zakefine的博客

真正进入乙方以后，你会发现客户要低价，老板要利润，项目要交付，项目经理要进度。“国家重视”“行业刚需”“人才紧缺”“高薪”这些词都可以是真的，但跟你能不能拿到高薪，没有必然关系。而是出了问题，能找到原因，发现漏洞，知道怎么利用和修复，系统上线，知道风险在哪里，业务不配合，依然能把事情推进下去的人。会Burp、Nmap、AWVS，会打靶场，会写几个脚本，会做渗透报告，再挂几张证书，恭喜，你只是入门，不是值钱。如果你每天只是扫描、巡检、写报告、跑流程，那么你的工龄越长，成本越高，替代你的人却越来越多。

网络安全越来越重要了，攻击越来越多了，风险越来越大了，可很多网安人的处境反而没有变得更好。云安全来了，数据安全来了，AI安全来了。很多人拼命学习，拼命考证，拼命追赶新技术，却依然摆脱不了一种强烈的不安全感。而真正让人难受的，不是行业变难了，而是很多人投入了最好的青春、最宝贵的时间，等回过头来的时候才发现，自己站在一个越来越拥挤、越来越焦虑、越来越不确定的赛道上。有人转开发了，有人转运维了，有人考公了，还有人彻底放弃技术路线。不知道是不是我的错觉，但这两年，我越来越觉得网络安全行业的风向变了。

加之项目制定制化模式，无法将单点实战技术封装为通用型产品，最终形成“实战能力强、产品竞争力弱、市场地位低”的倒挂局面，技术无法转化为商业优势，自然无法支撑企业做大做强。同时，国内采购体系以属地化、行业化分割为主，地方保护、行业壁垒森严，跨区域、跨行业拓客难度极大，市场被无数中小厂商、区域性厂商分割蚕食。国内网安行业技术门槛偏低，叠加合规需求主导，厂商研发重心集中在防火墙、入侵检测、终端安全等基础合规产品，产品功能、技术架构、服务模式高度同质化，无差异化核心竞争力，行业陷入单纯的价格比拼。

网络安全行业正面临深度调整期，预计3年内将出现企业倒闭、裁员降薪等出清现象。从业者需采取四项应对策略：1）聚焦核心能力，拒绝无效内耗；2）做好长期储备，保持财务稳健；3）深化专业深耕，拓展能力边界；4）保持行业初心，无论去留皆坦然。寒冬本质是价值回归过程，真正具备解决问题能力的从业者终将获得发展空间。文章强调"向下扎根，向内蓄力"的生存哲学，提醒从业者以蛰伏心态静待行业春天。

写这么多，不是想制造焦虑。恰恰相反，我是觉得，焦虑是因为看不清方向。安全这行，确实越来越不好干了。但这行也不会消失，只是游戏规则变了。以前是“什么都会一点”就行，现在得“有点真本事”。咱们能做的，就是接受现实，调整心态，然后找准自己的路，一步一步往前走。别躺平，但也别瞎卷。共勉！

从当前情况来看，只能算起步，因为还没形成聚集效应，没什么议价能力，只能给大家我这边力所能及的优惠，拓展了一些证书渠道，因为我觉得证书只要报价就行了，大家有需要、能接受价格就报名，不行就问问其他家。你以为进了群是师徒围坐论道网安攻防，结果刚通过好友验证，就被拉进一个两百人的大群，群公告第一条就是 “本周免费直播课表”，第二条是 “进阶精品课限时优惠”，第三条干脆直接甩了个几千块的培训课链接，备注着 “师徒专属内部价”。最后，大家记住一句话，天下没有免费的午餐，提高分辨能力，对自己劳动所得负责。

在网络安全公司里，有两个大家比较熟悉的角色：一个是销售，负责谈合同、签单子；另一个是售后工程师，负责产品卖出后的安装和维护。那么，售前工程师（解决方案工程师）是干嘛的呢？简单来说，他们就是在“销售之前”工作的工程师。他们是销售团队里的技术担当，是连接公司和客户之间的那座“技术桥梁”。一、具体做什么工作可以把他们想象成“技术销售”或者“方案设计师”。销售负责讲商务、谈价格，售前工程师负责讲技术。当客户问“你们的产品是怎么防黑客的？”“这个功能具体怎么实现？”时，就轮到售前工程师出场了。

但在真正的技术面试官眼里，他更关心你亲手做过什么项目，挖过什么有质量的漏洞，GitHub上有什么代码，对某个漏洞原理的理解深度。首先大家要对网络安全行业就业有一个基本认识，现在没那么好就业而且要求也不低，如果你的行业比网络安全行业还差可以转行，但要做好心理准备和持续学习吃苦的准备。很多人太容易受外界干扰，看到别人挖了个漏洞，想要赶超，几天库库学习，过几天又去水群了，水平原地踏步。

“这个问题不是三言两语就能给你讲会的” 总之，你花钱买的，是一个薛定谔的专家，在课程结束前，他既是大佬也是菜鸟。真正能在这一行站稳脚跟的，靠的是你静下心来看懂每一行代码的耐心，是你解决一个又一个问题的韧劲儿。真正的漏洞，不在那些过时的培训教材里，而是在一行行代码的审阅中，在一次次失败的复现里，在持续学习、独立思考的漫长道路上。至于那些天花乱坠的培训，不妨把它们当作一个“人性的漏洞”来欣赏——毕竟，能同时利用“逻辑漏洞”和“社会工程学”来“收割”的，这些培训主办方，才是真正的“黑”氪啊。

各位观众朋友，请想象这样一幕：一位自称是“某大型科技公司前首席女技术黑客”的大神，坐在电脑前，每天直播八小时，结果直播间冷清得“连弹幕都比代码少”。真正的技术大牛，网上通常能找到他实实在在的技术贡献痕迹，而不是只有一堆“感人”的短视频。然而，经长沙市场监管部门和公安局的联合“查岗”，发现这位姐的“黑客”经历，跟她直播间的观众一样——他们深谙互联网流量密码——在这个时代，纯粹的优秀无人问津，但“优秀的凄惨”却能引爆话题。而这群骗子，偏偏用一个唯一可能是“真”的现象，来佐证一个完全“假”的人设。

一款漏洞扫描工具究竟好不好，一般可以从扫描引擎（扫描速度快）、漏洞库（数量多、更新频次高）、准确率（误报率低）和报告模板等方面进行综合评判。所以你用过最好用的扫描工具是哪一款呢，可以在评论区留言！

自学网络安全需要明确目标与坚持。建议从培训机构课程目录构建知识框架，利用免费开源资源学习，关注技术论坛了解前沿动态，并通过CTF比赛等实践巩固理论。可寻求良师指导但需甄别，选择三观正、技术好的导师。学习中要注重笔记积累，打好理论基础，同时通过比赛成绩等积累实践经验。关键是要保持持续学习的毅力，在拥挤的赛道上坚持到终点。

只是简单做一下网络安全公司梳理，不作点评，下列排名不分先后。

1、《网络安全法》施行日期：2017年6月1日明确网络空间主权原则，规定网络运营者的安全义务（如等级保护制度）、关键信息基础设施保护要求、个人信息处理规则等。2、《数据安全法》施行日期：2021年9月1日建立数据分类分级保护制度，规范数据交易和跨境流动，要求重要数据出境需安全评估。3、《个人信息保护法》施行日期：2021年11月1日为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益4、《密码法》

每年都有大批网络安全公司成立，也有大量公司倒闭关门，网络安全行业已经进入大浪淘沙的阶段，只有竞争力足够的公司能够坚持到最后。培训机构这里我分为两类，一是主要做网络安全认证培训，比如CISP、CISAW等认证培训，二是卖课的培训公司，主要是通过课程盈利。很多体制内的单位都会招录计算机相关的岗位，比如很多信息中心、信息科等都需要计算机、网络安全人才，进入体制内工作也许是个不错的选择。每个省份都有几个不错本土集成商，集成商也是网络安全厂商销售的重要渠道，所以好的集成商待遇也不错。二、网络安全测评机构。

1. 早期探索阶段（1990年代末—2000年代初）（1）背景：1990年代互联网进入中国，计算机病毒、黑客攻击等问题逐渐显现，社会对信息安全人才的需求开始萌芽。（2）高校尝试1997年，西安电子科技大学在密码学领域积累深厚，率先开设与信息安全相关的选修课程和研究方向。1998年，武汉大学依托其计算机学院和数学学科优势，开始探索信息安全方向的本科教育。2. 正式设立本科专业（2001年）2001年，武汉大学获批设立中国首个“信息安全”本科专业。

如果你很迷茫，想提升自己，请反复阅读本文并思考，相信能给你一些启发。以下内容仅属于笔者个人观点，请大家理性批判地阅读。

记得刚入行的时候，想考一个证书来装装门面，结果发现费用太高了，比当时一个月的工资都高，感叹网络安全这帮人真舍得花钱，遂放弃。后来入职网络安全公司，考了一个CISP，在工作中逐渐发现，证书这个东西还是要根据自身需求来，并非越多越好。当前笔者的主要任务还是通过学习来增强自己的能力，后续看看是否有机会既能让读者享受物美价廉的考试认证服务，又能让培训机构及时找到生源，实现双赢。如果找到合适的培训机构，我会及时告知大家。

随着网络安全人才培养，网络安全行业必将趋于专业化，今后无论甲方还是乙方都会有更多专业人员担任网络安全相关职务。专业化趋势也对从业人员提出了更高的要求，更全面的理论基础，更好的技术素养，更强的探索学习能力。可以预见，未来会有一批价值产出低的人员会被逐渐淘汰，无论是科班还是非科班出身，都有可能面临这个挑战。