2. 安全基础高频题
在SOC分析师面试中，安全基础概念几乎不会以“请背诵定义”的形式出现。面试官更常见的问法是：“你如何判断一个告警的优先级？”、“如果一台服务器被入侵，你先看什么？”、“漏洞和威胁有什么区别？”。这些问题表面在问概念，实际在考察你能否用一套稳定的框架把零散信息组织成判断。本章围绕CIA三元组、资产、威胁、漏洞、风险和控制措施，给出面试中的典型问法与可直接使用的答题框架。
一、CIA三元组：不是定义题，而是取舍题
CIA三元组指机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。面试中真正拉开差距的，是能否说明三者之间存在取舍关系。例如某电商网站在大促期间遭遇DDoS，安全团队临时启用流量清洗并限制部分地区的访问。这一动作保护了可用性，却可能牺牲部分正常用户的可用性，同时对机密性影响不大。面试官想听到的是：没有绝对安全，只有针对业务目标的优先级排序。
答题时可以这样组织：先指出该事件主要影响CIA中的哪一项，再说明业务方最不能接受哪一项被破坏，最后给出控制措施。例如：“这次事件主要冲击可用性，业务方最不能接受订单服务中断，因此我优先保障可用性，临时限流并启用备用节点；机密性方面，我会确认限流策略没有暴露用户数据。”这种答法比背诵“CIA是机密性、完整性、可用性”更有说服力。
二、资产、威胁、漏洞、风险：一条链上的四个概念
很多候选人会把威胁和漏洞混为一谈。面试中可以用一句话区分：资产是“要保护的东西”，威胁是“可能造成伤害的来源”，漏洞是“资产上可被利用的弱点”，风险是“威胁利用漏洞对资产造成损失的可能性与影响”。
举个具体例子。一台对外提供API的服务器是资产；攻击者扫描并尝试利用该服务器上的Log4j漏洞是威胁；服务器运行了存在漏洞的Log4j版本是漏洞；如果该服务器可被公网访问、且未部署WAF，那么“攻击者利用Log4j漏洞获取服务器权限”就是一个高风险项。风险的高低取决于可能性和影响两个维度，而不是漏洞本身的CVSS分数。CVSS 9.8的漏洞如果只存在于内网隔离且无敏感数据的测试机，实际风险可能低于CVSS 6.5但暴露在公网、连接核心数据库的漏洞。
面试中常被追问：“你如何给一个漏洞定级？”可以回答：“我先看资产重要性、暴露面、漏洞可利用性和现有控制措施，再结合CVSS基础分做修正。例如一个CVSS 7.5的远程代码执行漏洞，如果资产是公网Web服务器且无WAF，我会定为高危；如果资产是内网离线备份机，我会降为中危。”这里的关键是展示资产上下文意识，而不是只报分数。
三、控制措施：按功能与实现方式分类
控制措施是面试中容易被忽略但实际工作天天用到的概念。按功能可分为：预防性控制（如防火墙、WAF、最小权限）、检测性控制（如IDS、EDR、日志审计）、纠正性控制（如备份恢复、补丁管理、隔离清除）。按实现方式可分为技术控制、管理控制和物理控制。
面试中常见问法是：“发现一台主机失陷，你采取哪些控制措施？”可以按时间线回答：先做检测性控制确认范围（查EDR告警、进程树、网络连接），再做预防性控制防止扩散（隔离主机、封禁IP、禁用账号），最后做纠正性控制恢复业务（清除恶意文件、打补丁、从备份恢复）。这样答既体现概念，又体现操作顺序。
四、面试答题框架：从概念到判断
面对“CIA、风险、威胁、漏洞、资产、控制措施”这类基础题，建议使用一个稳定的四步框架：
- 定位资产：先问“受影响的是什么？它的业务价值是什么？”
- 识别威胁与漏洞：说明谁可能利用什么弱点，利用路径是什么。
- 评估风险：给出可能性和影响，说明优先级判断依据。
- 选择控制措施：按预防、检测、纠正三类给出具体动作。
例如面试官问：“你收到一条告警，某员工电脑正在向外网IP传输大量数据，你怎么处理？”可以这样答：“首先定位资产，这是一台员工终端，可能存有客户资料，属于中高价值资产。威胁是数据外泄，漏洞可能是终端未安装DLP或员工账号被盗。风险判断上，如果传输目标是未知境外IP且数据量异常，可能性高、影响大，我会定为高危。控制措施上，先做检测性控制，查进程、网络连接和最近登录记录；再做预防性控制，隔离终端、禁用账号、封禁目标IP；最后做纠正性控制，排查数据是否已泄露，必要时通知合规团队并重置凭据。”
五、可直接使用的面试速查表
下面这张表可以作为面试前的快速复习工具，也可以在实际告警研判时作为判断清单。表中“示例判断”均为教学假设，用于说明逻辑，不代表真实环境实测结果。
| 概念 | 面试常见问法 | 答题要点 | 示例判断 |
|---|---|---|---|
| CIA三元组 | “你如何平衡安全与业务？” | 指出受影响项，说明业务优先级，给出取舍理由 | DDoS事件优先保可用性，临时限流 |
| 资产 | “你先保护什么？” | 按业务价值、数据敏感度、暴露面排序 | 公网API服务器优先于内网测试机 |
| 威胁 | “威胁和漏洞有什么区别？” | 威胁是来源，漏洞是弱点，二者结合才产生风险 | 攻击者扫描是威胁，未打补丁是漏洞 |
| 漏洞 | “CVSS 9.8一定要立刻修吗？” | 结合资产上下文修正，不唯分数论 | 内网隔离测试机可降级处理 |
| 风险 | “你如何给告警定优先级？” | 可能性×影响，结合现有控制措施 | 公网RCE且无WAF定为高危 |
| 控制措施 | “失陷主机你怎么处置？” | 按检测、预防、纠正三类给出动作 | 先查EDR，再隔离，最后恢复 |
最后提醒一点：面试官问基础概念，往往不是要你背定义，而是看你能否在压力下保持结构化思考。把CIA、资产、威胁、漏洞、风险、控制措施串成一条判断链，比单独解释每个词更有价值。练习时可以用真实告警做口述推演：资产是什么、威胁是什么、漏洞在哪里、风险多高、先做哪类控制。练熟之后，面试中的基础题就会变成展示你分析能力的入口。