قائمة رائعة لمقابلات أمن التطبيقات

قائمة منسقة من الموارد والأسئلة التدريبية والمواد الدراسية لمساعدتك في الاستعداد لمقابلات مهندس أمن التطبيقات، مصنفة حسب نوع المقابلة.

المحتويات

• نظرة عامة على المقابلة
• مراجعة الكود الآمن
• نمذجة التهديدات
• البرمجة والكتابة النصية
• المقابلات القائمة على السيناريو
• المعرفة التقنية
• تصميم النظام
• المقابلات السلوكية (STAR)
• الموارد ذات الصلة
• المساهمة
• الترخيص

نظرة عامة على المقابلة

ما يمكنك توقعه

تتضمن معظم جولات مقابلات AppSec مزيجاً من:

• مراجعة الكود الآمن
• نمذجة التهديدات
• البرمجة أو الكتابة النصية
• أسئلة قائمة على السيناريو
• المعرفة التقنية
• تصميم النظام (للمستويات العليا فأكثر)
• المقابلة السلوكية

نصائح عامة للمقابلة

• اطرح أسئلة توضيحية - الأسئلة غالباً ما تكون غامضة عمداً لترى كيف تفكر
• فكر بصوت عالٍ - عبّر عن عملية تفكيرك
• دوّن الملاحظات - تتبع المتطلبات والقيود
• أظهر منهجيتك - العملية غالباً ما تكون أهم من الإجابات المثالية
• لا تتعجل في الحلول - استكشف مساحة المشكلة أولاً
• لا بأس ألا تعرف كل شيء - أظهر كيف ستعثر على الإجابة

مراجعة الكود الآمن

ما يتم اختبارك عليه

• تحديد الثغرات من الكود
• تتبع تدفق البيانات (المصادر → المصارف)
• فهم قابلية الاستغلال
• التوصية بتخفيفات عملية

المفاهيم الأساسية

• نقاط الضعف في OWASP Top 10 والتخفيفات
• أنماط الثغرات الخاصة بلغة معينة
• تحليل التلوث وتدفق البيانات
• فهم الكود

مصادر التعلم

• Code Review Lab - تحديات مراجعة كود آمنة بأسلوب المقابلة
• OWASP WebGoat - تطبيق غير آمن عمداً
• OWASP Code Review Guide
• OWASP Cheat Sheet Series
• PortSwigger Web Security Academy

أسئلة المقابلة الشائعة

• استعرض هذا الكود وحدد المشكلات
• لماذا هذا ضعيف (أم لا)؟
• كيف ستستغله؟
• كيف ستصلحه؟

نمذجة التهديدات

ما يتم اختبارك عليه

• التفكير المنظم
• تحديد التهديدات مبكراً
• تحديد الأولويات والمقايضات
• التواصل مع المهندسين

المفاهيم الأساسية

• STRIDE - الانتحال، العبث، التنصل، إفشاء المعلومات، رفض الخدمة، رفع الامتياز
• إطار الأسئلة الأربعة
• مخططات تدفق البيانات (DFDs)
• أشجار الهجوم
• حدود الثقة
• تحديد الأصول وأولوية التهديدات
• غطِّ دائماً الأساسيات (مثل استخدام TLS لنقل البيانات)

مصادر التعلم

فيديوهات

• أقصر دورة في العالم لنمذجة التهديدات
• STRIDE في 20 دقيقة

قراءة

• دليل المبتدئين لنمذجة التهديدات
• نمذجة التهديدات للتطبيقات الحديثة
• OWASP Threat Modeling

كتب

• Threat Modeling: Designing for Security – Adam Shostack

أسئلة المقابلة الشائعة

• نمذجة تهديدات لتدفق تسجيل الدخول / نظام الدفع / API
• كيف تحدد أولويات التهديدات؟
• اشرح STRIDE
• ما الفرق بين نمذجة التهديدات والاختبار الاختراقي؟
• ما هي حدود الثقة؟

البرمجة والكتابة النصية

البرمجة (الخوارزميات وهياكل البيانات)

ما يتم اختبارك عليه

• حل المشكلات
• هياكل البيانات

المفاهيم الأساسية

• المصفوفات، خرائط التجزئة، الأكوام، الطوابير
• الأشجار والرسوم البيانية (أساسي)
• تفكير Big-O
• الأنماط الشائعة (المؤشرات المزدوجة، BFS/DFS)

مصادر التعلم

• LeetCode Interview Crash Course - منهج منظم
• تدرب على المستوى Easy/Medium في LeetCode
• ركز على الأنماط: LeetCode Patterns
• NeetCode Roadmap - 150 مشكلة أساسية
• NeetCode - شروحات ممتازة
• قوائم تشغيل NeetCode على يوتيوب
• Cracking the Coding Interview
• Grokking Algorithms

عدد المشاكل الموصى به

• الحد الأدنى: 50-75 مشكلة Easy/Medium
• مريح: 100-150 مشكلة تغطي جميع الأنماط
• مستعد جيداً: 200+ مشكلة

الكتابة النصية والأتمتة

ما يتم اختبارك عليه

• الأتمتة العملية
• تحليل السجلات والبيانات
• الإلمام بأدوات الأمان

المفاهيم الأساسية

• تحليل السجلات - استخراج عناوين IP، النطاقات، الطوابع الزمنية، وكلاء المستخدم
• التفاعل مع API - الاستعلام عن واجهات برمجة الأمان، إرسال البيانات
• تحويل البيانات - تحليل ومعالجة JSON/XML/CSV
• مطابقة الأنماط - التعبيرات النمطية لمؤشرات الأمان
• عمليات الملفات - قراءة وتحليل ومعالجة بيانات الأمان

مصادر التعلم

• Automate the Boring Stuff - أساسيات Python
• HackerRank Python Track - تدرب على أساسيات Python
• HackerRank Regex Track - مطابقة الأنماط
• ExplainShell - فهم أوامر bash

أسئلة المقابلة الشائعة

• حلل سجلات خادم الويب للبحث عن نشاط مشبوه
• ابحث عن أنماط تشير إلى المسح/التعداد
• حلل مخرجات Nmap بصيغة XML وأنشئ تقارير
• جمع النتائج من أدوات أمان متعددة
• ابحث عن جميع عناوين URL/IP/البريد الإلكتروني في النص
• ماسح منافذ أساسي
• مدقق أمان رؤوس HTTP
• ماسح ثغرات بسيط

المقابلات القائمة على السيناريو

ما يتم اختبارك عليه

• الحكم الأمني
• التواصل
• تقييم المخاطر
• التعامل مع الحوادث

المفاهيم الأساسية

• فرز الثغرات
• CVSS والشدة
• دورة حياة الاستجابة للحوادث
• تحليل السبب الجذري

مصادر التعلم

• كتابات مكافآت اكتشاف الثغرات العامة
• منشورات التحليل اللاحق العامة

أسئلة المقابلة الشائعة

• استعرض ثغرة وجدتها
• كيف سترتب هذا التقرير؟
• اشرح CVE حديثة
• كيف تعمل SSTI / XSS / SSRF؟

المعرفة التقنية

ما يتم اختبارك عليه

• المعرفة الأمنية الشاملة
• عادة ما يُجرى بواسطة مهندس أمن كبير
• سيتعمق في واحدة من هذه المجالات بناءً على الدور

المفاهيم الأساسية

• التشفير
  • متماثل مقابل غير متماثل (متى تستخدم كل منهما)
  • التجزئة
  • TLS/SSL (عملية المصافحة)
  • PKI
  • الفرق بين التشفير والترميز والتجزئة؟
• المصادقة والتفويض
  • MFA
  • البروتوكولات (OAuth 2.0, SAML, JWT)
  • إدارة الجلسات وهجماتها
  • نماذج التفويض (RBAC, ABAC, ACLs)
• أمان الويب
  • الثغرات الأساسية (OWASP Top 25)
  • التخفيف والعوامل المخففة لكل منها
  • رؤوس HTTP
  • CORS
  • سياسة نفس المصدر
• أمان السحابة والحاويات
  • أفضل ممارسات IAM
  • نموذج المسؤولية المشتركة
  • أمان الحاويات
  • الآثار الأمنية للـ serverless
• مبادئ التصميم الآمن
  • الدفاع المتعمق
  • بنية الثقة الصفرية
  • أقل امتياز
  • الفشل بأمان
  • الأمان افتراضياً
  • دمج SDLC الآمن

مصادر التعلم

• Crypto101
• OWASP Cryptographic Storage
• OAuth 2.0 Simplified
• JWT.io
• OWASP Authentication Cheat Sheet
• AWS Security Best Practices
• Cloud Security Alliance
• PortSwigger Web Security Academy
• OWASP Top 10
• OWASP Testing Guide
• Secure by Design
• Security Engineering - Ross Anderson - مجاني
• OWASP SAMM
• NIST Cybersecurity Framework

تصميم النظام

ما يتم اختبارك عليه

• التفكير الآمن حسب التصميم
• المقايضات بين قابلية التوسع والأمان
• القيود الواقعية

المفاهيم الأساسية

• المصادقة على نطاق واسع
• تحديد المعدل ومنع سوء الاستخدام
• إدارة الأسرار
• تسجيل التدقيق
• الدفاع المتعمق

مصادر التعلم

• Grokking the System Design Interview
• Grokking Modern System Design
• ByteByteGo - Algorithms for System Design - ابدأ من هنا
• ByteByteGo - System Design Interviews
• NeetCode - System Design
• System Design Interview Vol 1 & 2
• Hacking the System Design Interview

المقابلات السلوكية (STAR)

ما يتم اختبارك عليه

• الملكية
• التأثير
• التعامل مع النزاعات
• عقلية التعلم

المفاهيم الأساسية

• إطار STAR
  • Sالموقف - السياق والخلفية
  • Tالمهمة - مسؤوليتك المحددة
  • Aالإجراء - ما قمت به أنت (كن محدداً)
  • Rالنتيجة - النتائج والدروس المستفادة
• حضّر 5–7 قصص
• قسّم التأثير
• ركز على أفعالك أنت
• أظهر النمو

مصادر التعلم

• فهم تنسيق مقابلة STAR
• Tech Interview Handbook – Behavioral

الموارد ذات الصلة

التحضير للمقابلة

• Tech Interview Handbook
• ملاحظات Grace Nolan

قوائم رائعة

• awesome-security
• awesome-appsec

المساهمة

المساهمات مرحب بها! فقط أرسل PR!

إرشادات

• أضف موارد ذات صلة بمقابلات AppSec
• اتبع هيكل الأقسام الحالي
• تأكد من استقرار وموثوقية الروابط