马来西亚计算机科学与工程大学：网络安全职业发展指南——从基础到专业的成长路径
技术正在飞速发展，在这一行业中建立职业生涯有时会让人感到不知所措。需要学习的新工具、需要培养的新技能，以及关于人工智能将如何改变现有工作岗位的日益增长的疑问，都让许多人心生迷茫。
对于考虑从事科技行业职业的学生，以及正在考虑转行的工作人员来说，知道从何处着手，可能和跟上行业发展一样具有挑战性。
作为客座专家访谈系列的一部分，我们采访了阿巴斯·库德拉蒂教授。他是F5亚太、中国和日本区首席信息安全官，拉特罗布大学实践教授，六本书籍的作者，多部书籍的技术编辑，以及微软最有价值专业人士。库德拉蒂教授拥有近三十年涵盖系统工程、咨询、技术和网络安全领导力的经验，他将在本文中分享关于进入行业、培养宝贵技能、积累实践经验以及理解人工智能带来的机遇的实用建议。
一、你的职业生涯始于系统和网络工程。是什么引导你走向了网络安全领域，你的职业生涯又是如何发展成为领导岗位的？
在我的职业生涯中，技术行业经历了巨大的演变。曾经被普遍称为信息技术安全的事物，发展成了信息安全，最终随着组织对数字系统的依赖日益加深，演变成了更广泛的网络安全领域。
我进入安全领域的道路是循序渐进的。1997年，我以系统管理员的身份起步，随后转向网络工程和信息技术审计。审计改变了我提出的问题。我不再问系统是否正常运行，而是开始思考如果有人滥用它会发生什么。到2004年左右，我完全转向了安全领域，自那以后，这个问题塑造了我的每一个角色，从在中东提供咨询，到在巴林担任政府首席信息安全官，再到如今为亚太地区的各界高管提供建议。
我的职业生涯让我涉足了技术领域的不同方向，包括系统工程、咨询和技术领导。与毕马威、安永和微软等组织合作，以及后来与F5合作，让我接触到了关于技术、业务运营和风险的不同视角。
这些经历让我明白，网络安全不仅仅是实施技术控制。它还涉及了解一个组织如何运作、需要保护什么，以及安全决策如何影响其实现目标。
一个重要的道理是，安全应该让企业能够自信地向前发展。我经常将其比作汽车的刹车。好的刹车能让驾驶员更加自信地行驶得更快，因为驾驶员知道当需要时，车辆能够安全地减速。
同样，有效的安全保障让组织在管理风险的同时，更有信心采用新技术、开发服务并进行创新。最优秀的安保团队并非以拒绝为名，而是以实现“是”为目标而闻名。
二、对于高中毕业生和大学生，如果想从事网络安全职业，他们应该首先学习什么？
我的建议是分阶段积累知识，而不是试图一次性学完所有内容。
从信息技术的基础知识开始。这包括理解操作系统、网络概念（如传输控制协议、域名系统和超文本传输协议）以及Linux的工作原理。学习一些脚本语言也很有价值，因为这有助于你了解如何自动化任务。
一旦打好基础，就开始探索核心网络安全原则。这些原则包括身份与访问管理、加密、漏洞管理以及安全系统配置。
下一步是实践。搭建家庭实验室，尝试虚拟机，并使用TryHackMe等引导式学习平台，在受控环境中培养你的技能。
然后，你可以使用Python、安全工具使用的查询语言（如KQL或SPL）以及应用程序编程接口等工具和技术来探索编程和自动化。这些技能可以帮助安全专业人员调查信息、处理数据并自动化重复性任务。
在打好这些基础之后，考虑专攻一个你感兴趣的领域，例如云安全或身份安全。
重要的是遵循一条学习路径。首先打好基础，练习所学，并在对该领域有更深入的理解后进行专业化。我认为这可以分为五个阶段：基础、原则、实践、自动化和专业化。
三、对于在职成年人或没有信息技术背景的人来说，现在进入网络安全领域是否还为时已晚？
非信息技术背景的人可以为网络安全领域带来宝贵的技能。当他们进入科技行业时，个人的过往教育和工作经验并不一定需要变得无关紧要。
例如，在我任职微软期间，我观察到退伍军人是如何被聘用进入安全运营中心团队的。他们的军事背景为这一职位带来了宝贵的特质，包括在压力下保持冷静以及应对充满挑战的局面的能力。这说明了在传统信息技术职业之外培养的技能，在网络安全领域同样具有价值。
拥有会计或金融背景的人可能已经了解预算、财务控制以及管理资源的重要性。在做出安全投资决策、评估供应商或管理网络安全预算时，这些技能会非常有用。
来自其他领域的专业人士也能贡献不同的视角。在法律或心理学等领域的经验，有助于专业人士理解法律要求、人类行为以及人们与技术互动的方式。
关键在于在发展该职位所需的专业知识的同时，发挥现有优势。
职业转型仍然需要付出努力和做好准备。没有信息技术背景的人可能需要先从基础的计算机、网络和安全概念入手，然后再转向更专业的领域。
我的建议是，先确定你已有的技能，了解行业的需求，然后制定一个切实可行的计划来弥补差距。
你并不一定需要抛弃过去的经验才能进入网络安全领域。在许多情况下，技术知识与来自其他领域的经验相结合，反而能成为一种优势。
四、人工智能正在改变网络攻击和网络防御。哪些技能将最为重要，学生该如何为人工智能安全做准备？
人工智能是一项攻击者和防御者都可以使用的技术。它可以帮助安全团队分析信息并自动化某些任务，同时也为攻击者提供了扩大活动规模（如社会工程）的新途径。
学生们经常问我，人工智能是否会取代初级安全岗位。我的回答是，它会取代许多初级任务。处理大量告警、编写基础查询和总结日志等工作已经实现了自动化。人工智能无法做的是判断什么真正重要、向企业领导者解释风险，或者对决策负责。因此，要尽早培养这种判断力。学会去思考为什么一个告警很重要，而不仅仅是如何关闭它。
对于有兴趣从事人工智能安全领域的研究生，我仍然建议从扎实的网络安全基础开始。人工智能系统运行在现有的技术基础设施之上，因此理解网络、系统、访问控制和数据安全仍然至关重要。
下一步是建立对机器学习和大型语言模型工作原理的基本理解。你并不一定需要成为人工智能研究人员，但你应该了解这些系统是做什么的，它们可能如何出错，以及它们的局限性所在。
了解人工智能应用特有的风险也同样重要。这些风险包括提示词注入，即恶意指令试图操纵人工智能系统，以及数据泄露，即信息被不当暴露。
随着人工智能系统通过连接的工具和服务采取行动的能力日益增强，保障人工智能代理的安全并控制其获取的访问权限也将变得重要。每一个代表我们行动的人工智能代理都需要身份、权限和监督，就像对待员工一样。保障这些非人类身份的安全，将是未来十年增长最快的专业领域之一，而同时掌握身份管理和人工智能的学生将是稀缺且宝贵的。
最后，学会负责任地使用人工智能。不应盲目接受人工智能生成的答案和代码。你需要评估输出结果，核实重要信息，并理解将其付诸实践的后果。
人工智能将继续改变网络安全格局，但对安全原则的透彻理解将有助于专业人士在新技术不断涌现时进行适应。
五、关于网络安全职业，一个常见的误解是什么？实际工作内容是什么？
一个常见的误解是，网络安全完全就是关于黑客攻击。
尽管道德黑客和渗透测试是该领域的重要组成部分，但网络安全还提供了许多其他职业道路。这些包括安全运营、安全工程、治理、风险与合规以及安全领导力。
这在马来西亚尤为重要。2024年网络安全法要求在银行、医疗保健、能源和交通等领域运营国家关键信息基础设施的组织，必须定期进行风险评估和审计，并报告网络安全事件。这不仅创造了对技术专家的需求，也创造了对理解治理、风险和合规的人才的需求。
不同的角色涉及不同的职责。一些专业人员负责调查可疑活动并应对事件。另一些人则负责设计安全系统、评估漏洞、制定政策或帮助组织理解和管理风险。
网络安全也需要协作。安全专业人员需要与技术团队、业务领导者和其他利益相关者进行沟通，以确保安全措施是切实可行且恰当的。
另一个误解是认为可以实现百分之百的安全。没有任何组织能够消除所有的风险。
更现实的目标是韧性：能够识别威胁、发现问题、有效应对并在发生事件时恢复。
因此，安全专业人员必须超越预防攻击的思维。他们还需要帮助组织为可能出现问题的情况做好准备。
六、初学者如何获得实践经验，证书是否足以获得第一份工作？
证书可以帮助证明你学习过某个学科并掌握了特定领域的知识。然而，证书本身并不能向雇主证明你能够将这些知识应用得有多好。
对于寻求进入科技行业求职的人来说，实践经验尤为重要。
你可以从搭建家庭实验室开始，通过虚拟机进行操作并完成指导练习。这些活动能让你尝试新技术、犯错并了解系统的工作原理。捕获旗帜比赛、本地安全社区聚会和实习也是磨练技能并结识潜在雇主的好方法。
你也可以通过GitHub仓库、技术博客或项目作品集来记录你的工作。这能让雇主在评估你的能力时，看到一些具体的内容。
例如，与其简单地说明你研究了身份安全，不如记录一个探索用户账户、权限和访问控制如何运作的实验。说明你构建了什么、学到了什么以及你会改进什么。
价值不仅在于完成项目，还在于能够解释你的决策并展示你的理解。能够用通俗的语言解释你所做的事情，是一种让候选人脱颖而出的技能。
你也应该查看真实的职位描述。找出雇主所要求的技术、技能和经验，然后利用这些要求来指导你的学习。
证书可以成为这段旅程的一部分，但它们应该作为实践工作的补充，而不是替代。
七、在科技行业工作了几十年后，你会给今天刚开始职业生涯的人什么建议？
永远不要停止学习。
技术在不断变化，因此专业人士需要保持好奇心，并愿意在整个职业生涯中不断学习新技能。你不能指望在职业生涯初期所学的东西能满足你余生的工作需求。
同时，你不需要学无所知。打下坚实的基础，了解自己的兴趣，并不断培养与你所选方向相关的技能。
当机会出现时，要保持灵活。有时，职业发展意味着探索新领域、承担不同职责，或者超越熟悉的事物。
我自己的职业生涯就是一个例子。我并非从安全领域起步。我从系统管理到网络、审计、安全以及高管咨询工作的每一步转变，都感觉像是重新开始。但实际上从未如此。每一层都是在上一层的基础上构建的。
我也相信，经验丰富的专业人士应该为更广泛的社区做出贡献。随着你知识的增长，可以考虑指导他人、教学、写作或分享你所学到的东西。帮助他人成长可以成为漫长职业生涯中有意义的一部分。
归根结底，成功的技术职业生涯需要的不仅仅是跟上工具的步伐。它需要好奇心、适应能力、实践经验以及持续学习的意愿。
关键要点
阿巴斯·库德拉蒂教授的职业生涯历程为任何考虑在技术或网络安全领域发展的人提供了几点启示。
在专业化之前打好基础。在学习高级安全主题之前，先了解操作系统、网络和其他核心技术的工作原理。
将实践经验放在首位。家庭实验室、指导练习和文档化的项目有助于将理论知识转化为你可以向雇主展示的技能。
认识到现有经验的价值。来自非信息技术背景的人员可以为网络安全领域带来有用的知识和视角，前提是他们也培养了必要的专业技能。
在不忽视网络安全基础知识的情况下，了解人工智能。了解与人工智能相关的风险变得越来越重要，但对系统、网络、访问控制和数据安全有扎实的知识仍然至关重要。
培养判断力，而不仅仅是技能。人工智能将自动化许多入门级任务。判断什么重要、解释风险并承担责任的能力将变得更加宝贵，而非变得不那么重要。
超越黑客思维。网络安全包括技术、运营、治理和领导角色，为具有不同兴趣和优势的人提供不同的路径。
将安全视为赋能者。有效的网络安全帮助组织管理风险，同时继续充满信心地创新和运营。
持续学习并回馈社区。保持相关性需要持续发展，而分享知识和指导他人有助于加强更广泛的技术社区。
关于客座专家访谈系列
客座专家访谈系列为学生、有志于从事技术工作的专业人士、在职成年人以及任何有兴趣在技术领域建立未来的人，带来经验丰富的技术专业人士和行业领袖的真实世界视角。
通过他们的职业故事、行业见解和实用建议，受访者帮助读者更好地理解在技术行业工作所涉及的机会、挑战和技能。
对于考虑从事科技行业职业的学生，以及正在考虑转行的工作人员来说，知道从何处着手，可能和跟上行业发展一样具有挑战性。
作为客座专家访谈系列的一部分，我们采访了阿巴斯·库德拉蒂教授。他是F5亚太、中国和日本区首席信息安全官，拉特罗布大学实践教授，六本书籍的作者，多部书籍的技术编辑，以及微软最有价值专业人士。库德拉蒂教授拥有近三十年涵盖系统工程、咨询、技术和网络安全领导力的经验，他将在本文中分享关于进入行业、培养宝贵技能、积累实践经验以及理解人工智能带来的机遇的实用建议。
一、你的职业生涯始于系统和网络工程。是什么引导你走向了网络安全领域，你的职业生涯又是如何发展成为领导岗位的？
在我的职业生涯中，技术行业经历了巨大的演变。曾经被普遍称为信息技术安全的事物，发展成了信息安全，最终随着组织对数字系统的依赖日益加深，演变成了更广泛的网络安全领域。
我进入安全领域的道路是循序渐进的。1997年，我以系统管理员的身份起步，随后转向网络工程和信息技术审计。审计改变了我提出的问题。我不再问系统是否正常运行，而是开始思考如果有人滥用它会发生什么。到2004年左右，我完全转向了安全领域，自那以后，这个问题塑造了我的每一个角色，从在中东提供咨询，到在巴林担任政府首席信息安全官，再到如今为亚太地区的各界高管提供建议。
我的职业生涯让我涉足了技术领域的不同方向，包括系统工程、咨询和技术领导。与毕马威、安永和微软等组织合作，以及后来与F5合作，让我接触到了关于技术、业务运营和风险的不同视角。
这些经历让我明白，网络安全不仅仅是实施技术控制。它还涉及了解一个组织如何运作、需要保护什么，以及安全决策如何影响其实现目标。
一个重要的道理是，安全应该让企业能够自信地向前发展。我经常将其比作汽车的刹车。好的刹车能让驾驶员更加自信地行驶得更快，因为驾驶员知道当需要时，车辆能够安全地减速。
同样，有效的安全保障让组织在管理风险的同时，更有信心采用新技术、开发服务并进行创新。最优秀的安保团队并非以拒绝为名，而是以实现“是”为目标而闻名。
二、对于高中毕业生和大学生，如果想从事网络安全职业，他们应该首先学习什么？
我的建议是分阶段积累知识，而不是试图一次性学完所有内容。
从信息技术的基础知识开始。这包括理解操作系统、网络概念（如传输控制协议、域名系统和超文本传输协议）以及Linux的工作原理。学习一些脚本语言也很有价值，因为这有助于你了解如何自动化任务。
一旦打好基础，就开始探索核心网络安全原则。这些原则包括身份与访问管理、加密、漏洞管理以及安全系统配置。
下一步是实践。搭建家庭实验室，尝试虚拟机，并使用TryHackMe等引导式学习平台，在受控环境中培养你的技能。
然后，你可以使用Python、安全工具使用的查询语言（如KQL或SPL）以及应用程序编程接口等工具和技术来探索编程和自动化。这些技能可以帮助安全专业人员调查信息、处理数据并自动化重复性任务。
在打好这些基础之后，考虑专攻一个你感兴趣的领域，例如云安全或身份安全。
重要的是遵循一条学习路径。首先打好基础，练习所学，并在对该领域有更深入的理解后进行专业化。我认为这可以分为五个阶段：基础、原则、实践、自动化和专业化。
三、对于在职成年人或没有信息技术背景的人来说，现在进入网络安全领域是否还为时已晚？
非信息技术背景的人可以为网络安全领域带来宝贵的技能。当他们进入科技行业时，个人的过往教育和工作经验并不一定需要变得无关紧要。
例如，在我任职微软期间，我观察到退伍军人是如何被聘用进入安全运营中心团队的。他们的军事背景为这一职位带来了宝贵的特质，包括在压力下保持冷静以及应对充满挑战的局面的能力。这说明了在传统信息技术职业之外培养的技能，在网络安全领域同样具有价值。
拥有会计或金融背景的人可能已经了解预算、财务控制以及管理资源的重要性。在做出安全投资决策、评估供应商或管理网络安全预算时，这些技能会非常有用。
来自其他领域的专业人士也能贡献不同的视角。在法律或心理学等领域的经验，有助于专业人士理解法律要求、人类行为以及人们与技术互动的方式。
关键在于在发展该职位所需的专业知识的同时，发挥现有优势。
职业转型仍然需要付出努力和做好准备。没有信息技术背景的人可能需要先从基础的计算机、网络和安全概念入手，然后再转向更专业的领域。
我的建议是，先确定你已有的技能，了解行业的需求，然后制定一个切实可行的计划来弥补差距。
你并不一定需要抛弃过去的经验才能进入网络安全领域。在许多情况下，技术知识与来自其他领域的经验相结合，反而能成为一种优势。
四、人工智能正在改变网络攻击和网络防御。哪些技能将最为重要，学生该如何为人工智能安全做准备？
人工智能是一项攻击者和防御者都可以使用的技术。它可以帮助安全团队分析信息并自动化某些任务，同时也为攻击者提供了扩大活动规模（如社会工程）的新途径。
学生们经常问我，人工智能是否会取代初级安全岗位。我的回答是，它会取代许多初级任务。处理大量告警、编写基础查询和总结日志等工作已经实现了自动化。人工智能无法做的是判断什么真正重要、向企业领导者解释风险，或者对决策负责。因此，要尽早培养这种判断力。学会去思考为什么一个告警很重要，而不仅仅是如何关闭它。
对于有兴趣从事人工智能安全领域的研究生，我仍然建议从扎实的网络安全基础开始。人工智能系统运行在现有的技术基础设施之上，因此理解网络、系统、访问控制和数据安全仍然至关重要。
下一步是建立对机器学习和大型语言模型工作原理的基本理解。你并不一定需要成为人工智能研究人员，但你应该了解这些系统是做什么的，它们可能如何出错，以及它们的局限性所在。
了解人工智能应用特有的风险也同样重要。这些风险包括提示词注入，即恶意指令试图操纵人工智能系统，以及数据泄露，即信息被不当暴露。
随着人工智能系统通过连接的工具和服务采取行动的能力日益增强，保障人工智能代理的安全并控制其获取的访问权限也将变得重要。每一个代表我们行动的人工智能代理都需要身份、权限和监督，就像对待员工一样。保障这些非人类身份的安全，将是未来十年增长最快的专业领域之一，而同时掌握身份管理和人工智能的学生将是稀缺且宝贵的。
最后，学会负责任地使用人工智能。不应盲目接受人工智能生成的答案和代码。你需要评估输出结果，核实重要信息，并理解将其付诸实践的后果。
人工智能将继续改变网络安全格局，但对安全原则的透彻理解将有助于专业人士在新技术不断涌现时进行适应。
五、关于网络安全职业，一个常见的误解是什么？实际工作内容是什么？
一个常见的误解是，网络安全完全就是关于黑客攻击。
尽管道德黑客和渗透测试是该领域的重要组成部分，但网络安全还提供了许多其他职业道路。这些包括安全运营、安全工程、治理、风险与合规以及安全领导力。
这在马来西亚尤为重要。2024年网络安全法要求在银行、医疗保健、能源和交通等领域运营国家关键信息基础设施的组织，必须定期进行风险评估和审计，并报告网络安全事件。这不仅创造了对技术专家的需求，也创造了对理解治理、风险和合规的人才的需求。
不同的角色涉及不同的职责。一些专业人员负责调查可疑活动并应对事件。另一些人则负责设计安全系统、评估漏洞、制定政策或帮助组织理解和管理风险。
网络安全也需要协作。安全专业人员需要与技术团队、业务领导者和其他利益相关者进行沟通，以确保安全措施是切实可行且恰当的。
另一个误解是认为可以实现百分之百的安全。没有任何组织能够消除所有的风险。
更现实的目标是韧性：能够识别威胁、发现问题、有效应对并在发生事件时恢复。
因此，安全专业人员必须超越预防攻击的思维。他们还需要帮助组织为可能出现问题的情况做好准备。
六、初学者如何获得实践经验，证书是否足以获得第一份工作？
证书可以帮助证明你学习过某个学科并掌握了特定领域的知识。然而，证书本身并不能向雇主证明你能够将这些知识应用得有多好。
对于寻求进入科技行业求职的人来说，实践经验尤为重要。
你可以从搭建家庭实验室开始，通过虚拟机进行操作并完成指导练习。这些活动能让你尝试新技术、犯错并了解系统的工作原理。捕获旗帜比赛、本地安全社区聚会和实习也是磨练技能并结识潜在雇主的好方法。
你也可以通过GitHub仓库、技术博客或项目作品集来记录你的工作。这能让雇主在评估你的能力时，看到一些具体的内容。
例如，与其简单地说明你研究了身份安全，不如记录一个探索用户账户、权限和访问控制如何运作的实验。说明你构建了什么、学到了什么以及你会改进什么。
价值不仅在于完成项目，还在于能够解释你的决策并展示你的理解。能够用通俗的语言解释你所做的事情，是一种让候选人脱颖而出的技能。
你也应该查看真实的职位描述。找出雇主所要求的技术、技能和经验，然后利用这些要求来指导你的学习。
证书可以成为这段旅程的一部分，但它们应该作为实践工作的补充，而不是替代。
七、在科技行业工作了几十年后，你会给今天刚开始职业生涯的人什么建议？
永远不要停止学习。
技术在不断变化，因此专业人士需要保持好奇心，并愿意在整个职业生涯中不断学习新技能。你不能指望在职业生涯初期所学的东西能满足你余生的工作需求。
同时，你不需要学无所知。打下坚实的基础，了解自己的兴趣，并不断培养与你所选方向相关的技能。
当机会出现时，要保持灵活。有时，职业发展意味着探索新领域、承担不同职责，或者超越熟悉的事物。
我自己的职业生涯就是一个例子。我并非从安全领域起步。我从系统管理到网络、审计、安全以及高管咨询工作的每一步转变，都感觉像是重新开始。但实际上从未如此。每一层都是在上一层的基础上构建的。
我也相信，经验丰富的专业人士应该为更广泛的社区做出贡献。随着你知识的增长，可以考虑指导他人、教学、写作或分享你所学到的东西。帮助他人成长可以成为漫长职业生涯中有意义的一部分。
归根结底，成功的技术职业生涯需要的不仅仅是跟上工具的步伐。它需要好奇心、适应能力、实践经验以及持续学习的意愿。
关键要点
阿巴斯·库德拉蒂教授的职业生涯历程为任何考虑在技术或网络安全领域发展的人提供了几点启示。
在专业化之前打好基础。在学习高级安全主题之前，先了解操作系统、网络和其他核心技术的工作原理。
将实践经验放在首位。家庭实验室、指导练习和文档化的项目有助于将理论知识转化为你可以向雇主展示的技能。
认识到现有经验的价值。来自非信息技术背景的人员可以为网络安全领域带来有用的知识和视角，前提是他们也培养了必要的专业技能。
在不忽视网络安全基础知识的情况下，了解人工智能。了解与人工智能相关的风险变得越来越重要，但对系统、网络、访问控制和数据安全有扎实的知识仍然至关重要。
培养判断力，而不仅仅是技能。人工智能将自动化许多入门级任务。判断什么重要、解释风险并承担责任的能力将变得更加宝贵，而非变得不那么重要。
超越黑客思维。网络安全包括技术、运营、治理和领导角色，为具有不同兴趣和优势的人提供不同的路径。
将安全视为赋能者。有效的网络安全帮助组织管理风险，同时继续充满信心地创新和运营。
持续学习并回馈社区。保持相关性需要持续发展，而分享知识和指导他人有助于加强更广泛的技术社区。
关于客座专家访谈系列
客座专家访谈系列为学生、有志于从事技术工作的专业人士、在职成年人以及任何有兴趣在技术领域建立未来的人，带来经验丰富的技术专业人士和行业领袖的真实世界视角。
通过他们的职业故事、行业见解和实用建议，受访者帮助读者更好地理解在技术行业工作所涉及的机会、挑战和技能。
