Super Entretien AppSec 
Une liste organisée de ressources, de questions pratiques et de supports d'étude pour vous aider à vous préparer aux entretiens d'Ingénieur en Sécurité Applicative, classés par type d'entretien.
Contenu
Aperçu de l'entretien
À quoi s'attendre
La plupart des cycles d'entretien AppSec incluent un mélange de :
- Revue de code sécurisé
- Modélisation des menaces
- Codage ou Scripting
- Questions basées sur des scénarios
- Connaissances techniques
- Conception système (Senior+)
- Entretien comportemental
Conseils généraux pour l'entretien
- Posez des questions de clarification - Les questions sont volontairement vagues pour voir comment vous pensez
- Pensez à voix haute - Verbalisez votre processus de raisonnement
- Prenez des notes - Suivez les exigences et les contraintes
- Montrez votre approche - Le processus compte souvent plus que des réponses parfaites
- Ne vous précipitez pas vers les solutions - Explorez d'abord le problème
- Il est normal de ne pas tout savoir - Montrez comment vous trouveriez la réponse
Revue de code sécurisé
Ce sur quoi vous êtes évalué
- Identifier les vulnérabilités dans le code
- Suivre le flux de données (sources → puits)
- Comprendre l'exploitabilité
- Recommander des atténuations pragmatiques
Concepts clés
- Vulnérabilités et atténuations OWASP Top 10
- Modèles de vulnérabilité spécifiques aux langages
- Analyse de contamination et flux de données
- Comprendre le code
Ressources d'apprentissage
Questions d'entretien courantes
- Parcourez ce code et identifiez les problèmes
- Pourquoi est-ce vulnérable (ou non) ?
- Comment exploiteriez-vous cela ?
- Comment le corrigeriez-vous ?
Modélisation des menaces
Ce sur quoi vous êtes évalué
- Pensée structurée
- Identifier les menaces tôt
- Priorisation et compromis
- Communication avec les ingénieurs
Concepts clés
- STRIDE - Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege
- Cadre des 4 questions
- Diagrammes de flux de données (DFD)
- Arbres d'attaque
- Frontières de confiance
- Identification des actifs et priorisation des menaces
- Toujours couvrir les bases (ex. utiliser TLS pour les données en transit)
Ressources d'apprentissage
Vidéos
Lecture
Livres
- Threat Modeling: Designing for Security – Adam Shostack
Questions d'entretien courantes
- Modélisez les menaces d'un flux de connexion / système de paiement / API
- Comment priorisez-vous les menaces ?
- Expliquez STRIDE
- Quelle est la différence entre la modélisation des menaces et le pentesting ?
- Que sont les frontières de confiance ?
Codage et Scripting
Codage (Algorithmes & DSA)
Ce sur quoi vous êtes évalué
- Résolution de problèmes
- Structures de données
Concepts clés
- Tableaux, tables de hachage, piles, files
- Arbres et graphes (base)
- Raisonnement Big-O
- Modèles courants (two pointers, BFS/DFS)
Ressources d'apprentissage
Nombre de problèmes recommandé
- Minimum : 50-75 problèmes Facile/Moyen
- Confortable : 100-150 problèmes couvrant tous les modèles
- Bien préparé : 200+ problèmes
Scripting & Automatisation
Ce sur quoi vous êtes évalué
- Automatisation pratique
- Analyse de logs et de données
- Familiarité avec les outils de sécurité
Concepts clés
- Analyse de logs - Extraire IPs, domaines, horodatages, user agents
- Interaction avec les API - Interroger les API de sécurité, soumettre des données
- Transformation de données - Analyse et manipulation JSON/XML/CSV
- Correspondance de motifs - Regex pour les indicateurs de sécurité
- Opérations sur fichiers - Lire, analyser et traiter des données de sécurité
Ressources d'apprentissage
Questions d'entretien courantes
- Analyser les logs du serveur web pour détecter une activité suspecte
- Trouver des motifs indiquant un scan/énumération
- Analyser la sortie XML de Nmap et générer des rapports
- Agréger les résultats de plusieurs outils de sécurité
- Trouver toutes les URLs/IPs/adresses email dans un texte
- Scanner de ports basique
- Vérificateur de sécurité des en-têtes HTTP
- Scanner de vulnérabilités simple
Entretiens basés sur des scénarios
Ce sur quoi vous êtes évalué
- Jugement en sécurité
- Communication
- Évaluation des risques
- Gestion des incidents
Concepts clés
- Triage des vulnérabilités
- CVSS et sévérité
- Cycle de vie de la réponse aux incidents
- Analyse des causes profondes
Ressources d'apprentissage
- Comptes rendus publics de bug bounty
- Articles de post-mortem publics
Questions d'entretien courantes
- Parcourez une vulnérabilité que vous avez trouvée
- Comment trieriez-vous ce rapport ?
- Expliquez un CVE récent
- Comment fonctionne SSTI / XSS / SSRF ?
Connaissances techniques
Ce sur quoi vous êtes évalué
- Connaissances générales en sécurité
- Généralement mené par un ingénieur sécurité senior
- Approfondira un de ces domaines en fonction du poste
parasimpaticki/awesome-appsec-interview
