Ранее я уже публиковал статью, где кратко рассказал о себе, объяснил цель этой серии постов и общий контекст темы. Тем, кто ещё не знаком с ней, рекомендую сначала прочитать вводный материал, а уже затем переходить к этому посту. Так будет проще увидеть полную картину и лучше понять логику дальнейшего разбора

Общая статья: «Какие существуют виды собеседования в кибербезе»

Этот пост — заключительная, третья часть серии материалов о собеседованиях в кибербезопасности. В этой теме я хочу перейти к самой практической части и разобрать, какие вопросы чаще всего встречаются на собеседованиях от малого и среднего бизнеса до крупного корпоративного сектора.

1. Уязвимости: Расскажи про OWASP Top 10. Выбери любые 3 и опиши, как они возникают и как их эксплуатировать а в конце как устранять.

2. Аутентификация: Чем отличается авторизация от аутентификации? Что такое JWT, в чем его уязвимости (алгоритм none, слабый секрет, отсутствие проверки срока)? Что такое OAuth 2.0, SAML?

3. Linux Hardening: Какие права доступа ты выставишь на чувствительные файлы? Что такое SUID бит и чем он опасен?

4. Сети: Какие ты знаешь модели в компьютерных сетях и чем они отличаются? - Что такое рукопожатие - Что такое HTTP - Что такое порты и какие ты знаешь - Назови протоколы прикладного уровня - Разница между IDS и IPS.

6. CI/CD: Что такое CI/CD? Если бы ты внедрял SAST в пайплайн GitLab CI, с какими проблемами столкнулся бы? Как обрабатывать ложные срабатывания, чтобы не бесить разработчиков?

7. Криптография: Чем отличается хеширование от шифрования? Где хранить пароли? Что такое соль? Какие актуальные и устаревшие протоколы шифрования ты знаешь?

8. Контейнеры: Чем опасен запуск контейнера от root? Какие есть best practices для Dockerfile?

9. Логика: Как защитить эндпоинт смены пароля? Какие эндпоинты на внешнем периметре могут представлять интерес для хакера?

10. SSDLC: На каком этапе внедрять безопасность? Как ты будешь убеждать разработчиков фиксить твои уязвимости, если у них горят сроки?

#КиберБезСобеседование_Вопросы