1. 工控安全面试全景与岗位画像
工控安全工程师这个岗位，近几年从“冷门交叉岗”迅速变成招聘市场的刚需。但很多候选人第一次面试时会发现：面试官问的不是“你用过哪些安全设备”，而是“这条产线的PLC固件升级窗口只有15分钟，你怎么安排漏洞修复”。这说明工控安全面试考察的核心，不是通用安全知识的堆砌，而是在工业现场约束下做安全决策的能力。本章要解决三个问题：这个岗位到底在做什么、面试官从哪些维度判断你合不合适、以及你该如何用一张地图组织后续所有题目的学习。
一、岗位职责的真实分布
把主流招聘信息拆开看，工控安全工程师的职责大致落在四类工作上，但不同行业权重差异很大。
| 职责类别 | 典型任务 | 常见行业侧重 |
|---|---|---|
| 资产与网络梳理 | 摸清PLC、DCS、HMI、工程师站、交换机、网关的型号、固件、协议与拓扑 | 电力、轨道交通、水务 |
| 防护设计与加固 | 分区隔离、工业防火墙策略、白名单、主机加固、账号与远程运维管控 | 石化、制造、烟草 |
| 监测与应急 | 流量基线、异常告警研判、工控恶意代码处置、停机窗口内的应急响应 | 电力监控、城市燃气 |
| 合规与测评 | 等保2.0工控扩展要求、关基保护、IEC 62443、风险评估与整改闭环 | 咨询、测评机构、央企 |
注意一个关键区别：IT安全工程师的默认目标是“保机密性”，而工控安全工程师的第一目标是保可用性和功能安全。这意味着同样一个漏洞，在IT环境可以立即打补丁，在工控环境可能要先评估“打补丁会不会导致控制器重启、产线停机、联锁误动”。面试中如果你能主动说出这个优先级差异，基本就跨过了第一道门槛。
二、能力模型：面试官到底在看什么
综合大量面试反馈，工控安全工程师的能力模型可以拆成五层，从下到上依次是：
- 工业协议与系统基础：Modbus TCP、S7comm、OPC DA/UA、IEC 60870-5-104、DNP3、Profinet、EtherNet/IP 的报文结构和通信行为。面试常问“Modbus为什么没有认证”“S7comm的PDU里你能看到什么”。
- 网络与安全通用能力：TCP/IP、VLAN、镜像流量、防火墙策略、抓包分析、Linux/Windows主机排查。
- 工控安全专项技术：区域与管道模型、纵深防御、白名单、工控入侵检测、固件与配置基线。
- 合规与流程：等保工控扩展、关基条例、IEC 62443 的 SL 等级、变更管理流程。
- 现场沟通与决策：和自动化工程师、生产调度、运维班组协作，在停机窗口内推动整改。
越往上，面试越难用背书通过。第五层几乎只能靠真实项目经验或高质量案例复盘来体现。
三、面试考察的四个维度与典型问法
把面试题按考察意图分类，比按知识点分类更有助于准备。常见四类：
知识确认型：直接问概念，如“什么是区域与管道”“等保2.0工控扩展要求有哪些”。这类题靠系统梳理即可，但答得太教科书会被追问。
场景判断型：给出一个现场条件让你做决策。例如：“某化工厂DCS操作站是Windows XP，厂商明确不支持升级，你如何降低风险？”合理的回答不是“必须升级”，而是先做资产重要性分级，再考虑网络隔离、应用白名单、禁用USB、加强审计与备份，并说明残余风险如何向管理层汇报。
实操分析型：给一段流量或日志让你判断。例如给出一条 Modbus 功能码 0x10（写多个保持寄存器）在非检修时段高频出现，问你怎么看。你需要结合基线、源IP角色、寄存器地址范围判断是正常组态下发还是异常写入。
项目复盘型：“讲一个你主导的工控安全整改项目。”面试官真正想听的是：你如何发现风险、如何协调停机、整改后如何验证、遗留问题是什么。
四、一个可复用的答题框架示例
面对场景题，可以用“先保生产、再定边界、后做处置、最后验证与汇报”的顺序组织语言。以“工程师站发现U盘传播的工控病毒”为例，一个可参考的答题骨架是：
1. 隔离判断：先确认该工程师站是否在线控制，能否直接断网；
若不能，先限制其横向通信（交换机ACL/防火墙策略），保留本地操作。
2. 影响评估：确认病毒是否影响组态软件、是否有写入PLC行为，
调取该站近24小时网络会话与PLC写操作日志。
3. 处置：在停机窗口内用离线杀毒或重装恢复，恢复前核对组态版本与备份。
4. 验证：恢复后比对PLC程序校验和、确认无异常写操作、观察一个生产周期。
5. 汇报：说明事件根因、处置过程、残余风险与后续管控（USB管控、白名单）。这个骨架的价值在于：它同时展示了你的技术判断、生产意识和流程意识，而这三点正是面试官区分“懂安全”和“能上岗”的关键。
五、行业分布与准备侧重
不同行业的面试重点差异明显。电力（尤其是发电与变电站监控）偏重 IEC 60870-5-104、纵向加密、调度数据网；轨道交通偏重 CBTC 信号系统隔离与等保；石化偏重 DCS 与 SIS 的边界、防爆区约束；制造业偏重 OT/IT 融合、MES 与 PLC 之间的数据通道。准备时建议先锁定1～2个目标行业，把该行业的主流系统、协议和合规要求吃透，而不是泛泛背通用安全知识。
六、题库学习地图
后续章节会按“基础认知—协议与资产—防护技术—监测应急—合规测评—面试实战”推进。你在学习每一题时，建议都问自己三个问题：这题考的是哪一层能力？我的回答有没有体现生产优先？我能不能举出一个自己经历或合理假设的现场例子？把这三问变成习惯，题库就不只是背诵材料，而是一套可迁移的面试应对方法。
最后给一个自查清单，用于判断自己是否已经具备面试基本盘：
- 能说清至少三种工业协议的通信特点和常见安全问题；
- 能画出区域与管道模型并解释其与等保扩展要求的对应关系；
- 能针对“不能停机、不能升级”的现场给出分层缓解措施；
- 能完整复盘一个从发现到验证的工控安全事件或整改项目；
- 能明确说出工控安全与IT安全在目标优先级上的差异。
如果这五条你都能自然讲出来，说明你已经具备了进入工控安全面试的基本画像；接下来的章节，就是把这幅画像填得更具体、更经得起追问。