第2章：核心技能栈与自查清单 — 高频问题、回答框架、公司侧重点
DevOps安全工程师需要融合开发、运维与安全三域能力。本章梳理最高频面试问题与标准化回答框架，并附公司侧重点差异表。先对照自查清单定位强弱项，再通过问答卡片掌握“安全+工程”的表达逻辑。
核心技能栈自查清单
| 能力域 | 具体项 | 自查状态 |
|---|---|---|
| CI/CD安全 | Pipeline扫描、制品签名、密钥轮换、不可变构建 | ▢ 熟练 ▢ 了解 ▢ 需补 |
| 容器安全 | 镜像漏洞扫描、运行时监控、Pod安全策略、镜像签名 | ▢ 熟练 ▢ 了解 ▢ 需补 |
| 云安全 | IAM最小权限、安全组、密钥管理(KMS)、云原生防火墙 | ▢ 熟练 ▢ 了解 ▢ 需补 |
| 代码与配置安全 | SAST/DAST、IaC扫描(Terraform)、Secrets检测 | ▢ 熟练 ▢ 了解 ▢ 需补 |
| 监控与响应 | 安全事件告警、审计日志、自动隔离、Chaos Engineering | ▢ 熟练 ▢ 了解 ▢ 需补 |
| 流程与合规 | 安全策略即代码、变更评审、合规自动化(PCI/SOC2) | ▢ 熟练 ▢ 了解 ▢ 需补 |
💡 面试前对照上表，每个“需补”项准备1个学习案例或实战笔记，用于回答“你如何学习新技术”类问题。
面试高频问题回答框架图
⚠️ 注意：回答时要主动从“做了什么”切换到“为什么做”和“如何验证效果”。面试官看重安全工程思维，不只是工具列表。
面试问答卡片
问题1：你如何将安全扫描嵌入到 CI/CD 流水线中？
面试官考察点：
- 是否理解“安全左移”实践
- 对 Pipeline 阶段划分、失败策略的设计
- 对工具选型（SAST vs DAST vs 镜像扫描）的认知
回答框架： 采用 STAR + 安全闭环。先描述流水线阶段（S），再说明安全瓶颈（T），然后给出具体步骤（A）：在代码提交后触发 SAST，制品构建后做镜像漏洞扫描，部署前做 DAST。最后提供量化结果（R）和持续改进（闭环）。
简短示例回答： “在之前项目中有 200+ 微服务，流水线平均运行 15 分钟。我们引入 Semgrep SAST 和 Trivy 镜像扫描，在 merge request 阶段设置 high 以上漏洞阻塞；上线后高危漏洞 100% 在合并前修复，流水线延迟只增加 2 分钟。”
可能追问： “如果开发者抱怨扫描太慢怎么办？”“如何避免误报导致阻塞？”“你们有没有做过增量扫描？”
⚠️ 避坑提醒：不要只说工具名称不说设计逻辑；不要回避误报处理；不要忽略 rollback 机制。
问题2：你在 DevOps 环境中如何处理密钥管理？
面试官考察点：
- 对密钥泄露风险的敏感度
- 是否使用行业标准方案（Vault、云 KMS）
- 是否有 Secrets 扫描和轮换机制
回答框架： 从“避免硬编码”出发，说明在代码提交前（pre-commit hook）、流水线中（git secrets 扫描）、运行时（Secrets 注入）三层防线。
简短示例回答： “我们使用 HashiCorp Vault 动态生成数据库临时凭证，应用通过 Sidecar 拉取。GitHub Actions 中集成 git-secrets，历史提交也用 truffleHog 回溯扫描；发现密钥泄漏自动失效并轮换。”
可能追问： “动态凭证失效后应用如何处理重连？”“如何保证 Vault 自身高可用？”
⚠️ 避坑提醒：不要只说“用 Vault”，要讲如何集成到 CI/CD；不要忽略审计追踪。
问题3：你如何确保基础设施即代码（IaC）的安全性？
面试官考察点：
- 是否了解 Terraform/CloudFormation 安全扫描
- 对合规策略（如禁止开放 0.0.0.0/0）的理解
- 是否实现策略即代码（Policy as Code）
回答框架： 先说明 IaC 仓库作为“安全关卡”，再分三步：IDE 插件预检、PR 自动扫描（tfsec/Checkov）、部署前 OPA 策略校验。最后展示策略覆盖率提升数据。
简短示例回答： “在 Terraform 仓库开启 PR 扫描，规则包括禁止 SSH 开放 0.0.0.0/0、强制启用加密。Checkov 阻断不符合政策的 PR，配合 Conftest 做定制合规。一年内不合规配置从 30% 降至 2%。”
可能追问： “如果策略与业务需求冲突怎么办？”“你们如何管理策略版本？”
⚠️ 避坑提醒：不要只说“用了 Checkov”，要讲政策如何与业务协商；不要忽略变更评审流程。
公司侧重点速查
| 公司类型 | 侧重领域 | 面试高频方向 | 加分技能 |
|---|---|---|---|
| 大型互联网（BAT/TMD） | 容器安全、云原生、合规审计 | K8s 安全、SDN 策略、Secret 管理 | CIS Benchmark、Falco |
| 金融/支付 | PCI-DSS、密钥管理、审计日志 | Vault 高可用、交易流水安全、DRP | SOX 合规、加密算法 |
| 创业/SaaS | 左移扫描、快速迭代安全 | SAST 集成、代码泄露预防 | 开源工具选型、自动修复 |
| 外企/出海 | GDPR、多区域部署、零信任 | IAM 最小权限、网络隔离、数据加密 | Terraform Sentinel、OPA |
💡 根据目标公司调整准备：金融类多准备 Vault + 审计日志，互联网类多准备 K8s 安全案例。