【有问必答】任何有关信息安全的问题

flyingheap 发表于 2022-3-12 19:27
请教一个问题：公司里面已经买了WAF，为啥还要手工做pentesting？

这两个问题本身没有直接关系。WAF只能针对规则来侦测攻击，大多数是通过正则表达式的方式来判定，（参见Mod Security Rules，基本主流的WAF都在用这个规则集合）。有很多WAF无法阻断的攻击方式，你去搜索WAF bypass。WAF本身也容易导致阻断正当内容，很多时候公司往往不会使用非常激进的规则集合。

渗透测试主要是通过经验和测试框架发现问题。你这里说的手工做pentest，包含了网络层，应用层。有时候还包括移动端程序调用的API。这几个里面，WAF通常只用来保护web app （mobile API通常也有）。网络层渗透的话，跟WAF没关系。 再说一个浅显的解释，手动测试相当于使用各种武林秘籍，而WAF只能挡其中的几招几式。

年度渗透测试有时候也是为了满足合规的需求（PCI等）

最近美国网安招工市场怎么样？有没有岗位在招？

人二 发表于 2023-9-18 19:35
最近美国网安招工市场怎么样？有没有岗位在招？

甲方企业方面有收缩，乙方研发方面应该影响不大。

empti 发表于 2023-10-24 17:21
甲方企业方面有收缩，乙方研发方面应该影响不大。

之前一直做售前岗 研发压力有点大 不知道怎么上岸 :/

人二 发表于 2023-10-26 12:42
之前一直做售前岗 研发压力有点大 不知道怎么上岸 :/

售前的职位也是有挑战的，也可以做到很高级别，压力和可以很大。你是不喜欢售前的sales和SA这种职位？还是觉得研发的薪资短期来说高一些？你回头可以想想看研发是不是适合你自己的性格和职业发展方向。

研发还是挺多具体方向的，具体做哪个内容，就得你自己想好了之后去规划一下了。你是要做逆向？还是做身份认证/授权？还是做网络协议分析？还是别的什么？每个方向都有具体的书和学习内容。这里没有像通用码农那种靠刷题的直观解决方案。你要想在细分领域成为专家，就得深挖这个你选定的坑。

请问在业界UMD和JHU的cybersecurity项目哪个更受认可呢？

dntyfate 发表于 2023-11-14 08:03
请问在业界UMD和JHU的cybersecurity项目哪个更受认可呢？

从我的了解方面JHU得项目是个不错的项目。但就他们两个的比较，我也没法提供有说服力的解答。

仅从就业来说实习/工作经验大于学校名气。如果你想去的学校有比较完善的体系/课程设计，能让你在校期间积攒安全相关的实习经历，那这个项目我觉得就有可取的地方。如果之前有安全方面的从业经验，那其实去个名气更大的学校也未尝不可。

empti 发表于 2023-11-14 13:46:01
从我的了解方面JHU得项目是个不错的项目。但就他们两个的比较，我也没法提供有说服力的解答。

仅从就业来说实习/工作经验大于学校名气。如果你想去的学校有比较完善的体系/课程设计，能让你在校期间积攒

非常感谢！

mark一下好帖子！swe本身对安全security和privacy感兴趣，希望以后能向这个方向发展。

想问问我本科在国内读的信息安全专业，但上的课基本是cs那些基础课，对于安全还称不上有非常深入的知识水平，只是对一些网络协议/经典漏洞/密码学机制有了解，总之停留在非常理论的层面。现在在cmu读master想找个明年的暑期intern做一做。目前正在开始投简历。非常的迷茫，感觉自己既出身不如cs专业正统，选择做安全的门槛又比较高。请问您有什么建议吗？以及如果找安全岗intern准备面试的话您有建议的一个知识框架吗（哪些知识是必备的）？