security-interview-questions

来源

• 测验：https://quizlet.com/231268221/general-information-security-questions-flash-cards/
• SANS 速查表：https://www.sans.org/blog/the-ultimate-list-of-sans-cheat-sheets/
• Offensive Security（OSCP）：https://411hall.github.io/OSCP-Preparation/
  • https://medium.com/@falconspy/oscp-exam-attempt-1-1893df5a0a00
• VulnHub - LABS：https://www.vulnhub.com/

信息安全新闻来源：

• 各种渠道。主要是 Security Weekly Podcast（Paul Assadorian）、Google、Krebs On Security（有时）以及 danielmiessler.com 的 Daniel Miessler。

基本概念

1. 什么是信息安全？如何实现信息安全？

   • 信息安全是指为了保护纸质、电子或任何其他形式的机密、私有和敏感信息或数据免受未经授权的访问、使用、滥用、披露、破坏、修改或中断而设计和实施的过程和方法。

2. 信息安全的核心理念是什么？

   • CIA 三元组。CIA 代表机密性（Confidentiality）、完整性（Integrity）和可用性（Availability），它们是信息安全的三大主要目标。
   • 认证（Authentication）和不可否认性（Non-repudiation）

3. 什么是不可否认性（就 IT 安全而言）？

   • 不可否认性是一种保证，即某人无法否认某事物的有效性。
   • 不可否认性是一个在信息安全领域广泛使用的法律概念，指的是一种服务，该服务提供数据来源和数据完整性的证明。
   • 这个概念是指每项服务或流程都应提供数据完整性（如签名）和来源的证明。它是信息安全的一个方面，因为它确保了数据、流程和传输的完整性。

4. 信息安全与数据可用性之间的关系是什么？

   • 信息安全包含用于保护数据并确保只有经过认证和批准的用户才能访问授权数据的策略和流程。信息安全不能妨碍授权用户的访问，但必须通过逻辑和物理控制来保护数据免受未经授权的访问或窃取。

5. 什么是安全策略？为什么需要安全策略？

   • 安全策略是一份规定用户如何、何时以及为何可以访问信息系统并与之交互的文档。它为用户提供了对其角色和职责的合理预期，并作为程序性操作的指导。

6. 逻辑安全和物理安全有什么区别？能各举一个例子吗？

   • 保护人员涉及物理安全和逻辑安全的结合。物理安全通过只允许授权人员进入建筑物来保障他们的安全。逻辑安全保护他们的计算机和数据免受未经授权的访问。
   • 逻辑安全通过实施用户标识、密码、认证和生物识别来阻止用户访问，从而保护计算机软件。物理安全通过安装围栏、警报器、摄像头、保安人员、电子访问控制、入侵检测和行政访问控制来防止和阻止攻击者进入建筑物。逻辑安全和物理安全的区别在于，逻辑安全保护对计算机系统的访问，而物理安全保护场地以及场地内的一切。

7. 存在可接受的风险水平吗？

   • 可接受的风险水平是指在尽可能降低风险的同时，仍能确保业务以最佳水平运营。 风险分配应始终随着新技术、新流程和威胁环境的变化而重新评估。

8. 如何衡量风险？能举一个衡量信息安全风险的具体指标的例子吗？

   • 风险的计算方法是将威胁可能性值与影响值相乘，然后根据结果将风险分为高、中或低。 ISO 标准 27005（信息安全风险管理 - ISRM）

9. 能给我举一个风险权衡的例子吗（例如风险与成本）？

10. 威胁企业数据安全的最常见攻击类型有哪些？

    • 内部威胁
    • 勒索软件
    • 能够实现数据泄露的恶意软件
    • 脚本攻击（XSS、跨站请求伪造）
    • 注入攻击（SQL/JavaScript）

11. 威胁和漏洞有什么区别？

    • 漏洞是系统、站点或流程中可能被威胁利用的弱点。威胁是任何利用弱点实施未经授权操作或获得对信息系统未经授权访问的实体或流程。

12. 能给我举一些常见安全漏洞的例子吗？

    • 跨站脚本（XSS）
    • SQL 注入
    • 跨站请求伪造
    • 缓冲区溢出
    • 加密薄弱/无加密
    • 防火墙规则配置错误
    • 访问控制薄弱/Active Directory 规则策略

13. 你熟悉 ISO/IEC 27002 等安全管理框架吗？

    • ISO/IEC 270002
    • NIST SP 800-53：NIST 网络安全框架
    • SOC 2/3
    • PCI-DSS
    • HIPAA
    • NERC-CIP
    • FFIEC

14. 你能简要讨论一下信息安全在软件开发生命周期各个阶段中的作用吗？

    • 需求收集
      • 安全需求
      • 设置阶段关口
      • 风险评估
    • 设计
      • 从安全角度识别设计需求
      • 架构与设计评审
      • 威胁建模
    • 编码
      • 编码最佳实践
      • 执行静态分析
    • 测试
      • 漏洞评估
      • 模糊测试
    • 部署
      • 服务器配置审查
      • 网络配置审查

15. 你能描述一下安全运营在企业中的作用吗？

    • 安全运营中心（SOC）是一支组织严密、技术娴熟的团队，其使命是监控和改善组织的网络安全态势，同时利用技术和精确的程序来预防、检测、分析和响应网络安全事件。

16. 什么是事件管理？

    • IT 事件管理是 IT 服务管理（ITSM）的一个领域，IT 团队在其中以尽可能减少对业务负面影响的方式，在服务中断后尽快将其恢复正常。
    • 安全事件管理非常重视快速解决事件，以确保员工和用户都不会遭受过多的停机时间。通过实时识别、管理、记录和分析安全威胁或事件，安全事件管理能够提供对 IT 基础设施内任何安全问题的全面而深入的视图。

17. 为什么 DNS 监控很重要？

    • DNS 在将最终用户连接到互联网方面发挥着重要作用。客户端设备对域名进行的每次连接都会记录在 DNS 日志中。检查客户端设备与本地解析器之间的 DNS 流量，可以揭示用于取证分析的信息，并发现网络上的恶意活动或连接，例如：
      • 僵尸网络
      • DDoS 攻击检测
      • 恶意域名
      • 动态域名

18. 什么是安全控制？

    • 一种用于避免、检测、对抗或最小化安全风险的防护措施或对策。

19. 安全控制有哪些不同类型？

    • 逻辑安全控制
    • 物理安全控制
    • 流程安全控制

20. 你能描述一下信息生命周期吗？如何确保每个阶段的信息安全？

    • 它是指信息在整个生命周期中得到妥善管理，以充分利用并从中获益的方式。包括规划、获取、存储/共享、维护、应用和处置

21. 什么是信息安全治理？

    • IT 安全治理是组织指导和控制 IT 安全的体系（改编自 ISO 38500）。
    • 治理规定了问责框架并提供监督，以确保风险得到充分缓解，而管理层则确保实施控制措施以减轻风险。

22. 你的职业价值观是什么？为什么职业道德在信息安全领域很重要？

    • 能力越大，责任越大。安全专业人员被授予对组织 IT 基础设施的特殊访问权限，并且常常受到极大的信任。安全专业人员以合乎道德和诚实的方式行事以保护企业及其利益相关者，这一点非常重要。

安全审计与测试

23. 什么是 IT 安全审计？

    • 从根本上说，IT 安全审计包括两种不同的评估。人工评估发生在内部或外部 IT 安全审计员访谈员工、审查访问控制、分析对硬件的物理访问并执行漏洞扫描时。这些审查至少应每年进行一次。然而，一些组织更倾向于更频繁地进行审查。
    • 虽然有些标准广泛适用于 IT 行业，但许多标准更具行业针对性，例如直接适用于医疗保健或金融机构。以下是当今存在的一些最受关注的 IT 安全标准的简短列表。
      • ISO 合规性：国际标准化组织（ISO）制定并发布了一系列旨在确保质量、可靠性和安全性的指南。ISO/IEC 27000 系列标准与系统管理员最为相关，因为这些标准侧重于确保信息资产的安全。ISO/IEC 27001 以其信息安全管理体系要求而闻名。
      • HIPAA 安全规则：HIPAA 安全规则概述了具体指南，明确规定组织应如何保护患者的电子个人健康信息。
      • PCI DSS 合规性：PCI DSS 合规标准直接适用于处理任何类型客户支付的公司。可以将该标准视为一项要求，负责确保你每次进行交易时信用卡信息都受到保护。
      • SOX 合规性：SOX 法案，更正式的名称为《萨班斯-奥克斯利法案》（Sarbanes-Oxley Act），以其提案人 Paul Sarbanes 参议员（D-MD）和 Michael G. Oxley 众议员（R-OOH-4）命名，是在广受关注的安然丑闻之后于 2002 年通过的。其目标是通过要求所有上市公司每年提供准确、可靠的财务披露来保护投资者。

24. 如何测试信息安全？

    • 渗透测试：这种测试模拟恶意黑客的攻击。该测试涉及对特定系统的分析，以检查其是否存在可能遭受外部黑客攻击的潜在漏洞。
    • 风险评估：这种测试涉及对组织中观察到的安全风险进行分析。

25. 黑盒和白盒渗透测试有什么区别？

    • 黑盒测试中，顾问无法访问任何内部信息，也未被授予对客户应用程序或网络的内部访问权限。顾问的工作是执行所有侦察以获取继续所需的敏感信息，这使得他们扮演尽可能接近典型攻击者的角色。这种类型的测试最真实，但也需要大量时间，并且最有可能忽略网络或应用程序内部存在的漏洞。
    • 白盒测试允许安全顾问完全开放地访问应用程序和系统。这使顾问能够查看源代码，并获得网络的高级特权账户。白盒测试的目的是识别各个领域的潜在弱点，例如逻辑漏洞、潜在的安全暴露、安全配置错误、编写拙劣的开发代码以及缺乏防御措施。这种类型的评估更全面，因为内部和外部漏洞都是从典型攻击者无法获得的“幕后”角度进行评估的。

26. 什么是漏洞扫描？

    • 漏洞扫描是对计算机或网络上潜在可利用点的检查，以识别安全漏洞。漏洞扫描可以检测并分类计算机、网络和通信设备中的系统弱点，并预测对策的有效性。

27. 安全评估计划（安全测试计划）中包含什么？

    • 安全评估计划根据评估目的以及系统安全计划中确定和描述的已实施控制措施，记录了待评估的控制措施和控制增强。安全评估计划定义了评估范围，特别指明是执行完整评估还是部分评估，以及评估是旨在支持与新建或重大变更系统相关的初始授权前活动，还是用于运营系统的持续评估。安全评估计划还描述了用于每项控制措施的程序——通常取自特别出版物 800-53A 或可用的评估案例，并根据需要加以定制以满足组织或系统特定要求——包括评估方法和对象的选择以及分配的深度和覆盖范围属性。

访问控制

28. 认证和授权有什么区别？

    • 认证意味着确认你自己的身份，而授权意味着授予对系统的访问权限。简单来说，认证是验证你是谁的过程，而授权是验证你可以访问什么的过程。

29. 哪些类型的信息可用于认证？

    • 类型 1 – 你所知道的 – 包括密码、PIN 码、组合码、暗语或秘密握手。任何你可以记住并在需要时输入、说出、做出、执行或以其他方式回忆起来的东西都属于这一类。
    • 类型 2 – 你所拥有的 – 包括所有物理对象类物品，如钥匙、智能手机、智能卡、U 盘和令牌设备。（令牌设备会生成基于时间的 PIN 码，或可根据服务器发布的挑战码计算出响应。）
    • 类型 3 – 你本身的特征 – 包括可用于验证的人体任何部分，如指纹、手掌扫描、面部识别、视网膜扫描、虹膜扫描和语音验证。

30. 什么是基于角色的访问控制？

    • 基于角色的访问控制（RBAC）是指根据用户在组织中的角色向其分配权限的理念。它提供细粒度的控制，并提供一种简单、可管理的访问管理方法，比单独向用户分配权限更不容易出错。

31. 术语“最小权限”是什么意思？

    • 最小权限原则通过只授予执行所需工作所需的足够访问权限来运作。在 IT 环境中，遵循最小权限原则可以降低攻击者通过破坏低级别用户账户、设备或应用程序而获得对关键系统或敏感数据访问权限的风险。

32. 什么是双因素认证？它需要特殊硬件吗？

    • 双因素认证（也称为 2FA）是多因素认证的一种类型或子集。…… 两步验证或两步认证是一种通过利用用户所知道的信息（密码）以及除用户所拥有的或用户自身特征之外的第二个因素来确认用户声称身份的方法。

安全架构

33. 为什么开放标准对安全解决方案很重要？

34. 你如何平衡具有冲突需求的不同利益相关者的要求？

35. 什么是分层安全架构？这是一个好的方法吗？为什么？

    • 分层安全，也称为分层防御，描述了组合多种缓解性安全控制措施来保护资源和数据的做法。

36. 你是否设计过跨越重叠信息域的安全措施？能简要概述一下该解决方案吗？

37. 你如何确保设计能够预见到人为错误？

38. 你如何确保设计符合法规要求？

39. 什么是基于能力的安全？你是否将该模式融入到你的设计中？如何融入的？

    • 基于能力的安全是指这样一种原则：设计用户程序，使其根据最小权限原则直接相互共享能力，以及使此类事务高效且安全所必需的操作系统基础设施。

40. 你能举几个安全架构需求的例子吗？

    • https://www.isaca.org/resources/isaca-journal/issues/2017/volume-4/enterprise-security-architecturea-top-down-approach

41. 通常谁负责安全架构需求？哪些利益相关者会做出贡献？

42. SOA 会带来哪些特殊的安全挑战？

    • 面向服务的架构（SOA）是一种运行网络系统的新方式，与所有新技术一样，它也有自己的一系列挑战。其中特别困难的是保护面向服务系统的安全。由于该系统刻意采用去中心化的性质，数据流向各个方向，并且需要始终受到保护。此外，要实施访问控制，必须首先在某处对其进行定义，并且系统的其余部分需要了解并遵守这些规则。由于这样的系统中有许多资源，要求用户每次尝试访问新资源时都进行身份验证会变得很繁琐。

43. 统一通信会带来哪些安全挑战？

44. 对于商用现货（COTS）解决方案与定制解决方案，你会采用不同的安全架构方法吗？

45. 你是否架构过涉及 SaaS 组件的安全解决方案？你遇到了哪些挑战？

46. 你是否参与过这样一个项目：利益相关者选择接受令你担忧的已识别安全风险？你是如何处理的？

网络

47. 什么是防火墙？

    • 防火墙是一种网络安全设备，它监控传入和传出的网络流量，并根据一组已定义的安全规则决定允许还是阻止特定流量。

48. 除了防火墙，还有哪些设备用于实施网络边界？

49. 网络边界在信息安全中的作用是什么？

    • 边界保护是“在信息系统的外部边界对通信进行监控和控制，以防止和检测恶意及其他未经授权的通信。”保护是通过使用网关、路由器、防火墙、防护设备和加密隧道来实现的

50. 入侵检测（IDS）系统是做什么的？它是如何工作的？

    • 入侵检测系统（IDS）是一种设备或软件应用程序，用于监控网络中的恶意活动或策略违规行为。任何恶意活动或违规行为通常会通过安全信息和事件管理系统进行报告或集中收集。

51. 什么是蜜罐？它防御哪种类型的攻击？

    • 蜜罐是一种旨在模拟网络攻击可能目标的计算机或计算机系统。它可用于检测攻击或将攻击从合法目标引开。它还可用于获取有关网络犯罪分子如何运作的信息。

52. 使用哪些技术和方法来保护部署在云计算基础设施上的信息和服务？53. 在云计算环境中面临哪些信息安全挑战？

53. 包过滤是如何工作的？

    • 包过滤防火墙会检查穿过防火墙的每个数据包，并根据您设置的一组规则对数据包进行测试。包过滤器通过检查每个传输控制协议/网际协议（TCP/IP）数据包中包含的源和目标 IP 及端口地址来工作。

54. 你能给我概述一下 IP 组播吗？

    • IP 组播是一种在单次传输中将网际协议（IP）数据报发送给一组感兴趣接收者的方法。它是组播在 IP 上的特定形式，用于流媒体和其他网络应用。它使用 IPv4 和 IPv6 中专门保留的组播地址块。

55. 你能解释一下包过滤防火墙和应用层防火墙之间的区别吗？

    • 包过滤是一种防火墙技术，通过监控出站和入站数据包，并根据源和目标网际协议（IP）地址、协议及端口允许其通过或阻止，从而控制网络访问。
    • 在计算领域，状态防火墙（任何执行状态数据包检测（SPI）或状态检测的防火墙）是一种跟踪穿过它的网络连接（如 TCP 流、UDP 通信）状态的防火墙。
    • Web 应用防火墙（WAF）是一种设备、服务器插件或过滤器，将一组规则应用于 HTTP 会话。通常，这些规则涵盖常见攻击，如跨站脚本（XSS）和 SQL 注入。通过针对您的应用定制规则，可以识别并阻止许多攻击。

56. OSI 模型的层次有哪些？

    • OSI 的 7 层
      • 第 7 层 - 应用层。
      • 第 6 层 - 表示层。
      • 第 5 层 - 会话层。
      • 第 4 层 - 传输层。
      • 第 3 层 - 网络层。
      • 第 2 层 - 数据链路层。
      • 第 1 层 - 物理层。

57. traceroute 如何帮助您找出通信中断的位置？

    • traceroute 利用数据包 IP 头部中的 TTL 字段来确定数据包在网络中经过了多少“跳”。分析人员将能够判断数据包是否被丢弃、传输在何处出现延迟，并可能识别出可能表明 DNS 投毒/欺骗的异常路由。

安全领导力

58. 您如何确保解决方案架构师开发出安全的解决方案？

59. 解决方案架构师在 IT 安全方面需要接受哪些培训？开发人员呢？

60. 您如何向高层管理人员推销 IT 安全举措的价值？

61. 您如何确保解决方案在面对不断演变的威胁时继续保持弹性？