今天是2023.1.14,我入职了自毕业后的第二家公司也有一个月左右了。毕业前一直在熟悉乙方的玩法,毕业后开始熟悉甲方的玩法,最近有很多不一样的想法💡一直在脑海中浮现,所以就顺便一起记录一下这几年的经历和心路历程。
纪念一下我在Agora6F漂亮的风景工位(感谢俺亲爱的mentor阵哥哈哈)
![](https://www.hyu1.top/wp-content/uploads/2023/01/IMG_20220729_120852-1-1024x768.jpg)
工作
- 大概是去年九月份左右,我阅读到了一些新闻,标题字数不多但是特征足够,《到2027年我国网络安全人才缺口达327万》,亦或者是《网络安全成为国家安全策略》之后朋友圈的前辈们也在讨论这个话题,褒贬不一,各有各的看法,很多人尤其是应届生的内心应该是五味杂陈的。我从19年开始在乙方实习,22年考研失利后三月份再次去了一家做零信任的乙方初创实习(突然想起腼腆的二爷哈哈),所以认为互联网更多是穷孩子和梦想家(仅我认为而已)的争夺之地,离开这个行业我难以做任何事情,实际本质上还是互联网学习成本低,大部分非核心岗位不看重出身,只看重实际解决问题能力而已,这一点很明显体现在很多时候我在记录工作成果时,leader会问一句,你的目的是什么。虽然可能会听起来比较冒犯,但是很快我意识到了这个问题可以延伸到你在做什么,你想做什么,最后结果对于团队和公司有什么价值,是的,作为甲方安全团队,核心关注点应该是降低公司安全成本,1000w的攻击成本或许可以被500w的防护支出所防护住,那就500w就是值得的。如果对外输出影响能力足够强大,甚至是可以作为非业务侧为公司反向赚钱。尤其是数据保护方面,很多甲方还是十分看重方案提供方的安全能力的,这也是我对资深甲方安全团队的的一些评价标准。在保护业务运转的同时也能反向给予甲方客户信心,增加客户选择自身公司的可能性
- 安全的封闭性都在逐渐增加,包括到现在,尤其是在16年乌云关闭后,对外信息的严重不对称到达了顶点。虽然很多人都在说安全这两年开始变火了,资本开始不断涌入,但是我认为是在走下坡路,有很多原因但是不方便直接叙述。同样的,资本涌入的同时,扩大市场的同时,监管力度并没有得到同步增强,这也间接导致了各种公众信息泄漏,厂家被勒索,安全产品互抄,甲方安全或者运维人员的意识放松(实在很难想象….我实习做项目就经常会进到一些单位内网,而且方式都比较简单)等问题,但是没有普通人可以去推动监管,因为没有话语权,毕竟连TK表达想法都需要想办法创建多个账号避免被封,但是仍然有真正在为行业发热的人在默默的推动这些的发展。
![](https://www.hyu1.top/wp-content/uploads/2023/01/qq_pic_merged_1673722157278-300x125.jpg)
- 毕业后的第四个月,我也迎来了我的寒冬,1024当天离开了Agora,但是不知道为何,其实心里没有任何情绪甚至感觉挺有意思的,因为裁员补偿重新找工作这一系列是我没有经历过的,实习一直是主动跟老板提要走,感觉是反向离职哈哈,拿完n+1后很快重新转换自己的思维,以社招的身份开始写简历,总结自己这段时间的工作,大概是一个月内,主要是社招面试难度并没有我预期的难,所以offer陆陆续续也发了下来(车企和字节给我的面试感受极为不适),然后入职了现在的公司。这半年时间做的事情不是很多,因为是甲方,更多的时候是在写脚本做排查跟新需求,所以这段时间混了一些水cve,阅读实现完了go安全开发这本书,熟悉了一下windows下的api和一些域环境攻防,再有就是阅读应急响应手册(推荐意大利的猫应急响应手册,很多不错的case用于扩展知识面),有点后悔没有跟进Grafana和jwt(这个现在还在我的文档里),不过看到了甲方安全合规是如何玩耍的了,而且十点半上班还能下午五点半打球实在很爽了,这段经历就当成美好的回忆了。
技术能力与技术焦虑
行业的天花板太高我没法接触到,很难定义技术能力的高低,我只能记录一下我认知中的技术。
传统攻防现在会很吃开发或者是运维能力。因为安全厂商这些年的积累和某些政策倒逼甲方提升自身安全能力,直接导致应用层对抗层出不穷,尤其是近几年的安全厂商,已经细分到了每条不同赛道上甚至是每个需求上,比如各类Webshell检测,容器检测等,虽然他们不一定做得很完善,但是也已经有一定趋势了,这也是我一直在关注和追求的点。有做供应链安全的比如墨菲sec,有做语义waf的长亭科技,做内存安全的安芯网盾,做威胁情报的后起之秀微步在线(我对这家公司印象很好),主机+容器安全的青藤云(印象也不错)等等,API安全的话就挺一言难尽的。
在我实习的时候,这些安全产品并没有特别完善,比如青藤云20年才举办webshell检测比赛,当时出现的各类样本属实让我长了见识,原来还能这么玩!但是现在就的确有点小卷了,一个是安全圈子封闭,新的样本不容易看到,二个是产品的迭代速度太快,很多刚发现的小点子马上就会进入到特征库。所以现在对于高价值目标的实际渗透(非src测逻辑或者是捡漏测常规漏洞),大概率是和这些安全产品对抗+各类组件0day+各种非技术方式,外网首先要考虑waf,厂商sdl的实施程度等,内网就得考虑windows域,蜜罐,态势感知,流量设备等。但是这也是乐趣所在,人和人的对抗是很有意思的
现在或者未来的安全人才大概率是开发佬或者是网络佬来降维打击…….因为我已经体验过很多次了,最近一次就是之前提过一嘴aliyun-cms-grafana插件问题,后面细跟的时候发现已经有开发者提过issue了,而且他给出了完整的修复方案和替换措施,可能在他的眼里,这只是日常一个小case。所以这也是我的不足之处,未来的长期目标就是提升开发能力,深入开发先当个优秀的码农再来谈安全,如果我还在大学里,我肯定不会很早去实习,cs的408实践是很重要的,理论搭配实践maybe会更适合在校的学生提升核心竞争力
关于技术焦虑,确实,不管是渗透还是安全开发,亦或者是更深入的红队,二进制选手,都不是普通人可以做的,但是在普通技术人员身上只能算得上是一门手艺,可替代性太强,熟能生巧后就是熟能生厌,再后就是纯体力活,依靠花费时间出卖自己的体力劳动获取对应报酬,本质和木匠师傅无差。这也是我在思考的问题,我22岁现在,应该还算年轻,但是已经不想在所谓的互联网高薪蜜罐中继续呆下去,一是体验过后也就那样,当初考研也是为了可以在年轻的时候可以接触更多的领域,一个是想拥有事业,是的,工作只是工作,不是事业……..所以闲暇之余除了码代码,也一直在不断了解安全市场的实际需求和问题,包括是服务大市场,还是专精一个细分群体市场,亦或者是走类似目标就是被收购的初创路线。运气很好遇到了几个有同样想法并且爱折腾的小伙伴,但是现实和理想碰撞的声音是很刺耳的,尤其是最近在和几个甲方爸爸们了解需求的时候,我听完后直接心里犯嘀咕这都啥啊……….,售前和需求实现对我一个小IT民工来说有点小难,不过我们还是很有信心把这件事情做好的,毕竟年轻嘛,脸皮厚是正常的,大不了吃亏后重来。
说到底,如何解决技术焦虑,就是如何看待自己现在或者是未来规划中自己拥有的能力,如果只是为了上班混口饭,那没事,如果是想做点好玩的事情,可能就需要其他的“技术”了。如何量化能力高低,就是看解决同样的安全问题我们和别人付出的成本差距是多少,转化成乙方视角,也可以看同等问题,客户需要付出多少才能解决他们遇到的安全问题。所以还是得给自己制造紧张感,毕竟还有更多的人在前面,我还是很想去追赶这些优秀的人的,所以需要提升自己在行业的影响力…..
我的后期大概率是深入系统或者网络,视精力而定,先把一件事做好,我现在还是认为这两大哥才是最本质的安全攻防,web安全,云安全(上云貌似还早得很),安全开发啥的都这两大哥的实例化的一个对象罢了,当然web3也是机会(但我不确定是机会还是诱惑蜜罐,苦恼于信息渠道太窄,持续观望吧还是)。顺便逼迫一下自己下个Q把之前的东西都重新记录完整!
生活
上海是我目前感受到文化最开放和包容的城市,没有之一,之前预想可能发生的坏事情都没有发生,反而都是前辈们给予照顾,基本没啥事情,大学路的小酒馆真的是美妙,就是太贵了消费不起。七月份开始工作后还没体验过深夜加班做应急哈哈,还有很nice的小伙伴,附一张小基友照,只是可惜了海南和坡县之旅。
![](https://www.hyu1.top/wp-content/uploads/2023/01/mmexport1673728526110-1024x768.jpg)