[問題諮詢] 008 MIS 轉職資安：從目標職位到學習路徑的分向

問題詢問

各位前輩好，我目前是企業的 MIS，負責伺服器主機維運、網通設備管理、帳號權限設定、故障排除等，對於資訊安全很有興趣，也考慮未來轉職資安領域。

目前對於資安領域還不熟悉，但希望能開始學習。

請問前輩們：
1. 以我的背景，轉職資安應該優先學哪些技能？
2. 是否有推薦的學習資源或課程？
3. 有沒有建議的切入點，例如 SOC 工程師、資安運維等？

針對 MIS 轉職回應

這個問題我建議從第三個問題往前推，才能以終為始~
先確定想要轉職的目標
– 從 104 / 社群中看到的職缺
– 盤點自己會什麼、不會什麼
– 在設計學習路徑去學習

3. 有沒有建議的切入點（先確定想要轉職的目標）

在考慮「要往資安領域哪個職位發展」時，建議先：
1. 參考 104 (或其他人力銀行、CakeResume) / 資安社群上的職缺
– 檢視目前市場上與資安相關的職務：SOC 工程師、資安運維、滲透測試 (紅隊) 相關工作、資安顧問等。
– 不同職務的工作內容、所需技能都不太相同。
2. 盤點自己現有技能與不足
– 目前是企業 MIS，熟悉伺服器管理、網通設備、帳號權限設定等，這些都是進入資安維運、SOC 領域的好基礎。
– 若想往滲透測試或紅隊發展，還需要更多漏洞分析、攻擊工具操作的經驗。
3. 綜合考量個人興趣和長遠目標
– 如果對「即時監控、事件應變」感興趣，可考慮 SOC；
– 如果對「系統與網路防禦及維運」熟悉並想精進，可考慮資安運維；
– 如果熱衷於攻防技術研究、破解與模擬駭客思維，可考慮滲透測試工程師 / 紅隊。

在清楚目標職務後，就能更精準地設計學習路徑，針對所需技能做強化。

1. 以我的背景，轉職資安應該優先學哪些技能？

假設確定自己的目標（SOC、資安運維或滲透測試等），以下是共通且基礎的技能建議：

(1) 網路與系統安全的深度理解

網路協定與架構：除了基本的 TCP/IP、路由交換外，要熟悉常見的攻擊手法 (例如 DDoS、ARP 攻擊等) 及對應的防禦措施 (IDS/IPS)。
作業系統：深入瞭解 Windows 與 Linux 伺服器的權限機制、帳號管理、日誌分析；熟悉常見弱點，如 RDP、SMB 或 Web 服務的常見漏洞。

(2) 弱點掃描與報告解讀

弱點掃描工具：若是往 SOC / 資安運維發展，需熟悉 OpenVAS、Nessus、Qualys 等，會讀報告、做風險評估，並提出修補建議。
漏洞知識：同樣建議多留意 OWASP Top 10、CWE 等常見弱點清單。

(3) 資安流程與法規

資安管理框架：如 ISO 27001、NIST CSF 等，也需認識企業如何做資安規劃、風險評估、控管與合規。
日常防禦與應變：資安事件的通報流程、權限控管 (IAM)、補丁管理 (Patch Management) 等皆需熟悉。

(4) 進階攻防（若想往滲透測試或紅隊）

滲透測試流程：情報收集 (Reconnaissance)、掃描、漏洞利用 (Exploitation)、後滲透 (Post-Exploitation)、報告撰寫。
常見工具：nmap、burpsuite、dirb、sqlmap、metasploit 等，以及弱點掃描工具 (OpenVAS、Nessus) 與 Web 安全測試工具 (OWASP ZAP)。

2. 是否有推薦的學習資源或課程？

以下按照不同需求列出，可依據想切入的職務來選擇或搭配：

(1) 免費資源

iT 邦幫忙鐵人賽 (滲透測試相關與藍隊相關)
- iT 邦幫忙 – 鐵人賽（滲透測試）
  裡面有自建漏洞環境與工具教學，適合想學習滲透測試基礎的人。
PortSwigger Web Security
- PortSwigger 教學平台
  提供互動式 Web 攻防教學，可以練習常見的 Web 漏洞利用手法。

(2) 收費資源/靶機練習

TryHackMe / Hack The Box
- 能在靶機中實戰操作，練習漏洞利用、權限提升與報告撰寫。
- SOC、資安運維的從業人員也可透過這些平台提升對攻擊手法的理解。
OSCP 課程
- Offensive Security 出品的 OSCP（Offensive Security Certified Professional）證照是滲透測試領域熱門證照，對履歷加分不少。
- 原廠課程約 1749 美金(2025.01 價錢)，建議先在免費平台練習一段時間後，再投資考取。

如何以終為始，設計自己的學習路徑？

先鎖定職缺或目標職位
從 104、人脈或社群中觀察市場需求，確認哪一類資安工作最有機會或最能引起自己的興趣。
列出該職缺必備技能
- 網路安全知識、系統管理經驗、工具使用經驗、相關證照或實務經驗……依需求列成清單。
評估自己現有能力差距
- 身為 MIS 已具備了網路、系統管理基礎，但或許缺乏「事件應變流程」或「攻防工具」操作等經驗。
依照差距訂學習計畫
- 先從可立即著手的免費資源開始（如 iT 邦幫忙、PortSwigger）。
- 視情況補充付費平台練習（TryHackMe/Hack The Box），再考慮是否投資考證或報名實體課程。
累積實務經驗
- 在工作中若能主動承擔資安專案或與資安團隊合作，盡量爭取這些機會。
- 練習撰寫報告、管理漏洞掃描與修補流程，都是未來面試時可展現的能力。

小結

先決定想往哪個職務切入：SOC、資安運維或滲透測試工程師等。
盤點自身優勢與不足：MIS 經驗在網路、伺服器管理上已是加分，接下來要補的多半是攻防技術、資安管理流程或事件應變。
量身訂做學習計畫：先使用免費資源打基礎，再透過靶機平台取得實戰經驗，最後可考慮進階證照或付費課程。
在工作中累積實戰：主動涉入資安專案或事件處理，可快速提升實務能力。