2024中国实战化白帽人才能力白皮书

发布时间：2024年10月17日

白帽人才应该“能攻善守”。本次白皮书对实战化白帽人才能力图谱进行了重大扩充：首次将网络安全实战攻防演习中，防守侧人员需要掌握的52项能力纳入图谱；同时，将攻击侧人员需要掌握的能力图谱，从原有的87项能力扩充为108项能力。攻防合计包含160项具体能力。
本次白皮书改变了先前使用的“先分级再分类”的架构方式，而是完全以“知识图谱”的形式，重新架构能力图谱，这种方式更有利于明确白帽人才的培养目标和职业规划，更有利于专业学校组织教学和白帽人才自学发展。
本次白皮书，将AI辅助攻防、安全设备绕过、大模型安全等新兴攻防技术引入图谱。这些技术在近年来的网络安全实战攻防演习中，已经被越来越频繁的使用。
本次白皮书对495名白帽子进行了实战化能力调研。其中，70.4%的白帽子参与过网络安全实战攻防演习攻击队，73.8%的白帽子参与过演习防守队。同时，有51.7%的白帽子表示自己攻防均可，攻击队防守队均参与过。
在攻击侧7大类实战化能力中，“Web漏洞利用与挖掘”是最普及、最主要的一种攻击能力，白帽人才的平均掌握率超过六成。其次是“社工与渗透” 和“安全工具使用”，约半数的白帽人才掌握此类相关能力。各类“攻击辅助”能力和“编程与开发”能力的平均掌握率均在三成左右。与2023年相比，除了“编程与开发能力”的平均掌握率稍有下降外，其他各大类能力的平均掌握率均有0.5%~3.2%不等的小幅提升。