我最近总是想起狗。

2021 年 6 月，我本来计划骑车去石岩湖，结果导航和现实有点复杂，换了两个地图 App，还是觉得不太对。那天又觉得身体似乎可以适当活动一下，于是干脆折返。最后骑了十八公里。周末路上的人和车都少，有一段路很平，笔直地伸出去六公里，骑起来很舒服。路上遇到一群骑友，也遇到一条小黑狗，估计是流浪狗，在公路上惊慌地乱窜。我停下来远远看了一会儿，不知道它后来去了哪里。

2022 年 12 月，下班后和朋友们来到较远的电影院看阿凡达新片，但一早来上班就发现双腿有些酸痛，并未太在意。后来发现确实是被感染后身体发热的前奏，下班后出现持续轻微头痛，不舒服便忍着看完了电影，结束后大家分开立马回家。在走路回家的路上下着雨，看到一只湿漉漉的小狗站在地铁施工现场，周围没有任何人与同类，呆呆着看着我。我停了下来，觉得可怜。一时不知道做什么，也做不了什么，拿出手机给它拍了一张照片。现在想想，也不知道后来它咋样了？

2025 年 4 月，我带着 RX100M7 在附近的公园里休息，顺便试拍照片。期间帮一个女生找到了走丢的金毛，她一直在附近寻找，最后狗找到了，她松了一口气，我的心情也跟着变好。后来还有一个女生在找一只从家里突然跑出去的猫，只是那一次我没有遇见它。城市里的人和动物，有时候就是这样短暂地相遇一下，帮别人找回一只狗，然后各自回到自己的生活里。

后来我开始喜欢逛书店。有一次饭后去中洲大悦城散步，走进覔书店，看到了《第二次生命：流浪狗救助手记》，站在那里翻了一会儿。2026 年 10 月 4 日，我又在中洲湾茑屋书店看到《雨后的味道：我的狗狗乌巴克》，问店员有没有库存，得到的答案是没有，只好回去网上下单。

我其实一直很喜欢狗。

在深圳街头看到有人牵着狗散步，我总会多看一会儿。有时候主人进咖啡店买杯咖啡，小狗就安安静静地趴在旁边。我对大狗尤其没有抵抗力，总想过去摸摸。它们有时候只是站在那里，我却会忍不住盯着看一会儿。

我以前没有认真想过自己为什么会这样。

直到今天，我忽然想起了小时候的那一只。

那时候我大概八九岁。白天和村里的小伙伴出去玩，在村子里看到一只几个月大的小狗，自己走来走去。晚上回到爷爷奶奶家吃饭，它竟然也跟了进来。爷爷觉得它可怜，就先喂了一点饭，说如果是村里其他人家的狗，就让它走，如果没有主人，那就留下。

后来它真的留下来了。

是一只很普通的田园犬，黄色的毛，身形很俊俏。现在回头想，已经记不清它的脸了，只记得它特别听话。晚上睡在屋檐下，有陌生人经过，就会叫几声，慢慢地竟然也成了家里的一员。

爷爷去山里干活，它也跟着。有一次我也跟着去了。它一会儿跑到这边，一会儿又跑到对面的山坡上玩，我们准备往更远的地方走，爷爷喊了一声，它立刻听见了，转身跑回来，继续跟着我们赶路。

那次进山我还弄断了一根小漆树，后来全身长了漆疮，那个暑假特别难受，痒得厉害。现在想起来，倒觉得这件事和那只狗一起留在了记忆里。

夏天热的时候，它就趴在屋檐下面，吐着舌头，嘴边挂着口水。我那时候还是个小孩，其实有点怕狗，不太敢一直靠近它，只是偶尔过去摸摸。它身上有时候会有被咬出来的血包，我知道那是吸血的小东西，就想办法帮它弄掉。现在已经想不起当时用的是什么了，大概就是拿一根小树枝或者树根，笨手笨脚地弄。

有时候我们去河边，它也跟着。有一次我看见它直接扑通一声跳进水里，在河里游了一会儿，又自己游回岸边。我当时觉得特别神奇，一只狗竟然还会游泳。

它陪我们的时间其实很短，不到一年。

有一天晚上，隔壁邻居家突然起了火，村子里一下子热闹起来，到处都是救火的人。我也被吵醒了。那时候我没有太在意它去了哪里，只想着第二天早上它应该就回来了。

可是第二天，它没有回来。

后来我去上学，等放学回到家，它还是没有回来。

再后来，它就一直没有回来。

没有人告诉我它去了哪里，也没有真正的告别。小时候的我大概只是觉得，它可能还会回来，只是今天没有回来而已。后来等了几天，又等了一阵子，慢慢就知道，它不会回来了。

几十年过去，我已经记不起它具体长什么样，只记得黄色的毛，记得它跟着爷爷进山，记得爷爷喊它的时候，它会从远处跑回来，也记得它在河里游泳，夏天趴在屋檐下吐着舌头。

有时候在深圳看到别人牵着狗，我还是会想起它。

所以前几天在书店看到《雨后的味道：我的狗狗乌巴克》，我问店员有没有库存。没有，只好回家下单。

我现在还是很想养一只修狗。

只是有很多顾虑，还没有下定决心。

那就先不养吧。

先看看书。

如果以后散步的时候又遇到一只愿意让我摸摸的狗，我就蹲下来摸一会儿。

就像小时候那样。

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

打着伞慢慢散步，偶尔停下来欣赏远方的天空与大云。无奈今天风实在太凶猛，我的雨伞也经常被吹得变个形状，只好顺手收拢起来，继续更换阵地。

遇到一位大哥在钓鱼。就在我驻足眺望远方大云朵的时候，旁边座椅上闲坐的美女路人突然惊呼了一声。我循着声音看向旁边钓鱼的大哥，果然上鱼了。

一条小鱼在鱼线上使劲摇摆，挂在那里蹦跶。大哥伸手把它取下来，看了一眼，似乎觉得体积还有待加强，便没再理会它。

我倒是停下来看看这条离开海水的小鱼。它落在地面上还活跃得很，不停地跳动着，没过一会儿，因为缺氧就渐渐不动了。

于是我又把目光伸向围栏外，落在今天风大浪急、波动剧烈的海面上。

突然，一根长长的、形状有些特别的棍子出现在视野里。我仔细辨认了一下，发现很可能是一根鱼竿，竿身上还有比例尺一样的挂钩。

大哥看我站得近，也朝那边看了一眼，说：“你看那个，好像是鱼竿，掉水里了。”

我说：“是啊，好神奇，鱼竿掉下去了，有点可惜。”

随后我们就这么看着它。鱼竿随着水面的浪涌，一点一点飘向更远的位置。

后来我决定往前走几米，去看看其他钓鱼的地方。大哥倒是非常热心，马上向最近的一位钓友喊话：“你的鱼竿掉了呀，赶紧看看！”

等我再次走回来，听到另一位钓友不停地说：“不是我的呀，肯定是你的。”

大哥一下子懵了，站在那里似乎也有点不知所措。

仔细确认之后，还真是他的。

后来那位钓友帮大哥把鱼竿捞了起来，万幸。

第三位钓友也过来了，几个人站在一起笑着分享这件事。我也参与其中，大家一起哈哈大笑。

一场突如其来的鱼竿漂流，就这样捞回来了。

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

打扰一下

【终端安全 / 威胁检测与响应 / 安全能力建设 / 安全运营治理】

近 9 年网络安全从业经历，主线是终端安全与威胁检测。

过去几年主导或负责过云查杀、未知威胁检测、检测策略、告警治理和自动化研判等工作。其中一套未知威胁检测闭环，检测覆盖率提升至约 95%，误报及重复告警下降约 50%，样本分析及运营成本降低约 90%。

我希望下一阶段继续做终端安全和威胁检测，同时参与更多安全能力建设工作，定位偏技术型资深 IC。

我一直在做什么

2017 年开始做漏洞审核，之后逐步进入威胁情报、APT、蓝军，再到终端安全和安全运营。

看起来经历比较分散，但实际一直围绕一条链路：

威胁发现 → 问题分析 → 检测设计 → 规则运营 → 告警治理 → 效果验证。

早期做 APT 和威胁分析时，我参与攻击活动发现、攻击链还原、基础设施识别、威胁狩猎和事件响应。

有些真实入侵并不是设备直接告诉你“这里发生了攻击”，而是需要从 IOC、TTP、基础设施和异常行为等线索中逐步拼出完整攻击路径。

后来进入终端安全，我开始面对另一个问题：

发现一个威胁只是开始，怎样让系统以后能够更稳定、更规模化地发现类似问题？

这也让我的工作逐渐从单个样本、单个告警的分析，转向检测策略和运营能力建设。

一个典型的检测能力建设案例

在云查杀和未知威胁检测工作中，我负责推动从检测能力到规模化运营的建设。

面对免杀样本、定制化攻击和未知恶意代码不断演进的问题，我参与并主导了动态行为分析、专家规则、样本聚类、同源关联、告警归并等能力建设，并针对 MSI 安装包、压缩包嵌套载荷、DLL 劫持等复杂场景补充专项检测能力。

最终形成：

检测 → 聚类 → 研判 → 策略/规则回流 → 效果验证

的持续运营闭环。

项目内部运营指标显示：

• 检测能力覆盖率提升至约 95%

• 误报及重复告警下降约 50%

• 客户投诉率下降约 30%

• 样本分析及运营成本降低约 90%

对我来说，这个项目最重要的并不是某一个数字。

而是让我真正理解了：

安全能力建设不是不断增加规则，而是让检测效果、告警质量、运营效率和成本能够持续得到验证和优化。

从人工经验到自动化能力

另一个我比较关注的方向，是如何把安全专家经验变成可以规模化运行的能力。

在未知样本分析中，我负责设计和落地自动化安全研判原型。

将 IDA 反编译结果进行结构化处理，提取样本行为语义，再引入大模型进行风险初筛、行为分析和攻击意图识别。

考虑到安全分析中的误判和漏报风险，流程没有直接让模型替代专家，而是设计成：

自动初筛 → 专家复核 → 结果沉淀

原型阶段未知样本处理效率提升约 70%，高级逆向人员人工参与率降低约 90%。

这里我比较看重的一点，是：

AI 不只是帮人少做一些重复工作，更重要的是把专家经验逐步沉淀为可以复用的分析能力。

为什么我会做检测，而不是只做检测

我过去也做过大量真实攻击分析和安全运营。

例如 2021 年参与某客户 HW 防守，连续两周负责安全监测、威胁研判和事件响应，对海量告警进行聚合、关联和人工研判，期间发现并确认 3767 条中高威胁告警，进一步提交 102 份安全事件单，最终实现防守方零失分。

这类经历让我知道：

检测产品看到的告警，和一线分析人员真正需要的信息，并不是完全一回事。

一个规则可能在实验环境里效果很好，但进入真实运营以后，可能带来大量噪声；

一个看起来不起眼的行为，也可能是攻击链里真正关键的一环。

所以现在面对一个安全问题，我通常会继续往下追：

为什么没有发现？

为什么发现得这么晚？

是规则的问题，还是检测链路的问题？

如果解决了，能不能让下一次遇到类似问题时少走一遍弯路？

这也是我理解的安全能力建设。

我的定位

我不希望把自己包装成“什么都懂”的人。

我的技术主线很明确：

终端安全、威胁检测、攻击行为分析、安全运营。

过去的经历则让我形成了一定的横向连接能力：

威胁情报 / APT → 样本分析 → EDR / 检测工程 → 告警运营 → 自动化 / AI

因此，我希望下一阶段继续保持技术深度，同时向能力建设进一步延伸。

我更适合的是技术型资深 IC：能够深入具体问题，也能够从具体问题中抽象检测策略、运营机制和可复用能力。

不以人员管理作为主要发展方向。

下一阶段

下一份工作，我希望继续以终端安全与威胁检测为主线。

如果团队正在建设检测体系、治理告警、提升终端安全能力，或者探索自动化与 AI 在安全运营中的落地，我都愿意从具体问题开始做。

过去这些能力，本来就是这么一点点积累下来的：

分析一个样本，研究一次攻击，调整一个规则，治理一批告警，优化一段流程。

然后再把这些经验沉淀下来。

以前是我解决问题。

以后，希望我参与建设一套能够持续解决问题的能力。

这也是我现在明确的求职方向。

如果你的团队正在做终端安全、威胁检测、安全运营治理，或者相关的安全能力建设，欢迎交流。

🤝我的微信号 qb1518

跳转微信打开

跳转微信打开

跳转微信打开

跳转微信打开

今天 BOSS 直聘上，一个之前内推过的岗位，招聘经理主动给我发了消息。

“你好，看过你的简历，觉得蛮合适的，期待和你聊一下。”

随后问了一句：“AI 涉及多吗？”

我回复说，上周六已经内推过这个岗位，目前还没有收到反馈。对方告诉我：“明白，简历没通过。”

事情其实很简单。招聘经理主动联系，说明从人的直觉判断来看，我的经历与岗位是有交集的；但正式内推的简历没有通过筛选。两个结果放在一起，反而让我重新注意到一个今年一直在思考的问题：能力本身和别人愿不愿意相信你，中间其实隔着一段距离。

这个岗位是资深安全运营工程师，AI SOC 方向。JD 里面既有大模型、RAG、Agent、MCP、Prompt Injection、越狱、向量数据库，也有日志接入、检测规则、告警研判、事件响应、SOP、自动化处置、SOC、SIEM、SOAR、EDR 等传统安全运营内容。

如果只看后半部分，其实和我过去很多年的工作有非常直接的关系。

我长期做的事情，本质上就是从大量安全信号里寻找异常，分析告警，判断攻击行为，还原攻击链，寻找检测缺口，再把一次人工研判逐渐沉淀成规则、特征、TTP、自动化分析或者运营能力。

但如果只看简历上的关键词，又是另一回事。

我的标签更多是 EDR、威胁检测、恶意样本、APT、威胁情报、安全运营；这个岗位需要的标签则明显偏向 LLM、RAG、Agent、MCP、AI 应用安全、Prompt Injection、AI 攻防。

它们之间其实存在大量能力上的交集，但职业标签并没有完全重合。

这件事情让我重新理解了“简历筛选”。

过去我可能会觉得，简历就是把自己做过什么写出来。但现在越来越觉得，简历实际上是一种低成本建立信任的证据系统。

招聘方没有办法在筛选阶段真正了解一个人。他们看到的只是有限的信息，然后需要在很短的时间里判断：这个人的经历是不是和岗位相关，他是否真的做过这些事情，他的能力大概到了什么程度，以及进一步沟通是否值得投入时间。

所以“我会威胁检测”其实不是一个特别有价值的信息。

因为任何人都可以这么写。

真正有价值的是，我过去究竟解决过什么问题。

比如有一次真实的终端检测治理，我面对的是大量告警。后来通过分析发现，其中相当一部分噪声来自特定驱动行为，进一步做了针对性的检测治理，最终告警量从 1275 降到 265，同时检测率从 90.18% 提升到 96.98%。

如果只写成“负责终端威胁检测与告警治理”，别人只能相信我。

但把问题、过程和结果写出来之后，对方甚至不需要相信我，只需要继续问几个问题，就可以验证这件事情是不是真的发生过，我到底做了什么，以及我对检测系统的理解有多深。

这两者的区别很大。

前者是能力声明。

后者是能力证据。

我以前可能把很多已经做成习惯的事情当成了理所当然。看到一个异常，判断是否值得继续调查；从几个看起来并不相关的信号里寻找联系；分析样本和行为；判断为什么会误报或者漏报；最后把一次研判转化成规则或者自动化能力。

这些东西做久了以后，很容易只剩下一句话：“负责威胁检测。”

但真正形成能力的，恰恰藏在这一句话后面。

我现在越来越觉得，威胁检测真正难的地方，从来不只是知道某个攻击技术，而是面对不完整、有噪声甚至相互矛盾的信号时，能不能形成一个合理的攻击假设，然后通过证据不断验证、修正，最后把一次判断变成系统能够持续复用的能力。

这也是为什么我现在会重新看待自己过去的工作。

我过去做的是终端安全，但如果把载体拿掉，底层过程其实可以抽象成：

Signal → Detection → Investigation → Attack Story → Gap → Rule → Automation → Feedback

信号来了，发现异常，进行调查，还原攻击过程，找到检测缺口，再把经验沉淀成规则和自动化能力，然后继续获得反馈。

终端可以承载这套过程，SOC 可以承载，未来的 AI Security 同样可以承载。

所以这次 AI SOC 岗位让我产生的兴趣，并不是因为我突然变成了一个 AI 安全从业者。

恰恰相反，我越来越清楚自己目前的位置：我的主能力仍然是威胁检测和安全运营，AI 则是正在发生的能力迁移。

我已经开始接触 LLM、Agent，也做过 IDA 与 LLM 结合的静态分析和运营研判 Agent，并且最近一直在思考 AI DR、Agent 安全以及新的安全运营能力应该如何设计。但这些经历与一个已经多年从事 AI Security 的候选人，显然不是同一种履历。

承认这个差异，反而让我觉得事情变得更清楚了。

真正需要解决的，不是把简历强行包装成“AI Security 专家”，也不是为了匹配 JD 把 MCP、RAG、Prompt Injection 等关键词全部塞进去。

而是把自己真正拥有的能力，转换成别人能够快速理解、并且可以继续验证的证据。

这可能也是我今年找工作以来，一个越来越明显的感受。

以前我更关注“我能不能把这件事情做好”。

后来慢慢开始意识到，职场其实还有另外一个问题：

别人怎么知道我能做好？

能力解决的是结果问题，信任解决的是机会问题。

尤其对于那些长期做实战、分析和复杂问题解决的人来说，很多能力本身是隐性的。它们没有一个特别漂亮的证书，也没有一个统一的职业名称，更没有办法单纯用关键词证明。

于是就会出现一个很有意思的现象：真正聊起来以后，对方可能能够感受到一个人的思考深度；但在简历筛选阶段，这些东西甚至还没有机会发生。

这并不意味着筛选机制错了。

站在招聘方的位置，他们面对的就是信息不完整的问题，只能用有限的履历、关键词、项目和结果去降低判断成本。

所以问题最终还是回到了自己这里：

如何降低别人相信我的成本。

我现在觉得答案可能不是写得更多，而是让证据更清楚。

少一点“熟悉什么”，多一点“解决过什么”。

少一点抽象的能力描述，多一点真实场景。

少一点“参与建设”，多一点自己到底判断了什么、改变了什么。

最好还能留下可以被追问的数字、过程和技术细节。

这样别人不需要先相信“我很强”，只需要顺着这些证据往下问，就能够逐渐形成自己的判断。

这件事情其实比改一份简历更有意思。

因为一旦把过去的经历重新按照“问题—判断—行动—结果—沉淀”的方式整理出来，它就不再只是为了应聘某一个岗位。

它开始变成自己的能力档案。

以后面对 EDR、SOC、威胁情报、AI Security 或者 AI DR，不一定需要重新证明自己是谁，只需要重新组织哪些证据应该被看见。

今天这份没有通过的内推简历，反而让我把这个问题看得更清楚了一点。

我并不是第一次遇到“别人觉得我可以，但简历没有把这种可能性传递出去”的情况。

以前可能会把它归结成匹配度、运气或者招聘流程。

现在再看，我觉得里面还有一个更值得长期解决的问题：

一个人真正拥有的能力，如何从自己的脑子和经历里出来，变成陌生人也能够理解和验证的东西。

这大概就是我今年一直在想的“信任成本”。

而这件事情，可能比再多写几个关键词重要得多。

跳转微信打开

跳转微信打开

9 月 11 日 收到一个航空业岗位的消息，没有通过。

难受了一下，也就过去了。今天早上睡醒，反而想起前几天那场国企的面试，觉得这件事情其实挺值得记下来。

这半年多找工作，面试已经经历了不少。刚开始的时候，更多是在回答对方的问题，后来慢慢变成了双方一起确认：这个岗位到底是什么样，进去以后会做什么，团队和资源是什么情况，所谓的“从零开始”究竟意味着什么。

这些东西，我以前不会问得这么细。也是经历了一次又一次面试以后，才慢慢积累出了一套自己的问题。不是为了为难面试官，只是已经不太希望因为信息不对称进入一份工作，过了一段时间以后才发现，双方最开始理解的根本不是同一件事情。

所以这次面试，我也问了很多。具体问了什么就不写了，涉及对方内部情况，也没有必要把面试过程完整搬出来。让我印象比较深的是，他们愿意把能说的事情尽量讲清楚。我问到的一些问题，他们不只是简单回答，还会顺着前后的关系多解释几句。加上他们之前看过我的一些经历和文字，也通过自己的渠道对我有过一些了解，所以这次交流并不是完全从一张简历开始，我也不用花太多时间证明自己做过什么。

聊到后面，我才慢慢意识到，他们其实也在确认另一件事情：如果我真的进去，会不会适应，会不会觉得和自己的预期不一样，最后没待多久就离开。对企业来说，招一个人本身就有成本，后面还有磨合、培养和团队协作，所以他们反而会比较在意这个人是不是真的想清楚了。

我也因此越来越放松。过去做过什么，我就认真讲什么；没有做过的，就说没有做过；自己有什么担心，也直接问。他们则一一回应。整个过程到后面，已经没有那么强烈的“面试感”了，更像是几个人坐下来，把一件以后可能一起做的事情认真聊了一遍。

其实一开始的时候，我还有一点不舒服。第一位面试官刚开始问了一些我觉得和岗位本身关系没有那么直接的问题，当时心里确实有一点警惕。但我没有急着下判断，继续聊下去以后，发现后面的交流其实挺顺。他们愿意了解我，我也愿意了解他们，那些一开始让我有疑问的地方，后面基本都慢慢聊开了。

所以面试结束以后，我对这次机会的印象反而越来越好。

现在回头想，真正让我记住的也不是岗位本身有多好，或者最后能不能拿到结果，而是那次交流的感觉。有人认真看过我的经历，也有人愿意花时间回答我那些因为过去半年多面试慢慢积累出来的问题；与此同时，他们也在认真确认我是不是适合这份工作，而不是单纯把我当成一个需要被筛选的候选人。

因为一个机会没有通过，心里难受了一下。今天醒来，突然又想起这件事情，觉得最近其实也发生过一些让我觉得舒服的事情。

所以就记下来。

至于最后怎么样，再慢慢看。

跳转微信打开