安全工程师简历

凌晨两点，安全监控大屏上一条告警弹出。工程我揉了揉眼睛，师简看清是安全某台服务器CPU飙到99%。这不是工程攻击，更像是师简某个同事跑了个野脚本。我登录上去，安全ps查了下进程，工程果然——一个名字叫“test_final_v2”的师简Python程序正疯狂循环。我kill掉它，安全顺手在群里@了那位同事。工程他回了个“不好意思”。师简这大概就是安全安全工程师的日常：90%的时间在干运维的活，处理这种不算漏洞的工程漏洞。

简历上写“负责公司安全体系建设”，师简听起来很唬人。实际上呢？我入职第一天，领导丢给我一份等保测评报告，说“你看看哪里不合规，改改”。那玩意儿一百多页，全是“未启用密码复杂度策略”“未部署日志审计系统”之类的条目。我花了两周，把服务器翻了个底朝天，补了十几个配置项，总算让报告上“高风险”变成了“中风险”。但你知道真正的风险在哪儿吗？在人的脑子里。有个老员工把数据库密码贴在显示器边上，我提醒他，他说“没事，内网怕啥”。后来我偷偷给他装了条屏幕保护，锁屏密码强制一周一换，他骂了我三天。

说回技能。简历上列“熟悉OWASP Top 10”，这谁不会写？但真让你解释一下“SSRF”和“CSRF”的区别，很多人就卡壳了。我面试过一个小伙子，简历写得天花乱坠，什么“精通渗透测试”“独立挖掘多个高危漏洞”。我问他一台Linux服务器被入侵了，第一步该做什么。他愣了半天，说“先断网”。我说断网之后呢？他说“重装系统”。我差点笑出声——大哥，你这是处理失恋呢，分手就拉黑？正确的思路是保留现场，先看日志，查进程，找后门，分析入侵路径，然后才是清理和加固。他连“取证”这个概念都没有，就敢说精通。

安全这行，经验比证书值钱。我考过CISP，考完就忘了一半。但有一次，一个客户被勒索病毒加密了数据库，对方要价五个比特币。我们过去一看，发现病毒是通过一个未打补丁的WebLogic漏洞进来的。客户说“我们装了防火墙啊”。我指了指他们机房里那台老掉牙的Windows Server 2003，说“这台机器连防火墙都没开”。后来我们花了三天，从备份里恢复了数据，没交赎金。客户问我要不要报警，我说报吧，但大概率追不回来。那天下班，我在地铁上刷手机，看到某个安全大V发文章说“勒索病毒防御的五个最佳实践”，我笑了笑，关掉。

写简历的时候，我把自己做过的项目列了一遍，发现最拿得出手的，不是那些“发现XSS漏洞多少个”的数据，而是一次应急响应。那是个周五晚上，电商平台搞促销，流量暴增，然后有人利用一个逻辑漏洞，无限叠加优惠券，几分钟内薅走了几十万。业务方急得跳脚，开发说“这不是bug，这是业务规则漏洞”。我坐在那儿，听着他们扯皮，最后说了一句：“先把这个接口的限流加上，再查订单记录，把异常账号封了。”没人反驳。那天晚上我抽了半包烟，看着订单列表里那些“0.01元买iPhone”的记录，心想，这活儿真不是人干的。

所以你要问我安全工程师的核心能力是什么，我的答案是：能在混乱中保持冷静，能在技术细节里找到关键点，还能在别人推卸责任的时候说一句“我来处理”。至于那些证书和工具，都是敲门砖。真正的功夫，在于你面对一台被攻破的服务器时，敢不敢深呼吸，然后坐下来，一行一行看日志。