【有问必答】任何有关信息安全的问题

perrier 发表于 2021-10-14 19:45
请问新手想转信安，网络安全方向，没有相关经验，可以从哪些地方来充实简历?
硕士cs的时候上过一节cyberse ...

可查此贴：
https://www.1point3acres.com/bbs/thread-792700-1-1.html

perrier 发表于 2021-10-14 16:45
请问新手想转信安，网络安全方向，没有相关经验，可以从哪些地方来充实简历?
硕士cs的时候上过一节cyberse ...

如果你想将来在这方面从业，我觉得你这样简历上完全没东西的话，竞争力会稍微差一些。

本科，master做过的安全相关的research，可以写上。你可以去HackerOne BugCrowd上去玩bounty，如果能进月前50，也算是能写上简历的。任何的安全相关的认证，比如CISSP，OSCP，GIAC，CEH之类的也是有帮助。

能展开说说你为啥会考虑安全方向吗？兴趣爱好？还是觉得这方面的长期发展你比较看好？

empti 发表于 2021-10-14 15:51
这几个都是非常细化的职位，就是之前提到的大厂职位。这类职位的特点是就是负责某一个特定的方面，但是因 ...

谢谢！
所以privacy跟Grc(risk)和threat算不同的分支? 有兴趣，想多听听privacy，CCPA的项目和各领域的背景!!

primary 发表于 2021-10-15 12:11
谢谢！
所以privacy跟Grc(risk)和threat算不同的分支? 有兴趣，想多听听privacy，CCPA的项目和各领域的 ...

Privacy和GRC做的东西其实不是很相关。Privacy这个分支很多厂家之前并没有去单独做，因为它涵盖很多方面，拿CCPA其中一项来说（简单说），“Right to Delete”这个看似很简单的一个需求，需要考虑如下的功能（stakeholders）
Customer requests intake/response/management (Engineering /Operations)
Data Inventory & Classifications （Legal/Compliance/Engineering）
Data processing （Engineering - Data)
Internal Audit (GRC)
这显然是超越了GRC传统的职责范畴的。

以上还没包括CCPA其他方面，还没提类似的VA/CO的法律。同时还有GDPR，和全球各地的法律/合规需求。所以能做的事情还是很多的。

请问做程序静态分析的话有没有什么可以考虑的工作岗位？
master，做了快一年了目前在写paper，但是自我感觉水平和组里学长比差距还很大……大公司的那些research group觉得自己还是不太有把握搞得来……
还是说先别考虑出来工作了接着读博才是正道？
或者其他建议的方向也可以，谢谢！

请问 软件产品研发 和 信息安全，跨度会不会非常大？

比如一个在 标准的 senior SDE，假设干了8年吧，如果想去从事 信息安全岗位， 这个是约等于转行从0开始了吗？还是说是比如从SDE 转DevOps 这种跨度，就是SDE的经验是有用的还是没用？从招人公司角度说，不是指自学角度。

也就是比如senior SDE 完全没有自学过安全方面，去投DevOps，这虽然会打个折，但也不至于说需要从初级职位开始做，那么安全呢？资深SDE完全没有自己自学过，转过去一般是从什么级别职位开始做起呢？又或者说，没有自学的话，是连初级职位门槛都够不上，就必须得去学过一些基础才能转？

太行山上云涛吼 发表于 2021-10-17 13:31
请问做程序静态分析的话有没有什么可以考虑的工作岗位？
master，做了快一年了目前在写paper，但是自我感 ...

这个方向还是挺看积累的，你要做到前沿的话那肯定一个MS的时间是不够的。如果工作的话，你可以考虑这个方向相关的厂商（其实也没几个）。

chowhound 发表于 2021-10-17 15:26
请问 软件产品研发 和 信息安全，跨度会不会非常大？

比如一个在 标准的 senior SDE，假设干了8年吧，如 ...

SDE转安全还是挺有帮助的，你可以考虑AppSec的方向，你对SDLC的理解一定会好于做Network/SoC出身的做安全的哥们们。

其实很少有一开始就在做安全的同学，大多数都是从其他方面转来的。

chowhound 发表于 2021-10-17 15:26
请问 软件产品研发 和 信息安全，跨度会不会非常大？

比如一个在 标准的 senior SDE，假设干了8年吧，如 ...

还有就是推荐你去看看OWASP的资料，非常有帮助。

请教一个问题：公司里面已经买了WAF，为啥还要手工做pentesting？