【经验分享】写给初学者的网络安全学习路线图谱
安全基础
网络安全本质是攻击成本与防御成本的动态博弈
核心安全目标 (CIA)
- 「机密性 (Confidentiality)」信息只被授权者访问，加密技术核心
- 「完整性 (Integrity)」信息不被未授权篡改，摘要签名技术核心
- 「可用性 (Availability)」确保授权用户正常访问服务，抗DDoS等
常见网络威胁
- 「恶意软件 (Malware)」病毒、蠕虫、勒索软件、木马…
- 「钓鱼攻击 (Phishing)」假冒网站/邮件窃取凭证
- 「DDoS 攻击」洪水攻击耗尽资源
- 「中间人攻击 (MitM)」窃听、篡改通信
- 「SQL 注入 (SQLi)」
- 「跨站脚本攻击 (XSS)」
- 「跨站请求伪造 (CSRF)」
身份认证与访问控制
- 「密码学基础」对称加密（AES）、非对称加密（RSA）、哈希（SHA-256）
- 「认证协议」HTTP Basic Auth, Session-Cookie,「JWT」(JSON Web Token)
- 「单点登录 (SSO)」OAuth 2.0, OpenID Connect, SAML
- 「多因素认证 (MFA/2FA)」短信/邮箱验证码、Authenticator App、硬件Key
- 「权限模型」ACL (访问控制列表),「RBAC」(基于角色的访问控制), ABAC (基于属性的访问控制)
网络基础防护
- 「防火墙 (Firewall)」入口规则管理，区域隔离
- 「入侵检测系统 (IDS)」网络流量监控与告警 (「NIDS」)
- 「入侵防御系统 (IPS)」主动拦截恶意流量
- 「Web应用防火墙 (WAF)」专防Web应用层攻击（SQLi, XSS）
- 「虚拟专用网 (VPN)」加密远程访问通道 (IPSec,「SSL/TLS VPN」)
操作系统安全
- 「最小权限原则」只授予必要权限
- 「补丁管理」及时修复系统与应用漏洞
- 「系统硬化」关闭不必要服务/端口，强密码策略，日志审计
- 「端点保护」EDR (端点检测与响应)、杀毒软件
Web 应用安全
- 「安全编码」输入验证、输出编码、参数化查询防SQLi
- 「CSP」(内容安全策略) 防XSS
- 「HSTS」(HTTP严格传输安全) 强制HTTPS
- 「安全头」X-Frame-Options, X-XSS-Protection
- 「依赖扫描」识别第三方库漏洞 (Snyk, Dependabot)
云安全基础
- 「共享责任模型」云厂商与用户的安全职责划分
- 「云安全组/ACL」云平台虚拟防火墙
- 「密钥管理服务」KMS（AWS，阿里云等）
- 「云安全态势管理 (CSPM)」自动化检查云配置风险
- 「无服务器安全」(Serverless Security) 函数权限、依赖、日志
渗透测试与攻击技术基础
信息收集 (Recon)
- 「DNS信息」Whois,「子域名枚举」, DNS记录查询 (A, CNAME, MX…)
- 「端口扫描」Nmap 工具
- 「指纹识别」Web服务器、应用、操作系统指纹
- 「搜索引擎技巧」Google Dorking
漏洞扫描与评估
- 「自动化扫描」Nessus,「OpenVAS」, Nmap Scripts, OWASP ZAP (动态扫描DAST)
- 「手动测试」Burp Suite Proxy,「SQLMap」(自动化SQL注入)
- 「漏洞知识库」CVE, CVSS评分
常见攻击手法
- 「口令攻击」爆破、撞库、弱口令利用
- 「Web应用攻击」SQL注入、XSS（反射/存储/DOM）、CSRF、SSRF、文件包含/上传漏洞
- 「中间件漏洞」未授权访问、RCE
- 「社会工程学」
后渗透基础
- 「权限提升」Linux (SUID/GUID, Capabilities), Windows (内核漏洞, 服务配置)
- 「内网渗透」横向移动 (Pass-the-Hash, 凭证窃取), 端口转发
- 「痕迹清除」
安全工具与资源
常用渗透测试工具
- 「信息收集」Nmap, dig, theHarvester, Shodan/Censys
- 「漏洞扫描」Nessus, OpenVAS,「Nuclei」(大量POC)
- 「Web代理」「Burp Suite」(Community/Pro), OWASP ZAP
- 「自动化攻击」sqlmap, Metasploit Framework (渗透测试框架)
- 「无线安全」Aircrack-ng
防御与检测工具
- 「防火墙」iptables/nftables (Linux), Windows Firewall, 云WAF
- 「HIDS/NIDS」「OSSEC」, Snort/Suricata (规则引擎)
- 「日志分析」「ELK Stack」(Elasticsearch, Logstash, Kibana), Graylog
- 「加密工具」OpenSSL, GnuPG
安全学习资源
- 「靶场平台」Hack The Box, TryHackMe, VulnHub, DVWA (练习Web漏洞)
- 「开放标准」OWASP Top 10,「NIST Cybersecurity Framework」
- 「社区资源」OWASP 官方资料, PentesterLab, Exploit-DB
- 「认证体系」CEH (入门), OSCP (实践技能标杆),「CISSP」(知识体系广度)
合规与意识
- 「法律法规」网络安全法、数据安全法、个人信息保护法
- 「安全开发生命周期」SDLC, 威胁建模
- 「安全意识培训」针对全员（防钓鱼、社会工程学）
安全技术栈
🔐 密码学应用
- 「非对称加密」RSA/ECC 证书体系
- 「国密算法」SM2/SM4/SM9
- 「量子安全」抗量子密码算法迁移
- 「密钥管理」HSM，KMS云服务
🛡️ WAF技术
| 产品 | 核心特性 |
|---|---|
| 「Cloudflare」 | DDoS防护，机器人对抗 |
| 「ModSecurity」 | 开源规则库，高度定制化 |
| 「雷池」 | 国内自研，语义引擎检测 |
🕵️ 威胁狩猎
- 「EDR」终端行为链分析（CarbonBlack/CrowdStrike）
- 「NDR」网络流量取证（Darktrace/Vectra）
- 「内存取证」Volatility，恶意代码无文件攻击检测
合规与架构
📜 安全合规
- 「等保2.0」三级系统物理隔离要求
- 「GDPR」跨境数据传输限制
- 「渗透测试报告」公安部认证机构签章
- 「漏洞修补SLA」高危漏洞24小时响应
☁️ 云安全架构
# 云安全三板斧 1. IAM权限最小化 2. 存储桶策略加密锁定 3. 安全组端口动态收缩- 「CSPM」云配置审计（Wiz/Lacework）
- 「CWPP」云工作负载防护（Prisma Cloud）
实战工具链
🧰 渗透套件
- 「Burp Suite」Web漏洞扫描标杆
- 「Metasploit」渗透测试模块化平台
- 「Nmap」端口扫描指纹识别
- 「Sqlmap」自动化SQL注入攻击
📊 安全分析
原始日志SIEM关联分析威胁告警攻击溯源
- 「ELK堆栈」日志分析开源方案
- 「Splunk」商业日志分析黄金标准
安全开发
🧩 DevSecOps
- 「SAST」静态代码扫描（SonarQube/Checkmarx）
- 「DAST」动态应用测试（OWASP ZAP）
- 「SCA」组件漏洞扫描（Snyk/DependencyCheck）
- 「安全左移」IDE插件实时检测（Semgrep）
🔗 API安全
- 「认证」JWT/OAuth2.0/API Key轮转
- 「限流」令牌桶算法防御CC攻击
- 「Schema校验」OpenAPI规范强制执行
安全管理
👥 安全团队
- 「蓝队」防御体系建设，应急响应
- 「红队」模拟APT攻击，突破防线
- 「紫队」攻防协同，技术提效
🚨 应急响应
1. 📞 启动预案：通知CERT小组成员 2. 🔍 遏制影响：隔离受损系统 3. 💾 取证分析：内存/磁盘镜像提取 4. 🛠️ 恢复验证：清除后门，补丁加固 5. 📝 报告归档：提交主管机关❝
红蓝对抗实战营推荐：
深度复现「永恒之蓝」/「Log4j2」等经典漏洞
自研靶场平台
securitylab.io支持攻防夺旗企业级蜜罐诱捕系统开放测试申请
❞
跨领域融合
- 「AI安全」对抗样本攻击（Fooling AI模型）
- 「车联网安全」CAN总线协议逆向
- 「工控安全」Modbus协议异常检测
职业素养
- 保持黑客思维：好奇心驱动漏洞挖掘
- 持续武器库更新：追踪GitHub安全项目
- 加入白帽子社群：漏洞平台致谢榜单
- 关注医疗险/意外险：高危操作保障
网络安全学习路线&学习资源![]()
网络安全的知识多而杂，怎么科学合理安排？
下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！
初级网工
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k
到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？
【“脚本小子”成长进阶资源领取】
7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.
零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。
8、超级网工
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。
网络安全工程师企业级学习路线
如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。
一些我自己买的、其他平台白嫖不到的视频教程：
需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。
网络安全学习路线&学习资源![]()
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本书的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本书的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失！！！