41 Questions d'entretien intéressantes sur la sécurité des applications

Questions d'entretien sur la sécurité des applications

Nous discuterons autour de Questions d'entretien sur la sécurité des applications/Questions d'entretien sur les tests de pénétration qui consiste en une liste des plus fréquemment posées questions sur la sécurité et également couvert Questions d'entretiens - Ingénieur sécurité et d' Questions d'entretien sur la cybersécurité:

Questions d'entretien sur la sécurité des applications
Questions d'entretien sur la sécurité des applications

Critique || Questions d'entretien sur la sécurité des applications

Major || Questions d'entretien sur la sécurité des applications

Basique || Questions d'entretien sur la sécurité des applications

Niveau de base -1 || Critique || Questions d'entretien sur la sécurité des applications

Comment un programme HTTP gérerait-il l'état?

HTTP étant un protocole sans état, utilise des cookies pour gérer l'état de l'application Web.HTTP peut gérer l'état de l'application Web dans les approches ci-dessous et maintient la session:

  • Côté client
  • Du côté serveur.

Les données peuvent être stockées dans des cookies ou dans la session du serveur Web.

Que comprenez-vous par Cross Site Scripting ou XSS?

Le script intersite abrégé en XSS est un problème d'injection de code côté client où l'utilisateur non autorisé vise à exécuter des scripts malveillants dans le navigateur Web de l'utilisateur en incorporant un code malveillant dans une application Web et donc une fois que l'utilisateur visite cette application Web, le programme malveillant le code est exécuté, ce qui entraîne la compromission des cookies, des jetons de session ainsi que d'autres informations sensibles.

Quels sont les types de XSS?

Il existe principalement trois catégories différentes de XSS:

XSS reflété: Dans cette approche, le script malveillant n'est pas stocké dans la base de données en cas de cette vulnérabilité; à la place, il provient de la requête HTTP actuelle.

XSS stocké: Les scripts suspects ont été stockés dans la base de données de l'application Web et peuvent être lancés à partir de là par l'action de la personne concernée de plusieurs manières telles que le champ de commentaire ou les forums de discussion, etc.

DOM XSS : Dans DOM (Document Object Model) XSS, les problèmes potentiels existent dans le code côté client au lieu du code côté serveur. Ici, dans ce type, le script malveillant circule dans le navigateur et agit comme un script source dans DOM.

Cet impact potentiel survient lorsqu'un code côté client lit les données du DOM et traite ces données sans filtrer l'entrée.

Quels sont le top 10 de l'Owasp en 2021?

  • L'injection
  • L'authentification cassée
  • L'exposition des données sensibles
  • Les entités externes XML (XXE)
  • Le contrôle d'accès cassé
  • Les mauvaises configurations de sécurité
  • Le Cross-Site Scripting (XSS)
  • La désérialisation non sécurisée
  • Utilisation de composants avec des vulnérabilités connues
  • La journalisation et la surveillance insuffisantes

Mentionner la méthodologie de notation des risques owasp?

Les méthodologies de notation des risques Owasp sont réparties entre les différentes couches, telles que:

  • Couche d'identification des risques système
  • Estimation de la source du mécanisme de risque
  • Estimation et analyse d'impact
  • Détermination de la gravité du risque.
  • Techniques d'atténuation des risques.

Expliquez comment fonctionne le tracert ou le tracerout?

Tracerout ou tracert, comme son nom l'indique, surveille et analyse essentiellement l'itinéraire entre la machine hôte et la machine distante. il effectue les activités ci-dessous:

  • Les moniteurs et identifient les paquets de données sont redirigés ou non.
  • Analysez la vitesse de traversée des paquets de données.
  • Analyser les nombres de sauts utilisés lors du parcours des paquets de données depuis et vers des machines hôtes et distantes

Qu'est-ce que ICMP?

ICMP signifie Internet Control Message Protocol, situé au niveau de la couche réseau du modèle OSI, et fait partie intégrante du TCP / IP.

Quel port est pour ICMP ou ping?

Ping ne nécessite aucun port et utilise ICMP. Il est utilisé pour identifier si l'hôte distant est dans un état actif ou non, et il identifie également la perte de paquets et le délai d'aller-retour pendant la communication.

Mentionner la liste des défis pour le déploiement réussi et la surveillance de la détection d'intrusion Web?

  • Limitations de NIDS pour la surveillance Web, c'est-à-dire (problèmes sémantiques lors de la compréhension de HTTP, SSL)
  • Défis lors de la journalisation de la verbosité de la journalisation (Mod_Security audit_log)
  • La journalisation à distance centralisée
  • Les mécanismes d'alerte
  • Pendant la mise à jour des signatures / politiques

Mentionner le risque lié aux cookies HTTP non sécurisés avec des jetons?

L'impact de la violation de contrôle d'accès est déclenché lorsque les cookies HTTP ne sont pas signalés avec des jetons sécurisés.

Mentionner la conception de base de OWASP ESAPI?

Les principales conceptions OWASP ESAPI sont:

  • Le groupe des interfaces de contrôle de sécurité
  • Une implémentation de référence pour chaque contrôle de sécurité.
  • Une option de mise en œuvre pour chaque organisation appliquée à chaque contrôle de sécurité.

Qu'est-ce que l'analyse des ports?

Analyse des ports pour découvrir qu'il peut y avoir des points faibles dans le système vers lesquels un utilisateur non autorisé peut cibler et extraire certaines informations de données critiques et sensibles.

Mentionner les différents types de scans de port?

  • Strobe: L'analyse stroboscopique est essentiellement effectuée à partir de services connus.
  • UDP: Ici, dans ce cas, le scan des ports UDP ouverts
  • Vanille: Dans ce type de numérisation, le scanner lance la connexion à tous les 65,535 XNUMX ports disponibles.
  • Balayage: Dans ce type de numérisation, le scanner initie la connexion au même port sur plusieurs machines.
  • Paquets fragmentés: Dans ce type d'analyse, le scanner lui-même s'occupe d'envoyer les fragments de paquets qui passent à travers les filtres de paquets simples dans un pare-feu.
  • Analyse furtive: Dans ce type d'approche de numérisation, le scanner empêche les machines numérisées d'enregistrer les activités de numérisation des ports.
  • Rebond FTP: Dans ce type de numérisation, le scanner est acheminé via un serveur FTP pour identifier la source de la numérisation.

Qu'est-ce qu'un pot de miel?

Le pot de miel est un système informatique qui imite les cibles probables des cyber-problèmes. Honeypot essentiellement utilisé pour la détection et la déviation de la vulnérabilité d'une cible légitime.

Parmi Windows et Linux, lequel assure la sécurité?

Les deux OS ont leurs avantages et leurs inconvénients. Pourtant, en ce qui concerne la sécurité, la plupart de la communauté préfère utiliser Linux car il offre plus de flexibilité et de sécurité par rapport à Windows, étant donné que de nombreux chercheurs en sécurité ont contribué à la sécurisation de Linux.

Quel est le protocole le plus implémenté sur une page de connexion?

Le protocole TLS / SSL est implémenté dans la plupart des scénarios alors que les données se trouvent dans les couches de transmission, ce qui doit être fait pour garantir la confidentialité et l'intégrité des données critiques et sensibles de l'utilisateur en utilisant le cryptage dans la couche de transmission.

Qu'est-ce que la cryptographie à clé publique?

La cryptographie à clé publique (PKC), également connue sous le nom de cryptographie asymétrique, est un protocole de cryptographie qui nécessite deux jeux de clés distincts, c'est-à-dire qu'une clé privée et une autre est publique pour le cryptage et le décryptage des données.

Énoncez la différence entre la cryptographie à clé privée et publique lors du chiffrement et de la signature du contenu?

Dans le cas de la signature numérique, l'expéditeur utilise la clé privée pour signer les données et d'autre part le récepteur vérifie et valide les données avec la clé publique de l'expéditeur lui-même.

Pendant le cryptage, l'expéditeur crypte les données avec la clé publique du destinataire et le destinataire les décrypte et les valide à l'aide de sa clé privée.

Mentionner l'application majeure de la cryptographie à clé publique?

Les principaux cas d'utilisation de la cryptographie à clé publique sont:

  • Signature numérique - Le contenu est signé numériquement.
  • Chiffrement - Chiffrement du contenu avec la clé publique.

Discuter des problèmes de phishing?

Dans le phishing, la fausse page Web est introduite pour tromper l'utilisateur et le manipuler pour qu'il soumette des informations critiques et sensibles.

Quelle approche pouvez-vous adopter pour défendre les tentatives de phishing?

La vérification et la validation des vulnérabilités XSS et l'en-tête de référence HTTP sont des approches d'atténuation contre le phishing.

Comment se défendre contre plusieurs tentatives de connexion?

Il existe différentes approches pour se défendre contre plusieurs tentatives de connexion, telles que :

  • Création d'une politique de verrouillage de compte basée sur plusieurs nombre de tentatives et d'essai pour accéder au compte.
  • Implémentation de fonctionnalités basées sur Captcha sur la page de connexion pour identifier et différencier Human ou BOT.

Qu'est-ce que les tests de sécurité?

Les tests de sécurité sont l'un des principaux domaines de test importants pour identifier les vulnérabilités possibles de toute application basée sur un logiciel (tout système ou Web ou réseau ou mobile ou tout autre appareil) et protéger leurs ensembles de données confidentielles et sensibles contre les risques potentiels et les intrus.

Qu'est-ce que la «vulnérabilité»?

Réponse: La vulnérabilité est considérée comme la faiblesse / bogue / faille dans tout système par lequel un utilisateur non autorisé peut cibler le système ou l'utilisateur qui utilise l'application.

Qu'est-ce que la détection d'intrusion?

Réponse : IDS ou système de détection d'intrusion est une application logicielle ou matérielle qui surveille un réseau pour détecter toute activité non approuvée ou violation de politique. Dans ces situations, il est généralement signalé et résolu à l'aide des informations de sécurité et du système de gestion des événements respectif.

Peu de systèmes de détection d'intrusion sont suffisamment capables de répondre à l'intrusion détectée lors de la découverte, connue sous le nom de systèmes de prévention d'intrusion (IPS).

Niveau de base -2 || Major || Questions d'entretien sur la sécurité des applications

Que sont le système de détection d'intrusion, tapez:

La détection IDS principalement des types ci-dessous:

  • Systèmes de détection d'intrusion réseau (NIDS): Un système surveille et analyse le trafic réseau entrant.
  • Systèmes de détection d'intrusion basés sur l'hôte (HIDS): ce type de système surveille les fichiers du système d'exploitation.

Parallèlement à cela, il existe un sous-ensemble de types IDS, parmi lesquels les principales variantes sont basées sur la détection d'anomalies et la détection de signatures.

  • Basé sur les signatures: ce type de système de détection surveille et identifie les problèmes potentiels en analysant les modèles spécifiques tels que les séquences d'octets du trafic réseau, les séquences d'activités malveillantes connues.
  • Basé sur les anomalies: ce type de modèle est basé sur une approche d'apprentissage automatique pour détecter et s'adapter aux problèmes inconnus, principalement pour créer un modèle de confiance algorithmique, puis comparer le nouveau comportement malveillant à ce modèle de confiance.

Que savez-vous de l'OWASP?

OWASP est connu sous le nom de Open Web Application Security Project est une organisation qui prend en charge le développement de logiciels sécurisés.

Quels problèmes potentiels surviennent si les jetons de session ont un caractère aléatoire insuffisant sur les valeurs de plage?

La falsification de session provient du problème avec les jetons de session ayant un caractère aléatoire insuffisant dans une plage de valeurs.

Qu'est-ce que «SQL Injection»?

Réponse: L'injection SQL est l'une des techniques les plus courantes dans laquelle un code est injecté dans les instructions SQL via une entrée de page Web qui pourrait détruire votre base de données et potentiellement exposer toutes les données de votre base de données.

Qu'entendez-vous par session SSL et aussi par les connexions SSL?

Réponse: SSL est connu sous le nom de connexion sécurisée Socket Layer établit la communication avec un lien peer-to-peer ayant à la fois la connexion maintient la session SSL.

Une session SSL représente le contrat de sécurité, qui se compose en termes d'informations de clé et d'accord d'algorithme qui a lieu sur une connexion entre un client SSL connecté à un serveur SSL à l'aide de SSL.

Une session SSL est régie par des protocoles de sécurité qui contrôlent les négociations de paramètres de sessions SSL entre un client SSL et un serveur SSL.

Nommez les deux approches standard utilisées pour protéger un fichier de mots de passe?

Réponse: Deux approches principalement appliquées pour la protection des fichiers par mot de passe sont

  • Haché mots de passe
  • Valeur du sel ou contrôle d'accès aux fichiers de mots de passe.

Qu'est-ce que IPSEC?

L'IPSEC, également connu sous le nom de sécurité IP, est une suite de protocoles standard IETF (Internet Engineering Task Force) entre les deux différentes couches de communication sur le réseau IP. Il garantit l'intégrité des données, l'authentification et également la confidentialité. Il génère les paquets de données authentifiés avec cryptage, décryptage.

Quel est le modèle OSI:

Le modèle OSI, également connu sous le nom d'interconnexion des systèmes ouverts, est un modèle qui permet la communication à l'aide de protocoles standard à l'aide de divers systèmes de communication. L'Organisation internationale de normalisation est en train de le créer.

Qu'est-ce que le RNIS?

RNIS signifie Integrated Services Digital Network, un système de réseau téléphonique à commutation de circuits. Il fournit un accès aux réseaux à commutation de paquets qui permet la transmission numérique de la voix avec des données. Sur ce réseau, la qualité des données et de la voix est bien meilleure qu'un appareil / téléphone analogique.

Qu'est-ce que CHAP?

CHAP, également appelé Challenge Handshake Authentication Protocol (CHAP) qui est essentiellement un protocole d'authentification de protocole P-2-P (PPP) dans lequel le démarrage initial de la liaison est utilisé. En outre, il effectue un contrôle périodique de la santé du routeur communique avec l'hôte.CHAP est développé par IETF (Internet Engineering Task Force).

Qu'est-ce que l'USM et que fait-il?

USM signifie User-based Security Model, est utilisé par System Management Agent pour le décryptage, chiffrement, décryptage et authentification aussi bien pour SNMPv3 paquets.

Mentionner certains facteurs pouvant entraîner des vulnérabilités?

Réponse: La majorité des domaines susceptibles de provoquer des vulnérabilités potentielles sont:

  • Exposition de données sensibles: si des données sensibles ou des mots de passe sont exposés ou suivis par l'utilisateur non autorisé, le système devient vulnérable.
  • Défauts de conception: peut cibler des défauts s'il y a un trou de boucle dans la conception du système.
  • Complexité: les applications complexes peuvent avoir des zones qui peuvent devenir vulnérables.
  • Erreur humaine: c'est l'une des sources de vulnérabilités de sécurité en raison de nombreux facteurs tels que la fuite de données, etc.

Mentionner la liste des paramètres pour définir la connexion de session SSL?

Réponse: Les attributs qui définissent tous une connexion de session SSL sont:

  • Le serveur et le client au hasard
  • Le serveur écrit MACsecret
  • Le client écrit MACsecret
  • La clé d'écriture du serveur
  • La clé d'écriture du client
  • Les vecteurs d'initialisation
  • Numéros de séquence

Qu'est-ce que l'énumération des fichiers?

Réponse: C'est un type de problème où la navigation forcée a lieu en manipulant l'URL où l'utilisateur non autorisé exploite les paramètres d'URL et obtient des données sensibles.

Quels sont les avantages du système de détection d'intrusion?

Réponse: Le système de détection d'intrusion présente les avantages ci-dessous:

  • Détection d'intrusion réseau (NIDS)
  • Système de détection d'intrusion de nœud de réseau (NNIDS)
  • Systèmes de détection d'intrusion hôte (HIDS)

Niveau de base -3 || Basique || Questions d'entretien sur la sécurité des applications

Qu'est-ce que le système de détection d'intrusion hôte?

Les systèmes de détection d'intrusion (HIDS) basés sur l'hôte (HIDS) sont des applications qui fonctionnent sur les informations collectées à partir de systèmes informatiques individuels et servent sur le système existant et comparent avec le miroir / instantané précédent du système et valident s'il y a une modification ou une manipulation de données a été fait et génère une alerte basée sur la sortie.

Il peut également déterminer quels processus et utilisateurs sont impliqués dans des activités malveillantes.

Qu'est-ce que NNIDS?

NNIDS signifie Network Node Intrusion Detection System (NNIDS), qui ressemble à un NIDS, mais il n'est applicable qu'à un hôte à un moment donné, pas à un sous-réseau entier.

Mentionnez trois intrus les classes?

Il existe différents types d'intrus, tels que:

  • Masquerader: Ce type d'intrus est généralement une personne non autorisée sur l'ordinateur qui cible le contrôle d'accès du système et obtient l'accès aux comptes d'utilisateurs authentifiés.
  • Misfeasor: cet utilisateur est un utilisateur authentifié qui a le pouvoir d'utiliser les ressources du système, mais il a l'intention d'utiliser le même accès au système pour d'autres opérations.
  • Clandestin: Dans ce type d'utilisateurs, il peut être défini comme une personne qui cible le système de contrôle en contournant le système de sécurité du système.

Mentionner les composants qui sont utilisés dans SSL?

SSL établit les connexions sécurisées entre les clients et les serveurs.

  • Composants utilisés dans SSL:
  • Le protocole SSL enregistré
  • Le protocole Handshake
  • La spécification de chiffrement
  • Algorithmes de chiffrement

Avertissement: Cette Questions d'entretien sur la sécurité des applications le post de tutoriel est pour but éducatif seulement. Nous ne promouvons / ne soutenons aucune activité liée aux problèmes de sécurité / conduite. L'individu est seul responsable de tout acte illégal, le cas échéant.

À propos de Debarghya

Moi-même Debarghya Roy, je suis un ARCHITECTE en ingénierie travaillant avec la société fortune 5 et un contributeur open source, ayant environ 12 ans d'expérience / expertise dans diverses piles technologiques.
J'ai travaillé avec diverses technologies telles que Java, C#, Python, Groovy, UI Automation (Selenium), Mobile Automation (Appium), API/Backend Automation, Performance Engineering (JMeter, Locust), Security Automation (MobSF, OwAsp, Kali Linux , Astra, ZAP, etc.), RPA, automatisation de l'ingénierie des processus, automatisation mainframe, développement back-end avec SpringBoot, Kafka, Redis, RabitMQ, pile ELK, GrayLog, Jenkins et ayant également une expérience dans les technologies cloud, DevOps, etc.
Je vis à Bangalore, en Inde avec ma femme et j'ai une passion pour les blogs, la musique, jouer de la guitare et ma philosophie de vie est l'éducation pour tous qui a donné naissance à LambdaGeeks. Permet de se connecter via linked-in - https://www.linkedin.com/in/debarghya-roy/

Geeks Lambda