张雪峰谈网络空间安全

张雪峰在一次直播里被家长问到“网络空间安全这个专业怎么样”，他第一反应是峰谈皱眉头，然后说了句大实话：“这个专业，网络报之前你得想清楚，空间它不是安全让你去当黑客的，也不是张雪修电脑的。”

他接着讲了个例子。峰谈有个学生，网络冲着“网络安全”四个字去了某所211，空间结果大一学了一整年高等数学和计算机导论，安全连个防火墙都没摸过。张雪学生急了，峰谈跑去问老师，网络老师说你急什么，空间密码学基础还没上呢。安全张雪峰说到这儿顿了顿：“很多人以为网络安全就是天天跟黑客攻防，实际上你前两年大概率在跟数学分析死磕。”

这行有个特点，门槛不在入门，在入行。张雪峰提到，他认识一个在安全公司做渗透测试的年轻人，普通一本毕业，但人家从大二开始就在漏洞平台挖洞，毕业时手里攒了十几个高危漏洞证书，面试的时候直接甩出来，HR眼睛都亮了。反过来，他见过某985硕士，简历上写满了“熟悉OWASP Top 10”，一问细节，连SQL注入的手工绕过姿势都说不利索。

张雪峰对网络空间安全的判断很直接：这是一个政策驱动型的行业。等保2.0、数据安全法、关基保护条例，每出一个新规，企业就得招人合规、招人做审计、招人做应急响应。需求是实打实的，但问题是——这些岗位大多集中在几个头部城市，而且很多甲方企业的安全岗，日常工作就是写报告、填表格、应付检查。他原话是：“你以为的网络安全：追踪APT组织。实际上的网络安全：整理资产清单，催业务部门改弱口令。”

那到底什么样的人适合报这个专业？张雪峰给了个挺糙但挺准的筛选标准：如果你平时就喜欢琢磨手机root、路由器刷固件、游戏反编译，看到弹窗广告就想抓包看看它从哪来的，那你可以考虑。如果你只是听说这行工资高、好就业，自己连Linux都没装过，那大概率会学得很痛苦。他特别强调了一点，这个专业跟临床医学有点像，本科只是打底，真正的东西在课外。CTF比赛、SRC漏洞挖掘、开源安全工具贡献，这些才是简历上真正能打的东西。

关于就业，张雪峰泼了盆冷水。他说现在很多高校跟风开这个专业，师资是从计算机学院临时凑的，实验环境就是几台虚拟机，学生毕业了连一个完整的渗透测试流程都跑不下来。但另一方面，他承认头部院校和头部企业之间的通道依然畅通。某大厂安全实验室的HR私下跟他聊过，他们招人基本只看几所目标院校的CTF战队成员，其他简历直接筛掉。“残酷吗？残酷。但哪个行业头部不残酷？”

最后他给了一句总结性的话，但不像总结，更像提醒：“网络空间安全，名字听着很宏大，落到个人身上，就是一行行代码、一个个漏洞、一份份报告。你要是冲着‘守护网络空间’这种口号去的，我劝你冷静。你要是冲着‘我就想搞明白这玩意儿怎么攻怎么防’去的，那这行不会亏待你。”

说完他喝了口水，补了一句：“对了，数学不好的，慎报。这话我只说一遍。”