岗位职责
- 检测规则与逻辑设计：设计和维护覆盖终端、身份、网络、云、邮件、SaaS、应用和数据访问场景的检测规则与检测逻辑，将攻击假设转化为可落地的detection package，包括数据源要求、检测逻辑、证据字段、误报边界、处置建议和测试样本；
- 跨域关联与攻击路径检测：基于SIEM、EDR、NTA/NDR、Cloud Security、IAM、WAF、邮件安全等多源数据，建设跨域关联检测和攻击路径检测能力，提升对复杂攻击的发现能力；
- 数据治理与告警运营：参与日志标准化、字段治理、数据质量监控、告警去重、聚合、抑制、富化流程设计，结合CTI、资产、身份、漏洞、业务标签和历史事件上下文，提高告警可解释性和有效案例转化率；
- 检测质量与工程化：建立检测规则的测试、回放、灰度发布、效果评估和回归验证机制，推动Detection-as-Code和CI/CD检测发布流程，跟踪真实攻击、红队演练、事件复盘和误报反馈，持续优化检测覆盖和质量，输出检测工程文档、事件复盘结论、检测覆盖矩阵和运营指标，推动检测能力沉淀为团队资产；
- AI安全检测与运营协作：参与针对AI系统的新型检测场景建设，包括Prompt injection、RAG污染、Agent工具滥用、越权调用和敏感数据外泄等；与AIAgentic、SOC平台协作，设计适合LLM预研判的告警摘要、证据包、提示词、风险评分和人审边界，参与AI预研判效果的持续评估与负面案例分析。
职位要求
- 具备3年以上安全运营、检测工程、威胁狩猎、SIEM内容开发、蓝队或安全数据分析经验；
- 熟悉至少一种主流查询或检测语言，例如KQL、SPL、SQL、Sigma、YARA、EQL、Lucene等，具备基础数据工程意识，理解日志Schema、字段标准化、数据延迟、数据缺失、去重聚合和数据质量对检测效果的影响；
- 理解常见攻击链和ATT&CK技术，包括身份攻击、横向移动、权限提升、命令执行、持久化、数据外传、云控制面滥用等，能够把攻击行为拆解为可观测信号，并判断所需日志、字段、上下文和检测边界；
- 熟悉终端、身份、网络、云、邮件、Web、SaaS等至少两个以上安全数据域；
- 熟悉检测生命周期管理，包括规则评审、版本控制、测试验证、上线发布、效果度量和持续优化，具备较强的误报分析、检测调优、证据链构建和事件研判能力；
- 对AI在安全运营中的应用有理解，能够清楚区分AI预研判、自动化建议和高风险响应动作的人审边界。 加分项
- 有Detection-as-Code、Sigma规则库、SIEM内容工程化或CI/CD检测发布经验；
- 有ClickHouse、Kafka、Elastic、Splunk、Sentinel、Chronicle、Snowflake等安全数据平台经验；
- 有EDR、NDR、云安全平台告警调优或威胁狩猎经验；
- 熟悉OpenCTI、MISP、TheHive、DFIR-IRIS、SOAR或案例management工作流；
- 有LLM、RAG、Agent、MCP、AI应用安全或AI SOC相关实践经验；
- 能用Python或其他脚本语言完成日志分析、检测测试、样本生成和自动化评估。
