security-interview-questions

Источники

• Тест: https://quizlet.com/231268221/general-information-security-questions-flash-cards/
• Шпаргалки SANS: https://www.sans.org/blog/the-ultimate-list-of-sans-cheat-sheets/
• Offensive Security (OSCP): https://411hall.github.io/OSCP-Preparation/
  • https://medium.com/@falconspy/oscp-exam-attempt-1-1893df5a0a00
• VulnHub - Лаборатории: https://www.vulnhub.com/

Источники новостей об информационной безопасности:

• Различные источники. В первую очередь подкаст Security Weekly Podcast (Пол Ассадориан), google, Krebs On Security (иногда) и Дэниел Мисслер с danielmiessler.com.

Основные понятия

1. Что такое информационная безопасность и как она достигается?

   • Информационная безопасность относится к процессам и методологиям, которые разрабатываются и внедряются для защиты печатной, электронной или любой другой формы конфиденциальной, частной и чувствительной информации или данных от несанкционированного доступа, использования, неправомерного применения, раскрытия, уничтожения, изменения или нарушения работы.

2. Каковы основные принципы информационной безопасности?

   • Триада CIA. CIA означает конфиденциальность, целостность и доступность — это три основные цели информационной безопасности.
   • Аутентификация и неотказуемость

3. Что такое неотказуемость (применительно к ИТ-безопасности)?

   • Неотказуемость — это гарантия того, что кто-то не может отрицать подлинность чего-либо.
   • Неотказуемость — это юридическая концепция, широко используемая в информационной безопасности, которая относится к сервису, предоставляющему доказательства происхождения данных и целостности данных.
   • Концепция, согласно которой каждый сервис или процесс должен предоставлять доказательства целостности (например, подпись) и происхождения данных. Это аспект информационной безопасности, поскольку он обеспечивает целостность данных, процессов и передач.

4. Какова взаимосвязь между информационной безопасностью и доступностью данных?

   • Информационная безопасность охватывает тактики и процессы, используемые для защиты данных и обеспечения того, чтобы только аутентифицированные и одобренные пользователи имели доступ к авторизованным данным. Информационная безопасность не может препятствовать доступу авторизованных пользователей, но она должна защищать данные от несанкционированного доступа или кражи с помощью логических и физических контролей.

5. Что такое политика безопасности и зачем она нужна?

   • Это документ, который определяет, как, когда и почему пользователи могут получать доступ к информационным системам и взаимодействовать с ними. Он даёт пользователям разумные ожидания относительно их ролей и обязанностей, а также служит руководством для процедурных действий.

6. В чём разница между логической и физической безопасностью? Можете привести пример и того, и другого?

   • Защита людей предполагает сочетание физической и логической безопасности. Физическая безопасность обеспечивает их безопасность, допуская в здание только уполномоченных лиц. Логическая безопасность защищает их компьютеры и данные от несанкционированного доступа.
   • Логическая безопасность защищает компьютерное программное обеспечение, ограничивая доступ пользователей с помощью внедрения идентификаторов пользователей, паролей, аутентификации и биометрии. Физическая безопасность предотвращает и затрудняет проникновение злоумышленников в здание с помощью установки ограждений, сигнализаций, камер, охраны, электронного контроля доступа, обнаружения вторжений и административных контролей доступа. Разница между логической и физической безопасностью заключается в том, что логическая безопасность защищает доступ к компьютерным системам, а физическая безопасность защищает объект и всё, что находится на его территории.

7. Существует ли приемлемый уровень риска?

   • Это уровень риска, при котором смягчается максимально возможный объём риска, но при этом бизнес продолжает работать на оптимальном уровне. Оценка риска всегда должна пересматриваться по мере изменения новых технологий, процессов и среды угроз.

8. Как вы измеряете риск? Можете привести пример конкретного показателя, измеряющего риск информационной безопасности?

   • Риск рассчитывается путём умножения значения вероятности угрозы на значение воздействия, и на основе результата риски классифицируются как высокие, средние или низкие. Стандарт ISO 27005 (Менеджмент рисков информационной безопасности — ISRM)

9. Можете привести пример компромиссов, связанных с риском (например, риск против стоимости)?

10. Какие типы атак наиболее распространены и угрожают безопасности корпоративных данных?

    • Инсайдерские угрозы
    • Программы-вымогатели
    • Вредоносное ПО, обеспечивающее эксфильтрацию данных,
    • Скриптовые атаки (XSS, межсайтовая подделка запросов)
    • Инъекционные атаки (SQL/ javascript)

11. В чём разница между угрозой и уязвимостью?

    • Уязвимость — это слабое место в системе, на объекте или в процессе, которым может воспользоваться угроза. Угроза — это любая сущность или процесс, которые используют слабые места для совершения несанкционированных действий или получения несанкционированного доступа к информационной системе.

12. Можете привести примеры распространённых уязвимостей безопасности?

    • Межсайтовый скриптинг
    • SQL-инъекции
    • Межсайтовая подделка запросов
    • Переполнения буфера
    • Слабое шифрование / отсутствие шифрования
    • неверно настроенные правила межсетевого экрана
    • слабый контроль доступа / политики правил Active Directory.

13. Знакомы ли вы с какими-либо структурами управления безопасностью, такими как ISO/IEC 27002?

    • ISO/IEC 270002
    • NIST SP 800-53: структура кибербезопасности NIST
    • SOC 2/3
    • PCI-DSS
    • HIPAA
    • NERC-CIP
    • FFIEC

14. Можете кратко описать роль информационной безопасности на каждом этапе жизненного цикла разработки программного обеспечения?

    • Сбор требований
      • Требования безопасности
      • Установка контрольных точек этапов (Phase Gates)
      • Оценка рисков
    • Проектирование
      • Определение проектных требований с точки зрения безопасности
      • Анализ архитектуры и проектирования
      • Моделирование угроз
    • Написание кода
      • Лучшие практики написания кода
      • Проведение статического анализа
    • Тестирование
      • Оценка уязвимостей
      • Фаззинг
    • Развёртывание
      • Проверка конфигурации серверов
      • Проверка конфигурации сети

15. Можете описать роль операций безопасности на предприятии?

    • SOC (центр операций безопасности) — это организованная и высококвалифицированная команда, чья миссия заключается в мониторинге и улучшении уровня кибербезопасности организации, а также в предотвращении, обнаружении, анализе и реагировании на инциденты кибербезопасности с использованием как технологий, так и точных процедур.

16. Что такое управление инцидентами?

    • Управление ИТ-инцидентами — это область управления ИТ-услугами (ITSM), в рамках которой ИТ-команда максимально быстро возвращает сервис в нормальное состояние после сбоя, стремясь причинить как можно меньше негативного влияния на бизнес.
    • Управление инцидентами безопасности уделяет особое внимание быстрому разрешению инцидентов, чтобы сотрудники и пользователи не сталкивались со слишком большими простоями. Выявляя, управляя, регистрируя и анализируя угрозы или инциденты безопасности в режиме реального времени, управление инцидентами безопасности обеспечивает надёжное и всестороннее представление о любых проблемах безопасности в ИТ-инфраструктуре.

17. Почему важен мониторинг DNS?

    • DNS играет важную роль в подключении конечных пользователей к интернету. Каждое подключение клиентских устройств к домену записывается в журналах DNS. Анализ DNS-трафика между клиентскими устройствами и вашим локальным резолвером может выявить информацию для криминалистического анализа, а также обнаружить вредоносную активность/подключения в вашей сети, такие как:
      • ботнеты
      • обнаружение DDoS-атак
      • вредоносные домены
      • динамические домены

18. Что такое контроль безопасности?

    • Это средство защиты или контрмера, предназначенные для предотвращения, обнаружения, противодействия или минимизации рисков безопасности.

19. Какие существуют различные типы контролей безопасности?

    • Логические контроли безопасности
    • Физические контроли безопасности
    • Процедурные контроли безопасности

20. Можете описать жизненный цикл информации? Как вы обеспечиваете информационную безопасность на каждом этапе?

    • Это способ надлежащего управления информацией на протяжении всего её жизненного цикла, чтобы получить от неё максимальную пользу и выгоду. Включает планирование, получение, хранение/распространение, сопровождение, применение и уничтожение.

21. Что такое управление информационной безопасностью (Information Security Governance)?

    • Управление ИТ-безопасностью — это система, с помощью которой организация направляет и контролирует ИТ-безопасность (адаптировано из ISO 38500).
    • Управление (governance) определяет структуру подотчётности и обеспечивает надзор для гарантии того, что риски адекватно смягчаются, в то время как менеджмент обеспечивает внедрение контролей для смягчения рисков.

22. Каковы ваши профессиональные ценности? Почему профессиональная этика важна в сфере информационной безопасности?

    • С великой силой приходит великая ответственность. Специалисты по безопасности получают исключительный объём доступа к ИТ-инфраструктуре организации, и им часто оказывается огромное доверие. Очень важно, чтобы специалисты по безопасности действовали этично и честно, защищая бизнес и его заинтересованные стороны.

Аудит и тестирование безопасности

23. Что такое ИТ-аудит безопасности?

    • По своей сути ИТ-аудит безопасности включает две разные оценки. Ручная оценка проводится, когда внутренний или внешний аудитор ИТ-безопасности опрашивает сотрудников, проверяет контроли доступа, анализирует физический доступ к оборудованию и выполняет сканирование уязвимостей. Такие проверки должны проводиться как минимум ежегодно. Однако некоторые организации предпочитают проводить их чаще.
    • Хотя некоторые стандарты широко применяются в ИТ-индустрии, многие из них являются более узкоспециализированными и относятся напрямую, например, к медицинским или финансовым учреждениям. Ниже приведён краткий список наиболее обсуждаемых на сегодняшний день стандартов ИТ-безопасности.
      • Соответствие ISO: Международная организация по стандартизации (ISO) разрабатывает и публикует множество руководств, предназначенных для обеспечения качества, надёжности и безопасности. Семейство стандартов ISO/IEC 27000 является одним из наиболее актуальных для системных администраторов, поскольку эти стандарты направлены на обеспечение безопасности информационных активов. ISO/IEC 27001 известен своими требованиями к системе менеджмента информационной безопасности.
      • Правило безопасности HIPAA: Правило безопасности HIPAA описывает конкретные рекомендации относительно того, как именно организации должны защищать электронную персональную медицинскую информацию пациентов.
      • Соответствие PCI DSS: Стандарт соответствия PCI DSS применяется напрямую к компаниям, работающим с любыми видами платежей клиентов. Думайте об этом стандарте как о требовании, которое обеспечивает защиту информации о вашей кредитной карте при каждом совершении транзакции.
      • Соответствие SOX: Закон SOX, более формально известный как Закон Сарбейнса-Оксли (Sarbanes-Oxley Act) по именам его авторов — сенатора Пола Сарбейнса (D-MD) и конгрессмена Майкла Г. Оксли (R-OOH-4), — был принят в 2002 году после широко освещавшегося скандала с Enron. Его цель заключалась в защите инвесторов путём обязательства всех публичных компаний предоставлять точную и достоверную финансовую отчётность на ежегодной основе.

24. Как вы тестируете информационную безопасность?

    • Тестирование на проникновение: этот вид тестирования имитирует атаку со стороны злоумышленника-хакера. Такое тестирование включает анализ конкретной системы для проверки потенциальных уязвимостей к внешней попытке взлома.
    • Оценка рисков: такое тестирование включает анализ рисков безопасности, наблюдаемых в организации.

25. В чём разница между тестированием на проникновение по методу «чёрного ящика» и «белого ящика»?

    • В рамках задания по методу «чёрного ящика» (Black-Box) консультант не имеет доступа к какой-либо внутренней информации, и ему не предоставляется внутренний доступ к приложениям или сети клиента. Задача консультанта — провести всю разведку, чтобы получить конфиденциальные знания, необходимые для дальнейших действий, что ставит его в положение, максимально близкое к типичному злоумышленнику. Этот тип тестирования является наиболее реалистичным, но также требует большого количества времени и несёт наибольший риск упустить уязвимость, существующую во внутренней части сети или приложения.

Контроль доступа

28. В чём разница между аутентификацией и авторизацией?

    • Аутентификация означает подтверждение вашей личности, а авторизация означает предоставление доступа к системе. Проще говоря, аутентификация — это процесс проверки того, кто вы, а авторизация — это процесс проверки того, к чему у вас есть доступ.

29. Какие типы информации могут использоваться для аутентификации?

    • Тип 1 – То, что вы знаете – включает пароли, PIN-коды, комбинации, кодовые слова или секретные рукопожатия. Всё, что вы можете запомнить, а затем ввести, произнести, сделать, выполнить или иным образом вспомнить при необходимости, относится к этой категории.
    • Тип 2 – То, что у вас есть – включает все предметы, являющиеся физическими объектами, такие как ключи, смартфоны, смарт-карты, USB-накопители и токен-устройства. (Токен-устройство генерирует PIN-код на основе времени или может вычислить ответ на число-вызов, выданное сервером.)
    • Тип 3 – То, чем вы являетесь – включает любую часть человеческого тела, которая может быть предъявлена для проверки, такую как отпечатки пальцев, сканирование ладони, распознавание лица, сканирование сетчатки, сканирование радужной оболочки и проверка голоса.

30. Что такое управление доступом на основе ролей?

    • Управление доступом на основе ролей (RBAC) относится к идее назначения разрешений пользователям на основе их роли в организации. Оно обеспечивает детальный контроль и предлагает простой, управляемый подход к управлению доступом, который менее подвержен ошибкам, чем назначение разрешений пользователям по отдельности.

31. Что подразумевается под термином «наименьшие привилегии»?

    • Принцип наименьших привилегий работает, предоставляя ровно столько доступа, сколько необходимо для выполнения требуемой работы. В ИТ-среде соблюдение принципа наименьших привилегий снижает риск получения злоумышленниками доступа к критическим системам или конфиденциальным данным путём компрометации низкоуровневой учётной записи пользователя, устройства или приложения.

32. Что такое двухфакторная аутентификация? Требует ли она специального оборудования?

    • Двухфакторная аутентификация (также известная как 2FA) — это тип или подмножество многофакторной аутентификации. ... Двухэтапная проверка или двухэтапная аутентификация — это метод подтверждения заявленной личности пользователя с использованием того, что он знает (пароль), и второго фактора, отличного от того, что у него есть или чем он является.

Архитектура безопасности

33. Почему открытые стандарты важны для решений в области безопасности?

34. Как вы балансируете запросы различных заинтересованных сторон, у которых конфликтующие требования?

35. Что такое многоуровневая архитектура безопасности? Хороший ли это подход? Почему?

    • Многоуровневая безопасность, также известная как эшелонированная оборона, описывает практику объединения нескольких смягчающих контролей безопасности для защиты ресурсов и данных.

36. Приходилось ли вам проектировать меры безопасности, охватывающие пересекающиеся информационные домены? Можете дать краткий обзор решения?

37. Как вы обеспечиваете, чтобы проект учитывал человеческий фактор?

38. Как вы обеспечиваете соответствие проекта нормативным требованиям?

39. Что такое безопасность на основе возможностей (capability-based security)? Применяли ли вы этот паттерн в своих проектах? Как?

    • Безопасность на основе возможностей относится к принципу проектирования пользовательских программ таким образом, чтобы они напрямую разделяли возможности друг с другом в соответствии с принципом наименьших привилегий, а также к инфраструктуре операционной системы, необходимой для того, чтобы такие транзакции были эффективными и безопасными.

40. Можете привести несколько примеров требований к архитектуре безопасности?

    • https://www.isaca.org/resources/isaca-journal/issues/2017/volume-4/enterprise-security-architecturea-top-down-approach

41. Кто обычно является владельцем требований к архитектуре безопасности и какие заинтересованные стороны вносят вклад?

42. Какие особые проблемы безопасности создаёт SOA?

    • Сервис-ориентированная архитектура (SOA) — это новый способ организации работы сетевой системы, и, как и все новые технологии, она сопряжена со своими проблемами. Особую сложность представляет задача обеспечения безопасности сервис-ориентированной системы. Из-за намеренно децентрализованного характера этой системы данные движутся во всех направлениях и должны быть защищены в любой момент. Кроме того, чтобы реализовать контроль доступа, его необходимо сначала где-то определить, а остальная часть системы должна знать об этих правилах и соблюдать их. Поскольку в такой системе много ресурсов, требовать от пользователей проходить аутентификацию при каждой попытке доступа к новому ресурсу становится обременительно.

43. Какие проблемы безопасности создают унифицированные коммуникации?

44. Применяете ли вы другой подход к архитектуре безопасности для готового коммерческого решения (COTS) по сравнению с заказным решением?

Сеть

47. Что такое межсетевой экран (firewall)?

    • Межсетевой экран — это устройство сетевой безопасности, которое отслеживает входящий и исходящий сетевой трафик и принимает решение разрешить или заблокировать конкретный трафик на основе определённого набора правил безопасности.

48. Помимо межсетевых экранов, какие ещё устройства используются для обеспечения сетевых границ?

49. Какова роль сетевых границ в информационной безопасности?

    • Защита границ — это «мониторинг и контроль коммуникаций на внешней границе информационной системы для предотвращения и обнаружения вредоносных и иных несанкционированных коммуникаций». Защита достигается за счёт использования шлюзов, маршрутизаторов, межсетевых экранов, средств защиты (guards) и зашифрованных туннелей.

50. Что делает система обнаружения вторжений (IDS)? Как она это делает?

    • Система обнаружения вторжений (IDS) — это устройство или программное приложение, которое отслеживает сеть на предмет вредоносной активности или нарушений политики. Любая вредоносная активность или нарушение, как правило, регистрируется или собирается централизованно с помощью системы управления информацией и событиями безопасности (SIEM).

51. Что такое honeypot (ловушка)? От какого типа атак она защищает?

    • Honeypot (ловушка) — это компьютер или компьютерная система, предназначенные для имитации вероятных целей кибератак. Она может использоваться для обнаружения атак или отвлечения их от легитимной цели. Она также может использоваться для получения информации о том, как действуют киберпреступники.

52. Какие технологии и подходы используются для защиты информации и сервисов, развёрнутых в облачной инфраструктуре?53. С какими проблемами информационной безопасности приходится сталкиваться в среде облачных вычислений?

53. Как работает фильтрация пакетов?

    • Межсетевой экран с фильтрацией пакетов анализирует каждый пакет, пересекающий межсетевой экран, и проверяет пакет в соответствии с набором правил, которые вы настроили. Фильтры пакетов работают путем проверки исходного и конечного IP-адресов и портов, содержащихся в каждом пакете Transmission Control Protocol/Internet Protocol (TCP/IP).

54. Можете ли вы дать общий обзор IP-мультивещания?

    • IP-мультивещание — это метод отправки датаграмм Internet Protocol (IP) группе заинтересованных получателей одной передачей. Это специфичная для IP форма многоадресной рассылки, используемая для потокового мультимедиа и других сетевых приложений. В ней используются специально зарезервированные блоки многоадресных адресов в IPv4 и IPv6.

55. Можете ли вы объяснить разницу между межсетевым экраном с фильтрацией пакетов и межсетевым экраном прикладного уровня?

Лидерство в области безопасности

58. Как вы гарантируете, что архитекторы решений разрабатывают безопасные решения?

59. Какое обучение в области ИТ-безопасности должны пройти архитекторы решений? А разработчики?

60. Как вы преподносите ценность инициатив в области ИТ-безопасности высшему руководству?

61. Как вы обеспечиваете, чтобы решение продолжало оставаться устойчивым перед лицом меняющихся угроз?

62. Как вы избегаете внедрения излишне сложных или ненужных механизмов безопасности?

63. Участвовали ли вы в управлении информационной безопасностью? Какова была ваша роль? Чего вы достигли?

64. Можете ли вы описать законы и нормативные акты, которые оказывают значительное влияние на информационную безопасность в нашей организации?

65. Какова взаимосвязь между информационной безопасностью и законами о конфиденциальности?

66. Что такое управление уровнем безопасности?

67. Как вы обеспечиваете прозрачность и измеримость управления безопасностью?

68. Можете ли вы описать типичные обязанности директора по безопасности (CSO)?

69. Можете ли вы привести пример новых тенденций в области информационной безопасности, за которыми вы следите?

Опыт

70. Разрабатывали ли вы план реагирования на инциденты?

71. Участвовали ли вы в поддержке расследований инцидентов? Какова была ваша роль? Каков был результат?

72. Проводили ли вы анализ и оценку рисков? Как вы это делали? Какие заинтересованные стороны вы привлекали?

73. Проводили ли вы оценку угроз? Какие факторы вы учитывали?

74. Проводили ли вы оценку уязвимостей? Какие типы уязвимостей наиболее сложно идентифицировать?

75. В контексте оценки уязвимостей, как вы рассчитываете вероятность эксплуатации уязвимости?

    • Common Vulnerability Scoring System (CVSS) — это бесплатный и открытый отраслевой стандарт для оценки критичности уязвимостей безопасности компьютерных систем. CVSS присваивает уязвимостям оценки критичности, позволяя специалистам по реагированию расставлять приоритеты в действиях и ресурсах в зависимости от угрозы.
    • Exploit Prediction Scoring System (EPSS)

76. Можете ли вы привести пример, когда вы выявили и внедрили меры контроля для снижения риска? Как вы оценивали эти меры контроля?

77. Как вы остаетесь в курсе технологий? Например, как вы отслеживаете новые угрозы информационной безопасности?

Криптография

78. Как работает протокол SSL?

79. В чем разница между симметричной криптографией и криптографией с открытым ключом?

    • Симметричная криптография: 1 ключ как для шифрования, так и для дешифрования.
    • Асимметричная криптография: 2 ключа — открытый и закрытый. Может использоваться двумя способами: один — для конфиденциальности, другой — для целостности.

80. Можете ли вы дать общий обзор того, как работает криптография с открытым ключом?

81. В чем разница между стандартами шифрования AES и DES?

82. Какова роль цифровых сертификатов в шифровании?

83. Какие механизмы шифрования вы бы порекомендовали организации, которая хочет шифровать свои исходящие электронные письма?

84. Можете ли вы дать общий обзор IPsec? Каково его назначение?

85. Заменяет ли IPsec необходимость в SSL?

Управление инцидентами безопасности

86. Каковы компоненты управления инцидентами ITIL?

87. Если бы наша организация столкнулась с крупным инцидентом безопасности, какие шаги нам следует предпринять для управления инцидентом?

88. Можете ли вы описать обязанности менеджера по инцидентам?

Угрозы

89. По вашему мнению, каковы пять главных угроз информационной безопасности, с которыми сталкивается такая организация, как наша?

90. Что такое атака «человек посередине»?

91. Можете ли вы привести пример межсайтового скриптинга?

92. Что такое SQL-инъекция? Как она предотвращается?

93. Что такое переполнение буфера?

94. Что такое кликджекинг?

Уязвимости

95. Что такое небезопасная прямая ссылка на объект? Почему это проблема?

96. Почему важно проверять перенаправления и пересылки?

97. Каковы некоторые распространенные уязвимости безопасности на уровне хранения информации?

98. Каковы некоторые распространенные уязвимости безопасности на транспортном уровне?

99. Как некорректная обработка ошибок может привести к уязвимостям безопасности? Каким образом?

Интеграция физической безопасности

100. Можете ли вы привести несколько примеров интеграции физической безопасности?

101. Что такое социальная инженерия? Насколько она распространена?

102. Как бы вы обеспечили безопасность офисного помещения? А что насчет дата-центра?