41興味深いアプリケーションセキュリティインタビューの質問

アプリケーションセキュリティインタビューの質問

周りで話し合います アプリケーションセキュリティインタビューの質問/侵入テストの面接の質問 よくある質問のリストで構成されています セキュリティに関する質問 そしてまたカバーされた セキュリティエンジニアのインタビューの質問 影響により サイバーセキュリティインタビューの質問:

アプリケーションセキュリティインタビューの質問
アプリケーションセキュリティインタビューの質問

クリティカル|| アプリケーションセキュリティ面接の質問

メジャー|| アプリケーションセキュリティ面接の質問

基本|| アプリケーションセキュリティ面接の質問

基本レベル-1 || クリティカル|| アプリケーションセキュリティインタビューの質問

HTTPプログラムはどのように状態を処理しますか?

ステートレスプロトコルであるHTTPは、Cookieを使用してWebアプリケーションの状態を処理します。HTTPは、以下のアプローチでWebアプリケーションの状態を処理し、セッションを維持できます。

  • クライアント側
  • サーバ側。

データはCookieまたはWebサーバーのセッションに保存される場合があります。

クロスサイトスクリプティングまたはXSSで何を理解していますか?

XSSと略されるクロスサイトスクリプティングはクライアント側のコードインジェクションの問題であり、許可されていないユーザーがWebアプリケーションに悪意のあるコードを組み込むことにより、ユーザーのWebブラウザーで悪意のあるスクリプトを実行することを目的としているため、ユーザーがそのWebアプリケーションにアクセスすると、悪意のあるコードが実行されると、Cookie、セッショントークン、その他の機密情報が危険にさらされます。

XSSの種類は何ですか?

XSSには主にXNUMXつの異なるカテゴリがあります。

反映されたXSS: このアプローチでは、この脆弱性の場合、悪意のあるスクリプトはデータベースに保存されません。 代わりに、現在のHTTPリクエストから取得されます。

保存されたXSS: 疑わしいスクリプトはWebアプリケーションのデータベースに保存され、コメントフィールドやディスカッションフォーラムなど、影響を受ける人のアクションによってそこから開始される可能性があります。

DOM XSS: DOM(Document Object Model)XSSでは、潜在的な問題はサーバー側のコードではなくクライアント側のコード内に存在します。 このタイプでは、悪意のあるスクリプトがブラウザに流れ込み、DOMのソーススクリプトとして機能します。

この潜在的な影響は、クライアント側のコードがDOMからデータを読み取り、入力をフィルタリングせずにこのデータを処理するときに発生します。

10年のOWASPトップ2021は何ですか?

  • 注射
  • 壊れた認証
  • 機密データの公開
  • XML外部エンティティ(XXE)
  • 壊れたアクセス制御
  • セキュリティの設定ミス
  • クロスサイトスクリプティング(XSS)
  • 安全でない逆シリアル化
  • 既知の脆弱性を持つコンポーネントの使用
  • 不十分なロギングとモニタリング

owaspのリスク評価方法に言及しますか?

Owaspのリスク評価方法は、次のようなさまざまなレイヤーに分けられています。

  • システムリスク識別レイヤー
  • リスクメカニズムのソース推定
  • 影響の推定と分析
  • リスクの重大度の決定。
  • リスク軽減手法。

tracertまたはtraceroutはどのように動作するのか説明してください。

名前が示すように、traceroutまたはtracertは、基本的に、ホストマシンからリモートマシンへのルートを監視および分析します。 以下のアクティビティを実行します。

  • データパケットがリダイレクトされているかどうかを監視および識別します。
  • データパケットのトラバーサル速度を分析します。
  • ホストおよびリモートマシンとの間のデータパケットトラバーサル中に使用されているホップ数を分析します

ICMPとは何ですか?

ICMP OSIモデルのネットワーク層にあるInternet Control Message Protocolの略で、TCP / IPの不可欠な部分です。

ICMPまたはping用のポートはどれですか?

pingはポートを必要とせず、ICMPを使用します。 これは、リモートホストがアクティブステータスにあるかどうかを識別するために使用されます。また、通信中のパケット損失とラウンドトリップ遅延を識別します。

展開を成功させ、Web侵入検知を監視するための課題のリストに言及しますか?

  • Web監視用のNIDSの制限、つまり(HTTP、SSLを理解する際のセマンティックの問題)
  • ロギングの冗長性をロギングする際の課題(Mod_Security audit_log)
  • 一元化されたリモートロギング
  • アラートメカニズム
  • 署名/ポリシーの更新中

トークンを使用した安全でないHTTPCookieに伴うリスクについて言及しますか?

安全なトークンとともにHTTPCookieにフラグを付けないと、アクセス制御違反の影響がトリガーされます。

OWASP ESAPIの基本設計について言及しますか?

OWASPESAPIの主な設計は次のとおりです。

  • セキュリティ制御インターフェイスのグループ
  • すべてのセキュリティコントロールのリファレンス実装。
  • すべてのセキュリティ管理に適用されるすべての組織の実装のオプション。

ポートスキャンとは何ですか?

ポートをスキャンして、許可されていないユーザーが重要で機密性の高いデータ情報をターゲットにしてプルできるシステムの弱点がある可能性があることを発見します。

さまざまな種類のポートスキャンについて言及しますか?

  • ストロボ: ストロボスキャンは基本的に既知のサービスで行われます。
  • UDP: ここでは、この場合、開いているUDPポートのスキャン
  • バニラ: このタイプのスキャンでは、スキャナーは使用可能なすべての65,535ポートへの接続を開始します。
  • 掃く: このタイプのスキャンでは、スキャナーは複数のマシンの同じポートへの接続を開始します。
  • 断片化されたパケット: このタイプのスキャンでは、スキャナー自体がファイアウォールの単純なパケットフィルターを通過するパケットフラグメントの送信を処理します。
  • ステルススキャン: このタイプのスキャンアプローチでは、スキャナーはスキャンされたマシンがポートスキャンアクティビティを記録するのをブロックします。
  • FTPバウンス: このタイプのスキャンでは、スキャナーはFTPサーバーを経由してスキャンソースを識別します。

ハニーポットとは何ですか?

ハニーポットは、サイバー問題の標的となる可能性のあるものを模倣するコンピューターシステムです。 ハニーポットは基本的に、正当なターゲットからの検出と偏向の脆弱性に使用されます。

WindowsとLinuxの中で、どちらがセキュリティを提供しますか?

どちらのOSにも長所と短所があります。 それでも、セキュリティに関すると、多くのセキュリティ研究者がLinuxのセキュリティ保護に貢献していることを考えると、コミュニティのほとんどは、Windowsよりも柔軟性とセキュリティが高いLinuxの使用を好みます。

ログインページに主に実装されているプロトコルはどれですか?

TLS / SSLプロトコルは、データがトランスポート層にあるときにほとんどのシナリオで実装されます。これは、トランスポート層で暗号化を使用することにより、ユーザーの重要で機密性の高いデータの機密性と整合性を実現するために行われます。

公開鍵暗号とは何ですか?

非対称暗号化とも呼ばれる公開鍵暗号化(PKC)は、XNUMXつの別個の鍵セットを必要とする暗号化プロトコルです。つまり、XNUMXつは秘密鍵で、もうXNUMXつはデータの暗号化と復号化のために公開鍵です。

コンテンツの暗号化と署名を実行する際の秘密鍵暗号と公開鍵暗号の違いを説明してください。

デジタル署名の場合、送信者は秘密鍵を使用してデータに署名しますが、受信者は送信者自身の公開鍵を使用してデータを検証および検証します。

暗号化中、送信者は受信者の公開鍵を使用してデータを暗号化し、受信者は自分の秘密鍵を使用してデータを復号化および検証します。

公開鍵暗号の主な用途について言及しますか?

公開鍵暗号の主な使用例は次のとおりです。

  • デジタル署名–コンテンツはデジタル署名されています。
  • 暗号化-公開鍵によるコンテンツの暗号化。

フィッシングの問題について話し合いますか?

フィッシングでは、ユーザーをだまして重要で機密性の高い情報を送信するように操作するために、偽のWebページが導入されています。

フィッシングの試みを防御するためにどのようなアプローチを取ることができますか?

XSSの脆弱性の検証と妥当性確認、およびHTTPリファラーヘッダーは、フィッシングに対するいくつかの緩和策です。

複数のログイン試行から防御する方法は?

次のような、いくつかのログイン試行から防御するためのさまざまなアプローチがあります。

  • アカウントへのアクセスの試行回数と試行回数に基づくアカウントロックアウトポリシーの作成。
  • ログインページでのキャプチャベースの機能の実装により、HumanとBOTを識別して区別します。

セキュリティテストとは何ですか?

セキュリティテストは、ソフトウェア(システム、Web、ネットワーキング、モバイル、その他のデバイス)ベースのアプリケーションで発生する可能性のある脆弱性を特定し、機密データセットと機密データセットを潜在的なリスクや侵入者から保護するためのテストの主要な重要領域のXNUMXつです。

「脆弱性」とは何ですか?

回答:脆弱性は、許可されていないユーザーがシステムまたはアプリケーションを使用しているユーザーを標的にすることができるシステムの弱点/バグ/欠陥と見なされます。

侵入検知とは何ですか?

回答:IDSまたは侵入検知システムは、承認されていないアクティビティやポリシー違反がないかネットワークを監視するソフトウェアまたはハードウェアアプリケーションです。 このような状況では、通常、セキュリティ情報とそれぞれのイベント管理システムを使用して報告および解決されます。

侵入防止システム(IPS)として知られる、検出時に検出された侵入に対応できる侵入検知システムはほとんどありません。

基本レベル-2 || メジャー|| アプリケーションセキュリティインタビューの質問

侵入検知システムとは何ですか、タイプ:

主に以下のタイプのIDS検出:

  • ネットワーク侵入検知システム(NIDS):システムは、着信ネットワークトラフィックを監視および分析します。
  • ホストベースの侵入検知システム(HIDS):このタイプのシステムは、オペレーティングシステムファイルを監視します。

これらに加えて、IDSタイプのサブセットがあり、そのうちの主要なバリアントは異常検出とシグネチャ検出に基づいています。

  • 署名ベース: このタイプの検出システムは、ネットワーク トラフィックのバイト シーケンス、既知の悪意のあるアクティビティ シーケンスなどの特定のパターンを分析することにより、潜在的な問題を監視および識別します。
  • アノマリベース:この種のモデルは、主にアルゴリズムによる信頼モデルを作成し、新しい悪意のある動作をこの信頼モデルと比較するために、未知の問題を検出して適応するための機械学習アプローチに基づいています。

OWASPについて何を知っていますか?

OWASPはOpenWeb Application Security Projectとして知られており、安全なソフトウェア開発をサポートする組織です。

セッショントークンの範囲値全体のランダム性が不十分な場合、どのような潜在的な問題が発生しますか?

セッションの改ざんは、範囲の値内でランダム性が不十分なセッショントークンの問題から発生します。

「SQLインジェクション」とは何ですか?

回答:SQLインジェクションは、データベースを破壊し、DBからのすべてのデータを公開する可能性のあるWebページ入力を介してSQLステートメントにコードをインジェクションする最も一般的な手法のXNUMXつです。

SSLセッションとSSL接続で何を理解していますか?

回答:SSLはSecured Socket Layer接続として知られており、両方の接続でSSLセッションを維持するピアツーピアリンクとの通信を確立します。

SSLセッションはセキュリティ契約を表します。これは、SSLを使用してSSLサーバーに接続されたSSLクライアント間の接続を介して行われる鍵とアルゴリズムの合意情報で構成されます。

SSLセッションは、SSLクライアントとSSLサーバー間のSSLセッションパラメータネゴシエーションを制御するセキュリティプロトコルによって管理されます。

パスワードファイルを保護するために使用されるXNUMXつの標準的なアプローチを挙げてください。

回答:パスワードファイル保護に主に適用されるXNUMXつのアプローチは次のとおりです。

  • ハッシュ化 パスワード
  • 塩価 またはパスワードファイルのアクセス制御。

IPSECとは何ですか?

IPセキュリティとも呼ばれるIPSECは、IPネットワーク全体のXNUMXつのさまざまな通信層の間にあるインターネット技術特別調査委員会(IETF)の標準プロトコルスイートです。 データセットの整合性、認証、および機密性を保証します。 暗号化、復号化を使用して認証済みデータパケットを生成します。

OSIモデルとは何ですか:

オープンシステム相互接続とも呼ばれるOSIモデルは、さまざまな通信システムを利用して標準プロトコルを使用した通信を可能にするモデルです。 国際標準化機構がそれを作成しています。

ISDNとは何ですか?

ISDNは、回線交換電話網システムであるIntegrated Services DigitalNetworkの略です。 これは、データとともに音声のデジタル送信を可能にするパケット交換ネットワークアクセスを提供します。 このネットワークでは、データと音声の品質はアナログデバイス/電話よりもはるかに優れています。

CHAPとは何ですか?

CHAPは、チャレンジハンドシェイク認証プロトコル(CHAP)とも呼ばれます。これは、基本的に、リンクの最初の起動が使用されるP-2-Pプロトコル(PPP)認証プロトコルです。 また、ルーターがホストと通信するための定期的なヘルスチェックを実行します。CHAPはIETF(Internet Engineering Task Force)によって開発されています。

USMとは何ですか、またそれは何を実行しますか?

USMはユーザーベースのセキュリティモデルの略で、システム管理エージェントが復号化に使用します。 暗号化, 復号化と認証 同様に SNMPv3 パケット。

脆弱性を引き起こす可能性のあるいくつかの要因に言及しますか?

回答:潜在的な脆弱性を引き起こす可能性のある領域の大部分は次のとおりです。

  • 機密データの公開:機密データまたはパスワードが不正なユーザーによって公開または追跡されている場合、システムは脆弱になります。
  • 設計上の欠陥:システム設計に抜け穴がある場合は、欠陥をターゲットにする可能性があります。
  • 複雑さ:複雑なアプリケーションには、脆弱になる可能性のある領域があります。
  • 人為的エラー:データ漏洩などの多くの要因によるセキュリティの脆弱性の原因のXNUMXつです。

SSLセッション接続を定義するためのパラメータリストに言及しますか?

回答:SSLセッション接続をすべて定義する属性は次のとおりです。

  • サーバーとクライアントはランダム
  • サーバーはMACsecretを書き込みます
  • クライアントはMACsecretを書き込みます
  • サーバー書き込みキー
  • クライアント書き込みキー
  • 初期化ベクトル
  • シーケンス番号

ファイル列挙とは何ですか?

回答:これは、許可されていないユーザーがURLパラメーターを悪用して機密データを取得するURLを操作することにより、強制的なブラウジングが行われるタイプの問題です。

侵入検知システムの利点は何ですか?

回答:侵入検知システムには以下の利点があります。

  • ネットワーク侵入検知(NIDS)
  • ネットワークノード侵入検知システム(NNIDS)
  • ホスト侵入検知システム(HIDS)

基本レベル-3 || 基本|| アプリケーションセキュリティインタビューの質問

ホスト侵入検知システムとは何ですか?

(HIDS)ホストベースの侵入検知システム(HIDS)は、個々のコンピュータシステムから収集された情報を操作し、既存のシステムで機能し、システムの以前のミラー/スナップショットと比較して、データの変更や操作がないかどうかを検証するアプリケーションです。完了し、出力に基づいてアラートを生成します。

また、悪意のある活動に関与しているプロセスとユーザーを特定することもできます。

NNIDSとは何ですか?

NNIDSはネットワークノード侵入検知システム(NNIDS)の略で、NIDSに似ていますが、サブネット全体ではなく、単一の時点でXNUMXつのホストにのみ適用できます。

XNUMX人の侵入者に言及する クラス?

次のようなさまざまな侵入者タイプがあります。

  • マスカレーダー:このタイプの侵入者は、通常、システムのアクセス制御を標的とし、認証されたユーザーのアカウントへのアクセスを取得する、コンピューター上の無許可の個人です。
  • Misfeasor:このユーザーは、システムリソースを使用する権限を持つ認証済みユーザーですが、システムへの同じアクセスを他の操作に悪用する予定です。
  • 秘密:このタイプのユーザーでは、システムセキュリティシステムをバイパスすることによって制御システムを標的とする個人として定義できます。

SSLで使用されるコンポーネントに言及しますか?

SSLは、クライアントとサーバー間の安全な接続を確立します。

  • SSLで使用されるコンポーネント:
  • SSL記録プロトコル
  • ハンドシェイクプロトコル
  • 暗号仕様
  • 暗号化アルゴリズム

免責事項: この アプリケーションセキュリティインタビューの質問 チュートリアル投稿は 教育目的のみ. セキュリティの問題/行為に関連する活動を促進/サポートすることはありません。 違法行為があった場合は、個人が単独で責任を負います。

デバルギャについて

私自身、Debarghya Royです。Fortune5の会社で働いているエンジニアリングアーキテクトであり、さまざまなテクノロジースタックで約12年の経験/専門知識を持つオープンソースコントリビューターです。
Java、C#、Python、Groovy、UIオートメーション(Selenium)、モバイルオートメーション(Appium)、API /バックエンドオートメーション、パフォーマンスエンジニアリング(JMeter、Locust)、セキュリティオートメーション(MobSF、OwAsp、Kali Linuxなど) 、Astra、ZAPなど)、RPA、プロセスエンジニアリングオートメーション、メインフレームオートメーション、SpringBoot、Kafka、Redis、RabitMQ、ELKスタック、GrayLog、Jenkinsを使用したバックエンド開発、およびCloud Technologies、DevOpsなどの経験もあります。
私は妻と一緒にインドのバンガロールに住んでおり、ブログ、音楽、ギターの演奏に情熱を持っています。私の人生哲学は、LambdaGeeks の誕生をもたらした万人のための教育です。 リンクトイン経由で接続できます - https://www.linkedin.com/in/debarghya-roy/

en English
X