曹鵬（網絡ID：SQL）,大學時代接觸網絡安全，加入過當年知名的網絡安全小組"傲氣雄鷹"，后來自己創辦了收集黑客工具和文章的站點"熏衣草樂園"，正式工作后思考的方向有了很大的轉變，重新制作出isfocus.net 主要內容為安全產品和安全服務在實際實施中的經驗交流。畢業后先后加盟國內頂尖網絡安全產品廠商天融信公司和東軟公司。

好象所有的安全愛好者一樣，開始的時候我也是被一些神奇的"黑客軟件"吸引到了這個領域，當時國內還沒有這么多所謂的"紅客"找一些軟件和攻擊方法還是很困難，我這個一直喜歡收集整理點東西，看著自己的收藏逐漸增多加上自己也在寫一些簡單的攻擊工具我就自己做了一個自己的個人主頁"熏衣草樂園"，不知不覺就堅持的做了下來每天把在網絡和朋友那里搜集到的工具和好文章整理出來發布在自己的站點上，當時很多朋友喜歡我的站點的原因是我更新出來的文章和軟件我肯定要自己事先測試成功才會發布。

即使現在網絡安全這個圈子很多人看來好象還是非常非常高科技的領域和行業，但接觸多了就會發現有些時候攻擊者去黑掉一個站點步驟其實非常簡單，利用現成的軟件和別人總結出來的方法，實施起來可能比用WORD寫篇文檔還要簡單。入門并不難，很多人成功的用"木馬"軟件進入別人的計算機的時候可能就已經認為自己算是一個"小黑客"了，難在你是否能堅持下來，越往里面鉆所涉及的知識面越廣，簡單舉個例子攻擊一臺CISCO路由器有時候不算難，但如果想了解整個原理就需要從路由知識和CISCO產品的硬傷兩個方面去下手學習，里面要搞懂的知識面就更大了，很多人有感覺學的東西越多越感覺自己"實在是什么也不懂"。

大學四年在網絡上的"摸爬滾打"，我收獲很大付出也不少，包括要面對每月近千元的電話費，顛倒的作息時間規律，非計算機學科成績的大幅滑落等等。我在大三的時候開始了自己半工半讀的經歷，先后到過幾家公司做網管，最后去了"黑客防線"雜志的編輯部，在那段時間，我開始學習把自己這段時間的經歷總結出來逐漸寫成文章在雜志和網絡上發表。直到畢業的那天我想自己應該開始認真考慮自己的將來了，最后我決定還是到專業的安全公司去發展自己新的空間。經好朋友介紹我進了國內防火墻的領頭羊廠商天融信公司，我開始接觸真正意義上的安全產品，領悟到了看安全應該從整體考慮而不是從一兩個漏洞著手，同時我也發現自己原來積累下來的知識也有了真正用武的地方，在測試入侵檢測和安全評估掃描類產品的時候我總能提出很多好的方法。偶然的機會我告訴公司說一個重要客戶的網絡中存在一個高風險漏洞并且演示如何進入對方的服務器，就這樣我從公司的研發部調入了安全服務部，從實驗室的測試環境出來后感覺接觸的空間和人一下子多了很多，我開始為公司的一些大客戶國家統計局、外交部、人民銀行等做安全服務。那時候印象比較深的是有時候客戶會把對公司產品的不滿發泄到自己身上，但后來自己逐漸體會和理解到客戶的難處使自己的工作思考角度也發生了改變。加盟東軟公司后給我發揮空間更大了，我不停在全國飛來飛去的做項目，不管在酒店里面對幾百人宣講公司的產品或者培訓安全實用技術，還是單獨去拜訪客戶我總能使自己很快的興奮起來。我發現自己已經是個工作和生活不分的人了，我不喜歡被人說是工作狂，我從心底喜歡這份工作享受它帶給我的滿足感。

好的道德標準是一個合格的網絡安全專家必須無條件遵守的，ISC2發起的CISSP和SSCP網絡安全從業認證就專門有一組道德章程，要求他的成員必須完全遵守并保證自己的行為體面、誠實、公正、負責、合法。網絡安全行業現在最需要的就是具有良好道德準則的從業者，由于職業的特殊性質我們經常會直接面對客戶脆弱的安全防護和里面極具價值的資料軟件，只有好的道德操守才會原來客戶對你的尊重。正如安全是個持續過程，作為安全行業的從業者也需要不斷的關注最新的安全漏洞和新的攻擊手段才能使自己保持合格的技術水平，同時對于國內的安全產品的了解和對新的安全理論的關注對工作也會有很好的幫助。但這些其實還不夠，好的安全專家有時候也是需要一點個人英雄主義的，有時候必須稍微露一手客戶才能對你信服，有時候去面對客戶一些不合理或者被誤導的要求的時候，也必須耐心的去和客戶解釋。一個優秀的安全專家不僅要有書呆子似的對安全知識的癡迷還要有靈活的頭腦，可以用顯微鏡去發現安全漏洞掌握細節，也應該能夠登高望遠從整體安全框架上去設計實際的安全網絡。套用給客戶做CIW培訓時常講的一句話；象一個黑客一樣的思考還不夠用，也應該站在投資網絡建設的運營商和真正使用網絡的員工的角度去思考，你需要更多的去考慮在安全產品上的投資和回報，你需要了解你設計的安全結構帶來安全性上的提高是否可以和給網絡的真正使用者帶來的操作不方便性和性能速度上的降低達到很好的平衡。不追求所謂的安全極品不強調夸大單一漏洞的風險，為客戶尋找安全、性能、投資最佳的平衡點才是我們工作的根本。

進入 SQL 專欄