuf.com/
http://bobao.360.cn/
http://wiki.ioin.in/
http://www.mottoin.com/

安全開發工程師

基本要求：掌握ruby、NodeJS、python、java其中一種語言;熟悉主流的滲透攻擊的原理、利用方式，能夠以手工或結合工具的方式對目標系統進行滲透測試。
基本職責：負責對安全產品的開發與維護，也可能包括安全應急。
如何做到：

熟練運用Python各相關模塊與機制

入門：《Python 學習手冊》
進階：《Python cookbook》

了解 HTTP 協議規範

http://www.ruanyifeng.com/blog/2016/08/http.html

了解漏洞常見漏洞類型的原理

《白帽子講 Web 安全》

關注新潮安全項目

https://github.com/showcases/security

跑通著名的開源 WAF: ModSecurity

https://modsecurity.org/
使用 Docker 搭建
https://hub.docker.com/r/jchaney/modsecurity/

跑通著名的開源 Web 掃描器 w3af

http://w3af.org/
使用 Docker 搭建
https://hub.docker.com/r/andresriancho/w3af/
主要還是開發，但是需要懂安全，對安全感興趣的開發可以考慮。

安全運維工程師

基本要求：熟悉Linux操作系統，熟練編寫shell 或python 腳本；熟悉常見Web安全漏洞分析與防範，包括SQL注入、XSS、CSRF等OWASP TOP 10安全風險。
基本職責：負責業務伺服器操作系統的安全加固，系統層的應用程序的運行許可權檢測、評估。
如何做到：

學習 Shell 的日常開發

入門 https://google.github.io/styleguide/shell.xml
進階 http://www.runoob.com/linux/linux-shell.html

學習 Docker 的使用

入門 http://www.docker.org.cn/book/docker/what-is-docker-16.html
進階《Docker進階與實戰》（有電子版）

了解 OWASP TOP TEN 的漏洞分類

https://www.owasp.org/index.php/OWASP_Top_Ten_Cheat_Sheet

關注運維資訊

http://www.infoq.com/cn/operation/

關注最新通用漏洞

https://www.seebug.org/vuldb/vulnerabilities

學習搭建企業資產安全產品

https://github.com/ysrc/xunfeng
Docker 搭建
https://hub.docker.com/r/ysrc/xunfeng/

安全研究員

基本要求：熟悉一種腳本語言，至少在滲透測試，漏洞挖掘，代碼審計其中一方面能力突出。
基本職責：國外最新安全技術熱點預研；應用安全漏洞挖掘及PoC編寫。
如何做到：

深入學習一門語言

Python
Java
Javascript

學習使用 Docker 編寫 CVE 漏洞 Exploit

https://hub.docker.com/u/vulnerables/

使用 Docker 復現常見的 Web 應用漏洞

https://github.com/Medicean/VulApps

關注最新漏洞分析

http://paper.seebug.org/
http://wiki.ioin.in/sort/vulnerability

熟悉蜜罐的搭建

https://github.com/schmalle/MysqlPot
https://github.com/gfoss/phpmyadmin_honeypot

實踐代碼審計

《代碼審計: 企業級web代碼安全架構》
https://github.com/Xyntax/1000php （下載到本地看）

了解國內安全會議議題

https://www.hackinn.com/

咳咳，自薦，有意在濟南工作的，可以私信我。

剛剛在某論壇看到一篇文章，是國外的一篇關於如何尋找信息安全的文章但是已經被翻譯成中文

譯:@pnig0s_小p

有的朋友經常會問我:"我怎樣才能得到第一份滲透測試的工作"像大多數其他類型的工作一樣,公司希望員工能夠儘可能快的給公司帶來實質性的價值,這就需要你有一些經驗之後才能做到.而我們現在要討論的是如何得到第一份工作來獲得這些經驗.這是一個典型的雞和雞蛋哪個先有的坑爹問題.

首先,你不必有過職業滲透師的經驗才能成為一個職業的滲透師,你只需要具有發現安全問題的能力並且對滲透測試工作充滿激情就可以.

我認為涉足到這個領域最好的方式就是要把精力集中在Web應用的滲透測試上.因為這是目前這個領域經常會做的工作也是目前想進入這個領域需要代價最小的一種.

學習

嘗試理解操作系統原理.理解你的瀏覽器是怎樣發送請求的.可以使用一個代理來截獲這些請求和響應.閱讀一些關於DNS的知識並理解它是如何工作的.學習SSL.學習使用php,.Net,Ruby on Rails編寫簡單的Web應用,在這個過程中要以一個編程人員的思維來思考在編碼過程中可能會犯下哪些錯誤.此外,網路上有一些安全教程以及一些存在弱點的應用可以用來進行測試.這裡我推薦PentesterLab網站里提供的一些非常好的練習.我們還需要經常閱讀安全資訊並對你感興趣的主題進行更深層次的研究.滲透測試就是要親自研究和測試來達到一個更深更高的水平.你可以訪問http://pntstr.com/bot,這個網站會每周讓你回答一個安全問題.

玩CTF奪旗遊戲

這是一種學習新技術非常好的方式,同時還可以和他人競爭.此外你還有機會見到一些已經成為職業滲透師的人.而且如果他們喜歡你的技術,他們會很樂意幫助你並把你帶入這個領域.一個好的伯樂給公司帶來的價值是巨大的.這就是為什麼很多公司要支付比給他們的僱員更多的薪酬來給一些獵頭.

挖掘漏洞

並且要以一種聰明的方式.如果你找到了一個Bug

有四種途徑來處理:

"Oh天吶,我發現的漏洞太炙手可熱了,我得在別人找到之前把它公布出來"

基本上,當你發現一個Bug之後會通過郵件發送到一些郵件列表中比如full-disclosure.如果這個漏洞並不是真實可重現的,這也許並不會給你帶來一份滲透測試的工作而且你的郵件也會永久保存在互聯網上.

"讓我們發一份郵件給應用的官方吧"

這樣做很好,你也許會在官方的公告中被提及,並從中獲得一些不錯的聲譽.

"讓我們寫一個針對這個漏洞的補丁並發郵件給官方吧"

這是非常出色的反饋和公開的方式,你很有可能被列在官方的更新記錄中.並且在以後招聘人員可以看到你有能力找到漏洞並正確修復他們.

"隱藏我發現的漏洞吧"

這也是一種不錯的處理Bug的方式,但是你目前需要人們知道你的能力,所以現在這麼做並不是很合適.

大多數的招聘者會從從簡歷中發現應聘的人有很多各種各樣的證書,但多數情況下他們並沒有很多實際的技能以及一些被網路記錄下來的小榮譽 .如果你能找出一些漏洞並幫助官方修復他們,那麼你將大有可能通過面試:

1.你將有能力來說明你能夠挖掘漏洞.

2,你將有能力來說明你能夠修復漏洞,並向開發人員介紹你修復的思路.這就是滲透測試要做的最基本的工作:找出漏洞,向非安全從業人員解釋這個地方為什麼是不安全的並幫助他們修復漏洞.因此你現在已經能夠理解這項工作了.

3.你將有能力說明你對於安全充滿激情,因為你還沒有進入這個領域工作就已經開始挖掘和修復漏洞了.

那麼現在,從哪些應用開始做滲透測試呢.我覺得你肯定不想從WordPress/phpmyadmin或一些大型的已經經過很多人檢查過的項目入手.嘗試一些小的但是又具有活躍用戶群的項目,開始測試他們.你找不到漏洞才怪呢:)

把事情簡單化

在寫簡歷的時候不要寫太多的關鍵字.不要弄得自己好像某一個領域的專家,比如使用"精通X".如果你使用了這個詞那麼招聘人員在問問題的時候也會期待你能給出一個非常專業的回答.如果我看到你使用了"我能夠..,我有能力..",那麼我會問一些簡單的問題並降低我的期待值.不要在你的簡歷中撒謊,寫上事實就好了.這樣能讓面試人員產生驚喜的感覺.

提問題

如果你沒有通過面試,那麼在面試之後你要詢問你在哪方面需要提高,面試人員期待應聘者應該掌握哪些技能？他們有沒有一些你能學習的資源？如果他們看到你希望提高你的技能,他們也會願意在幾個月後給你第二次面試的機會讓你在這期間能夠用你所學到的技能讓他們信服.

原文：http://4z1evilshadow.blogspot.com/2012/09/blog-post_27.html

到國密局網站，公安三所網站，保密局測評中心網站查公司，按圖索驥

僅僅從尋找信息安全領域工作回答，不包括前期準備以及面試等等。

1、信息安全的工作崗位分布

A、信息安全領域內的崗位,包括公司、政府部門（如綠盟科技，公安部相關部門）

B、非信息安全領域的信息安全崗位（如騰訊也有安全技術崗位）

2、通過網路、朋友、家人等途徑獲得公司需求

A、大街網、智聯招聘

B、綠盟、網康等官網的招聘信息

3、投遞簡歷

4、準備面試、筆試

有信息安全類的優秀人才想在武漢工作的可以聯繫本人，良好前景的公司期待你的加入！

我是上海Hanz service 獵頭公司的。如果有信息安全方面的大神可以找我私聊下，我這有一份國內最大雲存儲公司之一的信息安全專家的職位想推薦給你們！！！

公司D輪融資已經結束，是一個馬上上市的公司，很有前景，年薪無上限，按能力看！做得好能拿到期權，公司在上海張江。

如果您對該職位感興趣，想知道具體公司情況的話，可以聯繫我。

供參考：

1）信息安全人才招聘安全領域的網站，版主免費幫大家發廣告和推薦人才

2）http://www.freebuf.com/ FREEBUF網站，很多公司在這裡免費發布招聘信息

3）求職者期望去的公司的網頁上尋找

4）安全交流最活躍的QQ群

5）安全書籍讀書交流群

。。