web-dev-qa-db-ja.com

侵入テストの面接の準備をするにはどうすればよいですか？

つまり、タイトルは基本的にすべてを語っています。私は本当にここでより経験豊富な友人の何人かにこれに対する彼らの答えを聞きたいです。

  • 技術以外の\技術レベルで攻撃を口頭で説明する能力を中心に展開すべきですか？

  • ネットワーク、システム、Webアプリの攻撃に焦点を当てるべきですか？ソーシャルエンジニアリング？攻撃ベクトル？

  • 攻撃対策を中心に展開すべきか？

ここで「エンチラーダ全体」を求めるのではなく、その分野での就職の面接の準備をするときに心に留めておくべき一種の枠組みについてだけです。

attackspenetration-testknown-vulnerabilitiescareer
10
Franko

私の経験では、これらは私の次の観察です：

技術以外の\技術レベルで攻撃を口頭で説明する機能を中心に展開する必要がありますか？

はい。絶対にそれは技術レベルを含むべきです。非技術的な説明はボーナスです。あなたは、ペンテスターとして、あなたが何をしているのか何も知らない人とのミーティングに参加し、単純に説明しないと怒るでしょう。しかし、通常ペンテスターを雇う人の種類は、通常、どちらかが得られることに気づきます（人のスキルvs技術的なスキル）。両方を実証できれば、競合他社をはるかに上回ります。

ネットワーク、システム、Webアプリの攻撃に焦点を当てるべきですか？ソーシャルエンジニアリング？攻撃ベクトル？

おそらく疑われることのない唯一の攻撃は（主にペンテストの仕事ではめったに起こらないため）ソーシャルエンジニアリングです（注、フィッシング攻撃などが登場する可能性があります）。優れた面接担当者は、いくつかの技術的な質問をし、いくつかの攻撃を実証するためのワークステーションを提供します。これらには、基本的なWebアプリの悪用だけでなく、システム/ネットワークの悪用も含まれます。 SQLi、XSSなどのようなものはメモリから知る必要があります。

攻撃対策を中心に展開すべきか？

必ずしも。しかし、攻撃について深く理解していれば、そのような知識を実証できることは、通常、密接に関係しているはずです。

Pentesterlabsブログの便利なスニペットを以下に説明します（少なくとも1人のプロのテスターがインタビューを行う方法）：

面接の前（または履歴書を読む前）に、誰かのスキルについて基本的な意見を述べるのは良いことです...簡単なWebサイトを作成し、20の質問を書いて、話している相手をすぐに理解できるようにしました。

質問は簡単ですが、セキュリティの知識がない人を検出できます。以下は20問中2問なので、私が話していることを確認できます。

unmd5 is the PHP function used to retrieve the clear text of a md5 ? True/False
Windows passwords are stored in C:\Windows\System32\drivers\etc\shadow ? True/False

誰かがこのテストに合格すると、実際の技術面接が始まります。

いつものように、通常のセキュリティの質問があります（ほとんどのセキュリティ会社がこれらを要求することを保証します）。

explain a tcp handshake
how Windows passwords are stored?
what is a cookie?
opinion on disclosure?

私の経験から、私は人々にそれが何であるかを尋ねるだけでなく説明するように依頼するほうが良いと思います。あなたは本当に人々が問題について理解しているレベルを見ることができます...

たとえば、クロスサイトスクリプティングでは、次のような応答が可能です。

"it's a problem of filtering and it allows an attacker to inject script in the page"
"it's a problem of filtering and an attacker can display/run arbitrary code in victims' browser"
"it's a problem of output encoding and can be used to inject Javascript or HTML in the page sent back to victims"
...

そうすれば、その人が実際に何が起こっているのかを理解しているかどうか、そしてどのようにして他の人にそれを説明できるかを確認できます。

次の2種類の質問が必要です。

questions based on memory: "what port is used by X", "what nmap options do you used"
questions based on reflection: "how will you solve that problem"

私は私のお気に入りの質問セットも持っています：

"You're going to PentesterLab's website, explain what happens...", that way you can see someone's knowledge of TCP/IP, DNS, HTTP, SSL,

...「あなたが学んだ/読んだ最後のクールなものは何ですか」、それであなたは人々が興味を持っているものと彼らがどこにいるのかを見ることができます

このテストの後、別のインタビューがハンズオンテストで設定されます（その人が明らかに十分に成功した場合のみ）。これは、現在、「SQLインジェクションからシェルへ」という演習のWebアプリケーションであり、人々がどのように考え、行動するかを確認するために使用されますコンピュータ。

さまざまなことがわかります。

what people use for desktop
how fast someone is with his computer
how people solve a problem
if people bring a working laptop (yes it happened, someone came to an interview with a broken gentoo...)
learn from people: sometime people show you cool tricks you didn't think of
...

明らかに、SQLインジェクションを手動で悪用する方法を誰もが知っているわけではありません（実際にはこれまで何の助けもなく1人しかいませんでした）（なぜ私はPentesterLabを作成したと思いますか）。しかし、テストの間、私たちは人々を助け、物事がどのように機能するかを示して、彼らが新しい物事を学び、情報を彼らの考え方に組み込む方法を確認します。

出典： pentesterlabs 関連資料： pentesterlabs最初の仕事を取得する方法

お役に立てば幸いです。

15
NULLZ