第1章 岗位能力画像与简历优化模板
一、岗位能力画像全景
| 能力维度 | 核心要求 | 简历关键词参考 |
|---|---|---|
| 安全基础 | 密码学原理、认证体系、安全模型 | RSA/AES、OAuth2.0、零信任 |
| 网络协议 | TCP/IP栈、HTTP/S、DNS安全 | 抓包分析、中间人攻击、协议漏洞 |
| 攻防实战 | OWASP Top 10、渗透测试流程 | SQL注入、XSS、CSRF、Burp Suite |
| 代码审计 | Python/Java/Go安全编码 | 静态分析、代码注入、后门检测 |
| 沟通协作 | 安全文档、应急响应、跨团队推动 | 安全报告、事件复盘、SDL流程 |
二、简历结构模板（一目了然）
- 个人信息：姓名 + 院校 + 学历 + 联系方式 + GitHub/博客（可选）
- 教育背景：专业、GPA/排名、核心课程（安全方向）
- 技术栈：分类罗列（如：安全工具、编程语言、操作系统）
- 项目经历：每个项目按 STAR 呈现（2～3个）
- 荣誉奖项：CTF 名次、SRC 漏洞提交、奖学金
- 自我评价：2～3 句，突出岗位匹配度
三、成果量化句式模板
| 场景 | 普通写法 | 量化改写 |
|---|---|---|
| 漏洞发现 | 发现了一些 SQL 漏洞 | 挖掘 SQL 注入漏洞 12 个，修复后系统通过等保三级测评 |
| 渗透测试 | 参与某公司渗透测试 | 独立完成 3 套 Web 系统渗透测试，输出 30 页报告，高危漏洞复现率 100% |
| 安全开发 | 写了一个扫描工具 | 开发自动化 XSS 扫描器，扫描效率提升 60%，误报率＜5% |
| 应急响应 | 处理过安全事件 | 主导 2 次应急响应，从入侵溯源到漏洞修补平均耗时 4 小时 |
四、面试问答卡片（简历优化专场）
面试问题：请介绍一下你的简历里最有代表性的一个安全项目。
面试官考察点：考察项目真实性、你解决难题的能力、是否被动参与或主动思考。
回答框架：STAR 法则（Situation 背景 → Task 任务 → Action 行动 → Result 结果）。
简短示例回答：在 xx 公司实习期间，Web 系统频繁被扫描攻击（S）。我负责搭建 WAF 规则+代码审计（T）。手动分析了 2000+ 条日志，提取攻击特征后编写了 5 条自定义规则（A）。上线后 SQL 注入攻击拦截率从 40% 升至 98%（R）。
可能追问：你用了哪些工具分析日志？自定义规则误报怎么处理的？
⚠️ 避坑：不要只讲“做了什么”，必须带出“带来什么效果”。数字要经得起追问。
面试问题：你的简历上写“熟悉 TCP/IP 协议”，具体说说你如何理解的？
面试官考察点：是否真懂底层协议而非只有概念；能否与安全结合。
回答框架：分层概述 + 安全关联点 + 实际应用案例。
简短示例回答：熟悉五层模型，重点掌握 HTTP 请求走私、DNS 劫持原理。在 CTF 中利用 TCP 序列号预测完成一次中间人攻击，理解了 SYN Flood 防御机制。平时用 Wireshark 分析恶意流量。
可能追问：什么是 TCP 粘包？如何防御 SYN Flood？
⚠️ 避坑：避免只背 OSI 七层，要主动引向网络安全实战场景。
面试问题：你的项目经历里提到了“漏洞发现 12 个”，验证过程是怎样的？
面试官考察点：考察漏洞验证的严谨性、工具链使用、报告能力。
回答框架：发现途径 → 验证步骤 → 影响评估 → 修复建议。
简短示例回答：使用 Burp Suite + 手工探测，发现一处 order by 盲注（发现）。通过时间延时确认存在，读取数据库版本与用户表（验证），评估可脱库 10 万+ 条用户信息（影响）。建议使用参数化查询+输入过滤（建议）。
可能追问：如何区分延时是网络延迟还是盲注延时？有没有写 POC 脚本？
⚠️ 避坑：不要只说数量，要展示你的漏洞分析逻辑和风险判断能力。