信息安全面试题

面向信息安全岗位的面试题合集

应用程序安全

如果在传输过程中必须同时加密和压缩数据，你会先做哪一步？为什么？
- 压缩旨在利用数据中的模式来减小其体积。
- 加密旨在将数据随机化，使其在没有密钥的情况下无法被解读。
- 如果先加密再压缩，那么压缩将毫无用处。压缩对随机数据不起作用。
- 如果先压缩再加密，攻击者便可以借助消息长度（压缩率）中的模式来推断出关于数据的信息，并有可能破坏加密（如 CRIME 攻击）。
- 参考资料：
  - 先加密还是先压缩？
  - CRIME
攻击者可以利用 HTTP 头注入漏洞做些什么？
- 回车符和换行符（或 %0D 与 %0A）是达到目的的手段，可让攻击者控制 HTTP 头。
- 攻击者可以通过 Referer 头注入 XSS。
- 攻击者可以将 cookie 设置为攻击者已知的值（会话固定攻击）。
- 攻击者可以将用户重定向到恶意服务器。
描述你最近编写的一个程序或脚本。它解决了什么问题？
- 这只是在考察应聘者是否对编程概念有基本理解，并且至少能够编写简单的程序。
在一个需要考虑性能的高流量网站上，你会如何实现安全的登录字段？
- TLS（无论性能如何）都是必须的。
- 此外，减少第三方库依赖可以提升性能并降低安全风险（https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5）
- 内容安全策略（CSP）可对 JS 和 CSS 实施更严格的执行规则（https://en.wikipedia.org/wiki/Content_Security_Policy）
- 子资源完整性（SRI）可确保仅从第三方服务器/CDN 加载已知且可信的资源文件（https://en.wikipedia.org/wiki/Subresource_Integrity）
应对暴力破解有哪些不同的方法？
- 账户锁定/超时
- API 速率限制
- IP 限制
- Fail2ban
- ……等等
什么是跨站请求伪造（CSRF）？如何防御？
- 攻击者诱使受害者的浏览器携带受害者的凭据发起请求。
- 例如：如果图片标签（``）指向一个带有相关操作的 URL，例如 https://foo.com/logout
- 防御措施包括但不限于：
  - 检查 Origin 头与 Referer 头
  - 检查 CSRF 令牌或 nonce
什么是跨站脚本（XSS）？XSS 有哪些不同类型？如何防御 XSS？
- XSS 是指攻击者让受害者的浏览器在其浏览器中执行某些代码（通常是 JavaScript）。
- 传统上，XSS 攻击被归类为存储型（Stored）和反射型（Reflected）。
  - 存储型 XSS 是指攻击者能够将某些代码持久化到数据库中，并在受害者访问时被检索并展示出来（例如论坛）。
  - 反射型 XSS 通常以精心构造的、包含恶意代码的 URL 形式出现。当用户点击该链接时，代码会在其浏览器中运行。
- 近来也有关于基于 DOM 的 XSS 的讨论，它发生在攻击者能够控制 DOM 元素时，从而无需向服务器发送任何请求即可实现 XSS。
- XSS 的类别往往相互重叠，因此更好的做法是用诸如服务器存储型 XSS、服务器反射型 XSS、客户端存储型 XSS（例如存储型基于 DOM 的 XSS）或客户端反射型 XSS（例如反射型基于 DOM 的 XSS）之类的术语来描述。
- 防御措施包括：
  - 输出编码（更重要）
  - 输入验证（次要）
HTTP 如何处理状态？
- HTTP 是无状态的。
- 状态存储在 cookie 中。

架构师

你是否设计过跨越多个重叠信息域的安全措施？
你能举几个安全架构需求的例子吗？
面向服务的架构（SOA）会带来哪些特殊的安全挑战？
你是否设计过包含 SaaS 组件的安全解决方案？你遇到了哪些挑战？
你是否参与过这样的项目：干系人选择接受已识别出的、令你担忧的安全风险？你是如何处理的？
你如何处理需求相互冲突的不同干系人的要求？
你如何确保解决方案架构师开发出安全的解决方案？
你如何确保解决方案在面对不断演变的威胁时仍保持韧性？
你认为当下最重要的技术是什么？我们该如何保护它的安全？

蓝队

给定网络中一台机器与第三方网站（例如 Google）之间的 HTTP 流量日志，源端口和目的端口会是什么样的？
- 源端口可能是大于 1024 的某个端口号（即临时端口）。
- 目的端口可能是 80（HTTP）或 443（HTTPS）。

加密

编码、加密和散列之间有什么区别？
- 编码保证消息的完整性。可以轻松反转。例如：base64
- 加密保证消息的机密性。只能使用相应的解密密钥才能反转。例如：AES256
- 散列是单向函数。无法逆转。输出长度固定，且通常小于输入。
TLS 使用对称加密还是非对称加密？
- 两者都用。
- 初始交换使用非对称加密完成，而批量数据加密使用对称加密。更多信息参见下一题。
- 参考资料：
  - https://web.archive.org/web/20150206032944/https://technet.microsoft.com/en-us/library/cc785811.aspx
  - https://en.wikipedia.org/wiki/Transport_Layer_Security
描述当某人访问安全网站时 TLS 会话建立的过程。
- 客户端发送 hello 消息，其中列出密码学信息，例如 SSL/TLS 版本以及客户端对密码套件的偏好顺序。该消息还包含一个用于后续计算的随机字节字符串。客户端也可以在 hello 消息中包含数据压缩方法。
- 服务器以 hello 消息作为响应，其中包含服务器选定的密码套件、服务器的数字证书以及另一个随机字节字符串。如果服务器要求客户端证书认证，服务器还会向客户端发送 client certificate request。
- 客户端验证服务器的数字证书。
- 客户端发送一个用服务器公钥加密的随机字节字符串，以便客户端和服务器都能计算出用于客户端与服务器之间后续加密的密钥。
- 如果服务器要求客户端证书，客户端会发送一个用客户端私钥加密的随机字节字符串，并附上客户端的数字证书或 "no digital certificate alert"。该警报只是一个警告，但在某些实现中，如果客户端认证是强制的，握手将会失败。
- 服务器验证客户端的数字证书。
- 客户端发送用计算出的密钥加密的 finished 消息。
- 服务器发送用计算出的密钥加密的 finished 消息。
- 在 TLS 会话期间，服务器和客户端现在可以交换使用共享密钥进行对称加密的消息。
- 参考资料：
  - SSL 或 TLS 握手概述
TLS 是如何被攻击的？过去 TLS 是如何被攻击的？为什么这会成为问题？又是如何修复的？

取证

综合

开源项目与专有项目相比，是更安全还是更不安全？
- 两种模式各有利弊。
- 两个阵营都出现过不安全的项目实例。
- 开源模式鼓励对项目进行"多双眼睛"的审查，但这并不一定意味着更安全的产品。
- 重要的不是开源还是专有，而是项目的质量控制。
在信息安全领域，你最敬佩谁？为什么？
你通常从哪里获取安全资讯？

事件响应

网络

红队

漏洞管理

哪一类漏洞被利用得最多？
你应该多久扫描一次？
外部扫描和内部扫描有什么区别？
认证扫描和非认证扫描有什么区别？
扫描如何对操作系统进行指纹识别？
什么是 CVSS 评分？
你应该如何划分扫描？
你会如何建议不同的组织优先修补哪些内容？
什么是漏洞？
你熟悉任何行业标准的漏洞跟踪方式吗？
什么是 CVE？它所提供的标准化为何重要？
你会去哪里查找关于某个漏洞的更多信息？
漏洞利用（exploit）和漏洞（vulnerability）有什么区别？
如果存在威胁但没有漏洞，你认为仍然存在风险吗？如果存在漏洞但没有威胁呢？
你能列出一些最近听说的漏洞吗？
你熟悉用于扫描漏洞的工具吗？如果不熟悉，你能说出几个吗？
你能列出一些用于在企业范围内修补漏洞的工具吗？
什么是 SCCM？
你熟悉哪些常用于漏洞利用的开源工具吗？
你能列出一些以持续性出现漏洞而闻名的软件吗？
Microsoft 补丁多久发布一次（非紧急？
什么是 Microsoft KB 编号？

致谢

Daniel Miessler 的博客

infosec-interview-questions

最受欢迎