ネットワーク セキュリティ侵入エンジニアとして長年働いてきた私は、ゼロベースの初心者にとって、ネットワーク セキュリティは非常に奇妙でやや怖い分野である可能性があることを知っています。ただし、心配しないでください。学習に時間と労力を費やす意欲があれば、優れたネットワーク セキュリティの専門家になることもできます。
サイバーセキュリティラーニングパス
まず最初に、ネットワーク セキュリティの学習ルートを共有したいと思います。
基礎ゼロの初心者は、まずネットワークセキュリティの法規制や基本的な概念、用語を理解する必要があります。これらの基本的な概念を理解することは、サイバーセキュリティの他の側面をより深く理解するのに役立ちます。
次に、ネットワーク アーキテクチャと通信プロトコルをマスターする必要があります。これは非常に基本的なスキルであり、ネットワーク セキュリティをさらに研究するために必要な基礎です。これらの基本的なスキルを習得した後は、侵入テスト、ペネトレーション テスト、脆弱性の評価と防御、ネットワーク セキュリティの監視など、ネットワーク セキュリティのより具体的な分野の学習を開始できます。これらの分野を学ぶことは、サイバーセキュリティについてのより一般的な理解を深め、実践的なスキルを習得するのに役立ちます。
最後に、学習を続け、新しいテクノロジーを常に敏感に感じ続けることを忘れないでください。ネットワーク セキュリティ テクノロジーは常に更新され、進化している分野です。
具体的な技術的なポイント、ネットワーク セキュリティの学習ルートについて説明します。全体の学習時間は、各人の状況に応じて約半年です。
毎週学習する内容をこのレベルまで絞り込んでも、「まだ覚えられない」「始められない」と不安になってしまいます。 、でも東から西まで学ばないといけないんですね、内容は味見程度で、深くは入っていないので、2ヶ月勉強しただけでは扉に入れない気がします。
1. Web セキュリティに関する概念 (2 週間)
- 基本的な概念 (SQL インジェクション、アップロード、XSS、CSRF、ワンワード トロイの木馬など) に精通していること。
- キーワードによる Google/SecWiki (SQL インジェクション、アップロード、XSS、CSRF、ワンワード トロイの木馬など)。
- 「Mastering Script Hackers」を読んでください。非常に古くて誤りがありますが、それでも始めることができます。
- 実際の侵入の全プロセスを理解するには、いくつかの侵入メモ/ビデオを見てください。Google で調べてください (侵入メモ、侵入プロセス、侵入プロセスなど)。
2. 侵入関連ツールに精通する (3 週間)
- AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan およびその他の関連ツールの使用に精通していること。
- このようなツールの目的と使用シナリオを理解するには、まずソフトウェア名 Google/SecWiki を使用します。
- これらのソフトウェアのバックドアなしバージョンをダウンロードしてインストールしてください。
- 学習して使用するための特定の教材は SecWiki で検索できます。例: Brup のチュートリアル、sqlmap。
- これらの一般的に使用されるソフトウェアを学習したら、Sonic Start をインストールして侵入ツールボックスを作成できます。
3. 潜入戦闘作戦（5週間）
侵入の全段階をマスターし、小規模なサイトに独立して侵入できるようになります。インターネットで侵入ビデオを探して、アイデアや原則、キーワード (侵入、SQL インジェクション ビデオ、ファイル アップロード侵入、データベース バックアップ、dedecms エクスプロイトなど) を見て考えてください。
- 自分でテストするためのサイトを見つけたり、テスト環境を構築したりしてください。自分自身を隠すことを忘れないでください。
- 思考の浸透は主にいくつかの段階に分かれており、各段階でどのような作業を行う必要があるか。
- SQL インジェクションの種類、インジェクションの原理、および手動インジェクション手法を学びます。
- ファイルアップロードの原理、切り詰め方、ダブルサフィックススプーフィング（IIS、PHP）、解析エクスプロイト（IIS、Nignix、Apache）などを調査します。
- XSS 形成の原理と種類を学習します。具体的な学習方法は Google/SecWiki を使用できます。
- Windows/Linux の権限昇格の方法と具体的な使用法を学びます。
4. セキュリティサークルの動向に注意を払う（1週間）
- 最新の脆弱性、セキュリティ インシデント、セキュリティ サークルの技術記事に注意してください。
- SecWiki を通じて毎日のセキュリティ テクノロジーの記事やイベントを閲覧します。
- Weibo/twitter を通じてセキュリティ サークルの実践者に注意を払い (大きな牛の注意や友人の決定的な注意に遭遇した場合)、時間をかけて毎日チェックしてください。
- フィード/フレッシュ フルーツを通じて国内外のセキュリティ技術ブログを購読してください (国内に限定されません。通常は蓄積に注意を払います)。フィードがない場合は、SecWiki の集計列を参照してください。
- 毎日積極的にセキュリティ技術記事を送信して SecWiki にリンクし、蓄積する習慣を身につけましょう。
- 最新の脆弱性リストにさらに注意を払い、exploit-db、CVE 中国語ライブラリ、Wooyun などのいくつかを推奨し、公開されている脆弱性に遭遇したときに練習してください。
- 国内外のセキュリティ会議のトピックやビデオをフォローし、SecWiki-Conference を推奨します。
5. Windows/Kali Linux に精通する (3 週間)
- Windows/Kali Linux の基本コマンドと共通ツールを学びます。
- Windows での一般的な cmd コマンド (ipconfig、nslookup、tracert、net、tasklist、taskkill など) に精通していること
- 待って;
- Linux での一般的なコマンド (ifconfig、ls、cp、mv、vi、wget、service、sudo など) に精通していること。
- Kali Linux システムでの一般的なツールについては、SecWiki「Kali Linux による Web ペネトレーション テスト」、「Kali によるハッキング」などを参照してください。
- Metasploit ツールに精通している場合は、SecWiki の「Metasploit ペネトレーション テスト ガイド」を参照してください。
6. サーバーセキュリティ設定（3週間）
- サーバー環境の構成を学び、思考を通じて構成上のセキュリティ上の問題を発見できるようになります。
- Windows2003/2008環境でのIIS構成では、構成のセキュリティと操作権限に特に注意してください。
- Linux 環境における LAMP のセキュリティ構成では、主に実行権限、クロスディレクトリ、フォルダ権限などが考慮されます。
- リモート システムの強化、ユーザー名とパスワードによるログインの制限、iptables によるポートの制限。
- ソフトウェア Waf を構成してシステムのセキュリティを強化し、サーバー上で mod_security およびその他のシステムを構成します。
- Nessus ソフトウェアを使用して構成環境でセキュリティ検出を実行し、未知のセキュリティ脅威を検出します。
7. スクリプトプログラミング学習（4週間）
- Perl/Python/PHP/Go/Java のいずれかのスクリプト言語を選択して、一般的に使用されるライブラリのプログラミングを学習します。
- 開発環境を構築して IDE を選択します。PHP 環境では Wamp と XAMPP が推奨され、IDE では Sublime が強く推奨されます。
- Python プログラミングの学習。学習内容には文法、正則化、ファイル、ネットワーク、マルチスレッド、その他の一般的なライブラリが含まれます。「Python コア プログラミング」をお勧めします。読まないでください。
- Python で脆弱性のエクスプロイトを作成し、次に単純な Web クローラーを作成します。
- PHP の基本的な文法を学び、簡単なブログ システムを作成します。ビデオ「PHP および MySQL プログラミング (第 4 版)」を参照してください。
- MVC アーキテクチャに精通しており、PHP フレームワークまたは Python フレームワーク (オプション) を学習してみます。
- Bootstrap のレイアウトまたは CSS を理解する。
8. ソースコード監査と脆弱性分析（3週間）
- スクリプトのソースコードプログラムを独自に分析し、セキュリティ上の問題を発見できます。
- ソースコード監査の動的および静的方法に精通しており、プログラムの分析方法を知っています。
- Wooyun からオープンソース プログラムの脆弱性を見つけて分析し、自分でも分析してみます。
- Webの脆弱性の原因を理解し、キーワードで検索・分析します。
- Webの脆弱性の形成原理と回避方法をソースコードレベルから検討し、チェックリストにまとめます。
9. セキュリティシステムの設計・開発（5週間）
- 独自のセキュリティ システムを構築し、セキュリティに関する提案やシステム アーキテクチャを提案できるようになります。
- 個人の強みを反映する実用的なセキュリティ ガジェットとオープンソースを開発します。
- 独自のセキュリティ システムを確立し、会社のセキュリティについて独自の理解と意見を持ちます。
- 大規模なセキュリティ システムのアーキテクチャまたは開発を提案または参加する。
ルートの次のステップは、ルートを知識ポイントで埋めることですが、どうすればよいでしょうか? 本を読むかビデオを見るか、自分の好みに合わせて選ぶことができますが、本やビデオはあくまでも補助であり、最も重要なのは実際に戦うことです！
以下は、あなたにおすすめの書籍です。これらの書籍は、ネットワーク セキュリティの複数の分野と側面をカバーしています。学習のために興味のある書籍を選択できます。
1. 『Web アプリケーション セキュリティ テスト ガイド』 : この本は、ペネトレーション テスト、脆弱性評価、アプリケーション セキュリティの基本的な知識とテクニックをカバーしており、初心者が学ぶのに非常に適しています。
2. 「ハッキング攻撃と防御テクノロジーのコレクション: ネットワークの章」 : これは、ネットワーク スキャン、脆弱性の悪用、侵入検出などの多くの重要なトピックをカバーする、非常に包括的なネットワーク セキュリティのチュートリアルです。
3. 「ネットワーク セキュリティ エンジニアのためのトレーニング コース」 : この本は、ネットワーク セキュリティの概念、技術、ツールを詳細に説明しており、初心者が学ぶのに適した、非常に優れたネットワーク セキュリティ ガイドです。
4. 「ネットワーク セキュリティの技術: 攻撃と防御」 : これは古典的なネットワーク セキュリティの本で、多くの興味深いストーリーと例が説明されており、初心者がネットワーク セキュリティを学び理解するのに非常に適しています。
5. 「TCP/IP 詳細解説」 : 本書は古典的なネットワーク プロトコルのチュートリアルであり、ネットワーク プロトコルについて詳しく説明されており、ネットワーク セキュリティを深く理解したい人にとって非常に役立ちます。
本を読むことに加えて、学ばなければならない技術的なポイントがいくつかあります。ここで私がリストした重要な技術的ポイントをいくつか示します。これらの技術的ポイントから学習を始めることができます。
1.オペレーティング システム: Linux および Windows オペレーティング システムを理解し、基本操作とコマンド ラインの知識を習得します。
2.プログラミング言語: ツールの理解と開発に役立つ、Python、C、C++ などのプログラミング言語をマスターします。
3.ネットワーク プロトコル: TCP/IP プロトコル スタックと、HTTP、FTP などのその他の一般的なネットワーク プロトコルを理解します。
4.ペネトレーション テスト ツール: Nmap、Metasploit、Burp Suite など、一般的に使用されるペネトレーション テスト ツールに精通していること。
5.セキュリティ評価と防御: WAF、IDS/IPS などの一般的な脆弱性評価と防御テクノロジーを理解します。
これらの知識ポイントを理解して学習するには、ビデオ チュートリアルを参照してください。私もここでチュートリアルを学ぶ準備ができています。
上記は私が皆さんに提供したいくつかの推奨事項です。もちろん、これは氷山の一角にすぎません。ここには他にも学習リソースがあります。
最後に、もう一度強調したいのは、サイバーセキュリティは常に進化し、更新されている分野であり、学習を続け、新しいテクノロジーを常に鋭敏に認識し続ける必要があるということです。また、ネットワークセキュリティは未知と課題に満ちており、問題を解決する能力と精神が必要であるため、常に好奇心と探求心を持ち続ける必要があります。
私の共有がお役に立てば幸いです。このオンライン セキュリティ学習教材の完全版がアップロードされました。必要な場合は、友人が WeChat で以下の CSDN 公式認定の QR コードをスキャンするか、リンクをクリックして取得できます。無料 [100% 無料を保証]
https://mp.weixin.qq.com/s/rB52cfWsdBq57z1eaftQaQ