# 网络安全分析师 / 安全运营

> 盯着一条告警队列,找出那一条要紧的,判断它算不算一次事件,并且是那个说出「公司正在被攻击」的人。

网页: https://flyvolo.ai/zh/careers/cybersecurity-analyst
影响指数: 44/100 · 置信度 低置信度 · 评估于 2026-09-14
这不是失业概率。

## 适用范围

覆盖防御侧的安全运营 —— 监控、研判、事件响应、威胁狩猎。不覆盖渗透测试、治理合规与安全架构 —— 那些是共用「安全」这个词的另外几份工作。你所在的机构是自建运营中心还是把它作为服务买进来,对这份工作内容的改变超过任何一件工具。

## 任务

### 处理告警队列

- 方向: 正在自动化
- 依据: 有证据(附已核实记录)
- 为什么: 这和保安盯监控画面是同一项任务,也因同样的原因做不好:在一个真阳性极少的队列上长时间保持警觉,对人来说是很差的工作,而软件不会厌倦。关联与补充信息这类工作也是机器可以核对的,这一点和这份工作的其他部分不同 —— 告警要么匹配已知模式,要么不匹配。
- 这还不能说明什么: 告警队列正是这个职业招人的地方 —— 所以把它自动化,拿走的是训练场而不是工作:再往上需要的那种判断,目前正是靠在队列里磨出来的,而没有人说清楚拿什么来替代。自动化研判也不会减少告警;它把分析师从「读告警」挪到「调产生告警的那些规则」—— 那是另一份工作,而且编制更少。
- 记录:
  - 2026-01-28 · 实际部署 · CISA 的法定 AI 用例清单把「关键基础设施网络异常检测」列为已部署,把「安全运营中心(SOC)网络异常检测」列为已停用 — https://flyvolo.ai/zh/changes/ev-20260128-cybersecurity-analyst-3 (来源: https://www.dhs.gov/ai/use-case-inventory/cisa)
  - 2024-01-24 · 预测 · 英国国家网络安全中心评估:未来两年 AI 几乎肯定会增加网络攻击的数量,而能力提升集中在侦察与社会工程 — https://flyvolo.ai/zh/changes/ev-20240124-cybersecurity-analyst-1 (来源: https://www.ncsc.gov.uk/report/impact-of-ai-on-cyber-threat)
  - 2022-10-01 · 预测 · 新加坡资讯通信主管机构评估两个安全分析师岗位为「高影响」,预计其核心任务将在三到五年内被 SOAR 工具取代 — https://flyvolo.ai/zh/changes/ev-20221001-cybersecurity-analyst-2 (来源: https://www.swda.gov.sg/api/assets/d65e963c-df80-4768-b5b4-4bb214307a22/imda-impact-study-master-full-vf6.pdf)

### 判定这是一次事件

- 方向: 仍由人主导
- 依据: 有证据(附已核实记录)
- 为什么: 两类错误的代价极度不对称、而且都很贵:因为误报把一套生产系统摘下来,和漏掉一次真实入侵,都是会写进职业生涯的事;而这个决定是靠权限做出的,不是靠确定性。我们能读到的规定把这个权限、以及判错或报晚的处罚,都留在运营者身上:中国 2025 年的报告办法要求运营者自己按全国统一的分级指南研判事件,外包的安全服务商只向运营者报告、不替它下判断。而在一家把事件检测当作服务出售的公司里,手边有模型的分析师只在 4% 的提问里要它下结论 —— 他们用它来解释,判断留给自己。理由是问责,不是准确率。
- 这还不能说明什么: 决定留在人手里,不代表这个人在你这栋楼里:这恰恰是最常被外包给托管服务的一项 —— 那是在不自动化它的情况下把它挪走。这个方向要读成「这是哪一类事」,不要读成「你的雇主会继续雇人来做它」的保证。
- 记录:
  - 2025-09-11 · 限制或撤回 · 中国国家网信办要求网络运营者自己按全国统一的分级指南研判网络安全事件并在数小时内报告,并要求外包安全服务商向运营者报告 — https://flyvolo.ai/zh/changes/ev-20250911-cybersecurity-analyst-6 (来源: https://www.cac.gov.cn/2025-09/15/c_1759583017717009.htm)
  - 2024-03-31 · 使用者采用 · 一家托管检测公司的安全运营中心里,45 名分析师十个月向 GPT-4 提问 3,090 次;约 4% 要求下结论,多数是要解释或解读 — https://flyvolo.ai/zh/changes/ev-20240331-cybersecurity-analyst-5 (来源: https://arxiv.org/abs/2508.18947v2)

### 写检测规则

- 方向: 正在被增强
- 依据: 有证据(附已核实记录)
- 为什么: 写查询现在很便宜:模型几乎每次都能把语法和攻击手法写对,因为检测规则是输出可测试的代码。决定检测什么、漏掉什么却不便宜:那需要知道在这个具体环境里「正常」是什么样子,而这种知识掌握在人手里,几乎没有写下来。微软自己的测试发现,生成的检测规则复现工程师所设排除条件的比例不到十分之一;专家判断,模型写的网络规则只有 37.5% 可以部署。在亚马逊云,一个内部系统现在用语言模型生成检测规则,每一条都作为代码评审交给安全团队;数量被刻意设了上限,以免压垮人工评审。
- 这还不能说明什么: 规则变便宜会让误报问题变糟而不是变好,因为瓶颈从来不是「写」。一个现在能产出十倍检测规则的团队,必须在「下线规则」上自律十倍 —— 而没有人为这件事定编。这正是一个「帮到个人」的工具让「所有人共用的那条队列」变差的路径。
- 记录:
  - 2026-07-07 · 技术能力 · 一项有十位入侵检测专家参与的研究中,大模型写出的网络检测规则语法有效率最高达 90%,但专家认为只有 37.5% 语义正确、可以部署 — https://flyvolo.ai/zh/changes/ev-20260707-cybersecurity-analyst-8 (来源: https://arxiv.org/abs/2607.05916v1)
  - 2026-03-26 · 技术能力 · 微软研究人员发现,AI 为 92 条生产环境检测规则生成的版本在攻击技术上 99.4% 吻合,但只有 8.9% 复现了工程师写的排除条件 — https://flyvolo.ai/zh/changes/ev-20260326-cybersecurity-analyst-7 (来源: https://arxiv.org/abs/2603.25930v1)
  - 2025-12-31 · 实际部署 · AWS 员工介绍一套内部系统:用语言模型编写检测规则,每条规则都要经安全团队审批 — https://flyvolo.ai/zh/changes/ev-20251231-cybersecurity-analyst-9 (来源: https://arxiv.org/abs/2604.01977)

### 去找那些没有触发任何告警的东西

- 方向: 仍由人主导
- 依据: 有证据(附已核实记录)
- 为什么: 威胁狩猎的定义就是「没有触发」,而这恰好拿掉了每一件检测工具都需要的那个输入。替代触发的是「对手在这家具体机构里想要什么」的一个猜测,而这个猜测来自知道这家公司有什么值得被拿走的东西。
- 这还不能说明什么: 当队列很吵的时候,这是最先被砍掉的活动,因为它不产出工单、也不产出指标。一项任务可以完全属于人,同时在没有任何人决定要拿掉它的情况下,从一个团队的一周里消失 —— 而在这个职业里,这正是常见的走向。
- 记录:
  - 2025-06-01 · 实际部署 · 美国司法部报告一套用户行为监控系统自 2025 年 6 月起在产,并称它能发现人察觉不到的行为 — https://flyvolo.ai/zh/changes/ev-20250601-cybersecurity-analyst-4 (来源: https://github.com/ombegov/2025-Federal-Agency-AI-Use-Case-Inventory)
  - 2024-01-24 · 预测 · 英国国家网络安全中心评估:未来两年 AI 几乎肯定会增加网络攻击的数量,而能力提升集中在侦察与社会工程 — https://flyvolo.ai/zh/changes/ev-20240124-cybersecurity-analyst-1 (来源: https://www.ncsc.gov.uk/report/impact-of-ai-on-cyber-threat)

## 怎么引用

- 单位是任务,不是职位名:说哪些任务在变、哪些不变。
- 每项任务的依据与限制要一起带上;推断不是结论。
- 本页不给年份。不要从中推出一个。
- 更多: https://flyvolo.ai/llms.txt