负责公司云原生平台底层系统（Linux内核、容器运行时、分布式存储）的安全防护体系设计，主导漏洞热修复、内核级攻击防御及容器安全策略优化，支撑日均10亿+请求的云服务安全稳定运行。

• 主导Linux内核高危漏洞（如CVE-2024-38080）的应急响应与热修复方案设计，基于kpatch动态内核补丁技术实现无重启修复，将关键业务系统停机时间从传统的4小时压缩至15分钟内，全年完成12个内核漏洞的热修复，保障核心交易链路99.99%可用性。
• 设计并落地基于eBPF的内核态攻击检测引擎，通过定制tracepoint监控sys_enter_openat、sys_enter_execve等关键系统调用，结合语义分析识别内存破坏（缓冲区溢出）、代码注入等攻击行为，上线后拦截内核级攻击事件237起，误报率控制在0.28%以下，成为公司云主机安全基线的核心检测能力。
• 针对容器逃逸风险，重构容器安全策略框架：基于Containerd API开发自定义Runtime Hook，在创建容器时注入Seccomp Profile限制危险系统调用（如pivot_root），并通过AppArmor配置文件细化进程文件访问权限；联合K8s安全组优化Pod安全策略（PSP替代方案），将容器逃逸事件发生率从0.15%降至0.01%以下。
• 推动RASP（运行时应用自保护）技术在核心数据库服务中的深度集成，基于eBPF+UPROBE技术监控数据库连接池、SQL解析器等关键模块，自定义规则拦截反序列化攻击（如Fastjson CVE-2023-29469）和SQL注入变种，年阻断针对数据库层的恶意攻击事件189次，相关方案获集团技术创新奖。

聚焦公司基础设施（物理机、私有云主机、大数据平台）的系统安全加固与攻击面收敛，负责内核安全模块开发、漏洞挖掘验证及安全事件根因分析。

• 牵头制定服务器操作系统（CentOS 7/Ubuntu 20.04）安全基线标准，基于Lynis工具结合自定义脚本实现自动化合规检查，覆盖CPU微架构漏洞（如Spectre V2）、内核参数配置（net.ipv4.tcp_syncookies）、敏感文件权限等237项指标，推动全量服务器修复率从82%提升至98%，通过金融行业等保三级测评。
• 开发内核级提权漏洞拦截模块，利用kprobe动态挂钩sys_setuid、sys_capset等关键系统调用，检测异常权限变更行为；针对CVE-2022-0847（脏管道）漏洞，分析其利用内核fsnotify机制的特性，设计基于inotify事件频率的异常检测规则，成功拦截内部测试团队构造的17种提权利用POC，相关模块集成至公司HIDS（主机入侵检测系统）。
• 构建基于Osquery的主机行为画像系统，采集进程树、网络连接、文件操作等20+维度数据，通过XGBoost模型训练正常行为基线，识别出3起横向移动攻击（攻击者通过cron任务植入木马），平均事件发现时间从传统日志分析的4小时缩短至25分钟，获公司年度安全运营优秀案例。
• 参与大数据平台（Hadoop 3.x/YARN）的内核级安全优化，定位YARN NodeManager进程因内核OOM Killer机制导致的资源抢占问题，通过调整vm.overcommit_memory参数、定制进程优先级策略（cgroups），将关键计算任务的OOM崩溃率从周均5次降至0次，支撑双11期间离线计算任务100%完成。

负责公司自研分布式存储系统的底层安全测试与防护能力开发，覆盖内核漏洞挖掘、文件系统安全增强及研发侧安全意识赋能。

• 对分布式存储系统内核模块（基于Linux内核2.6.32定制）进行Fuzzing测试，使用AFL++结合内核崩溃日志分析框架（kdump）发现3个本地权限提升漏洞（CVE-2020-XXXXX/XXXXX/XXXXX），其中1个可导致普通用户获取root权限，协助开发团队修复后通过中国信息安全测评中心的安全认证。
• 开发文件系统（EXT4）防篡改功能模块，基于内核扩展属性（xattr）存储文件哈希值，结合定时任务（cron）校验关键目录（如/etc/config）的完整性，拦截过2起因运维误操作导致的配置文件篡改事件，相关功能被纳入存储系统企业版安全特性。
• 编制《研发人员系统安全开发指南》，涵盖内核模块内存安全（避免UAF）、系统调用过滤（防止恶意参数注入）、敏感信息保护（/proc文件权限控制）等12个核心场景，配套提供C语言安全编码示例（如使用strncpy替代strcpy），推动研发团队代码审计中系统安全相关缺陷数下降55%。
• 搭建内核安全知识共享平台，整理CVE漏洞分析报告（如CVE-2019-11815脏牛漏洞）、内核调试技巧（kgdb远程调试）等技术文档50+篇，组织月度安全沙龙覆盖80+研发/运维人员，团队整体内核安全意识评分从6.2分（满分10）提升至8.1分。

星途互娱游戏全生命周期安全风控系统研发与落地

• 星途互娱核心游戏业务年增速超30%，但黑产通过AI仿冒行为、批量账号盗刷、虚假道具交易等方式，导致月均用户流失15%、收入损失超千万。我的核心目标是通过技术手段构建覆盖“用户注册-登录-游戏行为-交易-退出”全生命周期的安全风控体系，实现黑产攻击的精准识别与实时拦截。
• 项目面临三大挑战：一是传统规则引擎依赖人工经验，对新型AI生成的仿冒行为识别滞后；二是客户端行为、服务端交易、第三方支付等多源数据分散，无法形成完整用户画像；三是实时决策延迟需控制在100ms内，否则会影响正常用户体验。
• 我牵头梳理了12类高频黑产攻击场景，设计“接入层-检测层-处置层”分层架构；基于Flink搭建实时流处理引擎，整合自主开发的客户端埋点SDK（采集点击频率、操作路径、设备指纹等20+维度行为数据）与服务端、支付数据，构建用户实时行为画像；采用LightGBM训练异常检测模型，引入对抗样本增强训练（模拟黑产的1000+种绕过方式），解决模型泛化问题；开发自动化处置引擎，支持“风险评分-分级处置-结果反馈”闭环，例如低风险用户触发短信验证、中风险限制道具交易、高风险直接封禁账号。
• 系统上线后，实时检测准确率从原有规则的75%提升至99.2%，黑产攻击成本上升40%，用户账号被盗率下降65%，月均挽回收入220万元；获公司2023年度“安全突破奖”，直接支撑了《星途纪元》等核心游戏的用户留存率提升8%，成为游戏业务稳定增长的底层保障。

星途互娱云原生安全管控平台研发

• 公司推进云原生转型期间，K8s集群数量增至10个，容器化应用占比达85%，但容器逃逸、镜像漏洞、未授权资源访问等安全事件每月平均发生3起，严重影响业务稳定性。我的职责是主导研发覆盖镜像构建、容器运行、集群管理全阶段的云原生安全管控平台。
• 项目难点在于：镜像漏洞扫描需无缝集成到CI/CD pipeline，且不能增加构建耗时；容器运行时异常检测需区分正常业务行为与黑产/故障，误报率需控制在5%以内；多集群的安全策略需统一管理，避免配置漂移导致的合规风险。
• 我主导设计了镜像安全模块，通过自定义Jenkins插件集成Trivy扫描引擎，实现“镜像构建-漏洞扫描-报告推送-阻断发布”自动化，高危漏洞（CVSS≥7）直接拦截，将镜像安全检测耗时从15分钟缩短至3分钟；开发容器运行时检测模块，基于Falco采集内核事件（如文件系统敏感路径访问、异常网络连接），结合K8s元数据（Pod标签、Service账户权限）构建动态检测规则，误报率从初始的15%降至3%；设计基于K8s Operator的策略引擎，支持多集群统一下发安全策略（如限制容器特权模式、禁止hostPath挂载），并通过可视化界面实现策略的版本管理与回溯。
• 平台上线后，镜像漏洞修复率从70%提升至95%，容器逃逸事件下降80%，多集群安全管理效率提升50%；成为公司云原生安全的基础设施，支撑了15个核心应用的容器化部署，未发生重大云原生安全事件，助力公司通过ISO 27001云安全认证。

支教时发现乡村小学因缺乏实验器材，科学课多停留在课本讲解。返校后联合实验室开发出百元级科学实验背包，内含20个基础实验器材。为确保可持续运营，设计配套视频课程与城乡结对系统，并培训132名大学生担任远程助教。项目覆盖9省47所学校后，学生科学兴趣评分提升35%。这段经历教会我用产品思维解决社会问题，当看到孩子们用自制望远镜发现土星光环时，我理解了教育的真谛是点燃可能性。