我记得以前看过一篇文章，说2000或者2001年，美国的一些国家机构一共需要70几个网络安全的博士，但是最后只招到了个位数的人。尽管国家机构一般只雇佣美国公民，但是连10个美国公民PhD也找不到，这可以说明当时network security PhD是多么稀少了。
计算机安全并不是新问题，它是一个被长期忽略的问题。在70年代的时候，就有人开始做安全方向的研究了，不过当时是针对很原始的计算机程序，而不是复杂的分布式系统或者网络。比如说Intrusion Detection Systems (IDS，入侵检测系统) 在2000年左右被研究的如火如荼，但是最早的IDS的论文是1980由James Anderson提出的。这个很amazing吧。80年，我刚被上帝从天堂踢到了人间，当时计算机是什么样子?网络是什么样子?他老人家在那种情况下居然给IDS分好类，定义好特征。后面的接近20年里，IDS很少被人提起，直到随着互联网和破烂百出的windows的普及，安全成灾了，IDS才被很多人重新pick up and study，然后很多老师挥舞着IDS的大旗拿到了无数的fund。再比如说，TCP/IP是什么时候设计的?他们对安全的考虑有多少?现在还不是照样被广泛的使用着，大家的灌水帖子还不是被他们任劳任怨的传送着?
网络安全下面的方向很多，因为计算机和网络迅速发展过程中对这个领域长期忽视，随便挑点东西都有问题。网络协议设计考虑到安全性了吗?你怎么知道你的协议像你想像的那么安全?你的数据加密算法容易被破解吗?Wireless Sensor Network怎么对付jamming?连攻击有哪些高深的手段都不完全清楚，又怎么检测攻击发现病毒?就算你开发了IDS或者firewall，你怎么知道他们真的有用?
正是因为有这么多问题，又有大量的实际需求，所以network security方向的funding很多，具体到中国学生来说，就是offer也很多。在过去的数年里，美国的计算机和电子工程两个专业联手，迅速产生了很多网络安全PhD。绝大多数学校的计算机系和电子工程系也设置了职位，招聘network security方向的博士做老师。网络安全的博士，也因此有很多人进入了学校做tenure-track professor。直到现在，做这个方向的博士们，找faculty工作还是很容易的。
因为这个方向比较新，年轻老师非常多，所以大家往往要跟很多Assistant Professor(AP)打交道。中国博士们在这个领域非但不落后，还非常领先，有很多人做了AP，拿着funding从中国大陆招学生。尤其是wireless sensor network security方向的老师，那是一堆又一堆，而且这个领域不但中国老师多，韩国AP也不少。
总体来说，这个领域的研究现在还停留在早期。相比之下，数据库领域，尽管要处理无数各种各样的海量数据，早就走过了ER，走过了Relational Table，走过OO，走过XML，走过了blablabla，连Stream都研究了至少七八年了，无数的algebraic framework被提出验证过了，商业化的软件都很成熟了。但是时至今日，网络安全仍然在对黑客攻击认知很有限的情况下热火朝天的忙着建立worms，DDOS攻击的早期模型呢。这个领域的研究，因为有着强烈的应用价值和自身的不成熟，热度还会持续一段时间。举个例子，我用电脑这么多年，尽管一直都装着各种firewall，但是实在想不起什么时候这些东西在我的电脑趴了以前检查出过病毒来。
不可否认，外国人在美国研究网络安全会受一些限制，比如有的科研基金或者工作只能给美国公民，但是这个不是大问题，不受限制的基金和工作还是很多的。而且网络安全方向的博士办绿卡也相对容易。绿卡中有一类叫做国家利益豁免，简单点说，是给具有美国国家利益急需技能的人的绿卡。网络安全是容易往这类绿卡上靠的。
网络安全，跟软件工程类似，有两类学位。一类是设立在CS/ECE底下的CS/ECE PhD学位，申请程序跟其他CS方向没有任何区别;再一类是专门的Information Assurance/Security的硕士，这个跟专门的软件工程硕士类似，都属于职业培训的性质了，没有奖学金。
很多网络安全的老师，喜欢数学和统计背景强的学生，因为如果要提出严谨的模型或者方法，最后肯定需要借助数学手段。网络和分布式系统方面的知识对这个领域也很有帮助。申请的时候，记得突出这些方面的背景。
现在美国很多学校都有做network security research的老师了，但我个人还是很推崇下面的四个学校，因为他们很早就开始做Security的科研，势力雄厚或者是科研做的非常好。
1) UC Davis。 这个学校CS排名不是很高，但是计算机安全实力绝对是美国顶尖的，难能可贵的是，UC Davis很早就开始有老师做计算机安全的科研了，大家可以翻翻Matt Biship的论文，这位先驱早在80年代就研究计算机安全，他的secure programming的东西也是这个方向的基础知识了。BTW，大家别看了我的文章去骚扰他老人家了，他的主页上已经要求大家让他清静一下了，每天发email骚扰他的人里面，估计中国人比例很高。
2) Purdue。 他们有个CERIAS，头叫Eugene Spafford，也是头牛，早在89年就做了worm的研究了，他2000年的一片牛文里讲解了如何用分布式的autonomous agents检测入侵，属于经典文章，不过这篇文章尽管idea很brilliant，但是也有大的缺陷。
3) CMU。 CMU什么不牛啊。到CERT的主页上数计算机安全方面的老师去吧。
4) Columbia。 这个属于我个人的喜好了，Salvatore J. Stolfo是用data mining做intrusion detection方向的泰斗，不过他在这方面的成果，主要来自于Wenke Lee(中山大学计算机系毕业的，现在在Gatech做老师)。
安全涉及的方向很多，牛人也很多，肯定不只这几个，我也不可能一个个列举。我说的这四个地方，老师们起步早，成绩卓越，指导学生也很优秀，桃李甲天下。我说的这些人，可能有些人更愿意把他们归纳为System Security领域而不是network security，但是计算机安全早期研究的时候，网络也不像现在这么普及，比如那些wireless sensor network安全的科研，很多都是近几年的事情。历史悠久才显的可贵可敬。大连实德怎么说山东鲁能是暴发户来着?三代才出一个贵族，贵族的培养需要时间，对吧。所以我就捡几个老一点的老师在这里做例子了。
