Awesome Entrevista de AppSec 
Uma lista curada de recursos, perguntas práticas e materiais de estudo para ajudá-lo a se preparar para entrevistas de Engenheiro de Segurança de Aplicações, organizados por tipo de entrevista.
Conteúdo
Visão Geral da Entrevista
O que Esperar
A maioria dos ciclos de entrevista de AppSec inclui uma mistura de:
- Revisão de Código Seguro
- Modelagem de Ameaças
- Codificação ou Scripting
- Perguntas Baseadas em Cenários
- Conhecimento Técnico
- Design de Sistema (Sênior+)
- Entrevista Comportamental
Dicas Gerais de Entrevista
- Faça perguntas esclarecedoras – As perguntas são intencionalmente vagas para ver como você pensa
- Pense em voz alta – Verbalize seu processo de raciocínio
- Anote – Monitore requisitos e restrições
- Mostre sua abordagem – O processo muitas vezes importa mais do que respostas perfeitas
- Não se apresse para soluções – Explore o espaço do problema primeiro
- Não há problema em não saber tudo – Mostre como você encontraria a resposta
Revisão de Código Seguro
O que é Avaliado
- Identificar vulnerabilidades a partir do código
- Seguir o fluxo de dados (fontes → sumidouros)
- Entender a explorabilidade
- Recomendar mitigações pragmáticas
Conceitos Principais
- Vulnerabilidades e mitigações do OWASP Top 10
- Padrões de vulnerabilidade específicos de linguagem
- Análise de taint e fluxo de dados
- Entender o código
Recursos de Aprendizado
Perguntas Comuns de Entrevista
- Percorra este código e identifique problemas
- Por que isso é (ou não) vulnerável?
- Como você exploraria isso?
- Como você corrigiria isso?
Modelagem de Ameaças
O que é Avaliado
- Pensamento estruturado
- Identificar ameaças precocemente
- Priorização e trade-offs
- Comunicação com engenheiros
Conceitos Principais
- STRIDE – Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege
- Estrutura das 4 Perguntas
- Diagramas de Fluxo de Dados (DFDs)
- Árvores de ataque
- Limites de confiança
- Identificação de ativos e priorização de ameaças
- Sempre cubra o básico (ex: usar TLS para dados em trânsito)
Recursos de Aprendizado
Vídeos
Leitura
Livros
- Threat Modeling: Designing for Security – Adam Shostack
Perguntas Comuns de Entrevista
- Modele as ameaças de um fluxo de login / sistema de pagamento / API
- Como você prioriza ameaças?
- Explique STRIDE
- Qual a diferença entre modelagem de ameaças e pentest?
- O que são limites de confiança?
Codificação e Scripting
Codificação (Algoritmos e DSA)
O que é Avaliado
- Resolução de problemas
- Estruturas de Dados
Conceitos Principais
- Arrays, mapas hash, pilhas, filas
- Árvores e grafos (básico)
- Raciocínio Big-O
- Padrões comuns (dois ponteiros, BFS/DFS)
Recursos de Aprendizado
Contagem Recomendada de Problemas
- Mínimo: 50-75 problemas Fácil/Médio
- Confortável: 100-150 problemas cobrindo todos os padrões
- Bem preparado: 200+ problemas
Scripting e Automação
O que é Avaliado
- Automação prática
- Parsing de logs e dados
- Familiaridade com ferramentas de segurança
Conceitos Principais
- Parsing de logs – Extrair IPs, domínios, timestamps, user agents
- Interação com API – Consultar APIs de segurança, enviar dados
- Transformação de dados – Parsing e manipulação de JSON/XML/CSV
- Correspondência de padrões – Regex para indicadores de segurança
- Operações de arquivo – Ler, analisar e processar dados de segurança
Recursos de Aprendizado
Perguntas Comuns de Entrevista
- Analise logs do servidor web em busca de atividade suspeita
- Encontre padrões que indicam varredura/enumeração
- Analise a saída XML do Nmap e gere relatórios
- Agregue resultados de múltiplas ferramentas de segurança
- Encontre todas as URLs/IPs/endereços de email em um texto
- Scanner de portas básico
- Verificador de segurança de cabeçalhos HTTP
- Scanner de vulnerabilidade simples
Entrevistas Baseadas em Cenários
O que é Avaliado
- Julgamento de segurança
- Comunicação
- Avaliação de riscos
- Tratamento de incidentes
Conceitos Principais
- Triagem de vulnerabilidades
- CVSS e gravidade
- Ciclo de vida de resposta a incidentes
- Análise de causa raiz
Recursos de Aprendizado
- Relatos públicos de Bug Bounty
- Postagens públicas de post-mortem
Perguntas Comuns de Entrevista
- Explique uma vulnerabilidade que você encontrou
- Como você faria a triagem deste relatório?
- Explique um CVE recente
- Como funciona SSTI / XSS / SSRF?
Conhecimento Técnico
O que é Avaliado
- Conhecimento geral de segurança
- Geralmente conduzido por um engenheiro de segurança sênior
- Aprofundará em uma destas áreas dependendo da função
parasimpaticki/awesome-appsec-interview
