由买买提看人间百态

boards

本页内容为未名空间相应帖子的节选和存档,一周内的贴子最多显示50字,超过一周显示500字 访问原贴
Working版 - 建议马工们有机会多搞信息安全、安全开发方面的东西 (转载)
相关主题
Application Security space in a nutshell (转载)建议马工们有机会多搞信息安全、安全开发方面的东西 (转载)
Technical Lead Openings in Major Networking Company (south SF bay area)因为同事关系不好辞职应该吗
急问,在公司用个人信箱收发邮件安全问题我对职场好失望
Re: 2013年7月9日最新的1688个看跌的股票。 (转载)遇到一个牛逼哄哄的甲方
我们第三代身份证会是怎么样的? zz做销售好几年了,想换个职业,该怎么选?
我们第三代身份证会是怎么样的? zzunidentified_title
同城跳槽涨多少工资合适?客户总是提出无理要求,该不该辞职?
说说大家看到的最轻松的工作吧unidentified_title
相关话题的讨论汇总
话题: 安全话题: 开发话题: ssl话题: tls话题: 学习
进入Working版参与讨论
1 (共1页)
o**********e
发帖数: 18403
1
【 以下文字转载自 JobHunting 讨论区 】
发信人: condorlee (condorlee), 信区: JobHunting
标 题: 建议马工们有机会多搞信息安全、安全开发方面的东西
发信站: BBS 未名空间站 (Sat Jun 13 17:08:45 2015, 美东)
不管是自己业余学,还是平时工作中有涉及到的,主动去学习、承担,或者公司内部成
立安全团队,愿意接受内部没有安全经验的人转岗,都要抓住机会,尤其是安全开发方
面。
现在因为人才紧缺,所以很多公司不管是外部招聘、还是内部转岗,要求门槛都不高,
进场正是机会。码工们的开发功底,再往安全方向转移时,大部分也仍然会发挥价值,
不会浪费。
整个世界,信息化程度已经很深,可是信息安全落后太多,各个公司欠的债几乎是还不
完的。我是做这个方面的所以更了解内情。
可以说是一塌糊涂,现在暴露出来的这个公司,那个银行被攻击,都只是冰山一角。大
部分的攻击都是很弱智很简单的。很多所谓的黑客,也就是拿着别人写好的工具,东戳
戳西捣捣,结果到处都是捅出来的窟窿。
窗户没关,大家一眼就看见。软件中某个地方有个漏洞,除非花大量时间仔细分析代码
逻辑,否则根本看不见。自动化工具效率高,但是只能发现特定类型的问题,而且误报
也往往很严重,仍然需要大量人工分析。
后面5年,10年,20年,信息安全状况只能是越来越严重。而目前信息安全人员已经是
严重紧缺。很多公司几个月、甚至1年都找不到一个合适的人,尤其是既懂安全也懂开
发的。因为前些年,所谓搞安全的大部分都是反病毒、反恶意软件、网络、主机、系统
安全方面的,做安全开发、代码安全方面的人员很少。
现在每个startup,每个中型it公司,每个中大型公司的每个产品线,都需要安全开发
人员。像我过去几个月,除了FLG这样的公司没有收到hr的主动骚扰,其他像uber、
airbnb、salesforce、netsuite、citrix、netflix、intuit等等,不停的有hr联系我
,有些在我拒绝后过了两个月,职位还是空缺,然后又联系我。
希望这些空缺能有国人兄弟们填上。目前这个领域看起来烙印的比例还不高,中国人还
挺多,老美也不少。大家如果在纯写代码方面感觉没有大的发展前途的,强烈建议往这
个方向发展。将来如果自己想做startup,做安全也是个更容易进入的领域。
大家如果有具体的问题,欢迎提问,我会尽量回答
发信人: condorlee (condorlee), 信区: JobHunting
标 题: Re: 建议马工们有机会多搞信息安全、安全开发方面的东西
发信站: BBS 未名空间站 (Sat Jun 13 19:29:40 2015, 美东)
我是甲方的
做security researcher也不错,短期内待遇不高,因为安全公司一般都比较穷,但是
技术积累,出点书、搞几个patent,在安全会议上讲讲,然后很容易获得甲方的喜爱
condorlee 的书单:
我大概列一下吧。
学安全我觉得最好是在工作中学习,比如在自己的组里,主动挑头,研究一下本项目安
全开发上面可以做哪些事情?有目的的,逐渐研究学习。如果为了学而学,可能会比较
茫然,因为分支领域多而杂。
安全开发流程
============
微软是先驱,他们的主页,应该足够学一阵子了
https://www.microsoft.com/en-us/sdl/
先从安全开发流程看起,也避免了过早陷入大量技术细节,导致茫然
web安全开发
===========
www.owasp.org 是一个web安全开发的综合性网站,有用的信息挺多
1. https://www.owasp.org/images/5/52/OWASP_Testing_Guide_v4.pdf 是安全测试指南
2. 安全开发指南也有,但是目前还是未完稿状态。网站上能找到链接,我就不贴了
3. 著名的OWASP top 10,搞安全的跟人打招呼专用
https://www.owasp.org/index.php/Top_10_2013-Top_10
4. https://www.owasp.org/index.php/Cheat_Sheets 介绍各类常见安全问题的基本解
决思路
书的话,可以看看黑客大曝光: http://www.amazon.com/Hacking-Exposed-Applications-Third-Edition/dp/0071740643
有中文版,电子书应该也能找到
密码学
======
密码学可以先看一遍这个打打底:http://www.amazon.com/Applied-Cryptography-Protocols-Algorithms-Source/dp/1119096723
我记得也有中文版
其他的PKI,SSL/TLS,知识比较杂,建议在网上搜搜资料看
认证、授权
==========
SSO, SAML, OAuth, OpenID,Google都能搜到不错的内容可以自己看
C/C++/native程序的安全,没有太红火,因为攻击一般比较困难,不像web是标准协议
而且太开放了。早些年主要就是buffer overflow,现在已经少多了,可以google了解
一下,先不深入学习应该也可以
从程序的逻辑角度而言:
1. 用户管理/登陆/验证/授权/会话管理
保证数据不被非法访问,只有合法用户,而且只能访问自己权限内的数据
2. 数据的保护
包括Internet通讯用TLS/SSL
数据存储时,如果是敏感数据,比如信用卡号,需要加密
3. 各种语言级别的问题
比如SQL injection, cross site scripting, buffer overflow等等
STIG是政府搞的规范,算是大而全的,如果能做到完全符合它的要求,那么你的产品安
全水平应该已经很不错了。
就算不打算通过它的认证,把它的规范当做安全开发的学习资料也不错
具体在安全开发流程里,上面那位说的,security design, secure coding,testing
,主要是这几步了
你说的打补丁,我估计是说如果用了第三方开发库、或者服务器组件,需要及时打安全
补丁吧?这个是毫无疑问的,不过就没啥技术含量了
o**********e
发帖数: 18403
2
thanks!
希望多来原帖与LX 交流,
http://www.mitbbs.com/article_t/JobHunting/32988521.html
L上面有TIMLI 的华人事业互助会。
希望大家交流事业发展的TIPS,多
认识些朋友。 注意安全,建立信任,
发展社区。
1 (共1页)
进入Working版参与讨论
相关主题
unidentified_title我们第三代身份证会是怎么样的? zz
老板在3个通宵之后竟然还要求我加班,我还年轻不想熬夜致死我们第三代身份证会是怎么样的? zz
建议马工们有机会多搞信息安全、安全开发方面的东西 (转载)同城跳槽涨多少工资合适?
建议马工们有机会多搞信息安全、安全开发方面的东西 (转载)说说大家看到的最轻松的工作吧
Application Security space in a nutshell (转载)建议马工们有机会多搞信息安全、安全开发方面的东西 (转载)
Technical Lead Openings in Major Networking Company (south SF bay area)因为同事关系不好辞职应该吗
急问,在公司用个人信箱收发邮件安全问题我对职场好失望
Re: 2013年7月9日最新的1688个看跌的股票。 (转载)遇到一个牛逼哄哄的甲方
相关话题的讨论汇总
话题: 安全话题: 开发话题: ssl话题: tls话题: 学习