John Strand的计算机安全入门五阶段计划

本文最初发表于PROMPT#杂志的SOC专刊，可免费阅读此处。信息改编自2018年的网络研讨会“John Strand的信息安全五年计划，第二部分”（链接见文末）。部分信息或资源可能已过时。

第一阶段

学习核心操作系统。搭建实验室。开始学习一门语言。掌握基本安全基础。

从软技能开始你的教育。理解技术：这些机器在业务中如何应用？人们用它们做什么？你可以像任何人一样技术娴熟，但如果不理解你尝试做的事情的应用场景，无法用业务语言沟通，你将难以取得进展。

Windows：访问Windows评估中心。安装微软的软件。这可能很痛苦。有些东西容易安装，如Active Directory。有些则非常困难，如SCCM或配置管理。但这些都是你需要学习的重要课程。设置那些作为安全专业人员你将不断防御（或攻击）的东西。
Linux：从头开始安装一切。不知道怎么做？访问搜索引擎。输入你的问题。点击按钮。不要因为困难就放弃。安全不是走捷径——它关乎持续学习，即使在异常困难的情况下。变得优秀的唯一途径是挣扎。如果需要，移除你的退路，卸载Windows。同时，学习Bash脚本（还有其他shell，但Bash是你最终会更多使用的）。
网络：设置一个网络实验室。首先，让你的家庭设备运行起来，并确保你知道它在做什么。然后，获取一些模拟器（https://www.brianlinkletter.com/open-source-network-simulators/）。买一些设备。你可以在eBay上便宜地买到旧设备。拆开它。找出它是如何工作的。买两三个东西……你最终会弄坏一些。
编码：学习编码。Python是最好的起点（尽管其他语言也很重要）。在线学习。Code Academy、Code Warrior和Pluralsight都是很好的资源， among many others。
安全标准：学习18个CIS关键安全控制。了解这些对你的简历是一个很大的加分项。它是战略性和高层次的。学习它。

是时候开始项目了！（你可能已经开始了……那很好！）从消费者转变为创造者。

你应该：

这是Web应用的时代——你必须了解这些。从PHP和ASP.NET开始（暂时不要分心于其他东西）。随意扩展到网络化的iOS和Android应用。学习编码（即使很糟糕）。开发一些东西。

敢于在某件事上表现糟糕。拥抱糟糕。没关系。 — John Strand

是时候开始黑客东西了！学习IDA和Immunity Debugger。选择一个协议并理解该协议。挑战在线挑战。（你一直在玩Metasploit，对吧？）从OWASP下载ZAP。使用和学习所有这些：

展示！在任何地方演讲。就你刚刚学到的东西进行演讲！利用会议/活动/网络研讨会作为演讲者，并…… 把自己推出去。

随意：

不要做以下事情：

在这里查看John谈论他的计划的完整视频：[链接]

在我们的“信息安全入门”博客系列中阅读更多：

想提升你的技能并直接从John本人那里学习更多？你可以在下面查看他的课程！

提供实时/虚拟和点播选项。