Bạn Thực Sự Chuẩn Bị Như Thế Nào Cho Cuộc Phỏng Vấn Bảo Mật?

Các cuộc phỏng vấn bảo mật làm khó người ta vì chúng kết hợp ba bài kiểm tra kỹ năng khác nhau thành một cuộc trò chuyện: lý thuyết, khả năng kỹ thuật thực hành, và phán đoán trong điều kiện không chắc chắn. Biết OWASP Top 10 thuộc lòng sẽ không giúp bạn nếu bạn không thể suy luận qua một kịch bản mà nhà phỏng vấn đưa ra tức thời. Đây là những gì thực sự được kiểm tra và cách chuẩn bị cho nó.

Những gì nhà phỏng vấn thực sự đang đánh giá

Hầu hết các cuộc phỏng vấn bảo mật không kiểm tra xem bạn có ghi nhớ một danh sách hay không. Chúng kiểm tra cách bạn suy nghĩ khi câu trả lời không rõ ràng. Một mô hình phổ biến: nhà phỏng vấn mô tả một sự cố mơ hồ ("chúng tôi đang thấy lưu lượng truy cập đi ra đến một IP không quen thuộc lúc 3am") và quan sát cách bạn thu hẹp nó. Bạn có đặt câu hỏi làm rõ không? Bạn có nhảy thẳng đến một kết luận không? Bạn có nhắc đến các nguồn nhật ký, hay chỉ đoán?

Đối với các vai trò tấn công, hãy mong đợi các câu hỏi kịch bản như "bạn có quyền truy cập thấp trên một box trong môi trường AD, hãy hướng dẫn tôi năm bước tiếp theo của bạn." Họ muốn nghe BloodHound, Kerberoasting, kiểm tra các delegation không bị ràng buộc, không phải một sơ đồ kill chain được ghi nhớ. Đối với các vai trò phòng thủ, hãy mong đợi "hướng dẫn tôi cách bạn sẽ điều tra một báo cáo phishing" và họ đánh giá dựa trên việc liệu bạn có kiểm tra các header, chuyển URL qua một sandbox, kiểm tra xem những người khác có nhận được email tương tự hay không, và xem xét các quy tắc mail flow.

Dòng cơ sở kỹ thuật bạn cần nắm chắc

Bất kể chuyên môn hóa, những điều này xuất hiện liên tục và bạn nên có thể trả lời mà không do dự:

• TCP three-way handshake và những gì một SYN flood làm cho nó
• Sự khác biệt giữa mã hóa đối xứng và không đối xứng, và nơi TLS sử dụng mỗi cái
• Cách phân giải DNS hoạt động từ đầu đến cuối, bao gồm nơi caching xảy ra
• Reverse shell là gì so với bind shell, và tại sao cái này dễ hơn để vượt qua firewall
• Sự khác biệt giữa xác thực và ủy quyền, với một ví dụ cụ thể
• Cách ARP hoạt động và tại sao ARP spoofing có thể xảy ra trên một mạng phẳng

Nếu bất kỳ điều nào trong số này khiến bạn ngần ngại, đó là danh sách học tập của bạn trước khi bạn đặt tay vào bất cứ điều gì nâng cao. Nhà phỏng vấn sử dụng những câu này làm câu hỏi lọc sớm trong cuộc trò chuyện — vật lộn ở đây báo hiệu những khoảng trống khiến phần còn lại của cuộc phỏng vấn khó tin hơn.

Các bài tập thực tế xuất hiện nhiều hơn trivia

Rất nhiều công ty hiện nay chạy một bài tập trực tiếp thay vì, hoặc cùng với, các câu hỏi bằng lời. Các định dạng phổ biến:

• Cho một pcap trong Wireshark, tìm lưu lượng độc hại
• Cho một đoạn nhật ký, xác định cuộc tấn công (tìm những lần đăng nhập thất bại lặp lại, user agent không thường xuyên, base64 trong query string)
• Viết một script ngắn để phân tích một tệp nhật ký và đánh dấu các bất thường (Python với re hoặc pandas cơ bản thường ổn)
• Xem xét một đoạn mã để tìm lỗ hổng, thường là SQL injection hoặc kiểm tra đầu vào bị thiếu

Thực hành những điều này bằng cách sử dụng các tài nguyên miễn phí: lấy pcap mẫu từ Malware-Traffic-Analysis.net, giải quyết một vài room trên TryHackMe hoặc box trên HackTheBox, và làm quen với việc giải thích quy trình suy nghĩ của bạn to rõ trong khi bạn làm việc. Lời giải thích quan trọng như câu trả lời — giải quyết vấn đề im lặng có vẻ xấu trong một cuộc phỏng vấn ngay cả khi bạn đến được cuối cùng.

Các câu hỏi hành vi kiểm tra phán đoán, không phải lệnh nhớ chính sách

Hãy mong đợi ít nhất một câu hỏi như "kể cho tôi một lần bạn tìm thấy điều gì và hóa ra là một false positive" hoặc "mô tả một bất đồng với một đồng nghiệp về mức độ rủi ro." Đây không phải là chuyện nhỏ. Chúng kiểm tra xem liệu bạn có thể thừa nhận sự không chắc chắn, liệu bạn có leo thang một cách thích hợp, và liệu bạn có thể làm việc với những người không đồng ý với đánh giá rủi ro của bạn. Trả lời bằng một tình huống cụ thể, không phải một triết lý chung. Nếu bạn chưa có kinh nghiệm chuyên nghiệp, hãy sử dụng một lab, CTF, hoặc dự án cá nhân — chỉ cần thành thật rằng đó không phải là kinh nghiệm sản xuất.

Xử lý những câu hỏi bạn không biết

Bạn sẽ được hỏi một điều gì đó bạn không thể trả lời hoàn toàn. Nói "Tôi không biết, nhưng đây là cách tôi sẽ tìm ra" là một câu trả lời mạnh hơn so với đoán một cách tự tin và sai. Nêu tên công cụ hoặc tài nguyên cụ thể mà bạn sẽ sử dụng — man pages, tài liệu nhà cung cấp, một bài lab nhanh — cho thấy nhà phỏng vấn cách bạn hoạt động hàng ngày, gần hơn với những gì công việc thực sự yêu cầu so với ghi nhớ hoàn hảo.

Xem các phân đoạn của Korra Studio về walkthrough phản ứng sự cố và các nguyên tắc cơ bản bảo mật tấn công để xây dựng bộ nhớ cơ bắp mà những cuộc phỏng vấn này thực sự kiểm tra.