流量分析

安全运营人员应重视流量分析能力的培养。现在很多安全培训和竞赛对流量分析的重视，我认为是不够的。简单的从流量分析中找到恶意文件和HTTP报文是不能满足实际安全运营的需要。目前辅助安全运营人员辅助流量分析的安全设备很成熟，网络流量结合威胁情报进行分析的安全产品日趋成熟，加密流量分析安全产品逐渐成为热点。流量分析能力对于安全运营人员来说越来越不可或缺。

溯源取证

应急响应是安全运营工作的最后一个环节，也是安全运营工作中最棘手的工作之一。应急响应工作中，大多数运维人员或者软件开发人员没有溯源取证的意识，焦急的心态驱使他们想尽一切办法要迅速恢复业务系统，这往往破坏了“案发现场”。这是经常的事情，正确的方式应是等安全人员到达现场后在安全人员指导下进行恢复。但是在恢复之前，安全运营人员需要充分的溯源取证。
      一个安全问题的产生并不只是某台主机的问题，背后往往是一系列的问题。安全运营人员应能够根据信息系统出现的异常现象，依托电子取证技术，逐步进行溯源排查。实际这一点对安全运营人员要求有些苛刻了，但是溯源取证的工作在安全运营中绝对是绕不开的。组织在规划安全能力的时候或者安全厂商提供安全服务的时候往往把这部分工作融入到其他安全能力中，我认为这是不合适的。
      案件类型的的溯源取证在实际工作中比较少见，多数需要安全运维人员能够做基本的取证，例如定位恶意文件、定位恶意进程、端口等等，如果溯源取证能力很强的话，安全监测方面可以提出更高的目标，例如发现APT组织攻击之类，总之溯源取证能力就像工具汽车后备箱里的备胎，不常用，一定要有。

应用安全

“苍蝇不叮无缝的蛋”。应用系统漏洞就是这个 “缝”。每天都有大量利用应用RCE漏洞的IP地址在扫描，安全运营人员需要从这些攻击中找到有真正威胁的攻击。应用系统的远程漏洞危害巨大，且不断涌现。安全运营人员应该能够分析、验证最新涌现的应用系统漏洞，从而迅速进行响应。

威胁情报

安全运营人员应具有运用威胁情报的能力，结合安全设备，利用好威胁情报的IOC。这也是威胁狩猎比较低级的能力。安全运营团队应根据威胁情报和自身组织的行业性质、历史安全事件等，找到长期对自身组织进行网络渗透的典型APT组织，并对其进行深入研究，结合ATT&CK框架进行监测能力的持续提升，从而防范重大风险。

团队合作

除了上述技术能力之外，为了能让不同领域部门的同事协作共同完成组织安全目标安全运营人员还应该具备良好的团队协作能力。

写作能力

写报告也是安全运营人员的主要工作，良好的写作能力能使领导同事认同你得努力和付出，进而促进组织的网络安全工作。