同一批安全设备，交到两个人手里，半年后会变成两套完全不同的能力。
一个人每天做的事是：看告警、点关闭、设备升级、巡检打勾、月报填数。设备一台没少，人也一直很忙，但真出事的时候，他能给出的只有”我看一下”。
另一个人做的是：先问这条告警对应攻击链的哪一步，再去看主机日志能不能印证，然后把判断写成规则，让同类告警下次自动降级或升级。半年后他手里有一套能复用的检测逻辑，换一家公司也能带走。
差别不在努力程度，也不在谁考的证多。差别在于有没有一张”知识地图”——知道自己现在站在哪一层，上一层需要什么，以及每一层的判断标准是什么。
这篇文章试着把安全工程拆成六层，逐层说清楚该会什么、怎么判断自己会不会、以及最常见的误区。它不是课程大纲，更像一张可以拿去对照自己的地图。
六层地图
表达 / 文档 / 复盘
┌──────────────────────────────┐
│ 6 合规与治理 等保 密评 数据安全 │
│ 5 云与云原生 IAM VPC K8s 镜像 │
│ 4 日志与检测 SIEM ATT&CK 规则 │
│ 3 主机与终端 EDR HIDS 基线 │
│ 2 网络与边界 WAF CDN DDoS │
│ 1 身份与访问 ZTNA PAM 权限 │
└──────────────────────────────┘
工程 / 数据 / 自动化越往下越基础，越往上越接近业务和决策。但注意：这不是职级阶梯，而是依赖关系。第四层做不好，往往不是检测工具不行，而是第一层的身份数据和第三层的日志质量本身就是烂的。
第一层：身份与访问
这一层回答的问题是：是谁，在什么条件下，能访问什么。
三个关键词：认证、授权、审计。听上去简单，落地时九成工作量在数据治理——组织架构对不对、离职账号有没有回收、设备归属清不清楚。策略写得再漂亮，如果账号体系是脏的，零信任最后一定退化成”全员放行”。
判断自己会不会，不看能不能配策略，看三个问题：
- 给你一份用户和应用的全量清单，你能不能在一小时内找出”90 天没登录但仍有权限”的账号？
- 一个员工转岗，他的权限是按新岗位重新授予，还是在旧权限上叠加？
- 一次访问被拒绝，你能不能说出是哪条策略、因为哪个条件拒绝的？
第三个问题最容易被忽略。很多团队上了零信任，但决策日志只记 allow 和 deny，不记原因。结果是每天被”我明明有权限为什么打不开”的工单淹没，最后只能加白名单了事。
身份层的产物应该是三样：一张账号全生命周期状态机（入职、转岗、离职、长期未用）、一套最小权限的判定规则、一份可查询的决策日志。这三样做出来，后面几层都会轻很多。
第二层：网络与边界
这一层的关键词是 WAF、防火墙、CDN、DDoS、VPN。但真正的能力不是”会配”，而是知道正常流量长什么样。
举个具体例子。CDN 接入之后，源站应该是不可直接访问的：回源要有鉴权，防盗链要生效，TLS 版本要收敛，缓存键不能被用户可控的头部污染，日志要能落到自己的分析链路里。这些检查项加起来不到十条，但每一条都对应一类真实事故——源站被打穿、资源被盗刷、缓存投毒、证书过期。
判断标准可以很朴素：随便挑一个业务域名，你能不能在三分钟内回答——
- 它的流量经过哪些节点，哪一段是可观测的？
- 如果源站 IP 暴露，攻击者能绕过哪些防护？
- 一次 502 或 403 激增，你先看哪三个指标？
网络层的误区是把它当成”配通就行”。配通是运维目标，安全目标是”在最坏情况下仍然可控”。这两者的差别，会在一次真实攻击里全部暴露。
第三层：主机与终端
主机层是 EDR、HIDS、基线加固、补丁管理。这一层最容易被做成”打勾工程”：基线扫一遍、报告出一份、整改率 95%，然后呢？
基线的本质是下限，不是上限。它保证你不会因为一个弱口令、一个未打补丁的组件被随手拿走；但它挡不住一个有耐心的攻击者。真正的主机能力体现在能不能回答：
- 这台机器上，哪些进程在对外连接？其中哪些是业务不该有的？
- 一个 Webshell 落地，它的父进程是谁，落地时间点前后还有什么动作？
- 同样的攻击在另一台机器上会留下什么不同的痕迹？
这些问题的答案都在日志里。所以第三层往上，必然要接到第四层。很多人卡在这里：主机工具会用，但不会读日志，于是永远停在”发现问题—上报—等别人处理”的位置。
第四层：日志与检测
这是防御方真正的分水岭。
检测的本质不是”看告警”，而是三步：提出假设、验证假设、度量效果。
假设可以来自任何地方：一条 ATT&CK 技术、一次应急复盘、一篇漏洞分析。比如你怀疑有人用计划任务做持久化，那就去写一条规则：监控计划任务的创建事件，排除已知的运维脚本，观察一周的命中情况。
验证要看三件事：正例能不能命中、反例会不会误报、攻击者稍微变形还能不能绕过。只做第一步的规则，上线三天就会被关掉。
度量是最少人做的：这条规则一周命中多少次、其中多少是真事件、平均研判耗时多少、误报主要集中在哪个业务线。没有度量的检测体系，会随着时间自然腐烂——规则越加越多，信噪比越来越低，最后大家对告警脱敏。
判断自己在第几层，有个简单方法：
- 只会看厂商给的告警，是第 1 层；
- 能自己写规则并验证，是第 2 层；
- 能用数据说明”我的检测体系这季度变好了还是变差了”，是第 3 层。
大多数做了一两年安全运维的人停在 1.5 层。不是不聪明，是没人要求他往上走——值班表上只写着”处理告警”，没写着”证明你的检测有效”。
第五层：云与云原生
云安全最容易背的一句话是”责任共担模型”。它经常被当成免责条款：基础设施是云厂商的责任，我只管我的应用。但实际上，责任共担画出的是一条模糊的边界，出事的时候没人会因为这句话少挨一句问责。
云上真正要掌握的是四件事：
一是身份。云 IAM 的权限模型比传统系统复杂得多，角色、策略、信任关系、临时凭证，任何一处配错都可能等价于把钥匙挂在门上。AK 泄露之所以是高频事故，就是因为一把长期密钥的权限往往远超它的用途。
二是网络。VPC、安全组、子网、路由、私网端点，决定了”哪些东西本来就不该互通”。云上横向移动的很多案例，根因是两台不该互通的主机在同一个安全组里。
三是云原生。K8s 的攻击面和传统主机完全不同：API Server 的未授权、ServiceAccount 令牌、RBAC 过宽、镜像里的后门、容器逃逸。判断标准不是”会不会用 kubectl”，而是给你一个集群，你能不能在半天内列出五个最该先修的风险。
四是审计。云厂商都提供操作审计日志，但很多团队从来没打开过。它是云上唯一能还原”谁在什么时候改了什么”的东西，不开等于放弃取证能力。
第六层：合规与治理
等保、密评、数据安全法、个人信息保护法、行业监管要求——这一层决定了很多项目能不能上线，也让很多人误以为它就是安全本身。
合规是底线清单，安全是对抗过程。过了等保三级，说明你满足了某一套基线要求，不代表你挡得住一次有针对性的攻击；反过来，一个检测能力很强的团队，也可能因为材料不齐而卡在测评上。
这一层真正的能力是”翻译”：把监管语言翻译成技术动作，把技术现状翻译成测评能接受的证据。比如”应对重要数据实施重点保护”这句话，落到地上可能是：数据分类分级表、访问审批流、加密与脱敏方案、审计日志留存周期、以及一条能证明它真的在跑的抽查记录。
会做这一层的人，在甲方和国企里非常值钱，因为大部分人只会写技术方案，不会写”能被检查和验收的方案”。
三条横切线
六层之外，有三条能力是横着穿过去的，缺了任何一条，六层都会打折扣。
工程能力。不是要你成为开发，而是要能把重复动作变成脚本和工具。拉 API、清洗数据、批量核查、自动出报告——这些事的共同点是”做一次很烦，做一百次必须自动化”。Python 够用，会用 requests 和 pandas 就能解决八成问题。
数据能力。安全工作的输出最终都是判断，而判断需要证据。告警量、误报率、平均响应时间、资产覆盖率、漏洞修复周期——这些指标不是为了汇报好看，而是为了让你知道自己有没有变好。
表达能力。一次应急的价值，一半在处置，一半在复盘。同样一件事，有人写成时间线清晰的复盘，别人看完能复用；有人写成”已处理，已加固”，等于没发生。写作不是软技能，它是安全工作的放大器。
三个值得早点想明白的问题
第一，为什么”运维视角”会限制成长。
运维优化的是”可用”：系统别挂、变更别出事、指标别超阈值。安全优化的是”对抗”：假设对手已经在里面，我还能不能发现、能不能限制、能不能还原。
这两种视角没有高下，但它们的训练方式完全不同。长期只做运维，会形成一种惯性——遇到异常先想”怎么让它恢复正常”，而不是”这个异常说明了什么”。前者让你成为可靠的执行者，后者才让你成为能做判断的人。
第二，证书到底解决什么问题。
证书解决的是”共同语言”和”资质门槛”。甲方用它证明团队能力，招标用它当准入条件。它不解决能力问题——没有任何一张证书能证明你会写一条低误报的检测规则。
所以性价比最高的策略是：公司报销就考，JD 明确要求就考，其余时间把预算换成实验环境和时间。一个能演示的检测项目，比三张证书更能说明问题。
第三，AI 会先替代哪一部分安全岗位。
会先替代”信息搬运”：把告警翻译成人话、把日志摘要成日报、把测评条款对成检查项。这些工作现在已经在被替代。
不容易替代的是”定义什么算异常”。模型可以告诉你这条日志很罕见，但它不知道你的业务在这个时间点该不该有这种访问。判断需要上下文，上下文来自对系统和业务的理解——这恰恰是运维出身的人的优势，前提是他愿意从”维护系统”走到”理解系统”。
如果重来一次，我会这样排十二个月
前三个月只做一件事：把身份和日志打通。选一个真实场景（账号治理、告警降噪、基线核查都行），从数据拉取做到报告输出，全程自己写脚本。目标不是做完，是跑通”数据—判断—产出”的闭环。
中间六个月补检测。搭一套可以随便折腾的实验环境，用公开的攻击模拟工具造事件，自己写规则、自己验证、自己统计误报。同时把 ATT&CK 当目录用，而不是当知识背。
最后三个月做输出。把前面做的东西整理成三篇能公开的技术笔记、一份脱敏的复盘、一个可以演示的工具。然后用这些去交流——它们比任何一句”我负责过某某运维”都更有说服力。
最后
这张地图不是用来焦虑的。六层全通的人很少，多数人是在两三层上做得比别人深。
它的用处是让你在每天被工单淹没的时候，还能回答一个问题：我今天做的事，是在加深某一层，还是只是在维持它运转。
前者会累积，后者不会。
文中提到的方法与命令均在实验环境验证，不涉及任何具体单位与生产环境。