1.安全法（笔者认为学习网络安全前首先得学这个）
不是这个↑
网络安全法律：了解网络安全相关的法律法规和伦理标准。
合规性与标准：学习ISO 27001、GDPR等安全标准和合规要求。
2. 基础知识
计算机网络基础：了解网络的基本原理，如TCP/IP协议、OSI模型、路由和交换等。
操作系统基础：熟悉至少一种操作系统（如Windows、Linux或macOS）的工作原理和常用命令。
3. 编程语言
基础编程：首先就是基础前端三件套：html、js、css，其次学习至少一种编程语言，如Python、C、php或Java，这将帮助你理解漏洞的成因和编写自动化脚本。
数据库：mysql语法
脚本语言：掌握如Bash或PowerShell、python等脚本语言，用于自动化任务和快速原型开发。
4. 网络安全基础
- 安全概念理论部分：学习基本的网络安全概念，包括加密、哈希、身份验证和授权。了解一些专业名词（包括但不限于：肉鸡、漏扫、打点、远控、木马、后门…）
5. 操作系统安全
Linux安全：学习Linux系统安全配置和常见的安全工具。（包括Linux开源的各类版本）
Windows安全：了解Windows安全机制和安全配置。
6. 网络安全基础技术点
Web安全：学习Web应用的工作原理和常见的Web安全漏洞，常见攻击类型：了解常见的网络攻击类型owasp top 10的漏洞逻辑原理和复现，以及一些常见的web漏洞，包括但不限于：SQL注入、XSS、CSRF、反序列化、URL重定向、XXE、SSRF、远程命令执行、任意文件读取、JSONP、文件包含、文件上传、CORS、越权等…
（欢迎评论区补充）
7. 安全工具与实践
基于上述可以穿插学习各类网络安全工具，包括但不限于如下：
渗透测试工具：熟悉常见的渗透测试工具，如BurpSuite、Sqlmap、kali、YARA、Metasploit Framework等。
安全扫描与评估：学习如何使用工具进行安全扫描和风险评估。
中间件：iis、apache、nginx、tomcat、weblogic…
提权：window提权、linux提权、权限维持
内网项目:渗透测试漏洞挖掘与报告输出、外网到内网域渗透
其他：Java代码审计、JS逆向、程序应用渗透
8.设备应用及防御机制
防火墙和入侵检测系统（IDS）：了解如何配置和使用防火墙和IDS来保护网络。
安全信息和事件管理（SIEM）：学习如何收集、分析和响应安全事件
防火墙**😗*用于监控进出网络流量，并根据预定的安全规则允许或阻止数据包。
入侵检测系统（IDS）：监控网络和系统活动，以发现潜在的恶意活动或违反策略的行为。
入侵防御系统（IPS）：与IDS类似，但具备主动防御能力，可以自动阻止或缓解攻击。
统一威胁管理（UTM）：集成了多种安全功能，如防火墙、VPN、IDS/IPS、防病毒、垃圾邮件过滤等。
虚拟专用网络（VPN）设备：在公共网络上创建加密的私有通道，确保远程访问的安全性。
内容过滤设备：用于过滤网络内容，防止用户访问不安全或不适当的网站。
Web应用防火墙（WAF）：专门保护Web应用免受攻击，如SQL注入、跨站脚本等。
数据丢失预防（DLP）系统：用于监控、识别和保护敏感数据，防止数据泄露。
安全信息和事件管理（SIEM）系统：收集、分析和报告来自整个网络的安全事件和日志。
网络访问控制（NAC）：控制对网络资源的访问，确保只有合规的设备和用户才能访问。
安全网关：在网络边界提供多层安全防护，如防病毒、反垃圾邮件、URL过滤等。
终端检测和响应（EDR）：部署在终端设备上，用于检测和响应端点上的安全威胁。
网络流量分析（NTA）：分析网络流量，以发现异常行为和潜在的威胁。
云安全网关：为云环境提供安全防护，包括访问控制和威胁防护。
安全多租户架构（SMT：允许多个客户共享同一物理硬件，同时保持数据隔离和安全性。
下一代防火墙（NGFW）：提供传统防火墙功能，并增加了应用识别、用户识别和沙箱等高级功能。
安全内容自动化协议（SCAP）工具：自动化安全相关的配置和漏洞扫描。
密钥管理设备：用于生成、存储和管理加密密钥。
安全评估工具：用于定期评估网络安全状况和合规性。
物理安全设备：如监控摄像头、门禁系统等，保护数据中心和关键基础设施的物理安全。
9. 方向拓展
漏洞研究与开发：深入研究软件漏洞的原理和开发防护措施。
红队武器开发：红队武器开发是指为红队（模拟攻击者）创建或定制工具和资源的过程，这些工具用于模拟网络攻击、测试防御措施并提高组织的安全性
安全开发：通常指的是在软件开发生命周期中整合安全实践和原则，以减少软件中的安全漏洞和风险。这种方法强调从设计阶段开始就考虑安全性，并持续到开发、测试和部署的各个阶段。
高级持续性威胁（APT）研究：专注于研究和防御长期潜伏、隐蔽性强的网络攻击。
漏洞研究与利用开发：深入研究软件和系统的漏洞，开发利用代码和防御策略。
逆向工程：分析恶意软件和可疑文件，了解其工作原理和行为。
**红队：**模拟攻击者行为的一组专业人员。红队的目的是通过模拟真实的网络攻击，来评估组织的网络安全状况，识别潜在的安全漏洞和弱点，并提出改进措施。
**蓝队：**在网络安全领域中，通常指的是负责保护组织网络安全的团队，其任务是防御和响应网络攻击，保护组织的信息系统和数据不受侵害。
物联网（IoT）安全：针对日益增长的IoT设备，研究和开发保障其安全的措施。
工业控制系统（ICS）安全：保护关键基础设施免受网络攻击，如电力、水利、交通系统。
移动安全：专注于智能手机和平板电脑等移动设备的安全性。
云安全：研究和实施云平台和云服务的安全措施。
数据保护与隐私：专注于数据加密、访问控制和隐私保护技术。
安全运营中心（SOC）建设与管理：构建和运营集中的安全监控和事件响应中心。
**车载安全：**汽车信息安全或车联网安全，是确保汽车在智能化和网络化发展过程中，其系统和数据不受未授权访问、破坏、泄露或非法控制的一系列技术和措施。
威胁情报：收集、分析和利用威胁情报来预测和防御网络攻击。
安全合规与标准：专注于安全政策制定、合规性评估和安全标准的实施。
密码学应用：研究和开发现代密码学技术在安全通信和数据保护中的应用。
人工智能与机器学习安全：利用AI和ML技术来增强安全防御能力，同时也研究这些技术可能带来的安全风险。
量子计算与网络安全：研究量子计算对现有加密技术的潜在影响和未来的安全解决方案。
安全意识教育与培训：开发和提供安全培训项目，提高组织内部人员的安全意识。
安全自动化与编排：自动化安全流程和响应措施，提高效率和响应速度。
10. 持续学习与专业发展
行业认证：考取如CISP、NISP、CISSP、CEH、CompTIA Security+、等专业认证。
参加安全会议和研讨会：参与网络安全社区，与同行交流最新的安全趋势和技术。
参与行业会议：参加国内外的网络安全会议，了解最新的行业趋势和技术。
加入专业组织：成为专业网络安全组织如ISACA、OWASP的成员，参与社区活动。
阅读专业书籍和期刊：定期阅读网络安全领域的书籍、学术期刊和博客。
在线课程和MOOCs：利用在线课程平台（如Coursera、edX、Udemy）学习最新的网络安全课程，或者报名专业网络安全培训。
技术挑战和CTF比赛：参与Capture The Flag（CTF）等技术挑战，提高实战能力。
关注安全公告和补丁：关注安全漏洞公告，学习如何应用安全补丁和缓解措施。
建立或加入安全实验室/团队：加入一个团队，虚心向前辈请教，在能力、人脉、资源上进行拓展提升
参与开源项目：加入网络安全相关的开源项目，贡献代码或改进建议。
参与国内网络安全相关项目：如hvv、zb等
实验室练习：在如CTF（Capture The Flag）比赛中练习技能。
实习与工作经验：寻找实习机会或参与真实世界的项目，积累实战经验。
11.就业岗位（包括但不限于如下，请把我是吗喽打在评论区…
网络安全工程师：负责保护组织的信息系统免受攻击、确保数据安全并应对安全事件的专业人员。
渗透测试工程师：执行授权的渗透测试，评估系统的安全性。
安全顾问：为客户提供网络安全方面的专业建议和解决方案。
网络安全工程师：设计和实施网络安全措施，保护组织的网络基础设施。
网络安全架构师：负责制定网络安全策略和架构，确保系统的安全性。
信息安全经理/主任：管理信息安全团队，确保组织的安全政策和程序得到执行。
安全运营中心(SOC)分析师：在SOC中监控安全事件，响应和处理安全警报。
安全信息和事件管理(SIEM)专家：管理和分析来自SIEM系统的数据，用于安全监控和事件响应。
网络安全研究员：研究新的网络安全趋势和技术，开发防御措施。
云安全专家：专注于保护云基础设施和云服务的安全。
数据保护官(DPO)：负责确保组织遵守数据保护法规。
首席信息安全官(CISO)：高级管理职位，负责制定和执行组织的信息安全战略。
安全审计师：进行安全审计，确保组织的安全措施符合标准和法规。
安全培训师：负责开发和提供网络安全培训和意识教育。
安全合规专家：确保组织的网络安全措施符合行业标准和法规要求。
恶意软件分析师：分析恶意软件，了解其行为并开发防御策略。
网络安全支持工程师：提供技术支持，帮助用户解决网络安全问题。
网络安全售前工程师：协助销售团队，提供网络安全解决方案的技术支持。
网络安全法务顾问：结合法律知识，提供网络安全相关的法律咨询。
应急响应顾问：负责制定和实施网络安全事件的应急响应计划。
网络安全策略师：制定网络安全策略，指导组织的安全方向。
移动安全专家：专注于保护移动设备和应用程序的安全。
物联网(IoT)安全专家：保护物联网设备和网络不受攻击。
密码学专家：应用密码学原理和技术，设计安全的通信和数据保护方案。
安全开发工程师：与开发团队合作，确保软件产品的安全性。
网络安全测试工程师：负责测试网络安全产品的效能和安全性。
**安全服务人员：**专注于提供网络安全咨询、实施安全措施、响应安全事件并帮助维护信息安全的专业人员。
**安全运维人员：**安全运维人员负责日常监控、维护和升级组织的网络安全设施，确保系统安全稳定运行，并及时响应处理安全事件。
网络安全学习路线&学习资源
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。**读者福利 |**【CSDN大礼包】最新网络安全/网安技术资料包~282G！无偿分享！！！**（安全链接，放心点击）**!
网络安全的知识多而杂，怎么科学合理安排？
下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！
初级网工
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
【“脚本小子”成长进阶资源领取】
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。
8、超级网工
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。
网络安全工程师企业级学习路线
如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。
一些我自己买的、其他平台白嫖不到的视频教程：
需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。
网络安全学习路线&学习资源![]()
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！
