招安全工程师别再踩坑，这几个挑选技巧我用了三年
招安全工程师别再踩坑，这几个挑选技巧我用了三年-z35资讯网
我招安全工程师招了三年，面过的人没有一百也有八十。最坑的一次是招进来一位证书贴满简历的候选人，CISP、CISSP 全齐，结果让他看一段 Apache 日志找异常，他盯着屏幕十分钟，问我“用哪个工具”。那次之后我彻底改了面试流程。
证书只能证明你背过书
证书有用，但作用比很多人想的小。CISP 偏合规和体系，CISSP 覆盖面广但偏管理，OSCP 是少数能证明动手能力的，24 小时打靶机，过不了就是过不了。我筛简历时把证书当加分项，不当门槛。真正让我停下来多看两眼的，是这几样东西：
- SRC 平台的漏洞提交记录，排名和数量都看
- 自己挖到的 CVE 编号，哪怕只是个中危
- GitHub 上有能跑起来的安全脚本或工具
- 护网期间的具体角色，是打点还是驻场值守
这些比证书难造假。一个人真挖过漏洞，你问他细节，他眼睛会亮。渠道上我的排序是：内部推荐排第一，安全社区（FreeBuf、先知、看雪）排第二，招聘平台垫底。平台上主动投来的简历十份有八份是海投，连 JD 都没看完。安全圈子小，混社区的人水平基本透明，你翻翻他在别人帖子下面的回复，比面试半小时还准。
面试别问八股，让他讲一个真实案例
我现在的固定题目只有一个：讲一个你自己发现的漏洞，从怎么发现、怎么验证、怎么修复，一路讲下来。这题能筛掉八成水分。
真有经验的人会讲到具体的 payload、绕 WAF 的思路、和开发扯皮的经过，中间被追问“当时为什么选这个注入点”“目标打了补丁你怎么办”，也接得住。只有理论的人会开始背 OWASP Top 10 的定义，背得很流利，但一个自己的例子都举不出来。
按方向挑人也重要。红队要思路野、扛得住压力的人；蓝队要耐心、会写检测规则、能盯告警的人；做合规的要坐得住、看得懂等保条款。用一套标准招所有人，招来的大概率是四不像。薪资这块我的判断是，能独立完成一次渗透测试并写出报告的人，市场价不会低于 25K，低于这个数要么是应届生，要么简历有水分，别指望 15K 捡漏，这行信息差很小。
最后提醒一句，试用期别放养。给新人一个真实内网靶场或者历史漏洞复盘任务，两周就能看出成色。招人最贵的成本从来不是工资，是招错之后整个团队陪着收拾的时间。