终端安全检测引擎专家

岗位职责
1.定义检测引擎的能力边界、检测范式与版本演进路线，推动从特征库驱动走向「特征 + 行为 + AI」融合的检测体系。
2.设计并演进端点上的采集与阻断组件（Windows 内核驱动、Minifilter / WFP / ELAM，Linux LKM / eBPF / LSM 等），保证跨平台与信创环境下的稳定与兼容。
3.面向进程注入、内存加载、无文件攻击、EDR 绕过与行为混淆等高级手法，设计检测策略与多维行为建模，持续提升对未知与变种威胁的检出率。
4.针对热点病毒家族与行业化攻击场景产出专杀方案与检测规则，建立规则编写、验证、上线与退役的运营闭环。
5.把检测、阻断、隔离、取证与恢复串成本地闭环能力，降低对云端与人工的依赖，并控制误报对业务的影响。
6.面向 MITRE ATT&CK 与真实攻防场景建设样本集、评测基线与自动化回归；带小规模团队并沉淀检测工程方法论。
任职要求
1.本科及以上学历。
2.5 年以上终端安全、反病毒引擎或 EDR 方向研发经验，其中 2–3 年主导检测引擎、检测策略或内核态组件方向；有完整走通「检测设计 → 实现 → 效果评测 → 上线运营」的端到端案例。
3.深入理解 Windows 或 Linux 操作系统内部机制（进程 / 线程 / 内存 / 文件系统 / 驱动加载 / 内核回调）；有内核驱动或内核态组件开发经验（Windows Minifilter / WFP / ELAM / 内核回调，或 Linux LKM / eBPF / LSM / audit 等）。
4.熟悉高级攻击 TTP 与主流 EDR 绕过、致盲手法（进程注入、内存加载、行为混淆、Rootkit 等），理解 MITRE ATT&CK，能复现攻击并设计对抗检测方案。
5.熟练使用 IDA / WinDbg / x64dbg / Ghidra 等工具，具备 x86 / x64（或 ARM）二进制逆向与恶意样本分析能力。
6.具备 YARA / SIGMA / 特征库等检测规则的编写与运营经验，理解高性能匹配与误报治理方法。
7.精通 C/C++（Windows / Linux 平台），熟悉多线程、性能剖析与稳定性治理；能用 Python 做工具化与自动化。
8.优先条件：有场景化专杀工具开发案例；有百万级以上终端规模的引擎稳定性与性能预算（CPU / 内存 / I/O）优化经验；有反篡改、自保护与代码完整性设计经验；有 macOS Endpoint Security、虚拟化与沙箱（反虚拟化）或云工作负载安全经验；有 CTF / 漏洞挖掘 / 会议演讲 / 开源安全项目成果。