中国白帽 人才能力与发展 状况调研报告 2022.11 补天漏洞响应平台 奇安信行业安全研究中心 主要观点  挖洞数量上升，奖金 收入下降：2022年，国内白帽人才平均每人每年向各大漏洞平台 提交的安全漏洞数量为 69个,较2021年增长46.8%，这是国内白帽人才挖洞能力普遍 提升的一种体现 。不过，受到新手白帽持续增加、高价值漏洞越来越难挖、疫情影响企 业安全投入等多方面因素的影响， 国内白帽人均年度奖金收入从 2021年的57679元下， 降到2022年的31573元，降幅高达 45.3%。  女性白帽崛起，人才更新换代 ：在国内白帽人才中， “重男轻女”现象 仍然十分严重 ， 但女性白帽占比已经从 2021年的4.6%，增长至 2022年的11.8%，增长了1.4倍，女性 白帽子已经成为不可忽视的安全力量 。此外，总体来看， 80后、90后的白帽 人才数量 同比都有所下降，而 00后、10后的新生代占比却 都有所增长。女性白帽 崛起和人才更 新换代，也意味着 攻防技术正在悄悄的从少数人的爱好和专利，向高端普及型专业技术 转变。  学历水平上升，持证上岗减少： 当前国内具有本科及以上（含在读）学历的白帽 人才占 比正在稳步增加， 这得益于网络安全一级学科的持续扩招， 同时也彰显了网络安全行业 对白帽人才的吸引力。 不过，2022年国内白帽人才的 “持证上岗率 ”从2021年的53.6% 大幅下降了 到46.6%，这一变化应当警惕。  收入成为 核心关注，保持理想追求 务实：“增加收入”是白帽入行的第二 大原因，“奖金 额度”是平台选择的首要因素， “激励不足”是白帽工作的最大阻碍。 本次调研结果显 示，白帽人才对收入和奖金的关注 程度前所未有。与此同时，认为白帽子也 只不过是一 份普通工作 ，甚至是一份苦 B的工作的白帽子人数也越来越多。 这种情况的出现可能并 非偶然：漏洞挖掘进入深水区，遍地是洞时代已经 远去，仅靠“理想”难以长期支撑一 项艰巨的事业。 “理性 需求”的逐步回归，可能恰恰是网络安全工作不断规范化，白帽 工作日益步入正轨的必然结果，也是行业持续发展、白帽队伍不断壮大的必然要求。  企业SRC受欢迎，和谐共赢 促发展：31.5%的白帽子 首选向企业自建 SRC或企业官方渠 道提交漏洞，这一比例较 2021年的17.6%大幅提升了 13.9个百分点，成为白帽子心中 排名第二的漏洞提交 平台，仅次于 第三方漏洞响应平台 ，首次排在 CNVD/CNNVD 等国家 漏洞响应平台 之前。企业SRC受欢迎，是企业 SRC正在日趋完善 的表现，也标志着 企业 和白帽子之间的关系正在进一步走向 “和谐共赢 ”。  互联网行业寒冬，白帽子 挖洞自救 ：以往在白帽人才中不太显著的互联网行业，一跃成 为2022年白帽人才产出的第三大来源，占比约为 16.4%。一向被人们普遍认为是薪资 丰厚的互联网行业工程师，也会出来兼职挖洞挣外快，从侧面反映出互联网行业正在经 历的“艰难时期” 。 摘 要 白帽人才 能力现状  2022年，国内白帽子人均向各大平台提交各类安全漏洞 69个，较2021年人均47个增 长了46.8%，白帽子的漏洞挖掘能力普遍提升。  2022年， 国内白帽子每年人均可通过挖洞或参与演习获取奖金收入约 31573元，较2021 年的57679元下降了约 45.3%。  目前国内 白帽人才群体中， 具有本科 及以上（含 在读）学历的 白帽子约 占白帽人才总数 68.3%，较2021年的66.4%提升了1.9个百分点。其中 ，本科占比 61.5%，研究生及以 上占比6.8%。  约53.4%的白帽人才目前 仍属 “无证人员” ，46.6%为“持证上岗”，持证上岗比例较 2021年的53.6%下降了7.0个百分点 。 而在持证上岗人员中， 持有 NISP证书的人最多， 达白帽人才总数的 19.1%，其次是 CISP证书，达 16.9%。  我国白帽 人才人均每周自学 攻防技术的时间约为 14.3小时，较 2021年的14.8小时减 少了30分钟。其中，自学时间小于 5小时人数约占 21.7%。6.4%的“白帽学神 ”每周 自学攻防技术时间超过 50小时，日均自学时间超过 7个小时。 白帽人才生活画像  2022年，在所有白帽人才中，男性占比 88.2%，女性占比 11.8,%，男女比例约 7.5比 1。女性占比较 2021年的4.6%增长了7.2个百分点。  90后、00后仍然是白帽人才的主力群体，占比分别为 50.3%和43.4%。  2022年国内活跃白帽人才的平均入行年龄约为 21.6岁，较2021年的21.9岁下降了 0.3岁。其中，绝大多数人还是在 18岁~22岁间入行做的白帽子，占比约为 55.9%。  当前国内活跃白帽人才的平均从业时长约为 2.6年，较2021年的2.3年增长0.3年。  有60.5%的白帽子表示最喜欢在业余时间打游戏；运动健身和刷短视频，占比分别为 44.8%和43.7%。 白帽人才职业画像  学生、安全企业、互联网是白帽人才最主要的行业来源。在所有白帽人才中， 37.7%是 学生群体、 26.5%来自安全企业、 16.4%来自互联网行业。  在不考虑学生和职业挖洞人的情况下，渗透测试工程师是产出白帽子最 多的岗位， 占比 约为56.5%；16.5%的白帽子为安全运维工程师，排名第二。  64.9%的白帽子是因为爱好而选择从事白帽工作。此外， “增加个人收入 ”、“安全的 理想”和“本职工作要求 ”等因素，也是影响白帽人才入行的重要驱动力。  国内第三方漏洞响应平台目前仍然是白帽子提交安全漏洞的首选平台，占比达 32.4%。 另有31.5%的白帽子 首选向企业自建 SRC或企业官方渠道提交漏洞，这一比例较 2021 年的17.6%大幅提升了 13.9个百分点， 成为白帽子心中排名第二的漏洞提交首选平台。 白帽人才社会认同  绝大多数白帽人才对自己的白帽子身份和白帽工作非常认同， 近七成的白帽子认为白帽 工作非常酷或有点儿酷。  能够得到家人和亲友普遍支持的白帽人才约占比 51.0%，刚刚超过一半。约有 2.2%的白 帽子，其家人或亲友对其白帽工作持不支持或强烈反对态度。  尽管68.2%的白帽子认为这个职业不会给择偶带来 太大的影响，但也有 15.2%的白帽子 认为，白帽作为一个很酷的职业，非常有助于吸引异性，甚至会得到异性的 “崇拜”。 白帽人才社会交往  我们把一个白帽子所熟识的 其他白帽子好友的人数， 称为白帽子的“社交半径 ”。调研 显示，国内白帽子的社交半径正在逐渐扩大， 2021年为平均 16.0人，而2022年为平 均19.4人。  约有36.3%的白帽子非常愿意 或经常参加白帽聚会 ，约有18.6%的白帽子还会愿意 经常 自己组织白帽聚会 。  约有42.5%的白帽子非常愿意 或经常参加 各类大型 网络安全会议 ，约有29.8%的白帽子 愿意自掏腰包参会，甚至是跨城参会 。而表示 自己从不外出 参会的白帽 子，仅占受访者 的13.8%。 关键词：补天、漏洞、白帽子 、白帽人才 目 录 研究背景 ................................ ................................ ................................ ................................ ......................... 1 第一章 白帽人才能力现状 ................................ ................................ ................................ ....................... 2 一、 挖洞能力 ................................ ................................ ................................ ................................ ....................... 2 二、 收入能力 ................................ ................................ ................................ ................................ .......................