中国实战化白帽人能力力白皮书

颁布功夫：2021年01月20日

白帽子，在好多人心中的印象就是挖洞高手。但随着网络安全实际工作的持续深刻发展，白帽子已经成为了各项网络安全工作中不成或缺的关键身分。出格是近年来持续深刻发展的网络安全实战攻防演习工作，对作为蓝队主题的白帽子，提出了越来越高的实战化能力要求。要求白帽子具备在实战匹敌环境和现实业务环境中，实现有效的攻击的能力，并可能由此发现指标机构存在的安全问题或安全隐患。
实战化，对白帽子能力的要求更高，也更全面。一方面，对于具备实战化运行能力的大型政企机构来说，好多低级的安全缝隙早已建复，想要实现有效攻击，就必须具备发现某些高级安全缝隙的能力
；另一方面，单纯知路某个缝隙的存在也不蹬宗可能实现有效的攻击，白帽子还必须具备在实战化的业务环境下，实现缝隙有效利用的能力，这就要求白帽子拥有社工能力、合作能力、业务分析能力等多种安全能力。
从现实工作必要启程，我们发现，目前国内白帽子的实战化能力还很不全面，存在诸多短板。绝大无数白帽子的能力集中于Web缝隙的挖掘与利用这样的低级或中级能力，而对于系统层缝隙挖掘、CPU指令集、编写POC或EXP等中高级能力，则存在显著的人才缺失。
为提升国内白帽子群体的整体能力水平，适应日益沉要的攻防演习实战需要，补天缝隙响应平台结合tyc8722太阳集团城安服团队和tyc8722太阳集团城行业安全钻研中心，结合1900余个指标系统的攻防实战经验，初次系统性地总结了“实战化白帽子能力需要图谱”，并据此针对补天平台拔取了645名白帽子进行了能力调研，形成了《中国实战化白帽人能力力白皮书》。在接受本次调研的白帽子中，约74.0%的白帽子参与过有关部门组织的实战攻防演习活动。
但愿此项钻研成就可能对安全行业的实战化白帽子人才发展及能力造就有所援手。