Necessità di creare un ambiente di intervista per un candidato di Security Engineer

Question

Necessità di creare un ambiente di intervista per un candidato di Security Engineer

#1 da (0 voti)

1

Lavoro in una startup di medie dimensioni come DevOps Engineer e abbiamo bisogno di assumere un ingegnere della sicurezza. Dal momento che non l'ho mai fatto, l'azienda mi ha chiesto di creare un ambiente in cui il candidato dell'ingegnere della sicurezza dovesse svolgere i suoi compiti come parte del processo di selezione.

Conosco un po 'di sicurezza, ma non so cosa / come configurare l'ambiente.

Il requisito che il candidato dovrebbe avere

Test di penetrazione
Pratica di sicurezza di AWS
Conoscenza tecnica dimostrata di ingegneria della sicurezza, sicurezza informatica e di rete, protocolli di autenticazione e sicurezza e crittografia applicata.
Conoscenza della JVM e migliori pratiche di sicurezza
Ampia conoscenza dei toolset di sicurezza, inclusi IDS / IPS, SIEM
Esperienza nei concorsi CTF

Che cosa suggerisci? Voglio dire, suggerisci di configurare IDS, honeypot, servizi da interrompere e così via. Quali dovrebbero essere i compiti che il candidato dovrebbe concentrarsi di più?

audit code-review

posta marcodv 11.01.2018 - 10:49

fonte

1 risposta

Leggi altre domande sui tag audit code-review

Authy: i backup cloud vengono aggiornati automaticamente dopo ogni account a 2 fattori aggiunto [chiuso] Metasploit usando l'indirizzo LHOST sbagliato

score 0 · Accepted Answer

2 possibili approcci (questi sono basati sul fatto che il candidato sarà "blu" - sicurezza difensiva - o "rosso" - sicurezza offensiva "):

Fornisci un account AWS e poi chiedi al candidato di creare un'applicazione Java sicura minima (significa creare una casella Linux in AWS proteggerla nella console AWS > linux box > come proteggerla (può essere anche considerazioni a livello di rete, come TIME_WAIT sessioni) > webserver > server app / java runtime > sicurezza JVM > sicurezza applicazione > IDS / SIEM per tale applicazione e così via).
Per una curva più offensiva - crea un'app JAVA vulnerabile (se insisti così su JAVA) o DWVA e chiedigli di mappare la superficie di attacco o trovare vulnerabilità > quindi passare dal livello dell'applicazione all'analisi del server, magari chiedergli di penetrare nel server utilizzando le conoscenze acquisite attraverso l'hacking delle applicazioni (in alcuni modi DWVA ha una vulnerabilità in cui è possibile visualizzare tutti gli utenti - è possibile lasciare un utente solo protetto da password shell di login). Dopo essere penetrato nel server, chiedigli come avrebbe coperto le sue tracce e in che modo avrebbe realizzato un obiettivo (devi avere l'obiettivo predeterminato, come copiare le informazioni sui clienti).

Questa risposta dovrebbe darti:

una struttura semplice per pensare al processo di intervista;
un punto di partenza che potrebbe essere migliorato;