2020年秋招我投了奇安信的技术支持工程师岗位。笔试那天是线上答题限时90分钟整套题做下来最大的感受是这份卷子不是在考你会不会写代码也不是在考你背了多少漏洞编号而是在考察一个人作为安全厂商技术支持的基本盘——网络基础牢不牢、系统排查熟不熟、安全原理透不透。这篇文章我结合当年的第三套秋招试卷把岗位认知、题型结构、核心考点、场景题解题思路和备考踩坑点完整复盘一遍。这套试卷适合谁看如果你准备投的是安全厂商的售后、技术支持、安全服务这一类岗位或者刚入行网络安全、想找一份对新人友好的工作这份复盘匹配度会很高如果你平时偏研发、偏渗透测试更关心漏洞利用层面的细节那这份复盘里对应部分的占比就相对有限。下面直接进入正题。1. 岗位摸底技术支持工程师到底考什么1.1 先搞清楚这个岗位是干什么的很多人在投简历之前没有认真想过技术支持工程师和研发工程师安全服务工程师之间的区别结果拿到笔试卷子就懵了。安全厂商的技术支持工程师核心工作用一句话概括帮客户把部署在公司里的安全产品或系统用起来、用得好出了问题能快速定位并解决。日常面对的事情包括安全设备的开局部署、策略配置和调优客户报障后的远程或现场排查告警日志的初步研判安全事件的应急配合甚至还要写排障报告和操作手册。这意味着这个岗位要求的是广度优先、深度够用的知识结构。你可以不会写复杂的Java代码但你要能看懂日志里的时间戳含义你不一定亲手挖过漏洞但你要能判断一条访问记录是不是存在的SQL注入特征你不一定背得出每个端口号但遇到服务起不来你得知道先看端口被占用还是进程没启动。2020年这套笔试卷子几乎每个板块都在围绕这种能力要求出题。1.2 从考题反推岗位能力模型笔试考的不只是知识点更是一份岗位能力画像。复盘完这套卷子我把它的考察方向大致拆成了五个模块占比估算如下能力模块估算占比典型考察方式网络基础30%协议分层、数据封装、常见状态码与端口系统与运维25%Linux命令、Windows事件日志、进程与资源排查攻击原理与日志特征25%SQL注入/XSS/文件上传的识别、日志研判场景题安全产品原理10%防火墙/WAF/IDS等产品的部署方式与作用边界逻辑表达与沟通10%场景题里排查思路的表述是否结构化这个比例不是官方公开数据是我从考后回忆和同批次同学交流中归纳出来的但整体误差不会太大。一个很明显的特点是纯安全攻防的比例其实没有想象中高网络和系统的基础知识加起来占了一半以上。原因也很直白技术支持一天到晚在排查问题排查问题的工具库里最常用到的就是网络命令和系统命令而不是攻击工具。1.3 2020这套试卷的整体气质试卷3这个名字说明当年秋招不是只有一套笔试题而是有多套平行卷子目的主要是防止同场笔试作弊。这套卷子的整体气质是广而不深、重场景、重流程。它不会让你去算一个非常复杂的子网划分但会问你回环地址是哪个这种基础事实它不会让你写完整的渗透测试报告但会让你看一段访问日志判断哪些请求存在异常。这个出题思路其实很合理。作为校招候选人都是应届生要求大家有深厚攻防经验不现实作为技术支持岗又必须确保持续学习的潜力。于是一套合格的卷子就在基础扎实、思路清晰、表达规范这三个维度上做文章。我觉得这是准备任何安全厂商技术支持岗笔试都可以参考的通用方向。2. 卷面结构复盘题型分布与时间分配2.1 题型构成与分值占比我的记忆里这套卷子大致由单选多选判断场景简答四类题组成。客观题数量多但分值分散场景题数量少但分值集中为了方便复盘我按大家常见的形式做了个近似还原题型题量分值说明单选题20题每题2分覆盖网络、系统、安全基础多选题10题每题3分通常漏选得部分分错选不得分判断题10题每题1分考细节概念容易设坑场景简答题4题每题10分网络排障、日志研判、产品方案、应急思路总分在题库里按百分制折算。客观题合计80分场景题40分折算成百分制后场景题权重其实相当高。如果你只刷知识题、不练表达题到场景题这里很容易写出一段看起来没毛病但抓不住给分点的答案。2.2 时间分配策略如果卷面总时长是90分钟我建议这样分配前40分钟做完单选、判断、多选。多选题宁可少选不要为了凑选项去选一个不确定的答案判断题看到绝对化的表述比如只要有防火墙就一定能阻止攻击基本可以判断为错这类题考的就是边界概念。中间40分钟留给4道场景题。每道题先花1到2分钟把题干里的关键信息圈出来比如异常IP、时间窗口、错误码、日志字段然后按先判断、再定位、后建议的顺序组织答案。不要一上来就写应该是××问题而是把排查过程写清楚因为判分看的是思路和步骤不是猜结论的运气。最后留10分钟检查客观题尤其要看多选有没有漏选、答案有没有填错位。线上笔试到点会自动收卷很多同学栽在时间到了但场景题还没写完所以前面客观题必须控制住手速。2.3 考点覆盖面解读整套试卷的考点覆盖可以归纳成一张高频清单TCP三次握手与四次挥手的过程和异常状态HTTP常见状态码的含义DNS解析流程中递归查询与迭代查询的区别Linux常用运维命令的用法文件权限对应的数字含义Windows事件日志中登录失败、账号创建等常见事件ID对称加密与非对称加密的代表算法常见Web攻击的流量特征常见安全产品的部署位置应急响应的基本步骤。这张清单其实就是技术支持岗笔试的通用复习地图。它没有冷门偏题但如果你基本功不扎实分数就会非常飘。我后来在准备其他厂商笔试时也沿用了这张表几乎不用怎么大改。3. 核心知识板块逐一拆解3.1 网络基础TCP/IP与OSI的考法网络基础在卷子里占比最大也是最容易靠短期突击拿分的板块。我印象很深的一道题给出一个场景同一局域网内A主机可以ping通网关但浏览器无法访问内网某服务器的Web页面可能的原因是什么四个选项分别是防火墙规则拦截了80端口、目标服务器Web服务进程未启动、A主机DNS配置错误、目标服务器磁盘已满。如果对网络分层足够熟这道题不容易错ping网关通说明链路层和网络层基本没问题浏览器访问Web页面涉及传输层和应用层所以优先怀疑目标是服务器的80端口被防火墙拦或Web服务进程没起。DNS配置错误虽然是常见干扰项但如果客户端用IP直连访问DNS就不是首选因素。这个题考的不只是知识点更是分层定位的思维。OSI七层模型看起来是课本上的陈旧概念但真正到了排障现场它就是你的第一把标尺。看到网页打不开大脑里应该立刻出现一条链路物理层通不通、能不能ping通网关、域名能不能解析、端口能不能连、服务进程在不在。每一步对应一个检查命令这样就能把说不清打不开变成打不开到底卡在哪一层。3.2 系统与运维Linux命令、Windows日志技术支持要在一线处理服务器类问题Linux命令几乎是必考。卷子里判断和选择都出现了top、ps、netstat、grep这些高频命令的基本用法比如top输出中load average的含义、ps -ef和ps aux的差异、netstat -anp看到LISTEN状态时对应的是哪个进程。如果你平时只在课程设计里用过Linux建议把常用命令练到能直接写出来tail -f /var/log/messages、grep -i error、find / -name *.php、df -h、free -m、ss -lntp。Windows相关的题少一些但很实际比如登录失败的账户在事件查看器里对应的事件ID答案是4625再比如如何查看本机开放的端口和对应进程用netstat -ano配合tasklist就能串起来。这类题在检验你平时有没有真正维护过服务器而不是纸上谈兵。我补充一个很多人容易忽略的点技术支持不需要会写花哨的脚本但一定要熟悉组合命令的用法。例如排查CPU飙高标准动作是先用top看哪个进程占用高再用ps确认这个进程到底是什么必要时再看它的行为。笔试不会让你现场敲命令但场景题会问CPU负载高时第一步应该做什么如果你回答的顺序不对说明你还没有形成真实的运维手感。3.3 安全攻击原理从漏洞到识别特征安全知识部分考得很识别向就是给一段特征让你判断是什么攻击。SQL注入的典型特征是URL参数或POST请求体里出现单引号、and 11、union select这类字符串XSS的特征是请求里带script标签或编码后的事件属性CSRF题常结合业务场景问为什么仅仅浏览了一个第三方网站我的账号就发起了转账交易文件上传题则会关注上传接口是否做了类型校验、文件是否落到Web目录。不要把这里的考点想得太深它考的是你认不认识它而不是你会不会利用它。理解攻击原理是为了在日志里认出攻击、在客户问这个告警是不是误报时能给出判断。所以复习Web安全时重点不是去记一堆测试语句而是看三条线攻击发生的条件、攻击在流量和日志中的样子、防御方应该关注哪些字段。以SQL注入为例它在日志里往往不是一条孤立记录而是成组出现先有试探性请求比如参数里带一个单引号然后是and 11的显式探测之后可能继续尝试读取敏感信息。研判时要多看几组请求的上下文不能凭一条记录就下结论。3.4 安全产品与防护策略安全产品题在试卷里占比不高但一定会出现而且经常结合场景。比如WAF和防火墙的区别是什么旁路部署的监测设备能否阻断攻击流量。我的建议是至少把几类产品的定位和部署方式搞清楚防火墙工作在网络层和传输层基于五元组做包过滤和状态检测主要做访问控制WAF工作在应用层针对Web流量做深度检测重点识别SQL注入、XSS这类Web攻击IDS是旁路监听发现攻击后告警但不能阻止IPS是串联部署可以直接阻断EDR部署在端点侧关注进程行为、文件变更能发现边界设备看不到的问题堡垒机做运维操作的统一入口和审计。场景题比较偏爱某客户在机房核心交换机旁路部署了入侵检测设备部署后发现攻击仍在继续为什么这类问题答案一句话点破旁路设备只能看流量、发告警无法在流量路径上实施阻断要拦截必须让设备串联进网络路径或者联动防火墙下发封禁规则。这类知识看书容易懂但在实际项目中特别容易出现客户以为装了设备就万事大吉的误解技术支持的价值恰恰在于把各类产品的能力边界讲清楚。3.5 日志分析与应急响应场景题日志分析是场景简答题的重头戏考法通常是给一段Web访问日志或系统安全日志问你从这些日志中能得出什么结论下一步怎么办。日志类题目有几个必须练的观察点时间窗口、源IP的重复与分散、URL路径的异常、状态码的变化、User-Agent是否异常、请求频率是否呈现自动化特征、响应包大小是否异常。应急响应场景题的答题框架也可以固定下来先隔离相关主机或封禁异常IP再收集样本和日志然后分析攻击路径和影响范围最后给出加固建议和后续监测方案。这四步几乎是安全厂商笔试和面试通用的标准动作。我第一次做这类题时容易跳步直接写建议封IP后来才意识到漏掉了中间的取证分析环节而那恰好是判分时最看重的部分。4. 场景题实操复盘三道典型的题目与解题路径4.1 场景题A客户反馈网站访问异常如何定位题目大意是甲方运维反馈公司官网近两天经常出现访问卡顿偶尔无法打开希望你给出排查思路。这道题没有标准答案考的是条理。我的答题思路分四层。第一层区分问题范围先让客户确认是外网访问有问题还是内网访问也有问题是所有页面都慢还是个别的接口慢这一步决定后续排查方向。第二层验证基础连通性用ping和traceroute看网络路径是否正常用nslookup验证域名解析是否指向预期地址再通过端口连通性测试确认80或443端口是否可达。第三层检查服务器自身状态top看CPU负载free -m看内存df -h看磁盘是否写满再用ss -lntp看Web服务端口是否在监听。第四层看业务程序和安全设备检查Web中间件访问日志和错误日志确认是不是被刷流量同时看安全设备的告警里有没有异常扫描行为。如果让我在试卷上补充一句我会加上排查的同时保留现场证据不要急着重启服务。这个细节容易被忽略但在真实处理里非常重要——一旦怀疑是被攻击第一反应应该是保留现场而不是先恢复因为重启可能把内存里的可疑进程和临时文件全部清掉后续再做溯源就难了。4.2 场景题BWeb访问日志中发现了什么下面这段日志是这类题里很典型的记录字段做了简化处理[2020-10-14 10:22:31] 203.0.113.7 GET /index.php?id1%27 HTTP/1.1 200 1245 [2020-10-14 10:22:52] 203.0.113.7 GET /index.php?id1%20and%2011 HTTP/1.1 200 1248 [2020-10-14 10:23:10] 203.0.113.7 GET /index.php?id2%20and%2011 HTTP/1.1 200 1247 [2020-10-14 10:23:44] 203.0.113.7 POST /upload.php HTTP/1.1 200 2450 [2020-10-14 10:24:02] 203.0.113.8 GET /20201014.php HTTP/1.1 404 0研判时可以先分三步。第一步看行为连续性同一个IP在几十秒内从带单引号的探针请求过渡到and 11的条件判断这是非常标准的SQL注入探测节奏。第二步看动作转移攻击者在注入探测之后转向POST /upload.php上传文件上传成功后紧接着另一个IP访问了带时间戳命名的php文件——这个文件路径看起来像手工生成的随机名字极有可能是上传落地的后门。第三步看结论这组日志大概率是一次有目标的Web攻击尝试需要立即封禁相关源IP排查上传目录下所有新增文件确认是否存在可执行脚本并补上上传接口的类型校验和防护规则。在笔试卷子上拿到这类日志千万别直接写这是攻击就完事要把研判依据写出来。判分老师想看到的是你会不会看日志而不是你猜结论的能力。这里的关键词是时间关联和行为链写清楚这两点分数基本就稳了。4.3 场景题C安全产品部署位置与联动方式这道题考的是产品知识的实际应用。题目大意是客户已有出口防火墙近期频繁遭受Web攻击骚扰希望在不动现有网络结构的情况下增强防护问你会给出什么建议。我的答题方向是先区分攻击类型。如果是针对Web业务的漏洞利用和恶意请求优先考虑在Web服务前端加WAF或者采用云WAF做流量清洗不需要改动服务器本身。如果是大流量洪水型攻击WAF的作用有限重点要考虑流量清洗能力和带宽资源的调度。如果客户希望的是能被发现部署IDS做旁路监测就够如果希望能拦截下来那必须串联部署或与防火墙做策略联动。这个场景最想考察的其实是边界感知道哪类设备能做什么、不能做什么并且能把方案落到客户的网络拓扑里去讲。技术支持岗位的过人之处很大程度上就是把技术原理翻译成客户听得懂、能执行的方案这也是笔试之外的隐藏加分项。5. 常见问题与备考避坑清单5.1 备考中常见的几类问题从我周围参加这批笔试的同学反馈来看最常见的问题有三类。第一类是只刷题不补体系。为了应付秋招很多人选择直接刷题库选择题刷得滚瓜烂熟但遇到场景题就卡壳。原因很直接——场景题没有标准答案考察的是分析框架。刷题只能覆盖知识点覆盖不了分析框架所以备考一定要留出时间做三步练习看到问题先自己说思路再对照参考答案补细节最后把同类题的通用步骤总结成模板。第二类是重攻击利用、轻日志特征。有些同学对漏洞原理非常熟甚至能画出完整的利用流程但真到日志分析题时认不出攻击特征。技术支持岗位的日常不是去攻击系统而是去识别攻击、理解告警流量和日志才是工作的第一现场。复习时多建立特征到攻击类型的对应关系比多背几条payload更实用。第三类是表达没有逻辑。客观题还好场景题如果想到哪写到哪即使思路里藏着正确答案也可能拿不到分。答题时建议强制使用首先、其次、最后或短期处理、长期加固之类的结构词把排查步骤编号化阅卷体验会好很多这也是真实工作里写报告的基本功。5.2 实战避坑经验表坑点现象应对建议多选题漏选为了求稳每道题只选1个选项多选通常按漏选给部分分但明显确定的第二选项要敢选只选一个等于放弃了大部分分值场景题直接给结论写了这是DDoS攻击却没有推导过程先写依据、再写结论把看到什么特征、说明什么问题写全时间分配失衡客观题花掉60分钟场景题只能草草作答平时按90分钟整套卡表模拟形成肌肉记忆判断题忽略绝对表述出现一定完全能够等词仍然选对绝对化表述基本都是错的优先找反例不回顾基础概念端口、状态码、协议分层概念模糊考前一周集中背高频概念表多刷基础类选择题5.3 复习路线建议按优先级排序如果距离笔试还有时间我建议按这个顺序投入精力。先把计算机网络基础过一遍重点放在TCP/IP、HTTP、DNS这三个和排障直接相关的部分要能默写出一次完整访问从输入URL到页面显示经历了哪些环节。第二步是Linux系统命令练到能不用思考地完成查进程、查端口、查资源、找日志这四个动作。第三步是Web攻击原理和对应日志特征把SQL注入、XSS、CSRF、文件上传这四类最常见的攻击特征整理成一张对照表。第四步是安全产品原理弄懂防火墙、WAF、IDS/IPS、EDR、堡垒机分别在什么位置解决什么问题。第五步才是模拟题和真题训练通过做题反查知识漏洞。时间紧张的情况下优先保证前三步因为这三块占了卷面六成以上的分数。安全行业有句话叫基础不牢地动山摇放到笔试里也一样适用。回过头来看2020年这套技术支持工程师的第三套试卷对我后来实际工作的影响比想象中要大。它教会我的不是某条命令、某个端口号而是遇到问题先不要急着下结论先把问题拆成网络、系统、应用、安全四个盒子逐个打开看。这个习惯后来我在处理真实客户工单时反复用到几乎每次都灵。如果你正在准备类似的笔试我想送你一句话笔试筛选的不是背过多少资料的人而是遇事能一步步定位、能用大白话把方案讲清楚的人。这一点从校招笔试到真实工作从来没变过。