集团安全部-终端安全研发工程师-反入侵方向-北京

岗位职责

团队介绍 我们负责企业级终端安全（EDR）产品的研发，覆盖 Windows、macOS 和 Linux，工作内容包括终端反入侵、威胁检测与防护，以及大规模终端的稳定运行。 AI Agent 加自动化验证平台（Agentic Harness）是团队的核心研发方式。环境搭建、编译签名、测试验证、逆向分析、问题排查和代码维护，正逐步交由 Agent 在可验证的工程体系中完成。

岗位职责

1. 反入侵产品能力与安全方案建设
   • 覆盖初始入侵、代码执行、持久化、提权、防御规避和横向移动，设计内核态与用户态协同的检测与防护方案；
   • 负责方案从设计、研发、灰度到上线运营的全过程。
2. 内核态检测与防护
   • 设计和开发 Windows 安全驱动，覆盖进程、线程、模块加载、文件、注册表和网络等内核事件的采集、过滤与拦截；
   • 建设底层文件访问等内核能力；
   • 保障驱动的兼容性、稳定性和性能。
3. 用户态检测与防护
   • 建设进程注入、API Hook 和进程内监控能力；
   • 建设漏洞利用防护与内存威胁检测，覆盖 ROP、Shellcode、进程镂空、无文件攻击、脚本与宏攻击、远程线程注入；
   • 建设行为关联与攻击链还原能力。
4. 威胁研究与逆向分析
   • 跟踪在野威胁，分析样本、漏洞利用和攻击工具，并转化为检测规则和防护策略；
   • 逆向 Windows 内部机制和第三方软件行为，解决兼容、误报和冲突问题。
5. 检测效果与线上质量
   • 以真实攻击检出和演练召回衡量效果，治理误报；
   • 定位蓝屏、崩溃和性能问题，跟踪灰度和稳定性指标。

任职要求

任职要求

1. 本科及以上学历，计算机、软件工程、信息安全等相关专业；5 年以上 C/C++ 系统开发经验。
2. Windows 内核驱动：熟悉 WDM/KMDF 或文件系统过滤驱动，了解 IRP、内核回调、IRQL、同步和内存管理；有驱动签名、发布升级、兼容性处理和蓝屏分析经验。
3. 用户态机制：熟悉进程/线程、PE、APC、TLS、异常处理和调用约定；有 API Hook、注入或反注入实践。
4. 逆向：熟练使用 IDA Pro、Ghidra、x64dbg、WinDbg；能读 x86/x64 汇编，独立完成样本分析、Dump 分析和问题定位。
5. 攻防理解：熟悉常见攻击技术和 ATT&CK，能在检出率、误报率、性能和稳定性之间做工程权衡。
6. AI Agent 工程化能力（不仅是用 AI 补全代码）：
   • 能设计 Skill、Tool、工作流和领域知识库，把环境搭建、编译签名、部署验证、日志分析和问题排查沉淀为可执行、可重入、可追溯的流程；
   • 能建设验证 Harness，包括外围依赖 Mock、契约测试、集成测试、故障注入、回放测试和机器可判定的结果比对；
   • 能用 AI 辅助逆向（IDA/Ghidra 插件或 MCP 批量反编译、函数识别、样本比对），并通过反编译、符号和动态调试核实结论；
   • 理解 Agent 的失败模式（虚构接口、越权修改、局部推断、验证不足），能设计评测和权限边界，让高风险修改进入人工审核。
7. 熟悉 Rust，或能较快上手。

加分项

• 有 EDR、杀毒、HIPS、反作弊或主机防护产品经验。
• AI Agent 安全检测或管控经验：
  • 对终端 AI 编程助手和智能体应用做行为审计；
  • 管控 Agent 的工具调用、MCP、命令执行和文件访问；
  • 防护提示注入、敏感数据外泄和供应链投毒。
• 有漏洞复现、APT 分析、红蓝对抗或攻防演练经验，或获得过 CVE。
• 有 YARA、Sigma 规则引擎或行为关联检测引擎经验。
• 有文件系统过滤驱动、底层磁盘/卷访问、进程保护或崩溃采集经验。
• 开发过 IDA/Ghidra 的 AI 插件、MCP 服务，或有公开的 Agent 工程实践。
• 有 Windows 自动化测试环境，或驱动签名与发布 CI/CD 的建设经验。

岗位标签

NEW