先建立基线
一次异常登录只有相对于正常用户、设备、地点和日程才有意义。先了解环境,再把每一个异常都当作入侵来处理。
安全工作是一种证据工作。一名有价值的分析师不仅要注意到告警,还要确定发生了什么、没有发生什么、每个结论有哪些数据支撑,以及下一步采取什么行动才安全。这种严谨性很重要,因为攻击者和防御工具都会产生误导性的信号。
技术栈变化很快,但可迁移的核心技艺是稳定的:理解正常行为,减少权限,保存证据,并在不制造恐慌或虚假安慰的前提下沟通不确定性。
工作要求什么
威胁分析88
系统与网络知识84
事件响应82
安全工程76
沟通能力80
持续学习86
威胁分析
结合日志、上下文和已知攻击手法,分辨出可信的攻击者行为与普通噪音。
系统与网络知识
充分理解终端、身份认证、协议和云服务,从而看清控制措施可能在哪里失效。
事件响应
在时间压力下遏制损害、保存证据并协调各项决策。
安全工程
设计出开发者和用户真正能够操作的控制措施。
沟通能力
向工程师、高管、法务团队和受影响的人员解释风险与证据。
持续学习
关注新的漏洞、攻击手法和平台变化,而不盲目追逐每一条头条新闻。
一天的样子
- 7–9
分类与交接
查看夜间告警、威胁情报以及前一班次留下的记录。
- 9–12
调查
查询日志,验证检测结果,界定可疑活动的范围并记录证据。
- 12–13
休息与阅读
暂时离开告警处理工作,通常会顺便简要浏览相关的安全公告。
- 13–16
工程与会议
调优控制措施,评审设计方案,与IT或开发人员协作,并讨论风险责任人。
- 16–19
报告与改进
结束调查,记录发现,测试一项检测规则或准备补救方案。
- 19–7
下班或待命
多数团队会进行交接;事件响应人员在重大事件期间可能会被呼叫。
门道
从业者真正口耳相传的技艺——不是鸡汤。
确定范围之后再宣告胜利
遏制住一个恶意进程并不能证明攻击者已经离开。在结束一次事件之前,要搜寻相关的账户、主机、持久化机制和外发流量。
保留原始证据
在可能的情况下,先记录时间戳、哈希值和取证步骤,之后再改动受感染的系统;补救措施可能会破坏理解入侵途径和影响所需的证据。
降低权限,而不只是清除恶意软件
事件之后长久有效的修复,往往是移除常驻访问权限、加强身份认证控制或对某项服务进行隔离,而不是再添加一条检测规则。
把用户当作伙伴
一个简便且不追责的钓鱼邮件举报机制,能比技术控制措施更早发现一场攻击活动。当培训能给人一个安全的行动选项时,效果会更好。
演练决策本身,而不只是演练工具
桌面演练能在真实事件迫使人做出决定之前,暴露出谁有权授权停机、通知客户和联系法律顾问。
行当的工具
SIEM与日志平台
微软Sentinel、Splunk或Elastic等系统收集并查询安全相关事件。
EDR平台
终端检测与响应工具检查计算机上的活动,并帮助遏制受影响的设备。
漏洞扫描器
经授权的扫描器能识别缺失的补丁和暴露的服务,但需要人工来排定优先级。
数据包与协议分析
Wireshark等相关工具帮助调查人员在细致层面理解网络行为。
案件管理与自动化工具
工单系统、应急手册和编排平台能保存证据并使响应流程可重复执行。
人如何在此失败
告警疲劳
把庞大的待处理队列当作常态,会导致团队错过那一个真正重要的高影响信号;要调优检测规则,并衡量分析师实际能够调查的工作量。
工具先行的安全观
在没有明确责任人、干净数据或响应流程的情况下购买一个平台,只会创造出仪表盘,而不是真正的防护。
责怪用户
因为有人报告了一个失误而惩罚他们,会把事件驱赶到地下,并忽视了身份认证和工作流程中的设计缺陷。
相近职业
不限同一领域，六项评分最接近的职业。
🧫
临床数据科学家
使用临床、试验和卫生系统数据生成可靠的证据，以实现更安全的护理、研究和运营决策。
抗AI 68 📦机器学习运维工程师
构建用于训练、部署、监控和治理生产环境中机器学习模型的系统。
抗AI 54 🦾Robotics Engineer
Designs the machines that sense, decide and act in the physical world, where the hard problem was never intelligence but the world itself.
抗AI 65 🌿可持续发展经理
领导战略、衡量和报告，帮助组织减少环境和社会危害，同时履行业务义务。
抗AI 66 🌬️可再生能源工程师
设计、建造和改进风能、太阳能、存储和电网系统，将可再生资源转化为可靠的电力。
抗AI 72 🔌Semiconductor Engineer
Designs and fabricates the transistors inside every computer, phone and weapon, using machines precise enough that only a few factories on Earth can run them.
抗AI 60继续探索
继续探索
工程·技术领域的其他职业
💻
软件工程师
编写、测试并维护支撑现代生活的代码——也是最早目睹人工智能接管自身日常工作的职业之一。
抗AI 35 🤖AI 연구원
기계 지능을 뒷받침하는 알고리즘을 설계하고 검증하는 직업으로, 이제는 자기 자신의 연구 과정 상당 부분을 자동화하려는 경쟁이 벌어지는 분야이기도 하다.
抗AI 50 🛰️航空航天工程师
设计、分析并认证离地而行的飞机、火箭与航天器，在不容猜测的安全裕度下工作。
抗AI 74 🌉土木工程师
把河流、岩石与重力变成桥梁、道路与清洁饮水的职业——自伊姆霍特普起，文明安静的承重行当。
抗AI 72 🔌Semiconductor Engineer
Designs and fabricates the transistors inside every computer, phone and weapon, using machines precise enough that only a few factories on Earth can run them.
抗AI 60 🦾Robotics Engineer
Designs the machines that sense, decide and act in the physical world, where the hard problem was never intelligence but the world itself.
抗AI 65 📦机器学习运维工程师
构建用于训练、部署、监控和治理生产环境中机器学习模型的系统。
抗AI 54 🌬️可再生能源工程师
设计、建造和改进风能、太阳能、存储和电网系统，将可再生资源转化为可靠的电力。
抗AI 72