直接答案
蓝队进行防御 - 监控、检测和应对对组织系统的攻击。红队进行攻击 - 在获得授权的情况下模拟真实对手，在真正的攻击者发现漏洞之前找到它们。它们是同一项工作（使组织更安全）的两个方面，从相反的方向进行，大多数进入该领域的人应该从蓝队开始，因为这是实际入门级岗位最多的地方。
我经常被看过在线渗透测试内容的学生问起这个问题，他们认为那是"真正的"网络安全，而防御工作不知何故是次要的。事实并非如此。在英国就业市场中，SOC分析师等蓝队岗位远远超过红队岗位，尤其是在入门级别，而且蓝队经验通常是后来让你在红队工作中得到认真对待的原因。
并排比较
| 蓝队 | 红队 | |
|---|---|---|
| 核心活动 | 监控、检测、应对、防御 | 模拟攻击、发现并报告漏洞 |
| 典型入门岗位 | SOC分析师（第1层） | 很少入门级 - 通常需要之前的IT/安全经验 |
| 日常工具 | SIEM、EDR、工单系统 | 渗透测试框架、漏洞利用工具、报告 |
| 常见认证 | CompTIA Security+、BTL1 | OSCP、CREST、CHECK（UK特定计划） |
| 英国入门级岗位数量 | 高 | 低 - 大多数红队岗位需要2年以上的先前经验 |
| 典型工作模式 | 通常包括24/7 SOC的轮班/值班覆盖 | 基于项目，从一个业务到另一个业务 |
我对学生说的话
几乎每个来找我想"进入黑客"领域的学生实际上是指红队工作，但他们几乎没有人能直接被聘用到红队。在英国很少有真正的入门级红队岗位 - 大多数渗透测试工作期望你已经了解网络、系统，并且通常首先有一些蓝队或常规IT背景，恰恰是因为你需要知道"正常"和"安全"的样子，才能以令人信服的方式攻击它。
我的诚实建议：从蓝队开始。获得一个SOC分析师岗位（见如何在英国成为SOC分析师），花一两年时间真正了解网络、日志和检测如何从防御端工作，然后如果你了解了双方的现实情况并且仍然感兴趣，就转向红队工作。我认识的许多最优秀的渗透测试人员就是这样开始的。不掌握这个基础就直接学红队内容通常意味着很多昂贵的课程和没有工作机会，因为雇主能够分辨出看过黑客视频的人和真正了解系统如何工作的人之间的区别。
你应该选择哪个？快速自检
- 你是否更喜欢调查和模式识别而不是构建/破坏东西？→ 蓝队。
- 你是否乐于接受流程繁重、有时重复的工作以换取岗位可用性？→ 蓝队。
- 你是否已经拥有扎实的IT/网络经验并想专门从事offensive测试？→ 红队是现实的下一步，而不是第一步。
- 你是否纯粹被在线黑客内容吸引，尚无IT背景？→ 首先从蓝队开始，建立基础知识。
- 你现在想要最广泛的入门级工作机会范围？→ 毫无疑问是蓝队。
还有一个不断增长的"紫队"中间地带 - 在两者之间工作的人，将红队的发现反馈到蓝队检测规则中 - 但这是一个你在一方面有经验后才能成长的角色，而不是起点。
这些角色实际上一周看起来是什么样子
蓝队（SOC分析师）工作在SOC分析师做什么中详细介绍 - 大致来说，警报分流、日志调查和文档记录，通常还有轮班覆盖。红队工作是基于项目的：一个业务可能持续一到四周，涉及与客户的范围界定、主动测试（通常在设计上与目标的自身安全团队进行异常协作），并以详细的报告和有时的发现演示结束。它比SOC工作的例行程度要低，但在工作量和旅行方面要不可预测得多。
如果你想在投入学习时间之前，帮助弄清楚哪一方实际上适合你的工作风格和背景，请查看定价，我们会好好讨论。
常见问题
蓝队或红队哪方薪酬更高？
高级红队/渗透测试岗位的薪酬可能高于同等蓝队岗位，部分反映了较小的人才库和OSCP等专业认证。在入门级别，差距不太明确，蓝队有更多可用岗位。
我能直接进入红队作为第一份工作吗？
在英国这很罕见。大多数入门级安全招聘是蓝队（SOC分析师），大多数渗透测试岗位首先需要先前的IT或安全经验。
紫队是什么？
在大多数公司中，它是一种工作方式而不是单独的职称 - 蓝队和红队协作，红队的发现直接影响蓝队检测规则。在一方有经验后，你通常会进入紫队工作。
每条路径是否需要不同的认证？
大致来说是的。蓝队路径通常从Security+和SIEM等工具开始；红队路径倾向于后来的OSCP等认证，通常在蓝队或常规IT基础到位后。
