如何成为一名专业的云渗透测试工程师

前言

很多人不知道网络安全发展前景好吗？学习网络安全能做什么？现在行业有哪些热门岗位？今天为大家解答下。

从宏观层面来看，新基建成为中国经济热词，政府和企业业务上云全面提速，随着云计算技术的快速发展，云安全问题已成为重点关注的领域。但从安全角度来看，这也意味着安全态势变得更加复杂，安全的范畴也变得更加广泛，漏洞存在于每个地方、攻击可以由世界任何一个地方发起，对于网络安全的准确预测成为保障安全的关键前提。

云端渗透测试的特殊性

随着越来越多的企业将敏感的业务数据和应用程序迁移到云平台上，云安全将成为一个核心问题。未来几年，云安全将成为企业信息安全的重点关注领域之一，云计算供应商也将竞相提供更安全的云服务和解决方案。

云计算渗透测试是一种通过模拟恶意代码的攻击来主动检查云系统安全的方法。由于在基础设施的影响下，渗透测试往往不适用于SaaS环境，在PaaS、IaaS中是允许的，但是需要一些协调。云计算的渗透测试属于定期安全监控，以监控威胁、风险和漏洞的存在

云渗透测试不同于普通渗透测试。其中一个区别是，根据具体范围，云渗透测试可能包括与基础托管服务提供商的协调。如果该渗透测试识别出基础托管提供商中的漏洞，则可能需要阻止该提供商以防止攻击者横向移动。这样可以最大程度地减少对其他客户的潜在影响，并将发现的结果通知给提供商。在大型分布式企业中，编排渗透测试的团队需要识别所有受影响的团队，并与他们协调安全流程。

云渗透测试工程师薪酬福利高，发展前景好

网络安全人才所从事的岗位多种多样，岗位设置上，政企机构与安全企业有很大区别：政企机构的需求主要集中在安全管理、安全运维、研发与测试、渗透测试与漏洞挖掘、应急响应、CSO等岗位。安全企业则主要是研发与测试、安全服务、销售、售前、售后、安全管理、产品经理、安全分析、市场营销、CIO/CSO等职位。

越来越多朋友寻找新的职业发展机会，开始将目光聚焦到了网络安全产业，作为业内人员，在这里推荐一个网络安全众多岗位中最具发展前景的岗位：云渗透测试工程师。不论是甲方用户，还是网络安全厂商，对专业的云安全人员都有强需求。

以下重点分析下云渗透测试工程师这个岗位为什么说发展前景好

• 发展潜力无限

国内信息安全政策法规持续完善优化，网络安全市场规范性逐步提升，政府及企业客户在产品和服务上的投入稳步增长，国内网络安全市场规模不断扩大。随着云计算技术的迅猛发展，越来越多的企业将自己的业务和数据迁移到云平台上。在未来几年，云计算将继续成为企业信息技术领域的一个热点。而云上网络安全保障离不开的，就是云渗透测试人才。专业的渗透测试人才可以独立的利用各种手段来检测企业的网络策略，相当于企业系统的一双眼睛，发现企业存在的网络安全隐患问题。云渗透测试工程师作为云安全岗位的一部分，在时代浪潮下，职业发展前景巨大。

• 市场缺口大

网络安全行业市场需求大于人才供给，高校毕业的应届生每年才几千人，但是人才需求量在140万左右，网络安全对于大部分政企单位来说，已经从“可选项”变成了“必选项”甚至是“强制项”。安全团队再也不是大厂或者互联网公司专有，只要是“触网”的企业，都需要安全人才加入。未来，网络安全岗位不只是一线城市专有岗位，而是全国各地逐步发展，可供求职者选择的岗位、城市也会同步增加。最关键的是专业的云渗透测试人才少之又少，传统的渗透测试不能完全解决复杂云环境的安全问题。

• 行业前景好

信息安全行业职业天花板高，最重要的是很少加班弹性工作制，小到私企民企，大到中央部委、军队系统、公安系统都是急需这种高技术人才的，一般不会出差。

• 薪资待遇好

可看看招聘网站上面对云渗透测试工程师的岗位，都是真实薪资，与同行业其他岗位对比，薪资水平还是挺高的，都在12K以上。并且随着工龄和薪酬增长，呈现“越老越吃香”的情况，网络安全行业资深专家根本不用担心“35岁”的问题！

怎么成为云渗透测试工程师

不论是云渗透测试新手还是传统渗透测试人员，都建议体系学习云渗透测试的专业课程。这推荐CSA云安全联盟的认证课程：CCPTP云渗透测试认证专家，云渗透能力对安全人员与渗透测试人员都是亟须补充的能力，CCPTP提供针对云计算渗透测试所需的专业实操技能，弥补云渗透测试技能人才培养的空缺，为专业人员提供技能保证，为用人单位选拔人才做保障。

云渗透测试专业课程学习——CCPTP云渗透测试认证专家

CCPTP课程对象

CCPTP适用于渗透测试人员、安全评估人员、信息安全管理人员和其他对云计算安全有兴趣的人员等，需具备一定的云计算、云安全，或渗透测试的基础知识。

CCPTP课程目标

通过CCPTP课程学习，要求学员系统掌握如何开展云环境下的渗透测试工作，在云上授权目标系统中寻找弱点和漏洞，并以合规的方式评估目标系统的安全状态，同时针对相关的弱点和漏洞要能提供有效的安全改进或加固建议。

• 熟练掌握常见云服务模型（IaaS、PaaS、SaaS）测试方法及主流云平台在租户视角的最佳安全实践，包括但不限于租户上云的安全架构设计、租户安全基线配置、安全加固知识，例如合理规划账号IAM规划设计、VPC规划、安全组设计、镜像安全、云存储安全、安全组策略等。

• 要求熟练掌握针对主流云平台云租户视角的渗透测试。基于攻击面的暴露程度，按照从云上资产发现与信息收集阶段开始，依照云上租户应用层至云底层基础设施层的层级顺序，学习相关的渗透测试方法、测试工具，并具备渗透测试的实操能力。

• 根据渗透测试的情况撰写专业的云渗透测试报告（报告内容包括但不限于漏洞证明过程、修复或安全加固建议）。

咨询报名

如果你意向参加课程学习，请关注国际云安全联盟CSA微信公众号，了解学习计划

学习建议

如果参加CSA云安全联盟专业的课程学习，会有专门的课程教学讲解及专业练习环境。实战是必须的。没有实操的学习，等于白学。当然，必须端正自己的行为，千万不要对未授权的目标下手，那是违法乱纪！CTF适合新手的太少，那咋办？找靶场呀！虽然比不上真正的实战，但作为练习册，那是十分nice！当然好靶场是需要花精力找的。另一方面，建议多看技术帖。前人的经验是一笔财富，近十年的0DAY经验帖要看，然后自己搭环境，复现漏洞，学习和思考前辈的挖洞思维。

完成CSA云安全联盟的专业课程培训可能是你从脚本小子到云渗透测试工程师的第一步，如果想要成为安全大咖，就必须对某一领域的知识内容融会贯通，并有所建树。倘若你下定决心入门，想在自己的技能树上添上一笔，那么不管你是不是零基础，只要不是三分钟热度，都能有一定程度的提升。

参考学习链接：

https://mp.weixin.qq.com/s/QCdwAQnlNBbMKJsM6aJywA

https://c-csa.cn/research/results-detail/i-1818/

https://c-csa.cn/research/results-detail/i-1816/

写在最后的话

网络安全工程师的优势也非常明显，职业寿命长；他们工作的重点在于对企业信息化建设和维护，其中包含技术及管理等方面的工作，工作相对稳定，随着项目经验的不断增长和对行业背景的深入了解，会越老越吃香。发展空间大；在企业内部，网络工程师基本处于地位高、待遇高。他们掌握着企业核心网络架构、安全技术，具有不可替代的竞争优势。

最后，如果有充足的时间、精力和相当强的自律能力，多去买一些学习书籍，每日定量学习，理论结合实战；或者，如果在资金上比较充裕，想要短期快速提升技能，也可以参加培训学习；任何一个技术的学习都不是一蹴而就的，都是需要下功夫花时间日积月累，才能把技术知识消化吸收。