深信服
安全攻防工程师(文件分析)
安全攻防工程师(文件分析)
发布于 3 天前普通员工/个人贡献者
深圳市
中级经验
全职员工
仅现场办公
学历未注明
系统与安全工程
Ghidra
Go
Ida Pro
Sigma
X64Dbg
Yara
威胁情报
逆向分析
Mitre Att&Ck
AI 估算 · 20k–40k
安全攻防工程师技能要求高，深圳地区薪资水平较高，结合公司上市背景和职位难度，月薪在20K-40K之间合理。
职位详情
关于这个职位
该职位专注于恶意软件分析与安全攻防，负责对Windows、Linux及移动端的恶意样本进行逆向分析，提取威胁指标，并编写检测规则
同时需要开发自动化分析引擎，将专家能力转化为规模化分析能力，适合对恶意代码分析、威胁追踪有浓厚兴趣的安全工程师
最低要求
熟练使用 IDA Pro、Ghidra、OllyDbg 或 x64dbg 等反汇编/调试工具
熟悉 Windows 或 Linux 操作系统原理，了解 PE/ELF 文件格式、内存管理及底层 API 调用
至少熟练使用一门脚本语言（如 Python）进行自动化分析，最好能具备 Go/C++ 语言工程化能力
熟悉常见网络协议（TCP/IP, HTTP, DNS, TLS），能够分析恶意软件的通信协议并进行解密
熟悉 MITRE ATT&CK 框架及威胁情报生命周期
工作职责
对 Windows、Linux 或移动端恶意软件进行静态和动态分析，逆向分析复杂样本（如 Rootkit、后门、勒索软件）
从恶意代码中提取 IOC（C2、MD5、内存特征、特殊字符串），并总结攻击者的技术手段、战术和过程（TTPs）
利用内部数据和外部情报源，对恶意软件家族进行聚类分析，识别攻击者身份或追踪特定的 APT 组织
编写并维护 YARA、Snort 或 Sigma 规则，提升情报生产能力和猎捕效率
撰写高质量的攻击事件、攻击者分析报告，包括技术细节、攻击者画像、威胁趋势总结等
开发和维护自动化分析引擎或沙箱插件，将专家分析能力转化为大规模样本自动化分析能力
优先资格
有红蓝对抗 或 CTF 比赛 或 攻击组织跟踪经验，或在主流漏洞平台提交过高质量分析报告者优先
精通特定领域（如：勒索病毒分析、移动端恶意代码、或是对抗沙箱/反调试技术）
在 GitHub 上有开源的安全工具，或在安全会议发表过演讲
AI 洞察
优缺点分析
优点
- 处于网络安全核心领域，技能积累价值高，行业需求旺盛
- 接触前沿恶意软件和APT攻击手法，技术成长迅速
- 有机会参与开源项目或安全会议演讲，提升个人影响力
- 恶意软件分析工作强度较大，需持续跟踪最新攻击技术
- 适合对二进制逆向和恶意代码分析有浓厚兴趣、具备较强耐心和逻辑思维的安全爱好者，尤其是享受破解复杂样本成就感的技术型人才
缺点 / 挑战
- 对逆向分析能力要求极高，入门门槛较高，需要长期积累经验
- 工作内容涉及大量重复性分析与报告撰写，可能较为枯燥
角色解读
- 深耕恶意代码分析领域，成为资深逆向工程师或威胁情报专家
- 向安全研发方向转型，主导沙箱、分析引擎等底层安全产品开发
- 向红蓝对抗或安全架构方向发展，负责企业整体安全防御体系
- 对恶意软件样本进行逆向分析，提取攻击指标（IOC）并还原攻击手法
- 编写YARA、Snort等检测规则，用于威胁检测和猎捕
- 分析恶意软件家族和APT组织，撰写高质量威胁情报报告
- 开发自动化分析工具和沙箱插件，提升分析效率
- 精通IDA Pro、Ghidra等逆向工具，具备扎实的汇编和操作系统底层知识
- 熟练使用Python进行自动化脚本编写，了解Go/C++更佳
- 熟悉网络协议栈，能分析恶意软件的通信行为并解密
- 掌握MITRE ATT&CK框架，具备威胁情报分析能力
申请策略
- 在简历中附上个人博客或分享过的技术文章，展示分析思路
- 关注行业威胁情报报告（如360、奇安信年报），面试中可展现对APT攻击的见解
- 重点突出逆向分析项目经验，如分析过的恶意软件样本类型、提取的IOC和发现的TTPs
- 展示你编写的YARA规则或开源安全工具，可附GitHub链接
- 强调在CTF、红蓝对抗或漏洞平台的分析报告经历
- 列出掌握的技术栈：IDA Pro、Python、操作系统原理等
- 若对PE/ELF格式不熟悉，可系统学习《加密与解密》《恶意代码分析实战》
- 补充网络协议分析能力，练习使用Wireshark分析恶意流量
面试指南
- 分析类问题：先概述样本背景，再分步描述静态分析、动态分析、提取IOC、总结TTPs的过程，突出关键发现和工具使用
- 规则编写问题：先说明规则目标，举例规则语法，强调特征选取精准性和性能优化
- 反调试问题：列举常见反调试技术（如IsDebuggerPresent、时间检测等），并阐述对应绕过方法（如patch、修改PEB等）
- 请描述一次你分析复杂恶意软件的过程，使用了哪些工具和步骤？
- 如何从恶意代码中提取IOC？请举例说明C2、MD5等指标的意义
- 请解释YARA规则的编写逻辑，如何避免误报？
- 谈谈你对MITRE ATT&CK框架的理解，它在威胁狩猎中如何应用？
- 如果遇到一个反调试的样本，你会如何绕过反调试机制？
职位点评
71
综合评分
技术前沿、成长空间大的安全攻防岗，但工作强度较大且灵活性较低。
更适合这类人
最适合以技术成长和职业发展为核心动机的安全工程师，愿意在技术深度上投入大量精力。
表现最好
成长发展
相对薄弱
工作生活
薪资福利75
成长发展90
工作生活50
使命价值70
薪资福利
75中等
深信服作为上市安全厂商，薪资福利在市场上有竞争力，但未在JD中明确列出具体薪资和福利，故得分中等偏上。
薪资信号未披露（AI估算：20K-40K/月）
成长发展
90较高
该职位涉及前沿恶意软件分析和威胁追踪，技术栈现代且方向前沿，能够极大提升个人在安全领域的专业技能，成长路径清晰。
技术前沿前沿/新兴技术
技术栈IDA Pro、Ghidra、Python、Go、C++、YARA、Snort、Sigma、MITRE ATT&CK
业务类型ambiguous
工作生活
50较低
JD未提及远程办公或弹性工作制，且安全攻防岗位通常需要现场办公，工作强度可能较大。
工作模式仅现场办公
办公地点市区核心地段
加班情况未提及（无法判断）
使命价值
70中等
网络安全行业属于高速增长赛道，职位直接对抗网络攻击，具有较高的社会价值，但JD未明确提及使命或社会影响力。
行业发展高速增长赛道
社会影响正向社会影响力较高
创新程度积极采用新技术
Watch Jobs