这里有人对计算机安全感兴趣的吗？进来聊聊呗

楼主在这里观察了一段时间，发现地里几乎没有任何讨论计算机安全相关的内容。尽管系出CS同门，搞计算机安全的真是太冷门了，人数跟码农相比完全不在一个档次啊。在此楼主抛砖引玉随便说点吧，有其它搞安全的或者感兴趣的或者纯粹好奇的可以看看。


关于楼主的经历，楼主自己必须强调一下对大多数人来说这里比较适合当故事看，不大适合做完经验，因为楼主一开始就没有身份问题 = = 估计认识我的人一看就知道是我了。


楼主N年前来到美国中部很农村的Oklahoma读本，专业是CS+Forensic Science，毕业后继续读Forensic Science的研究生，其中Forensic Science(称为FS好了)就是法证科学，也就是楼主头像的CSI电视剧里的东西，相信很多人也知道。虽然FS的学习内容也包括指纹提取、军火鉴定、现场勘察之类的，但楼主的主要研究方向还是digital forensics，就是数字取证，研究如何从各种存储介质中提取内容，包括那些被删除和破坏的数据。


大家从上面楼主的专业描述就可以看出楼主一开始就走的是个剑走偏锋的非主流路线。的确，楼主是个喜欢计算机，但对单纯的写代码没啥兴趣的人，所以几乎从踏进计算机专业这个门开始就将未来的发展方向锁定在了计算机安全。如果说码农们的工作是创造，那么计算机安全研究的就是破坏，目的是找出计算机系统内的各种漏洞。然后随着接下来的目的的不同，搞安全的人群可以分为两大类：一类是利用漏洞损害计算机系统，为自己带来非法利益的黑帽黑客；另一类则是在损害造成前修补漏洞，为企业提供安全防御赚取合法收入的白帽黑客。楼主的目标显然是后一个。


不过计算机安全领域过于冷门的其中一个原因是技术要求过高，即使对于CS科班出身的学生来说要求的知识广度和深度也太大。即使在美帝大学CS专业已经很成熟的情况下，计算机安全相关的课程也是不会太多而且往往作为选修课程存在，而一两门课的内容也仅仅足以对计算机安全做个概括性的了解，连入门都很难算上。为此楼主在课外自行学习了大量与安全相关的知识技术，包括网络、密码学、黑客攻防流程与工具等等，不是说这些东西在大学CS课堂里不会教，而是教学的深度根本不能达到现实工作的要求。


即使如此，毕业之后楼主依然深深感到自己在网络方面的实用知识依然不足。因此毕业后楼主和老婆一起搬迁到了相邻的Texas休斯顿，找的第一份工作是个中小公司的IT部门，工资不高，工作内容也往往是帮员工装软件、杀毒、重装系统、修电脑（真·修电脑！）这之类的小事，但楼主最喜欢也花了最多心思的就是网络方面的工作，包括域环境、用户管理、服务器维护、交换机和路由器设置、防火墙配置、日志管理这些东西，所有的这些对于现实的计算机安全工作都是至关重要的。因此虽然工资低，但楼主也是干的很充实，学习了很多实用的知识经验。(事实上绝大多数搞计算机安全的人都是从搞IT开始入门的）


楼主最后在这家公司干了将近一年半，在这一年半的时间里，楼主接连自费考到了CompTIA的Network+、Security+和Pentest+证书。之后18年中楼主很心大地裸辞，和老婆回到国内大玩了一个多月，然后回美国重新找工作。找新工作花了一个月多一些，现在楼主在某大厂在休斯顿的分部干活，工作内容是作为安全研究员钻研各种软件漏洞。所以现在楼主又觉得自己的二进制安全这一块的知识依然不足，正在努力学习中，给自己打个气！


最后总结一下：计算机安全算是CS里很硬核的一个领域了，对知识、技术和经验的要求比起普通的写代码工作明显高出了一大截，因此令很多人望而却步。如果看一下搞计算机安全的人的学历构成，会发现比较有意思的一点是基本所有人要么是很优秀的CS科班出身，要么是原本专业跟CS八杆子打不着，但却凭着非常高的热情自学成才进入这个行业。这反映了个人认为的计算机安全学习的一个最核心要求：兴趣。由于计算机安全学习的高难度，没有强烈的兴趣驱动，普通人非常容易被随处而来的挫折打击而难以进步。因此大家都见过了很多其它专业的人为了工作和高薪转码农，却基本没有转计算机安全的，就是因为太硬核了，自带劝退。不过也正是如此，导致了计算机安全人才太少，行业需求却极大，因此掌握扎实计算机安全技能的人是基本不会担心工作的。楼主当时把计算机安全的技能往简历上一放，再将简历往LinkedIn之类的网站上一挂，很快就不断地有人叮叮叮询问。甚至在楼主已经找到新工作安定下来后，还会不断有recruiter来加我试探能不能挖人 @@


看了楼主那么多的碎碎念，不知大家有什么想法吗？如果有其它搞计算机安全的小伙伴想讨论，又或者你只是单纯地对这个话题感兴趣，都可以进来聊聊啊。

constk 发表于 2019-3-1 14:31
想请问一下楼主对于读security方向的CS PhD怎么看？
感觉按照楼主说的，好像经验比学历更加重要？
再就是 ...

我是Security方向的PhD。除非是为美国政府工作，否则身份并不影响就业。
Security PhD到工业届一般有三个选择：
1. Research。比如IBM, Microsoft Research, Samsung Research America, Baidu X Lab
2. Security Engineer。这就类似楼主所做的，主要负责enterprise security, auditing
3. SDE。侧重点和security engineer不一样，但很多时候有交集。developing security libraries/features, building security infra, etc

zhangzitong001 发表于 2019-2-20 14:12
恭喜楼主能坚持自己梦想..  我最初学cs其实就是想以后从事security.  但是和你说的一样  本科只有几节课打 ...

没事，SDE也不错啊，你可以在开发的时候就养成习惯，每次增加功能的时候就去思考“这里在安全上有没什么问题”“会不会带来漏洞”“如果我是用户的话可以怎么破解”之类的问题，即使干的不是安全的工作，也能开始训练安全人员的头脑。

自学的话看个人能力吧，也不要太过勉强，勉强的话或许可以支撑一时，但很难支撑一辈子的。如果最后发现自己的确不是钻研安全的料的话也不必沮丧，一点也不能说明你能力差哦。

一个Reverse Engineer/Malware Researcher路过，表示美国这边相关工作对经验要求比较高。本土人真心渣，如果国内有过两年工作经验的，虐这边的好多人。。。

对cyber security一直挺有兴趣 但是不知道就业前景咋样。还有感觉一般工资都会比sde少一点？不知道是不是错觉，感谢楼主分享

膜拜楼主，感觉楼主的故事展示了什么叫真正的兴趣。

我不是做计算机安全的，也不太懂技术，但是我司是做互联网安全相关的产品。中型公司，总部在波士顿，在Austin， LA还有海外都有office。楼主要是在现在的公司呆烦了，可以考虑我们哦~~

楼主握个爪，我就是Cybersecurity中的一员，现在专业是CS，不过实习是security engineer。快毕业啦，在准备PenTest+。楼主之前说到的网络方面感兴趣其实可以走Cisco的CCNA，然后想进一步的话就考CCNA-Security，非常有意思。focus的是network security，就算不走network security也可以准备CCNA，这个证对于networking的知识铺的很系统，所以也是很实用的知识。

我的方向是penetration testing，更喜欢研究web app security。对于pwn, crypto, forensics, reverse都不是很熟，不过最近在上的课讲到了很多binary exploitation和OS security，所以也算上手了一点点。crypto课也上过，但是对algo-based的课实在不感兴趣（狗头

我对我自己的定位还有点模糊。曾经想过就做纯penetration tester，但是我的CS知识也不想浪费，加上还有算法和networking的知识。另一方面也不想做纯software engineer。所以目前我觉得自己想做的是red team的security engineer。能研究漏洞利用也能写码。或者说编程让我进一步深入安全领域。

地里安全方面的讨论的确少_(:з」∠)_

楼主您好，我的本科就是国内的信息安全，目前申请了19fall一些学校的 cyber security 、information security项目还有的是cs下设的security，我感觉本科的知识过于泛泛，平时也有自学一些相关知识，参加过国内的安全开发类比赛和一些ctf（没名次），现在给人的感觉很迷茫，从论坛里看到的美国那边安全方向好像又难工作又难实习，请问楼主有什么建议吗，谢谢！

SLiNv_Vic 发表于 2019/02/19 01:54:13
楼主握个爪，我就是Cybersecurity中的一员，现在专业是CS，不过实习是security engineer。快毕业啦，在准备PenTest+。楼主之前说到的网络方面感兴趣其实可以走Cisco的...

您好，我是19fall ms安全在申，请问您的实习是安全方面的开发吗还是搞渗透测试这些，请问这方面的实习机会多吗...我感觉在论坛里很少看到相关信息，谢谢！！

gogojiujiu 发表于 2019/02/19 14:53:44


您好，我是19fall ms安全在申，请问您的实习是安全方面的开发吗还是搞渗透测试这些，请问这方面的实习机会多吗...我感觉在论坛里很少看到相关信息，谢谢！！

我的实习是corporate security，更多的是企业内部安全，授权，policy这方面，不是产品安全。

Cybersec的信息交换很多都在Twitter，博客等。很多大牛的writeup，安全公司等的research都一手post上。LinkedIn上也有很多学习网络安全的人很活跃，还有professionals和recruiter，是个不错的network。

全球稀缺网络安全人才是个事实，工作机会超多。个人觉得其实没有break in行业之前真的觉得没有门路，但是进来了就会觉得其实机会很多。介于身份问题中国人哪怕移民了也不会有很高的security clearance，所以government contractor例如Lockheed Martin，MITRE之类的是没戏的。但是private sector都是工作机会。例如IBM X-Force Red专门做red team penetration testing的；Red Balloon Security专门做embeded security和pwn，黑过Cisco的VOIP phone；etc…

我觉得这行唯一的问题是在工作前怎么确定在自己在安全领域career path，我未老想走哪个方向来深入，然后怎么学习知识。我自己也是个新手，所以也在定位自己这方面struggling。

最后我自己的问题是在没有太多能量化的cybersecurity成果(CVE，bug bounty，证书等)的时候怎么证明你是值得被hired？这个阶段简历要怎么呈现（毕竟没有真的能写的）。我现在能做的事CTF，证书，和安全的博客。我做这些的同时能认清自己的status和知识点。

最后想问你的方向是什么的鸭？可以一起打CTF哦～

SLiNv_Vic 发表于 2019/02/19 16:27:17


我的实习是corporate security，更多的是企业内部安全，授权，policy这方面，不是产品安全。

Cybersec的信息交换很多都在Twitter，博客等。很多大牛的writeup...

我最早是做逆向后来买了两本书开始学web并且做了一些网上的题，参加了一些小比赛...然后我跟了一个国内学校的课题，做过一个无线网安全的项目，拿过一个国奖（挺水的，但是一些常用的内网知识、攻击方式和工具比较熟悉了）不过近半年来迫于形势压力已经开始leetcode了（唉）...请问在国外读研还有机会参加ctf吗，但是感觉自己又很菜如果都是大佬想必也跟不上节奏...还是说去找安全方向的开发来得实在....请问您的实习是要求具备一些什么知识呢，感觉未来还是想从事一些安全类的开发工作，不知道有没有机会...

gogojiujiu 发表于 2019/02/19 17:32:02


我最早是做逆向后来买了两本书开始学web并且做了一些网上的题，参加了一些小比赛...然后我跟了一个国内学校的课题，做过一个无线网安全的项目，拿过一个国奖（挺水的，但是一些常用的内网知识、攻击方式和...

我还没开始实习呢，所以还不知道里面到底是怎么样的，不过公司和公司也不一样。美国ctf比国内多多啦，可以加入你们学校的security club/team一起打。感觉你的经历还不错呀，作为学生就是什么都了碰一点然后找到自己的方向嘛。我国内的朋友去年刚学的渗透都拿到了360的offer（哭笑）所以可能是你需要更多的信心和确定方向然后钻研的决心？毕竟软件开发也是有方向的嘛，前端后端infra/NLP/ML/vision之类的。安全开发也分领域的嘛，不知道你心目中的安全开发是开发什么？红队工具/蓝队防御/security policy/compiler security/os security/crypto/network security/都挺不一样的。当然你也可以很多个方向都走…

security感觉要求的杂学很多，可能是我老是看ctf的writeup