用代码管理安全告警的检测与响应工程师

两周内四家公司新开了同一个职位

截至10月9日，有五家销售AI产品的公司正在招聘检测与响应（Detection & Response）或安全事件响应（Incident Response）工程师，其中四家是在9月28日之后新发布的职位。Notion在9月28日发布了Security Engineer, Detection and Response，Replit在10月5日发布了Security Engineer, Incident Response。Databricks的Staff Security Engineer, Incident Response发布于10月8日，Anthropic的Senior/Staff Security Engineer, Detection & Response发布于10月9日。Vercel在7月发布的Security Software Engineer, Detection & Response至今仍在招聘。

这个岗位为什么先在AI公司里多起来，Anthropic招聘启事里介绍岗位的第一句话给出了答案：模型能力越强，想要攻击或滥用模型的人也越多。AI红队用攻击者的眼光寻找弱点，这个专门方向则站在另一边。它编写能发现真实攻击的检测规则，事件发生后负责缩小影响范围并加以遏制。

五份招聘启事有两个共同点。第一，把这份工作当作软件开发来看待。Notion写道，它把检测与响应视为软件工程的一个分支，检测规则就是代码，平台就是产品，度量很重要。Vercel明确说，这个岗位不是按顺序处理积压告警，而是搭建系统。第二，五家中有四家把用LLM或智能体辅助检测与响应列为工作内容。Vercel把这件事描述为测试AI和智能体能在多大程度上安全地替响应人员分担工作。

美国劳工统计局（BLS）把这类工作归入信息安全分析师，预计这一职业的就业人数在2025年到2035年间增长21%，远快于全部职业的平均水平。未来十年平均每年约有1万4,100个职位空缺，2025年的年薪中位数为12万9,180美元。

用数字说明平安无事的一年

安全工作的成绩不容易被看见。做得越好越是什么都没发生，而什么都没发生很难在绩效考核里说清楚。新一批招聘启事用度量来回答这个问题。Notion把制定并跟踪检测覆盖率、平均检测时间（MTTD）、告警质量等指标写进了岗位职责。Replit要求主导不追究个人责任的事后复盘，把整改事项落实到底，并通过桌面推演检验准备情况、找出漏洞。

五家公司的岗位都包含值班轮换。告警半夜也会响，那个时间需要有人做判断。误报把人叫醒的规则会拖垮响应团队，真正遭到攻击时却一声不响的规则更糟。度量和检测本身同样受重视，原因就在这里。

规则写成代码，告警要量质量

第一道门槛是编写检测规则的语言。Notion要求至少掌握Sigma、KQL、SPL、YARA-L、EQL等检测查询语言中的一种，暂时不会也可以，只要SQL或Python扎实并愿意尽快学会。检测什么，要依据MITRE ATT&CK这类整理攻击者行为的框架来选择。Vercel明确要求，规则也要经过测试、代码评审和持续集成与交付（CI/CD）。

收集规则所读取的日志，也是这个岗位的工作。Vercel要求在服务器、容器和办公终端上部署osquery与eBPF传感器，并对传感器带来的性能开销和分阶段上线负责。采集日志、统一格式、补充上下文并存储的SIEM管道及其成本管理，也写在同一份启事里。五家公司都要求云运维经验，Replit还具体点名了Google Cloud的权限管理、审计日志和GKE。

响应分为自动化和指挥两部分。工程师要亲手打造隔离主机、吊销泄露的凭证和会话、收集证据的工具。Replit希望找到能在事件发生时担任指挥、让安全、SRE、研发和法务朝同一个方向行动，并在事后主导复盘的人。写作能力也必不可少。Notion要求能把操作手册、设计文档和事件记录写清楚。半夜收到同一条告警的另一个人，只看文档也应该能做出同样的判断。

从运营、系统或开发中的一条路入行

据BLS介绍，信息安全分析师通常以学士学位起步，很多人有在IT部门工作的经历，尤其是网络与计算机系统管理员。招聘方也把入口开得很宽。Notion表示面向多个经验层级招聘，以检测工程、安全运营、事件响应、威胁狩猎，或相近的安全或软件工程岗位3年以上经验为参考。Anthropic在优先条件里把7年以上软件工程经验和7年以上检测、响应经验并列。做开发的年头，也按同样的分量来算。

在中国，和这份工作最接近的是安全运营中心（SOC）里的安全运营工程师和应急响应工程师。无论从哪里起步，都要从处理告警往前走一步，去改进产生这些告警的规则和工具，才会成为海外招聘启事里说的检测与响应工程师。

到了资深阶段，薪酬区间明显拉开。Replit标出的年薪区间是23万到36万美元，Vercel标出的旧金山基本工资是20万8千到31万2千美元。不过，并不是所有职位都向海外求职者开放。Databricks把具备获得美国政府保密许可（Secret）的资格列为硬性条件，并要求学士学位加7年以上事件响应经验，或硕士学位加5年以上经验。证书的分量也因公司而异。Replit把GCIH、GCFA、GCFR等事件响应和取证类证书列为加分项，同时表示同等的实战经验也可以。

学生可以照着招聘要求倒推着准备。在自己搭建的实验环境里收集日志，写出能从日志里抓到攻击痕迹的规则，再给规则配上测试。像Notion列为加分项的紫队、蓝队演练那样，模拟攻击并据此改进检测的经历，本身就能成为简历上的一行。