安全攻防工程师

优缺点分析

角色解读

• 从安全工程师向资深攻防专家发展，深耕渗透测试、漏洞挖掘或应急响应等专业方向
• 可转向安全架构师、安全团队负责人等管理/技术岗位，负责整体安全体系设计
• 在大型互联网平台积累攻防实战经验，向红队、蓝队或安全研究等前沿领域发展
• 负责业务系统上线前的安全测试，包括渗透测试、漏洞扫描和代码审计，提前发现并协助修复安全风险
• 参与公司安全策略的制定与推进，针对业务部门进行安全评估，推动安全基线落地
• 负责MiSRC（安全应急响应中心）的运营，审核漏洞提交并跟进修复，同时参与安全事件的应急响应和攻击排查
• 定期开展安全培训，提升全员安全意识，并参与安全基线建设与维护
• 扎实的网络安全基础，熟悉常见通信协议（TCP/IP、HTTP等）及其安全特性
• 深入理解常见漏洞（SQL注入、XSS、CSRF等）的原理、利用方式和修复方案
• 至少熟练掌握Python、Java、PHP等一种编程语言，具备脚本编写能力
• 熟悉Linux操作系统，掌握渗透测试方法论和常用工具，白盒审计经验是加分项

申请策略

• 了解小米的业务线和安全团队架构，在面试中体现对MiSRC和应急响应流程的认知
• 提前准备1-2个完整的渗透测试案例，详细说明思路和结果，展示实战能力
• 突出渗透测试项目经验，包括漏洞发现、利用、复现及修复方案，最好有实际案例和效果数据
• 如参与过SRC漏洞提交或CTF比赛，务必展示排名或荣誉
• 强调编程能力，尤其是安全工具开发或漏洞POC编写经历
• 有白盒审计经验优先，重点描述在代码审计中发现的高危漏洞
• 系统梳理OWASP Top 10漏洞原理与利用技巧，巩固渗透测试方法论
• 加强Python或Java的代码能力，独立编写安全检测脚本或小工具

面试指南

• 采用STAR法则：情境-任务-行动-结果，结构化展示项目经验
• 漏洞讲解从原理到防御，体现深度思考和知识体系
• 应急响应强调流程化思维：预案、检测、分析、处置、复盘
• 请描述一次完整的渗透测试流程，包括信息收集、漏洞发现、利用和报告
• 举例说明一个你近期研究的漏洞，讲解其原理、利用条件和修复方法
• 如何应对突发的安全事件？请描述应急响应的步骤和思路
• 白盒审计时如何快速定位高危漏洞？谈谈你的代码审计经验
• 如何向非技术人员解释安全风险并推动安全策略落地？