35 вопросов для пентестинга (с примерами ответов)
3 января 2022 г.
Тестирование на проникновение или тестирование на проникновение — это особый навык, используемый для выполнения этического взлома для упреждающего выявления потенциальных угроз безопасности в организации. При собеседовании на должность в области кибербезопасности с этой ответственностью менеджеры по найму хотели бы знать, что вы знакомы с общими терминами и процессами, которые они используют. Изучение этих общих вопросов для собеседования может помочь вам подготовиться к собеседованию на такие роли, как тестер на проникновение или инженер по тестированию на проникновение. В этой статье мы обсудим 35 распространенных вопросов для пентестинга и поделимся примерами ответов, которые вы можете использовать при подготовке к собеседованию.
15 вопросов для пентестинга с примерами ответов
Вот некоторые вопросы, которые вы можете получить на собеседовании, и рекомендации, которые следует учитывать при подготовке:
1. Не могли бы вы описать информационную безопасность?
Поскольку тестирование на проникновение является частью стратегии безопасности компании, интервьюеры могут захотеть узнать о ваших общих знаниях в этой области. Подумайте о том, чтобы описать любые компоненты информационной безопасности и то, как организации их используют.
Пример: «Информационная безопасность — это то, как компании защищают свои системы и информацию от угроз. Она может включать процессы, которым организация следует для обеспечения безопасности, технологическую инфраструктуру и роли, которые управляют этой областью».
2. Что такое пентестинг своими словами?
Интервьюеры могут захотеть, чтобы вы описали свое собственное определение пентеста, чтобы узнать, как вы понимаете этот процесс. Вы можете предоставить базовую информацию об этом процессе и о том, как он поддерживает цели безопасности организации.
Пример: «Петестирование — это тип тестирования, который компании используют для выявления и предотвращения любых угроз безопасности. С помощью нескольких методов это помогает организациям активно управлять рисками в своих системах, сетях и программах».
3. Каковы различные фазы проникновения?
Менеджеры по найму могут спросить о вашем участии в различных этапах пентестинга. Поскольку для каждого из них может потребоваться определенный опыт, вы можете предоставить краткий обзор каждого из них. Если вы проходили тестирование на любом из этих этапов, рассмотрите возможность упомянуть о своем опыте.
Пример: «Пять этапов пентестинга — это разведка, сканирование, получение доступа, поддержание доступа и заметание следов. Первый — это когда вы изображаете из себя хакера, чтобы получить информацию о компании, например, ее IP-адрес. Сканирование определяет потенциальные способы, которыми они могут взломать в компанию. Получение и поддержание доступа означает взлом любых систем и извлечение данных, а сокрытие следов означает, что тестер удаляет журналы и другие доказательства того, что они получили доступ к системе. На моей предыдущей работе я в основном выполнял первые два этапа, используя сторонней учетной записи для сбора информации об уязвимостях для нашей компании».
4. Какие существуют типы шифрования?
Поскольку шифрование является распространенным способом защиты данных в организациях, менеджеры по найму могут задаться вопросом об этих различных методах. Предоставление краткого определения и того, как вы можете использовать каждый из них, может показать ваши знания в области шифрования.
Пример: «Симметричное и асимметричное шифрование являются двумя основными типами. Симметричное шифрование с использованием ключей означает, что пользователи и владельцы информации могут использовать один и тот же ключ для шифрования или расшифровки информации. Асимметричное означает, что существует закрытый и открытый ключ для повышения защиты данных для более конфиденциальной информации. .”
5. Что делает систему уязвимой?
Уязвимость — важная тема кибербезопасности, поэтому интервьюеры могут спросить вас, знаете ли вы об этом. Рассмотрите возможность предоставления конкретных примеров того, что может сделать систему или программу более уязвимой для атаки, по возможности приводя конкретные примеры из ваших предыдущих ролей.
Пример: «Системы и программы наиболее уязвимы, если они не имеют дополнительных функций безопасности, таких как брандмауэры или расширенное шифрование. На моей последней должности я проводил пентестирование каждой новой программы, которая нам требовалась, поскольку в них часто отсутствовали функции безопасности. Это помогло нам определить, какие функции безопасности меры, которые мы могли бы реализовать для защиты данных».
6. Как проходит ваше пентестирование?
Этот вопрос сообщает интервьюерам, как вы применяете стандарты пентестинга в своем собственном процессе. Подумайте о том, чтобы объяснить шаги, которые вы предпринимаете для подготовки к новому тесту, методы, которые вы используете, задачи, которые вы выполняете, и то, как вы завершаете тестирование.
Пример: «Во-первых, я оцениваю программное обеспечение, которое требует тестирования, чтобы решить, какой метод использовать. На моей предыдущей должности я в основном выполнял тестирование веб-приложений, где я тратил много времени на разведку и сканирование для выявления любых уязвимостей. После завершения , я бы исследовал, какие данные были уязвимы, и попытался бы взломать как можно больше. Имея эту информацию, мы могли бы определить уровень риска и принять меры безопасности».
7. Использовали ли вы разные методологии пентестинга?
Некоторым компаниям могут потребоваться различные методы тестирования, когда они предоставляют тестировщику определенный объем информации. Подумайте о том, чтобы упомянуть каждый метод и тот, с которым у вас есть опыт. Знакомство с тестированием методом черного ящика может показать ваш опыт в пентестировании.
Пример: «Я использовал все три методологии: тестирование «черного ящика», «белого ящика» и «серого ящика». В основном мы проводили тестирование «серого ящика» для наших устаревших систем с множеством элементов управления безопасностью, но я часто проводил тестирование «черного ящика» без предварительные знания для новых программных приложений».
8. Не могли бы вы описать XSS?
Менеджеры по найму могут захотеть узнать, есть ли у вас опыт работы с XSS или межсайтовыми сценариями. Поскольку существует несколько типов этого, вы можете объяснить, какой из них вам наиболее знаком, и использовали ли вы его при тестировании сайтов вашей компании.
Пример: «Во время моего тестирования я выполнял сохраненный XSS, чтобы увидеть, уязвимы ли наши клиенты для этих атак. Во время одного теста я обнаружил, что могу внедрить вредоносное ПО на наш контактный сайт, собирая данные о клиентах каждый раз, когда кто-то отправляет форму. Мы добавили брандмауэр для этого сайта вместе с обнаружением вредоносных файлов для предотвращения подобных атак и получения уведомлений, если какая-либо угроза снова взломает сайт».
9. Что самое важное в защите данных?
Поскольку существует несколько факторов, которые нужны компании для безопасных систем и защищенных данных, интервьюеры могут захотеть узнать ваше мнение по этому поводу. Подумайте о том, чтобы описать некоторые превентивные меры, которые вы можете предпринять для защиты данных, и почему вы считаете их наиболее эффективными.
Пример: «Я считаю, что для защиты от злонамеренных атак на наши базы данных важна надежная защита сети. Еще более важными могут быть системы обнаружения вторжений, поскольку иногда угрозы неизбежны. Эти системы могут помочь компаниям быстро реагировать на угрозы и регулярно следить за безопасностью».
10. Есть ли у вас подобный опыт анализа рисков?
Интервьюеры могут задавать вопросы об областях, сходных с тестированием, например, об анализе рисков. Поскольку пентестирование — это более конкретный способ выявления угроз в программном обеспечении и сетях, вы можете объяснить, как базовый анализ рисков может дать информацию о том, как вы можете проводить тестирование.
Пример: «Я начал свою карьеру в качестве аналитика рисков в рекламной компании. На этой должности я изучил основы кибербезопасности и возможные угрозы, с которыми может столкнуться компания. Я работал с дизайнерами над оценкой потенциальных рисков при кодировании новых продуктов, консультировал по вероятность того, что мы можем столкнуться со злонамеренной атакой для улучшения мер безопасности».
11. Работали ли вы в разных командах пентестеров?
Интервьюеры могут спросить, с какими областями пентестинга вы лучше всего знакомы. Это может включать ваш опыт работы в красной, синей или фиолетовой команде при тестировании. Подумайте о том, чтобы привести конкретный проект, в котором вы работали в одной из этих команд, какова была ваша роль и как вы взаимодействовали с другими.
Пример: «При переносе наших систем на облачный сервер мы провели тестирование на проникновение, чтобы оценить риски безопасности. Я работал в красной команде, поэтому мне пришлось выступать в роли хакера. Я создал несколько сценариев, в которых, как мне казалось, мы были наиболее уязвимы. с фиолетовой командой, у которой были обширные знания как об угрозах, так и о защите, они предоставили информацию о том, как синяя команда планирует противостоять атакам, поэтому я подумал о различных методах внедрения, к которым им может не хватать подготовки».
12. Какие распространенные сокращения?
Как и во многих технических областях, существуют общие аббревиатуры, которые команды используют при тестировании на проникновение. Менеджеры по найму могут узнать о ваших знаниях этих ключевых понятий и о том, как вы можете вписаться в их команду, которая может часто использовать аббревиатуры. Вы можете перечислить некоторые распространенные аббревиатуры и их значения.
Пример: «Аббревиатуры были обычным явлением при тестировании и общении на моих прошлых работах. Мы использовали такие термины, как 2FA, двухфакторная аутентификация, 2VPCP или двухверсионный протокол максимального приоритета и 3DESEP, или стандартный протокол шифрования с тройным шифрованием данных. с менее техническими аббревиатурами, такими как STRIDE, для описания общих методов моделирования угроз».
13. Есть ли у вас сертификаты в этой области?
Хотя рабочие места могут не требовать сертификатов для работы, интервьюеры могут попросить вас обсудить, какие сертификаты вы получили. Это может показать им вашу приверженность изучению новейших практик в этой области или то, что вы можете выполнять специализированные задачи. Подумайте о том, чтобы перечислить все сертификаты, которые у вас есть, и ценность их получения для вашего опыта.
Пример: «У меня есть два сертификата в этой области: сертификат сертифицированного этического хакера Совета, выдаваемый Советом ЕС, и сертификат сертифицированного специалиста по наступательной безопасности. Они помогли мне узнать о некоторых наиболее распространенных инструментах и методах, используемых хакерами. Благодаря этим знаниям , я предоставил своим организациям дополнительные соображения при включении и обслуживании функций безопасности для наших программ».
14. Что такое перехват пакетов данных?
Перехват пакетов данных — это метод, который интервьюер может захотеть узнать, чтобы вы могли использовать его для выявления источников угроз. Это может включать знания о сетях и базах данных, выходящие за рамки конкретного программного обеспечения, поэтому подумайте о том, чтобы поделиться своим опытом пентестинга в этих областях технологий. Вы также можете упомянуть конкретные используемые инструменты, которые помогли идентифицировать эти угрозы.
Пример: «Отслеживание пакетов данных — это метод исследования сетевого трафика для выявления любой странной активности или неавторизованных пользователей. Я обычно использовал программное обеспечение Wireshark для выполнения этих действий. На моей последней работе мы регулярно контролировали наши сети, чтобы обеспечить постоянную безопасность. новых угроз, я анализировал данные, чтобы понять, сможем ли мы понять их происхождение или злоумышленников».
15. Какие типы вредоносных программ вы обнаружили при тестировании?
На собеседованиях по кибербезопасности менеджеры по найму могут спросить, знаете ли вы о распространенных проблемах с вредоносным ПО и других угрозах. Вы можете перечислить несколько из них, чтобы показать свои базовые знания. Рассмотрите возможность поделиться конкретными примерами, с которыми вы столкнулись в предыдущих ролях.
Пример: «Самое распространенное вредоносное ПО, с которым я сталкивался, — это быстро распространяющиеся вирусы, трояны и шпионское ПО. Когда я работал в финансовой компании, мы часто видели атаки шпионского ПО для получения учетных данных и конфиденциальной информации из наших баз данных. Я часто выдавал себя за шпионское ПО. угроза для проверки безопасности нашей системы и предоставления регулярных обновлений, в которых мы могли бы устанавливать исправления безопасности».
Дополнительные вопросы для пентестинга
Вот некоторые дополнительные вопросы, которые могут у вас возникнуть:
Как вы объясните высокотехнологичные термины и угрозы лидерству?
Что такое соединение SSL/TSL?
С какой самой большой проблемой вы столкнулись при тестировании на проникновение?
Каков ваш опыт обмена Диффи-Хеллмана?
Что такое перечисление файлов и почему это важно?
Использовали ли вы автоматизированные инструменты в тестировании?
Как вы проводите пентест с зашифрованными электронными письмами?
Как социальная инженерия связана с пентестингом?
Какое программное обеспечение для аудита вы использовали?
Не могли бы вы объяснить CSRF?
Что такое SQL-инъекция?
Знакомы ли вы с другими типами тестирования кибербезопасности?
Опишите случай, когда вы привлекли третью сторону для помощи в пентестировании.
Что такое моделирование угроз?
Есть ли у вас опыт использования общей системы оценки уязвимостей?
С какими распространенными злоумышленниками вы можете столкнуться?
В каких системах вы проводили пентесты?
Как вы справляетесь с повышением привилегий?
Знакомы ли вы с программными инструментами для сканирования портов?
Какие разные подходы вы используете для беспроводных и проводных подключений?
Обратите внимание, что ни одна из компаний, упомянутых в этой статье, не связана с компанией Indeed.