Cada día que pasa, leemos sobre despidos que afectan a personas, algunas de las cuales son nuestros amigos y colegas. En momentos como estos, recibir una llamada para una entrevista puede ser un desafío y, por lo tanto, se vuelve necesario aprovechar cualquier oportunidad que se le presente. Y seamos honestos, a absolutamente nadie le gustan las entrevistas, son estresantes y consumen mucho tiempo.

Karthik (Gerente de ingeniería @ Meta) y yo, Jeet (Ingeniero de seguridad de productos @ Plaid) hemos trabajado en el campo de la seguridad en varios niveles y hemos entrevistado a candidatos de pasantes, colaboradores individuales, gerentes y líderes sénior. Con esta publicación, nuestro objetivo es compartir lo que hemos aprendido en el pasado y cómo navegamos por el proceso de la entrevista. Si bien los ejemplos y recursos compartidos en la publicación están orientados a la seguridad (seguridad del producto para ser precisos), algunos de los aprendizajes se pueden implementar durante la entrevista para cualquier función.

Cada organización y equipo puede tener diferentes rondas y formatos de entrevistas para evaluar al candidato. Generalmente, tendrá una pantalla técnica y/o hablará con el gerente de contratación. Después de eso, tendrá 2 o 3 entrevistas técnicas y una ronda de comportamiento como ciclo de entrevistas. En este post nos vamos a centrar principalmente en

• Entrevista al gerente de contratación: cómo crear un discurso de ascensor
• Entrevista técnica de seguridad: ¿Cómo explicar una vulnerabilidad de seguridad?

entrevista con el gerente de contrataciones

La entrevista con el gerente de contratación suele ser una conversación corta (30 minutos) en la que el entrevistador intenta comprender su motivación y aspiraciones para el puesto y tener una idea de la amplitud de su experiencia y conocimiento. No están tratando de profundizar en temas técnicos (las rondas técnicas son precisamente para eso).

Dime algo sobre ti

Comencemos con una presentación personal. Esta es la primera pregunta en una ronda de selección de gerentes de contratación o reclutadores. A primera vista, es una pregunta muy básica, pero es su oportunidad de crear una impresión, hablar sobre su experiencia pasada y actual y resaltar logros clave, en 2 o 3 minutos.

No podemos enfatizar lo suficiente lo importante que es tener listo un "discurso de ascensor" conciso . Se puede dividir en 5 pasos.

• Comience con un breve resumen
• volver a las raices
• Ampliar el resumen inicial
• Añadir toque final
• Concluir y abrir para comentarios

Aquí hay un ejemplo de cómo responderíamos esta pregunta usando los 5 pasos descritos anteriormente.

[Comience con un breve resumen] Soy ingeniero de seguridad de productos en Acme.

[Regresar a las raíces] Antes de Acme, trabajé en Hooli y Umbrella Corp en varios roles, desde pentester hasta automatización de seguridad, donde trabajé en la incorporación de herramientas de seguridad en canalizaciones de desarrollo, hasta un rol de arquitecto de seguridad donde lideré equipos cruzados. iniciativas y revisiones de seguridad.

[Amplíe el resumen inicial] En Acme, mi función es liderar principalmente nuestras iniciativas de gestión de vulnerabilidades y cambio a la izquierda. Mi función también implica trabajar con el equipo de productos como socio de seguridad para mejorar e integrar la seguridad en nuestros productos, así como interactuar con los clientes para abordar cualquier pregunta abierta en lo que respecta a la seguridad.

[Agregar toque final] Estoy muy orgulloso de mi trabajo en BeyondCorp, donde me asocié con nuestro equipo de seguridad empresarial para permitir el acceso a la red basado en el riesgo a los recursos administrados. Puede imaginarse lo importante que fue esto cuando golpeó Covid y de repente todos tuvieron que trabajar desde casa.

[Concluir y abrir para recibir comentarios] Entonces, sí, un breve resumen sobre mí, pero estoy feliz de profundizar y brindar más contexto sobre cualquier tema durante la entrevista.

El ejemplo brinda amplios temas de su elección para que el entrevistador los discuta más en la entrevista y los relacione con el rol abierto en su equipo.

La mejor manera de perfeccionar su discurso es primero escribirlo, cronometrarlo, afinarlo y finalmente practicarlo con amigos o familiares.

Entrevista técnica de seguridad

Cuando se trata de rondas técnicas de seguridad, hay diferentes sabores. Podría estar relacionado con el diseño del sistema y el modelado de amenazas, escenarios de explotación de vulnerabilidades, revisión del código fuente para encontrar errores, automatización/implementación de herramientas y seguridad específica del dominio (nube, web, móvil). La entrevista más común y casi todas en las que éramos entrevistadores o entrevistados tenía una ronda técnica específica del dominio de seguridad. Aquí es donde un entrevistador le pediría que explique una vulnerabilidad.

¿Qué es la vulnerabilidad CSRF?

La vulnerabilidad Cross-Site Request Forgery (CSRF) es notoriamente difícil de explicar a un entrevistador. Implica varios pasos y estrategias de remediación que pueden tener diferentes efectos y consecuencias. El mejor enfoque para explicar cualquier vulnerabilidad es seguir el patrón simple de qué y cómo

• ¿Cuál es la vulnerabilidad
• Cual es el riesgo
• Cómo explotar, y
• Como prevenir

[¿Qué es la vulnerabilidad?] CSRF es una vulnerabilidad en la que un atacante malicioso intenta realizar una acción de cambio de estado en nombre de un usuario autenticado . Una acción de cambio de estado es como una acción de agregar, editar, actualizar o eliminar.

[ ¿Cuál es el riesgo ?] CSRF se lleva a cabo más comúnmente utilizando técnicas de ingeniería social maliciosas mediante el envío de un correo electrónico o un enlace que engaña a la víctima para que envíe una solicitud falsificada al servidor. Un usuario malintencionado puede provocar acciones de cambio de estado que pueden dar lugar a situaciones de ataque comunes, como transferencias de fondos o cambio de la información personal o la contraseña de un usuario.

[Cómo explotar] Cuando un usuario autenticado desprevenido visita attacker.com e inicia sesión en bank.com si bank.com acepta tipo de contenido de texto/sin formato para sus puntos finales POST, el atacante puede enviar una solicitud de cambio de estado al servidor que permitirles tomar medidas en nombre del usuario. Debido a que el servidor de bank.com obtuvo cookies de sesión válidas, no tiene forma de diferenciar si la solicitud proviene de un atacante malicioso o de un usuario autenticado legítimo.

[Cómo prevenir] Para remediar la vulnerabilidad CSRF existen varias técnicas, pero el uso del atributo de cookie del mismo sitio junto con la verificación del encabezado de origen es la solución a corto plazo más simple para mitigar la vulnerabilidad CSRF a escala . Existen otros métodos de mitigación populares y probados que podemos profundizar, como el enfoque basado en token, el envío doble de la cookie y los encabezados de solicitud personalizados para evitar ataques CSRF.

Memorizar y dar una respuesta de libro de texto a cualquier vulnerabilidad de OWASP es simple. Lo que lo diferenciará es explicar el problema y por qué es explotable, brindando la mejor mitigación escalable posible que realmente se puede implementar en una configuración empresarial.

Por supuesto, con cualquier entrevista, el ejemplo sería seguido por preguntas. Como entrevistador, lo que demuestra el ejemplo es que el candidato no solo comprende la causa raíz de la vulnerabilidad, sino también cómo debe mitigarse en una configuración empresarial. También demuestra la capacidad del candidato para explicar el problema a las partes interesadas relevantes, lo cual es una habilidad muy importante para un ingeniero de seguridad eficaz.

Recursos para entrevistas

-- Resume 
[] Create a one page resume, include a good summary 
[] Free resume maker https://resumake.io/generator/templates 

-- Introduction 
[] Create an elevator pitch. Read this post

-- Coding
[] Leetcode top interview questions for company X 
[] Scripting questions like parsing log files, and extracting IP addresses
[] Learn regex https://www.hackerrank.com/domains/regex 

Security technical round 
[] Ultimate resource https://github.com/gracenolan/Notes/blob/master/interview-study-notes-for-security-engineering.md
[] OWASP top 10 https://cheatsheetseries.owasp.org/IndexTopTen.html 
[] Web security, HTML 5 Security https://developer.mozilla.org/en-US/docs/Web/Security 
[] Threat Modeling - STRIDE, PASTA
[] Security awareness, whats current -> https://tldrsec.com/
[] Cloud security -> https://cloudsecdocs.com/
[] How to secure VPN and attacks against it
[] How to identify crypto miners and ransomware running on a user’s machine
[] Topics - SSH, IPSec, TLS vs SSH, OSI, Heartbleed, Log4j, HMAC, Serialization vulnerability,
XXE, Rainbow table attack, OAuth/OpenID, SAML, WebauthN, 

-- Behavioral round 
[] https://www.thebalancecareers.com/top-behavioral-interview-questions-2059618
[] Write 8-10 stories in SAR format (Situation, Action, Result) and practice them with a friend 
[] Example of any conflict with peers, managers
[] Biggest mistake. What is your weakness? What are you doing about it? 
[] (Manager) How did you deal with poor performers and a strong performer 
[] (Manager) How do you measure the health of the organization 

-- System desgin 
[] System design mock interviews https://www.youtube.com/c/ExponentTV,
https://www.youtube.com/channel/UCRPMAqdtSgd0Ipeef7iFsKw 
[] Design a large-scale malware identification system
[] Design a password storage system