护网蓝队中级面试题及详细答案（实战接地气版）.docxVIP

护网蓝队中级面试题及详细答案（实战接地气版）

一、基础认知与岗位职责（高频必问）

1、你理解的蓝队是什么？护网期间蓝队核心工作有哪些？

参考答案：

蓝队核心是防守，主要负责己方网络、服务器、业务系统的安全监测、告警研判、应急处置、溯源整改，和红队的渗透攻击形成对抗。

护网期间我的核心工作主要分四块：

第一是7*24小时值守，实时监测态势平台、防火墙、WAF、IPS、主机安全等各类设备告警，做到告警不积压、不遗漏；

第二是告警研判，快速区分误报、干扰告警、真实攻击，对有效攻击立刻定级处置，避免漏报；

第三是应急响应，针对挖矿、webshell、暴力破解、越权访问、漏洞利用等攻击，做阻断、清理、隔离、加固；

第四是复盘汇总，每日整理攻击态势、重点威胁、处置记录、问题短板，配合专班输出日报、复盘报告。

2、护网期间告警很多、噪音很大，你是怎么处理告警积压问题的？

参考答案：

首先不会盲目逐条硬看，先做降噪+分级。

第一步先过滤固定误报，比如内网扫描、运维常态化访问、设备心跳探测、合规扫描这类固定噪音，整理成白名单，统一屏蔽，减少重复告警；

第二步按威胁等级排序，高危漏洞利用、webshell上传、恶意代码执行、横向移动、权限提升这类高危告警优先处置；暴力破解、普通端口扫描次之；

第三步批量归类处置，同一IP、同一攻击payload、同一时间段的同类告警合并研判，不用逐条重复分析；

最