第3章 SRE安全工程师核心技能树：网络·系统·应用安全知识体系梳理
SRE安全工程师需要同时掌握网络安全、系统安全、应用安全三大领域，形成纵深防御视野。面试中面试官不会孤立提问，而是考察你能否在三个领域之间建立关联，并用指标、流程、工具证明你的实战能力。本章梳理核心知识体系，并提供3个高频面试问答与1个完整项目案例。
三域知识体系速查表
| 领域 | 核心技能 | 关键工具 / 技术 | 面试高频考点 |
|---|---|---|---|
| 网络安全 | DDoS防护、网络隔离、流量清洗 | Cloudflare、AWS Shield、IPtables、VPC | 攻击流量识别、清洗策略、源站保护 |
| 系统安全 | OS加固、容器安全、身份认证 | SELinux、Falco、Vault、OSquery、CIS Benchmark | 内核漏洞、容器逃逸、权限提升、密钥管理 |
| 应用安全 | OWASP Top10、WAF、API安全 | ModSecurity、Kong、SAST/DAST、Spring Security | SQL注入、XSS、鉴权绕过、API滥用 |
高频面试问答卡片
📌 面试问题：请描述你在SRE工作中如何设计网络安全策略，防止DDoS攻击？
🎯 考察点：DDoS分层防御认知、网络架构设计能力、真实攻防经验与指标意识
📐 回答框架：入口分散 → 中间清洗 → 应用层弹性
💡 示例回答：我在某电商平台采用三层防御：入口使用Anycast分散攻击流量，中间层部署专用清洗中心过滤恶意报文，应用侧配置自动伸缩和限流降级，成功抵御过600Gbps攻击，P99延迟仅上升15ms。
🔍 可能追问：如何区分正常流量和攻击流量？清洗中心的部署模式？源站IP如何隐藏？
⚠️ 避坑提醒：不要只讲理论模型，要结合具体架构、工具名称和实际指标（如带宽、延迟、误杀率）。
📌 面试问题：Linux服务器安全性加固，你会从哪些方面入手？
🎯 考察点：系统安全基线理解、最小权限原则落地、审计与监控能力
📐 回答框架：最小化安装 → 权限控制 → 内核参数 → 审计监控
💡 示例回答：我遵循CIS Benchmark从四方面加固：最小化安装和服务减少攻击面、配置sudo和SELinux实施最小权限、调整内核参数防利用、部署auditd+OSquery实现全量行为审计，漏洞通过率从72%提升至96%。
🔍 可能追问：容器环境下的系统加固与物理机有何不同？如何应对突发内核漏洞（如Dirty Pipe）？
⚠️ 避坑提醒：避免只列工具名称，要说明策略优先级、配置标准和效果度量方式。
📌 面试问题：如何保障Web应用的安全性，防范OWASP Top10风险？
🎯 考察点：应用安全SDLC实践、WAF配置能力、安全左移意识
📐 回答框架：CI/CD扫描 → WAF防护 → 数据层安全 → 持续验证
💡 示例回答：我们在CI/CD中集成SAST和DAST扫描，生产环境前置WAF过滤注入和XSS，数据库层强制参数化查询，并建立安全红蓝周机制。上线后OWASP Top10漏洞率从3.2%降至0.3%，误报率控制在5%以内。
🔍 可能追问：WAF误报如何处理？如何平衡安全策略与用户体验？API鉴权体系如何设计？
⚠️ 避坑提醒：不要仅依赖WAF，强调纵深防御和开发侧安全左移，展示全链路思维。
项目案例：全链路安全纵深防御体系构建
项目名称：电商平台全链路安全纵深防御体系构建
业务背景：某日活1200万电商平台，频繁遭受DDoS攻击、数据爬取和API滥用，需在不影响用户体验的前提下构建端到端安全体系。
规模指标：日活1200万，峰值QPS 25万，API接口600+，容器节点3000+，日均安全告警8万条。
技术栈：Cloudflare + AWS Shield + ALB WAF + Kubernetes + Istio + OPA + Falco + Vault + Prometheus + ELK
核心难点：
- 在P99 < 50ms延迟约束下实现深度安全检测，避免影响交易转化率
- 3000+容器节点的安全策略一致性分发与实时更新
- 日均8万条告警的降噪与自动化处置，降低MTTR
面试高频追问：
- 安全策略如何灰度发布？如何回滚？
- 容器逃逸的早期检测信号有哪些？你如何捕获？
- 密钥轮转如何做到零停机且不泄露？
- 如何量化安全体系的有效性？用了哪些指标？
可迁移回答话术：
“我们的核心思路是『安全左移 + 运行时防护 + 持续度量』三层模型。左移阶段通过SAST/DAST扫描和OPA策略即代码将防线前置；运行时通过Falco（eBPF）+ Istio Sidecar实现无侵入检测与拦截；度量层用MTTR、漏洞修复时长、策略覆盖率三个指标驱动持续改进。这套模型不仅适用于电商，在金融、社交等场景同样可复用。”