用程式碼管理資安警示的偵測與應變工程師

兩週內四家公司新開了同一個職缺

截至10月9日，有五家銷售AI產品的公司正在招募偵測與應變（Detection & Response）或資安事件應變（Incident Response）工程師，其中四家是在9月28日之後新刊登的職缺。Notion在9月28日刊登了Security Engineer, Detection and Response，Replit在10月5日刊登了Security Engineer, Incident Response。Databricks的Staff Security Engineer, Incident Response刊登於10月8日，Anthropic的Senior/Staff Security Engineer, Detection & Response刊登於10月9日。Vercel在7月刊登的Security Software Engineer, Detection & Response至今仍在招募。

這個職位為什麼先在AI公司裡變多，Anthropic職缺說明裡介紹職位的第一句話給了答案：模型能力越強，想攻擊或濫用模型的人也越多。AI紅隊用攻擊者的眼光找弱點，這個專門方向則站在另一邊。它撰寫能察覺真實攻擊的偵測規則，事件發生後負責縮小影響範圍並加以圍堵。

五份職缺說明有兩個共通點。第一，把這份工作當成軟體開發來看。Notion寫道，它把偵測與應變視為軟體工程的一個分支，偵測規則就是程式碼，平台就是產品，量測很重要。Vercel明確表示，這個職位不是依序處理堆積的警示，而是打造系統。第二，五家中有四家把用LLM或代理輔助偵測與應變列為工作內容。Vercel把這件事描述為測試AI和代理能在多大程度上安全地替應變人員分擔工作。

美國勞工統計局（BLS）把這類工作歸入資訊安全分析師，預估這個職業的就業人數在2025年到2035年間成長21%，遠快於所有職業的平均水準。未來十年平均每年約有1萬4,100個職缺，2025年的年薪中位數為12萬9,180美元。

用數字說明平安無事的一年

資安工作的成績不容易被看見。做得越好越是什麼都沒發生，而什麼都沒發生很難在績效考核裡說清楚。新一批職缺說明用量測來回答這個問題。Notion把訂定並追蹤偵測涵蓋率、平均偵測時間（MTTD）、警示品質等指標寫進了職務內容。Replit要求主導不追究個人責任的事後檢討，把改善事項落實到底，並透過桌上演練檢驗準備程度、找出缺口。

五家公司的職缺都包含輪值待命。警示半夜也會響，那個時間需要有人做判斷。誤報把人叫醒的規則會拖垮應變團隊，真正遭到攻擊時卻一聲不響的規則更糟。量測和偵測本身同樣受到重視，原因就在這裡。

規則寫成程式碼，警示要量品質

第一道門檻是撰寫偵測規則的語言。Notion要求至少熟悉Sigma、KQL、SPL、YARA-L、EQL等偵測查詢語言中的一種，暫時不會也可以，只要SQL或Python紮實並願意盡快學會。要偵測什麼，則依據MITRE ATT&CK這類整理攻擊者行為的框架來挑選。Vercel明確要求，規則也要經過測試、程式碼審查和持續整合與交付（CI/CD）。

蒐集規則所讀取的日誌，也是這個職位的工作。Vercel要求在伺服器、容器和工作用端點部署osquery與eBPF感測器，並對感測器帶來的效能負擔和分階段上線負責。蒐集日誌、統一格式、補上脈絡並儲存的SIEM管線及其成本管理，也寫在同一份職缺說明裡。五家公司都要求雲端維運經驗，Replit還具體點名了Google Cloud的權限管理、稽核日誌和GKE。

應變分為自動化和指揮兩部分。工程師要親手打造隔離主機、撤銷外洩的憑證和工作階段、蒐集證據的工具。Replit希望找到能在事件發生時擔任指揮官，讓資安、SRE、研發和法務朝同一個方向行動，並在事後主導檢討的人。寫作能力也少不了。Notion要求能把作業手冊、設計文件和事件紀錄寫清楚。半夜收到同一則警示的另一個人，只看文件也應該能做出同樣的判斷。

從維運、系統或開發其中一條路入行

根據BLS的說明，資訊安全分析師通常以學士學位起步，許多人有在IT部門工作的經歷，尤其是網路與電腦系統管理員。招募方也把入口開得很寬。Notion表示會招募多種經驗程度的人，以偵測工程、資安維運、事件應變、威脅獵捕，或相近的資安或軟體工程職位3年以上經驗為參考。Anthropic在加分條件裡把7年以上軟體工程經驗和7年以上偵測、應變經驗並列。當開發者的年資，也用同樣的分量來計算。

在台灣，和這份工作最接近的是資安監控中心（SOC）和資安事件應變團隊（CSIRT）。無論從哪裡起步，都要從處理警示再往前一步，去改進產生這些警示的規則和工具，才會成為海外職缺說明裡的偵測與應變工程師。

到了資深階段，薪酬區間明顯拉開。Replit標出的年薪區間是23萬到36萬美元，Vercel標出的舊金山底薪是20萬8千到31萬2千美元。不過，並不是所有職缺都對海外求職者開放。Databricks把具備取得美國政府機密等級安全許可（Secret）的資格列為必要條件，並要求學士學位加7年以上事件應變經驗，或碩士學位加5年以上經驗。證照的分量也因公司而異。Replit把GCIH、GCFA、GCFR等事件應變和鑑識類證照列為加分條件，同時表示同等的實務經驗也可以。

學生可以照著職缺要求反推來準備。在自己架設的實驗環境裡蒐集日誌，寫出能從日誌中抓到攻擊痕跡的規則，再替規則加上測試。像Notion列為加分條件的紫隊、藍隊演練那樣，模擬攻擊並據此改進偵測的經驗，本身就能成為履歷上的一行。