网络安全学习路线：从基础到可操作能力
这是一条面向运维、网络和安全初学者的内置路线。目标不是“看完概念”，而是每个阶段都完成一次可验证的练习。所有实验应在本人所有或获得明确授权的环境中进行。
路线总览
第一阶段：计算机与网络基础
学习内容
- Linux/Windows 用户、权限、进程、服务、日志和文件系统；
- TCP/IP、子网、ARP、DNS、DHCP、路由、NAT、HTTP/HTTPS；
- 虚拟机、快照和隔离实验网络。
动手练习
- 用
ipconfig/ip addr、route/ip route解释本机如何访问互联网。 - 使用
nslookup/dig对比 A、AAAA、CNAME、MX 和 TXT 记录。 - 使用浏览器开发者工具观察一次 HTTPS 请求，但不要提交真实账号密码。
通过标准
能够解释“域名解析成功但端口不通”和“端口通但应用返回 403”的区别，并知道应从哪一层继续排查。
第二阶段：系统加固与身份安全
学习内容
- 最小权限、补丁管理、MFA、密钥轮换和离职账号回收；
- SSH/RDP 管理面保护、主机防火墙、应用白名单；
- 日志留存、时间同步和配置基线。
动手练习
在测试虚拟机上创建普通管理员账号，禁用无用服务，配置仅允许管理网段访问 SSH/RDP，并记录变更前后端口和登录日志。不要在未验证备用登录方式时关闭当前管理通道。
通过标准
能提供一份包含账号、端口、补丁、备份、日志和回滚的主机上线检查表。
第三阶段：检测、响应与取证意识
学习内容
- 资产清单、暴露面、漏洞与风险的区别；
- 告警研判、时间线、IOC、进程树、网络连接与持久化位置；
- 先隔离和保全证据，再根除、恢复和复盘。
动手练习
使用正常的测试程序模拟一次 CPU 异常，采集进程、父进程、网络连接、文件哈希和系统日志，形成时间线。禁止下载真实恶意样本到办公网络。
通过标准
能够回答：发生了什么、影响哪些资产、攻击从哪里进入、是否仍有持久化、凭据是否需要轮换、如何证明已经恢复。
第四阶段：网络与应用安全
- VLAN/ACL/防火墙策略、WAF、VPN/零信任接入；
- Web 身份认证、会话、输入校验、依赖供应链和密钥管理；
- 容器、Kubernetes 与云 IAM 的边界。
在隔离靶场中完成最小权限 ACL、HTTPS、受控管理入口和日志告警配置；对每条策略写清来源、目的、端口、负责人和到期复核日。
第五阶段：治理与持续改进
建立资产—负责人—数据级别—恢复目标映射，定期做备份恢复、账号审计、漏洞修复和应急演练。评价指标应同时包含覆盖率、修复时效和恢复验证，不能只统计告警数量。
建议的 12 周节奏
| 周次 | 主题 | 交付物 |
|---|---|---|
| 1–2 | 系统与网络基础 | 网络路径图、常用命令记录 |
| 3–4 | 主机基线 | 一份可回滚的加固清单 |
| 5–6 | 日志与检测 | 日志源清单、一次告警时间线 |
| 7–8 | 网络与 Web 安全 | 最小权限策略和验证记录 |
| 9–10 | 云、容器与身份 | IAM 权限审查表 |
| 11–12 | 应急与恢复 | 桌面演练报告和改进项 |
延伸阅读应优先选择厂商官方文档、国家或行业标准和明确标注版本的资料；第三方文章只作为线索，关键结论必须回到原始资料复核。