网络安全工程师面试

面试官上来第一句话不是网络“请自我介绍”，而是安全递过来一台笔记本，屏幕上是工程Wireshark抓包界面。“你判断一下，师面试这段流量有没有问题。网络”

这是安全上周我陪朋友去面一家乙方安全公司时遇到的真实场景。他准备了两个星期的工程OWASP Top 10，结果第一轮技术面连简历都没翻开。师面试后来他跟我说，网络那个包其实是安全一个经典的ARP欺骗，但当时他盯着满屏的工程TCP重传看了五分钟，没往二层去想。师面试

网络安全面试有个特点：笔试可以背，网络面试很难装。安全你懂不懂，工程问三个问题就能摸到底。比如面试官会问“SQL注入的防御方式”，你答预编译、白名单、WAF，这是及格线。但他接着问“预编译为什么能防注入”，如果你只说“因为参数不参与SQL拼接”，他可能就换话题了。他真正想听的是数据库驱动层怎么处理占位符、为什么有些框架的预编译在order by场景下失效。

我自己的经验是，安全岗面试分三层。第一层考知识面，第二层考动手痕迹，第三层考判断力。

知识面那关最好过，也最容易露怯。面试官问“XSS和CSRF的区别”，你背完定义，他随口跟一句“那SameSite Cookie对CSRF的防护原理是什么”。这个点很多人没跟过浏览器更新，答不上来。其实不是多难的东西，就是没踩过那个坑。我认识一个做渗透的哥们，他面试别人的时候喜欢问“你最近一次挖到的漏洞是什么，怎么发现的”。这个问题没有标准答案，但能筛掉一大半只会刷靶场的人。

动手痕迹这块，面试官会盯着你简历上的项目问细节。“你说你做过日志分析，用的什么规则引擎？误报率多少？怎么调优的？”如果那个项目你只是挂了个名，三个追问就撑不住了。有个面试官跟我说过，他不怕候选人技术栈窄，就怕简历上写的东西一问三不知。窄可以学，虚没法补。

判断力是最难的一层，也是高级岗和初级岗的分水岭。面试官会扔一个模糊场景过来：“业务部门说新上的API要紧急上线，安全评估来不及做，你怎么办？”这种问题没有标准答案。有人答“坚持流程拒绝上线”，有人答“先上线后补评估”，面试官想听的是你怎么权衡风险、怎么跟业务方沟通、有没有替代方案。安全不是说不，是告诉别人风险在哪、代价多大、有没有折中路径。

还有个细节：很多候选人栽在“你还有什么想问我的”这个环节。问加班吗、问薪资结构，没问题，但如果你问“你们的安全团队现在最头疼的问题是什么”，面试官眼睛会亮一下。这个问题说明你在思考入职之后的事，而不是只想着怎么通过面试。

我朋友那次面试最后过了。面试官后来告诉他，抓包那道题他答得一般，但后面聊到应急响应时，他讲了自己处理过的一次挖矿事件——怎么从CPU告警追到计划任务，怎么定位入口是Redis未授权，怎么在业务不中断的情况下清掉持久化后门。讲得很细，连当时用哪条命令查的crontab都记得。面试官说，这种细节装不出来。

安全这行，面试官比你更清楚，真正干活的人是什么样。他们不指望你什么都会，但你能把做过的事讲清楚，把没做过的事说“我不会，但我大概知道往哪个方向查”，这比硬答要加分。技术面试不是考试，是同行在判断你能不能一起干活。

很赞哦!（3）