意见,大多是我自己的,关于存在的重要性。每一个经常,我被问到人们如何探索信息安全,他们应该是什么或他们应该追求的证明。伊文' t对这个问题有一个很好的答案。或者相反,我没有对这个问题很容易回答。
我不在任何特定文件计划中找到了很多价值,我知道每个人和#39; spath是不同的,所以我犹豫不决,犹豫不决,还有一个局促的建议,而是一个广泛的建议,为您的组织工作和#39; s实用的安全团队获得体验和对团队职能的理解。
但是,与此同时,我认为的事情是,嗯,这是一个在该领域的共同的神圣身体,一系列核心竞争力。
如何阅读CVeannuneCemence并根据其CWE / CVSSScore和描述评估影响。了解CVSSS分数arerelative和环境中的影响可能不同。
如何阅读次高,名称和lego品牌,公司支持的漏洞 - 以及相关的RFCS和触动研究论文,如果有的话,而不是Breathless网页 - 并向您的环境蒸馏出实际,现实的威胁。
Avulnerability,威胁,风险,漏洞和攻击面之间的区别;基于Adadvesary' S的动机,目标和能力的利用的可能性;在Givenscope内滚动防守的成本。
身份验证(Authn)与授权之间的区别;秘密和真实性之间;在真实性和完整性之间。能够通过不同的文本来整合这些概念。
对称性私有和不对称的公钥密码学的差异;之间的康复和哈希;在KeyDerivation函数和HMACused之间进行消息认证。
你不需要选择,但你应该大致了解你的开发人员的加密答案'问题是 - 以及为什么。
知道使用tls> = 1.2,但是youdon' t需要了解所有Ciphers和algorithms的细节。但是您应该了解MTLS和ClientCert验证与服务器CERT验证扫描上。
HTTP基础知识:能够通过Telnet(1)/ openssl s_client的MakeManup HTTP请求;了解足够的HttPheaders和CSP的一般概念;能够使用浏览器开发人员工具Totroubleshoot,调试和重播请求。
如何使用CURL(1)将数据返回到API中的数据并从API中提取信息;使用JQ(1)到ManipulateJson。
是ableto使用tcpdump(1)至少获取电线上的' s'即,协议,类型,端口,TCP S / R / P / F /。,序列号,有效载荷......
能够使用例如Wireshark to德尔俱乐部,从噪声中滤过特定的流量,过滤器和释放器,用loggedpre-master秘密调试tls。
能够发现某些CIDRS.E.g。,对于IPv4:127 / 8,169.254 / 16,224 / 4,240 / 4,RFC1918; 对于IPv6 :::: 1,FC00 :: / 7,FE80 ::/ 10,FF00 :: / 8 了解RFC1918必不可少的主机无法从互联网到达;内化Natis不是安全控制。 能够使用DIG(1),NSLOOKUP(1)和主机(1)并了解他们为什么不和谐.T COREABOUT您投入/ etc / hosts。 了解域名注册,NS记录,TTL和区域委派。 掌握威胁模式普通DNS,DOH和DNSSEC的威胁差异。 了解缓存中毒作为ACONcept,并应用于不同的协议,如arp,DNS,HTTP代理,... 对身体互联网,窥视,asns,bgp劫持的一般意识,以及政府如何(和多种)审查或拦截或拦截/检查(部分)互补规则。 HOWTO使用Ktrace(1)/ strace(1)/ dtrace(1)才能弄清楚Whatfiles或套接字正在访问。
能够usesh端口转发,ssh pubkey选项(from =,command = / forcecommand),proxycommand和sshagents的使用。 了解如何使用屏幕(1)/ tmux(1)保持长期会话不间断,恢复ifneeded,在ASIDLE窗口中杂志杂志多个远程终端。 真的了解UNIX PermissionsModel:Owner,Group,其他人; 权限ondirectories(例如,1777,0711),UnixGroups; SU(1)和sudo(1); Howsetuid / setgid工作。 能够在Worreling日志条目中转换介于Formbats之间的时间戳和查找UTC偏移量。 足够的shellscripting以自动执行重复配置文件,包括使用循环,功能和可变扩展的流量控制。 足够的python,perl,php,c,go,java和javascript能够阅读您遇到的所有随机码,至少会出现一些感觉。 足够的c要了解Bufferoverflow如何工作以及如何发现一个。 (90%的sthetime一个用户生成的stringinto的Sprintf(3)是固定大小的缓冲区。)
足够的SQLTO能够解释一点Bobby Tablesand来从多个表中提取记录。
足够的输入和shellmeta字符逃避以检测,滥用和默认化系统(3)/ popen(3)命令注射(以各种语言)。
能够有效地使用yourpreferred packaged Manager来标识文件/包管理,依赖关系,包完整性。 BEBLETO在您的常用PACKAGEMANGER格式(.deb,.rpm,...)fora非琐碎的软件中创建一个包,用于了解包装,安装脚本,签名,validationetc。
在需要时,足够的足够旋转实例.GROK NACL和Security Groups之间的差异。能够管理简单的IAM资源并侦查锁定S3桶。
了解SMTP基础知识,电子邮件标题等。足够了解SPF / DKIM / DMARCTO识别这些标题,了解它们仍然仍然存在。
Schneier'法律(任何人员发明了一个安全系统,如此聪明,她或赫卡'想到如何打破它。)而不是toattept来发明你自己的加密协议。
能够解释核心概念,如此信任,深入防守,最小特权,失败,以及kerckhoff' s原理与安全的byobmuturity。
何时寻求其他人的意见:不仅有特定于域,而且在信息安全团队外面的大量常见的安全专业知识。 现在授予,上面的名单是由我的敌人的背景和经验形式的形状,而且你可以在没有许多人的情况下划分,在缺乏的群体中弥补了经验和知识的原谅。 那个'很好。 您还可能会注意到,很多这一点与ageneral理解重叠......嗯,在互联网上的计算机,运营和系统管理概念。 这是不可能的。 良好的操作是良好的安全性。 我认为在这个地铁中必不可少的一点是我的视频选择; 如果您有兴趣,请签下HOTHTHEM和DON'犹豫不决,犹豫不决,您可能拥有的任何后续问题。 哦,如果你注意到没有所有的" softskills" 在这里:嗯,那些更难。又一个时间......