The posting
岗位职责 1. 恶意样本分析 对事件中发现的可执行文件、恶意脚本、WebShell等可疑样本开展静态、动态分析及必要的逆向，识别关键功能、执行条件、通信方式、持久化行为和主机痕迹，输出有证据支撑的分析结论。 2. APT攻击研究与关联分析 持续跟踪和研究APT攻击活动、典型攻击工具及恶意样本，结合样本特征、攻击基础设施、攻击手法和历史事件开展关联分析，提炼与企业环境相关的威胁线索、排查方法及检测需求。 3. IOC提取与验证 提取并验证域名、IP、URL、文件哈希等攻击指标，明确来源、用途、置信度和适用范围；维护指标的关联关系、有效状态、复核及撤销记录，支撑检索、告警和处置。 4. 内部威胁情报建设 关联样本、攻击指标、攻击行为、受影响资产和历史事件，沉淀企业内部技术情报；评估外部攻击活动、漏洞利用及样本研究与企业环境的相关性，形成可执行的排查与防御建议。 5. 推动检测规则落地 提炼稳定、可复用的样本特征和攻击行为，编写必要的样本检测规则或验证查询；向检测工程人员提供行为证据、特征说明和测试样例，协同完成规则开发、验证及效果改进。 6. 支撑应急响应与威胁狩猎 参与调查取证、攻击链还原和影响范围排查，分析关键攻击行为及持续控制手段；提出狩猎假设和排查线索，支撑历史回溯、清除验证及关联事件发现。 7. 分析自动化与知识沉淀 开发样本信息提取、配置解析、IOC处理及情报关联等辅助工具，提高分析效率；维护技术知识和操作手册，规范样本保管、证据记录及分析环境使用。 任职要求 1. 具备恶意样本分析相关实战经验，能够独立完成样本初筛、关键功能分析、IOC验证和报告编写，清晰区分已证实事实、分析推测和待验证事项。 2. 对APT攻击有持续研究，具备相关样本、攻击活动或事件分析经验；熟悉典型攻击链、隐蔽通信、持久化及横向移动等手法，能够将研究成果转化为排查线索和检测建议。 3. 熟悉Windows、Linux、MacOS至少一类环境，了解进程、文件、网络、权限和持久化机制，能够分析对应环境中的可执行文件或恶意脚本。 4. 熟练使用至少一种反汇编或调试工具，如IDA、Ghidra、x64dbg等，能够结合沙箱、行为监控、网络流量或系统日志验证分析结论。 5. 理解IOC、攻击行为与攻击手法之间的关系，能够基于来源、证据和环境判断情报可信度及使用条件，完成情报关联、更新和失效管理。 6. 掌握Python、Shell或其他至少一种脚本语言，能够编写分析和数据处理工具；具备使用YARA、日志查询或脚本表达检测特征的能力。 7. 具备一定的工程实现和快速原型开发能力，能够将样本分析、IOC处理、情报关联等思路快速转化为可运行的脚本、工具或小型服务；熟悉AI辅助编程、Vibe Coding等开发方式，能够理解、调试和验证生成代码，推动分析思路快速落地。 8. 具备良好的技术记录和协作能力，能够向研判、响应和检测人员清晰交付分析依据、排查方法及处置建议，推动任务闭环。 加分项 - 有APT攻击活动跟踪、恶意软件家族研究或攻击基础设施关联分析经验，能够提供脱敏案例或研究成果。 - 有真实入侵事件调查、主机取证、内存分析或威胁狩猎经验。 - 有恶意软件配置提取、脱壳、复杂脚本分析或样本分析自动化经验。 - 有内部威胁情报库建设、情报结构化或STIX/TAXII应用经验。 - 有YARA、Sigma或其他检测规则的开发、验证和实际应用经验。 - 有云环境、身份账号攻击分析经验，能够关联主机行为与云审计线索。 - 有使用AI辅助编程完成安全分析工具、情报处理流程或自动化项目的实际经验。 - 有可验证的研究文章、开源工具或技术项目成果。
