security-interview-questions

स्रोत

• प्रश्नोत्तरी (QUIZ): https://quizlet.com/231268221/general-information-security-questions-flash-cards/
• SANS चीट शीट्स: https://www.sans.org/blog/the-ultimate-list-of-sans-cheat-sheets/
• Offensive Security (OSCP): https://411hall.github.io/OSCP-Preparation/
  • https://medium.com/@falconspy/oscp-exam-attempt-1-1893df5a0a00
• VulnHub - LABS: https://www.vulnhub.com/

सूचना सुरक्षा समाचार के स्रोत:

• विभिन्न स्थान। मुख्य रूप से Security Weekly Podcast (Paul Assadorian), google, Krebs On Security (कभी-कभी) और danielmiessler.com के Daniel Miessler।

मूल अवधारणाएँ

1. सूचना सुरक्षा क्या है और इसे कैसे प्राप्त किया जाता है?

   • सूचना सुरक्षा उन प्रक्रियाओं और कार्यप्रणालियों को संदर्भित करती है जो मुद्रित, इलेक्ट्रॉनिक या किसी भी अन्य रूप की गोपनीय, निजी और संवेदनशील जानकारी या डेटा को अनधिकृत पहुँच, उपयोग, दुरुपयोग, प्रकटीकरण, विनाश, संशोधन या व्यवधान से सुरक्षित रखने के लिए डिज़ाइन और कार्यान्वित की जाती हैं।

2. सूचना सुरक्षा के मुख्य सिद्धांत क्या हैं?

   • CIA त्रय (CIA triad)। CIA का अर्थ है गोपनीयता (confidentiality), अखंडता (integrity) और उपलब्धता (availability) और ये सूचना सुरक्षा के तीन मुख्य उद्देश्य हैं।
   • प्रमाणीकरण (Authentication) और नॉन-रिपुडिएशन (Non-repudiation)

3. नॉन-रिपुडिएशन (Non-repudiation) क्या है (जैसा कि यह IT सुरक्षा पर लागू होता है)?

   • नॉन-रिपुडिएशन इस बात का आश्वासन है कि कोई व्यक्ति किसी चीज़ की वैधता से इनकार नहीं कर सकता।
   • नॉन-रिपुडिएशन एक कानूनी अवधारणा है जिसका व्यापक रूप से सूचना सुरक्षा में उपयोग किया जाता है और यह एक ऐसी सेवा को संदर्भित करती है जो डेटा की उत्पत्ति और डेटा की अखंडता का प्रमाण प्रदान करती है।
   • यह अवधारणा कि प्रत्येक सेवा या प्रक्रिया को अखंडता (जैसे हस्ताक्षर) और डेटा की उत्पत्ति का प्रमाण प्रदान करना चाहिए। यह सूचना सुरक्षा का एक पहलू है क्योंकि यह डेटा, प्रक्रियाओं और संचरण की अखंडता सुनिश्चित करता है।

4. सूचना सुरक्षा और डेटा उपलब्धता के बीच क्या संबंध है?

   • सूचना सुरक्षा में डेटा की सुरक्षा के लिए उपयोग की जाने वाली रणनीतियाँ और प्रक्रियाएँ शामिल हैं और यह सुनिश्चित करती है कि केवल प्रमाणित और अनुमोदित उपयोगकर्ताओं के पास अधिकृत डेटा तक पहुँच हो। सूचना सुरक्षा अधिकृत उपयोगकर्ताओं की पहुँच को बाधित नहीं कर सकती, लेकिन उसे तार्किक और भौतिक नियंत्रणों का उपयोग करके डेटा को अनधिकृत पहुँच या चोरी से सुरक्षित रखना चाहिए।

5. सुरक्षा नीति (security policy) क्या है और हमें इसकी आवश्यकता क्यों है?

   • एक दस्तावेज़ जो यह नियंत्रित करता है कि उपयोगकर्ता सूचना प्रणालियों तक कैसे, कब और क्यों पहुँच सकते हैं और उनके साथ बातचीत कर सकते हैं। यह उपयोगकर्ताओं को उनकी भूमिकाओं और जिम्मेदारियों की उचित अपेक्षाएँ प्रदान करता है, साथ ही प्रक्रियात्मक कार्यों के लिए मार्गदर्शन के रूप में भी कार्य करता है।

6. तार्किक और भौतिक सुरक्षा के बीच क्या अंतर है? क्या आप दोनों का एक उदाहरण दे सकते हैं?

   • लोगों की सुरक्षा में भौतिक और तार्किक सुरक्षा का संयोजन शामिल होता है। भौतिक सुरक्षा केवल अधिकृत व्यक्तियों को भवन में प्रवेश की अनुमति देकर उन्हें सुरक्षित रखती है। तार्किक सुरक्षा उनके कंप्यूटर और डेटा को अनधिकृत पहुँच से सुरक्षित रखती है।
   • तार्किक सुरक्षा उपयोगकर्ता पहचान, पासवर्ड, प्रमाणीकरण और बायोमेट्रिक्स लागू करके उपयोगकर्ता की पहुँच को हतोत्साहित करके कंप्यूटर सॉफ़्टवेयर की सुरक्षा करती है। भौतिक सुरक्षा बाड़, अलार्म, कैमरे, सुरक्षा गार्ड, इलेक्ट्रॉनिक एक्सेस कंट्रोल, इंट्रूज़न डिटेक्शन और प्रशासनिक एक्सेस नियंत्रण स्थापित करके हमलावरों को भवन में प्रवेश करने से रोकती है और हतोत्साहित करती है। तार्किक सुरक्षा और भौतिक सुरक्षा के बीच अंतर यह है कि तार्किक सुरक्षा कंप्यूटर सिस्टम तक पहुँच की सुरक्षा करती है और भौतिक सुरक्षा स्थल और स्थल के भीतर स्थित हर चीज़ की सुरक्षा करती है।

7. क्या जोखिम का कोई स्वीकार्य स्तर होता है?

   • यह जोखिम का वह स्तर है जो व्यवसाय को इष्टतम स्तर पर कार्य करने में सक्षम रखते हुए जितना संभव हो उतना जोखिम कम करता है। जैसे-जैसे नई प्रौद्योगिकियाँ, प्रक्रियाएँ और खतरे का वातावरण बदलता है, जोखिम आवंटन का हमेशा पुनर्मूल्यांकन किया जाना चाहिए।

8. आप जोखिम कैसे मापते हैं? क्या आप एक विशिष्ट मीट्रिक का उदाहरण दे सकते हैं जो सूचना सुरक्षा जोखिम को मापता है?

   • जोखिम की गणना खतरे की संभावना (threat likelihood) मान को प्रभाव (impact) मान से गुणा करके की जाती है, और परिणाम के आधार पर जोखिमों को उच्च, मध्यम या निम्न के रूप में वर्गीकृत किया जाता है। ISO Standard 27005 (Information Security Risk Management - ISRM)

9. क्या आप मुझे जोखिम ट्रेड-ऑफ़ (risk trade-offs) का एक उदाहरण दे सकते हैं (जैसे जोखिम बनाम लागत)?

10. एंटरप्राइज़ डेटा सुरक्षा को खतरे में डालने वाले सबसे सामान्य प्रकार के हमले कौन से हैं?

    • आंतरिक खतरे (Insider Threats)
    • रैंसमवेयर (Ransomware)
    • डेटा बहिर्निष्कासन (data exfiltration) सक्षम करने वाला मैलवेयर,
    • स्क्रिप्टिंग हमले (XSS, क्रॉस-साइट फोर्जरी)
    • इंजेक्शन हमले (SQL/JavaScript)

11. खतरे (threat) और भेद्यता (vulnerability) के बीच क्या अंतर है?

    • भेद्यता एक सिस्टम, साइट या प्रक्रिया में कमजोरी है जिसका लाभ कोई खतरा उठा सकता है। खतरा कोई भी इकाई या प्रक्रिया है जो अनधिकृत कार्य करने या सूचना प्रणाली तक अनधिकृत पहुँच प्राप्त करने के लिए कमजोरियों का दोहन करती है।

12. क्या आप मुझे सामान्य सुरक्षा भेद्यताओं का एक उदाहरण दे सकते हैं?

    • क्रॉस-साइट स्क्रिप्टिंग (Cross Site Scripting)
    • SQL इंजेक्शन (SQL Injections)
    • क्रॉस-साइट फोर्जरी (Cross Site Forgery)
    • बफर ओवरफ्लो (Buffer Overflows)
    • खराब एन्क्रिप्शन/कोई एन्क्रिप्शन नहीं
    • गलत कॉन्फ़िगर किए गए फ़ायरवॉल नियम
    • खराब एक्सेस कंट्रोल/सक्रिय डोमेन नियम नीतियाँ।

13. क्या आप ISO/IEC 27002 जैसे किसी सुरक्षा प्रबंधन ढाँचे (security management framework) से परिचित हैं?

    • ISO/IEC 270002
    • NIST SP 800-53: NIST साइबर सुरक्षा ढाँचा
    • SOC 2/3
    • PCI-DSS
    • HIPAA
    • NERC-CIP
    • FFIEC

14. क्या आप सॉफ़्टवेयर विकास जीवनचक्र (software development lifecycle) के प्रत्येक चरण में सूचना सुरक्षा की भूमिका पर संक्षेप में चर्चा कर सकते हैं?

    • आवश्यकताओं का संग्रह (Requirements Gathering)
      • सुरक्षा आवश्यकताएँ (Security Requirements)
      • फेज़ गेट्स (Phase Gates) स्थापित करना
      • जोखिम आकलन (Risk Assessment)
    • डिज़ाइन (Design)
      • सुरक्षा परिप्रेक्ष्य से डिज़ाइन आवश्यकताओं की पहचान करना
      • आर्किटेक्चर और डिज़ाइन समीक्षाएँ (Architecture & Design Reviews)
      • थ्रेट मॉडलिंग (Threat Modeling)
    • कोडिंग (Coding)
      • कोडिंग सर्वोत्तम अभ्यास (Coding Best Practices)
      • स्थैतिक विश्लेषण (Static Analysis) करना
    • परीक्षण (Testing)
      • भेद्यता आकलन (Vulnerability Assessment)
      • फज़िंग (Fuzzing)
    • परिनियोजन (Deployment)
      • सर्वर कॉन्फ़िगरेशन समीक्षा (Server Configuration Review)
      • नेटवर्क कॉन्फ़िगरेशन समीक्षा (Network Configuration Review)

15. क्या आप एंटरप्राइज़ में सुरक्षा संचालन (security operations) की भूमिका का वर्णन कर सकते हैं?

    • एक SOC एक संगठित और अत्यधिक कुशल टीम है जिसका मिशन किसी संगठन की साइबर सुरक्षा स्थिति की निगरानी और सुधार करना है, साथ ही तकनीक और सटीक प्रक्रियाओं दोनों का उपयोग करके साइबर सुरक्षा घटनाओं को रोकना, पता लगाना, विश्लेषण करना और उनका जवाब देना है।

16. घटना प्रबंधन (incident management) क्या है?

    • IT घटना प्रबंधन, IT सेवा प्रबंधन (ITSM) का एक क्षेत्र है जिसमें IT टीम किसी व्यवधान के बाद सेवा को यथाशीघ्र सामान्य स्थिति में लौटाती है, इस तरह से कि व्यवसाय पर जितना संभव हो उतना कम नकारात्मक प्रभाव पड़े।
    • सुरक्षा घटना प्रबंधन घटनाओं को शीघ्रता से हल करने पर अधिक ध्यान केंद्रित करता है ताकि यह सुनिश्चित हो सके कि कर्मचारियों और उपयोगकर्ताओं दोनों को अधिक डाउनटाइम का सामना न करना पड़े। सुरक्षा खतरों या घटनाओं की वास्तविक समय में पहचान, प्रबंधन, रिकॉर्डिंग और विश्लेषण करके, सुरक्षा घटना प्रबंधन IT अवसंरचना के भीतर किसी भी सुरक्षा मुद्दे का एक मज़बूत और व्यापक दृश्य प्रदान करता है।

17. DNS निगरानी क्यों महत्वपूर्ण है?

    • DNS अंतिम उपयोगकर्ताओं को इंटरनेट से जोड़ने में महत्वपूर्ण भूमिका निभाता है। क्लाइंट डिवाइसों द्वारा किसी डोमेन से किया गया प्रत्येक कनेक्शन DNS लॉग में दर्ज किया जाता है। क्लाइंट डिवाइसों और आपके स्थानीय रिज़ॉल्वर के बीच DNS ट्रैफ़िक का निरीक्षण करने से फोरेंसिक विश्लेषण के लिए जानकारी मिल सकती है, साथ ही आपके नेटवर्क पर दुर्भावनापूर्ण गतिविधियों/कनेक्शनों का पता भी चल सकता है, जैसे:
      • बॉटनेट (botnets)
      • DDoS हमलों का पता लगाना
      • दुर्भावनापूर्ण डोमेन
      • गतिशील डोमेन