安全师招聘

打开招聘网站搜“安全师”，安全跳出来的师招岗位数量比去年少了三成。我翻了翻某头部招聘平台的安全数据，2024年上半年安全服务工程师的师招职位发布量同比下滑了约28%，但投递量涨了40%。安全供需关系变了，师招这事得从头说。安全

谁在招人，师招招什么样的安全人

甲方和乙方招安全师，逻辑完全不同。师招乙方安全公司招人，安全看的师招是你能不能扛项目。某安服公司技术总监跟我聊过，安全他们面一个渗透测试岗，师招先扔一套靶场环境，安全两小时内拿到域控权限的进下一轮。学历？大专也行。但你要是连SQL注入的手工利用都说不清楚，简历再漂亮也白搭。

甲方招安全工程师，重点在“稳”。一家中型银行的招聘要求写得很直白：负责安全设备运维、等保测评对接、内部安全培训。不需要你挖0day，但防火墙策略得配得明白，日志得看得懂，监管检查来了能拿出材料。这类岗位更看重证书——CISP、等保测评师，有这些基本能过简历关。

证书到底值多少钱

CISP的报考门槛不低，得先交培训费，市面上普遍在8000到12000之间，然后考试费另算。拿到证之后，猎头电话确实会多起来。我认识一个哥们，拿了CISP之后从外包运维跳到了甲方安全岗，月薪从9k涨到16k。但另一个案例是，有人考完CISSP投了三个月简历，面试机会寥寥——因为他之前的工作经历全是“看监控、写周报”，没有实际的安全项目经验。

证书是敲门砖，但门后面的东西，面试官问三个问题就能摸清你的底。比如“你处理过最棘手的安全事件是什么”，背题库的人答不上来。

面试里那些容易踩的坑

技术面常见的一个场景：面试官给你一个IP段，让你说说怎么开展信息收集。很多人上来就说“用Nmap扫端口”，然后没了。这基本就挂了。完整的回答应该包括：先做whois和子域名枚举，再判断目标是否在CDN后面，然后才是端口扫描和服务识别，最后根据结果决定下一步方向。细节决定成败，安全这行尤其如此。

还有一个坑是过度包装。有人在简历上写“精通逆向工程”，面试官随手拿一个加壳的样本让他分析，当场露馅。安全行业圈子小，口碑传得快，虚报能力的代价比想象中大。

薪资的真相

安全师的薪资跨度极大。一线城市初级安服岗起薪大概7k到10k，干满两年能到15k左右。渗透测试方向的天花板高一些，资深渗透能拿到30k以上，但前提是你真的有拿得出手的漏洞挖掘成果。甲方安全运维相对平稳，15k到25k是大多数人的归宿。

有个现象挺有意思：同样工作三年，在乙方做过多个项目的安全工程师，跳槽时议价能力明显强于一直在甲方做单一系统运维的人。项目经验的数量和质量，在这个行业里是硬通货。

给想入行的人几句实在话

别指望培训班三个月出来就能拿高薪。安全这门手艺，需要时间泡。自己搭一套靶场环境，从DVWA到Vulnhub，一个个打过去，比看视频教程管用得多。参加CTF比赛，哪怕拿不到名次，解题过程本身就是最好的学习。

另外，别只盯着技术。安全师的工作有大量时间花在写报告、跟业务部门沟通、推动整改上。你技术再强，报告写得逻辑混乱，业务方看不懂也不买账。沟通能力在甲方尤其重要，很多时候你不是在跟黑客斗，是在跟内部流程斗。

行业在挤泡沫，混日子的人会被淘汰，但真正能干活的人，永远有位置。

(责任编辑：时尚)