बेहतरीन AppSec साक्षात्कार 
संसाधनों, अभ्यास प्रश्नों और अध्ययन सामग्री की एक चयनित सूची जो आपको Application Security Engineer साक्षात्कारों की तैयारी में मदद करेगी, जिसे साक्षात्कार प्रकार के अनुसार व्यवस्थित किया गया है।
सामग्री
साक्षात्कार अवलोकन
क्या अपेक्षा करें
अधिकांश AppSec साक्षात्कार प्रक्रियाओं में निम्नलिखित का मिश्रण शामिल होता है:
- सुरक्षित कोड समीक्षा
- ख़तरा मॉडलिंग
- कोडिंग या स्क्रिप्टिंग
- परिदृश्य-आधारित प्रश्न
- तकनीकी ज्ञान
- सिस्टम डिज़ाइन (वरिष्ठ+)
- व्यवहारिक साक्षात्कार
सामान्य साक्षात्कार टिप्स
- स्पष्ट करने वाले प्रश्न पूछें - प्रश्न जानबूझकर अस्पष्ट होते हैं ताकि देखा जा सके कि आप कैसे सोचते हैं
- ज़ोर से सोचें - अपनी तर्क प्रक्रिया को मौखिक रूप से बताएं
- नोट्स लिखें - आवश्यकताओं और बाधाओं पर नज़र रखें
- अपना दृष्टिकोण दिखाएं - प्रक्रिया अक्सर पूर्ण उत्तरों से अधिक महत्वपूर्ण होती है
- समाधान की ओर जल्दबाजी न करें - पहले समस्या स्थान का अन्वेषण करें
- सब कुछ न जानना ठीक है - दिखाएं कि आप उत्तर कैसे खोजेंगे
सुरक्षित कोड समीक्षा
आपका परीक्षण किस पर होता है
- कोड से कमज़ोरियों की पहचान करना
- डेटा प्रवाह का अनुसरण करना (स्रोत → सिंक)
- शोषणीयता को समझना
- व्यावहारिक शमन उपायों की सिफारिश करना
मुख्य अवधारणाएँ
- OWASP Top 10 कमज़ोरियाँ और शमन उपाय
- भाषा-विशिष्ट कमज़ोरी पैटर्न
- टेंट विश्लेषण और डेटा प्रवाह
- कोड को समझना
सीखने के संसाधन
सामान्य साक्षात्कार प्रश्न
- इस कोड की समीक्षा करें और समस्याएँ पहचानें
- यह कमज़ोर क्यों है (या नहीं)?
- आप इसका शोषण कैसे करेंगे?
- आप इसे कैसे ठीक करेंगे?
ख़तरा मॉडलिंग
आपका परीक्षण किस पर होता है
- संरचित सोच
- खतरों की शीघ्र पहचान
- प्राथमिकता और व्यापार-बंद
- इंजीनियरों के साथ संचार
मुख्य अवधारणाएँ
- STRIDE - Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege
- 4 प्रश्न ढाँचा
- डेटा प्रवाह आरेख (DFDs)
- हमले के पेड़
- विश्वास सीमाएँ
- संपत्ति पहचान और खतरा प्राथमिकता
- हमेशा मूल बातें कवर करें (उदा. ट्रांज़िट में डेटा के लिए TLS का उपयोग)
सीखने के संसाधन
वीडियो
पढ़ना
पुस्तकें
- ख़तरा मॉडलिंग: सुरक्षा के लिए डिज़ाइन – Adam Shostack
सामान्य साक्षात्कार प्रश्न
- लॉगिन प्रवाह / भुगतान प्रणाली / API की ख़तरा मॉडलिंग करें
- आप खतरों को प्राथमिकता कैसे देते हैं?
- STRIDE समझाएं
- ख़तरा मॉडलिंग और पेंटेस्टिंग में क्या अंतर है?
- विश्वास सीमाएँ क्या हैं?
कोडिंग और स्क्रिप्टिंग
कोडिंग (एल्गोरिदम और DSA)
आपका परीक्षण किस पर होता है
- समस्या-समाधान
- डेटा संरचनाएँ
मुख्य अवधारणाएँ
- Arrays, hash maps, stacks, queues
- Trees और graphs (बुनियादी)
- Big-O तर्क
- सामान्य पैटर्न (two pointers, BFS/DFS)
सीखने के संसाधन
अनुशंसित समस्या संख्या
- न्यूनतम: 50-75 Easy/Medium समस्याएँ
- आरामदायक: सभी पैटर्न को कवर करने वाली 100-150 समस्याएँ
- अच्छी तरह से तैयार: 200+ समस्याएँ
स्क्रिप्टिंग और ऑटोमेशन
आपका परीक्षण किस पर होता है
- व्यावहारिक ऑटोमेशन
- लॉग और डेटा पार्सिंग
- सुरक्षा टूलिंग से परिचितता
मुख्य अवधारणाएँ
- लॉग पार्सिंग - IPs, डोमेन, टाइमस्टैम्प, यूज़र एजेंट निकालना
- API इंटरैक्शन - सुरक्षा APIs को क्वेरी करना, डेटा सबमिट करना
- डेटा रूपांतरण - JSON/XML/CSV पार्सिंग और हेरफेर
- पैटर्न मिलान - सुरक्षा संकेतकों के लिए Regex
- फ़ाइल संचालन - सुरक्षा डेटा पढ़ना, पार्स करना और प्रोसेस करना
सीखने के संसाधन
सामान्य साक्षात्कार प्रश्न
- संदिग्ध गतिविधि के लिए वेब सर्वर लॉग पार्स करें
- स्कैनिंग/एन्यूमरेशन का संकेत देने वाले पैटर्न खोजें
- Nmap XML आउटपुट पार्स करें और रिपोर्ट तैयार करें
- कई सुरक्षा टूल से परिणाम एकत्रित करें
- टेक्स्ट में सभी URLs/IPs/ईमेल पते खोजें
- बुनियादी पोर्ट स्कैनर
- HTTP हेडर सुरक्षा जाँचकर्ता
- सरल कमज़ोरी स्कैनर
परिदृश्य-आधारित साक्षात्कार
आपका परीक्षण किस पर होता है
- सुरक्षा निर्णय
- संचार
- जोखिम मूल्यांकन
- घटना प्रबंधन
मुख्य अवधारणाएँ
- कमज़ोरी ट्राइएज
- CVSS और गंभीरता
- घटना प्रतिक्रिया जीवनचक्र
- मूल कारण विश्लेषण
सीखने के संसाधन
- सार्वजनिक Bug Bounty Write Ups
- सार्वजनिक पोस्ट-मॉर्टम ब्लॉग पोस्ट
सामान्य साक्षात्कार प्रश्न
- आपके द्वारा खोजी गई एक कमज़ोरी के बारे में बताएं
- आप इस रिपोर्ट का ट्राइएज कैसे करेंगे?
- हाल के एक CVE की व्याख्या करें
- SSTI / XSS / SSRF कैसे काम करता है?
तकनीकी ज्ञान
आपका परीक्षण किस पर होता है
- समग्र सुरक्षा ज्ञान
- आमतौर पर वरिष्ठ सुरक्षा इंजीनियर द्वारा आयोजित
- भूमिका के आधार पर इनमें से किसी एक क्षेत्र में गहराई से जाएँगे
मुख्य अवधारणाएँ
- क्रिप्टोग्राफी
- सममित बनाम असममित (प्रत्येक का उपयोग कब करें)
- हैशिंग
- TLS/SSL (हैंडशेक प्रक्रिया)
- PKI
- एन्क्रिप्शन, एन्कोडिंग, हैशिंग में अंतर?
- प्रमाणीकरण और प्राधिकरण
- MFA
- प्रोटोकॉल (OAuth 2.0, SAML, JWT)
- सत्र प्रबंधन और हमले
- प्राधिकरण मॉडल (RBAC, ABAC, ACLs)
- वेब सुरक्षा
- मुख्य कमज़ोरियाँ (OWASP Top 25)
- प्रत्येक के लिए शमन और शमन करने वाले कारक
- HTTP हेडर
- CORS
- सेम-ऑरिजिन नीति
- क्लाउड और कंटेनर सुरक्षा
- IAM सर्वोत्तम अभ्यास
- साझा जिम्मेदारी मॉडल
- कंटेनर सुरक्षा
- सर्वरलेस के सुरक्षा निहितार्थ
- सुरक्षित आर्किटेक्चर सिद्धांत
- गहराई में सुरक्षा
- शून्य विश्वास आर्किटेक्चर
- न्यूनतम विशेषाधिकार
- सुरक्षित रूप से विफल होना
- डिफ़ॉल्ट रूप से सुरक्षा
- सुरक्षित SDLC एकीकरण
सीखने के संसाधन
सिस्टम डिज़ाइन
आपका परीक्षण किस पर होता है
- सुरक्षित-दर-डिज़ाइन सोच
- स्केलेबिलिटी + सुरक्षा व्यापार-बंद
- वास्तविक दुनिया की बाधाएँ
मुख्य अवधारणाएँ
- पैमाने पर प्रमाणीकरण
- दर सीमा और दुरुपयोग रोकथाम
- रहस्य प्रबंधन
- ऑडिट लॉगिंग
- गहराई में सुरक्षा
सीखने के संसाधन
व्यवहारिक साक्षात्कार (STAR)
आपका परीक्षण किस पर होता है
- स्वामित्व
- प्रभाव
- संघर्ष प्रबंधन
- सीखने की मानसिकता
मुख्य अवधारणाएँ
- STAR ढाँचा
- Situation - संदर्भ और पृष्ठभूमि
- Task - आपकी विशिष्ट जिम्मेदारी
- Action - आपने क्या किया (विशिष्ट रहें)
- Result - परिणाम और सीखे गए सबक
- 5–7 कहानियाँ तैयार करें
- प्रभाव को मापें
- अपनी खुद की कार्रवाइयों पर ध्यान दें
- विकास दिखाएं
सीखने के संसाधन
संबंधित संसाधन
साक्षात्कार तैयारी
बेहतरीन सूचियाँ
योगदान
योगदान का स्वागत है! बस एक PR सबमिट करें!
दिशानिर्देश
- AppSec साक्षात्कारों से संबंधित संसाधन जोड़ें
- मौजूदा अनुभाग संरचना का पालन करें
- सुनिश्चित करें कि लिंक स्थिर और प्रतिष्ठित हैं
parasimpaticki/awesome-appsec-interview
