這周我有半天在批閱阿里巴巴校招實習生卷子上。在技術(shù)領(lǐng)域里，安全工程師工作與開發(fā)工作有很大的區(qū)別。開發(fā)工作的主要目的是考核數(shù)據(jù)結(jié)構(gòu)和算法相關(guān)，而安全工程師所要考核題目很多在書上并沒有，需要依賴于應試者自己興趣愛好實戰(zhàn)與積極主動的課外學習才能獲取。最終的結(jié)果與我理解的類似，100分的答卷，能拿到60分以上的人非常少。大部分人在20～30分左右，而這還是在開卷考試的情況下。
在閱卷過程中，我也發(fā)現(xiàn)一些特別優(yōu)秀讓人眼前一亮的考生，接下來將會進入面試階段。仔細想來，目前會讓大家眼前一亮的有以下特點：
在Wooyun或漏洞收集平臺提交過安全漏洞。
目前國內(nèi)比較出名且最早進行漏洞披露平臺的就是烏云（wooyun）。后來各大廠商都推出了自己的漏洞收集平臺如ASRC，TSRC。相比而言，烏云的漏洞通過門檻比較高（一般重點關(guān)注大規(guī)模數(shù)據(jù)泄露、入侵等），xss漏洞等的審核也比較慢。而各大公司自己的SRC則是都會收。在漏洞確認之后會給予漏洞發(fā)現(xiàn)者相應的獎勵。
信息安全是一門偏實戰(zhàn)的學科，依靠死記硬背是無法深刻理解安全攻防的。隨便一問就問出來了。
寫過安全掃描器，會一些腳本語言如python、php、ruby；能夠分析java的漏洞。
在列出來的幾項語言中，如果要選擇安全工作最需要掌握的語言，那么就是python。python有很多現(xiàn)成的掃描庫可以幫助進行黑盒掃描驗證與白盒源代碼分析。
在所有漏洞類型中，最容易入門的就是xss漏洞和csrf漏洞。但是隨著黑產(chǎn)攻防的升級，現(xiàn)在對xss的利用是比較少了，相比而言越權(quán)和業(yè)務邏輯漏洞危害比較大。若有發(fā)現(xiàn)過其他有深度的利用和較巧妙的方法，會有大的幫助。
在安全會議或者社團內(nèi)有過演講與分享。
這一項與大多數(shù)文學小說中對黑客形象的塑造不同。文學小說里總讓人覺得黑客角色的工作是神秘且有社交恐懼癥。但是在中國這個社會上不管是攻擊方還是防守方都是需要有一定影響力的，需要能夠與別人交流合作達到目標。
6、有投稿過安全文章。
不管是翻譯的優(yōu)質(zhì)文章還是原創(chuàng)，質(zhì)量高就好。
7、維護自己的安全主題網(wǎng)站。
這一條要求比較高。但是安全工程師還是需要自己有一些編程和建站基礎(chǔ)，這樣知識體系將更全面。
8、做過創(chuàng)新的安全項目。
這一條要求比較高。但是如果是本科生而具備研究生的研究經(jīng)歷和成果，那樣就非常棒。
