Security Engineer: вопросы и ответы на собеседовании

Инъекция возникает, когда пользовательский ввод становится частью SQL-кода. Используют параметризованные запросы или ORM, валидацию и минимальные права учётной записи БД.

XSS выполняет внедрённый скрипт в контексте сайта. CSRF заставляет браузер авторизованного пользователя отправить нежелательный запрос. Защита включает экранирование, CSP, CSRF-токены и SameSite cookies.

SSRF позволяет серверу выполнить запрос к адресу, который контролирует атакующий, например к внутреннему metadata endpoint. Защищаются allowlist доменов, запретом private-сетей и проверкой redirect.

Используют адаптивный медленный хеш с солью, например Argon2id, bcrypt или scrypt. Пароли не шифруют обратимо и не логируют.

Пользователь, сервис или ключ получает только доступ, необходимый для текущей задачи, и на ограниченное время. Это уменьшает ущерб при утечке или компрометации.

В секрет-хранилище CI или облачном vault с маскированием, ротацией и ограничением scope. Секреты не коммитят, не печатают в логи и не передают в образы.

Authentication отвечает, кто пользователь, authorization — что ему разрешено. Разделение этих понятий упрощает аудит прав и проектирование middleware.

Подтвердить событие, ограничить ущерб, сохранить артефакты и временную шкалу, определить затронутые системы и назначить ответственных. Удаление следов до фиксации данных ухудшает расследование.

Он помогает заранее перечислить активы, границы доверия, угрозы и меры защиты. Команда выбирает приоритеты по риску ещё до реализации и сокращает дорогие исправления после релиза.

CVSS — метод оценки технической серьёзности уязвимости по вектору и набору метрик. Итоговый приоритет всё равно сверяют с реальным контекстом и экспонированностью системы.