Chaque jour qui passe, nous lisons des informations sur les licenciements qui touchent des personnes, dont certaines sont nos amis et collègues. Dans des moments comme ceux-ci, obtenir un entretien téléphonique peut être difficile et il devient donc nécessaire de saisir toutes les opportunités qui se présentent à vous. Et soyons honnêtes, absolument personne n'aime les entretiens - ils sont stressants et prennent du temps.

Karthik (Engineering Manager @ Meta) et moi, Jeet (Product Security Engineer @ Plaid) avons travaillé dans le domaine de la sécurité à différents niveaux et avons interviewé des candidats parmi les stagiaires, les contributeurs individuels, les managers et les cadres supérieurs. Avec cet article, nous visons à partager ce que nous avons appris dans le passé et comment nous avons navigué dans le processus d'entretien. Bien que les exemples et les ressources partagés dans le message soient axés sur la sécurité (la sécurité des produits pour être précis), certains des apprentissages peuvent être mis en œuvre lors des entretiens pour n'importe quel rôle.

Chaque organisation et équipe peut avoir des séries et des formats d'entretien différents pour évaluer le candidat. Généralement, vous aurez un écran technique et/ou parlerez avec le responsable du recrutement. Après cela, vous aurez 2 à 3 entretiens techniques et un tour de comportement en boucle d'entretien. Dans cet article, nous allons nous concentrer principalement sur

• Entretien avec le responsable du recrutement : comment créer un argumentaire éclair
• Entretien technique sécurité : Comment expliquer une faille de sécurité ?

Entretien du responsable du recrutement

L'entretien du responsable du recrutement est généralement une courte conversation (30 minutes) au cours de laquelle l'intervieweur essaie de comprendre votre motivation et vos aspirations pour le poste et de se faire une idée de l'étendue de votre expérience et de vos connaissances. Ils n'essaient pas de plonger profondément dans des sujets techniques (les tours techniques sont précisément là pour ça).

Dis-moi quelque chose à propos de toi

Commençons par une introduction personnelle. Il s'agit de la première question d'une ronde de sélection d'un responsable du recrutement ou d'un recruteur. En surface, c'est une question très basique, mais c'est votre opportunité de créer une impression, de parler de votre expérience passée et actuelle et de mettre en évidence les principales réalisations, en 2 à 3 minutes.

Nous ne saurions trop insister sur l'importance d'avoir un "elevator pitch" concis prêt. Il peut être décomposé en 5 étapes

• Commencez par un petit résumé
• Retour aux racines
• Développer le résumé initial
• Ajouter la touche finale
• Conclure et ouvrir aux commentaires

Voici un exemple de la façon dont nous répondrions à cette question en utilisant les 5 étapes décrites ci-dessus

[Commencer par un bref résumé] Je suis ingénieur en sécurité produit chez Acme.

[Retour aux racines] Avant Acme, j'ai travaillé chez Hooli et Umbrella Corp dans divers rôles allant de pentester, à l'automatisation de la sécurité où j'ai travaillé sur l'intégration d'outils de sécurité dans les pipelines de développement, à un rôle d'architecte de sécurité où je dirige plusieurs équipes initiatives et examens de sécurité.

[Développer le résumé initial] Chez Acme, mon rôle consiste principalement à diriger nos initiatives de gestion du décalage vers la gauche et des vulnérabilités. Mon rôle implique également de travailler avec l'équipe produit en tant que partenaire de sécurité pour améliorer et intégrer la sécurité dans nos produits, ainsi que d'interagir avec les clients pour répondre à toutes les questions ouvertes en matière de sécurité.

[Ajouter la touche finale] Je suis vraiment fier de mon travail sur BeyondCorp où je me suis associé à notre équipe de sécurité d'entreprise pour permettre un accès réseau basé sur les risques aux ressources gérées. Vous pouvez imaginer à quel point c'était important lorsque Covid a frappé et que tout à coup tout le monde a dû faire la FMH.

[Conclure et ouvrir aux commentaires] Alors oui, un bref résumé sur moi, mais je suis heureux d'approfondir et de fournir plus de contexte sur n'importe quel sujet pendant l'entretien.

L'exemple donne de nombreux sujets de votre choix à l'intervieweur pour en discuter plus en détail dans l'entretien et le relier au rôle ouvert dans son équipe.

La meilleure façon de perfectionner votre argumentaire est d'abord de l'écrire, de le chronométrer, de l'affiner et enfin de le pratiquer avec des amis ou en famille.

Entretien technique de sécurité

En ce qui concerne les rondes techniques de sécurité, il existe différentes saveurs. Cela peut être lié à la conception du système et à la modélisation des menaces, aux scénarios d'exploitation des vulnérabilités, à l'examen du code source pour trouver des bogues, à la mise en œuvre de l'automatisation/des outils et à la sécurité spécifique au domaine (Cloud, Web, Mobile). L'entretien le plus courant et presque tous où nous étions un intervieweur ou une personne interrogée avait une ronde technique spécifique au domaine de la sécurité. C'est là qu'un intervieweur vous demanderait d'expliquer une vulnérabilité.

Qu'est-ce que la vulnérabilité CSRF ?

La vulnérabilité de Cross-Site Request Forgery (CSRF) est notoirement difficile à expliquer à un enquêteur. Elle implique plusieurs étapes et stratégies de remédiation qui peuvent avoir des effets et des conséquences différents. La meilleure approche pour expliquer toute vulnérabilité est de suivre le modèle simple Quoi et Comment

• Quelle est la vulnérabilité
• Quel est le risque
• Comment exploiter et
• Comment empêcher

[Quelle est la vulnérabilité] CSRF est une vulnérabilité dans laquelle un attaquant malveillant tente d'effectuer une action de changement d'état au nom d'un utilisateur authentifié . Une action de changement d'état est comme une action d'ajout, de modification, de mise à jour ou de suppression.

[ Quel est le risque ] Le CSRF est le plus souvent mené à l'aide de techniques d'ingénierie sociale malveillantes en envoyant un e-mail ou un lien qui trompe une victime pour qu'elle envoie une requête falsifiée au serveur. Un utilisateur malveillant peut provoquer des actions de changement d'état qui peuvent entraîner des scénarios d'attaque courants tels que des transferts de fonds ou la modification des informations personnelles ou du mot de passe d'un utilisateur.

[Comment exploiter] Lorsqu'un utilisateur authentifié sans méfiance visite attacker.com et est connecté à bank.com si bank.com accepte le type de contenu text/plain pour ses terminaux POST, l'attaquant peut alors envoyer une demande de changement d'état au serveur qui leur permettre d'agir au nom de l'utilisateur. Étant donné que le serveur bank.com a obtenu des cookies de session valides, il n'a aucun moyen de différencier si la demande provient d'un attaquant malveillant ou d'un utilisateur authentifié légitime.

[Comment prévenir] Pour remédier à la vulnérabilité CSRF, il existe plusieurs techniques, mais l'utilisation de l'attribut de cookie du même site avec la vérification de l'en-tête d'origine est la solution à court terme la plus simple pour atténuer la vulnérabilité CSRF à grande échelle . Il existe d'autres méthodes d'atténuation populaires et testées que nous pouvons approfondir, comme l'approche basée sur les jetons, la double soumission du cookie et les en-têtes de requête personnalisés pour empêcher les attaques CSRF.

Mémoriser et donner une réponse classique à toute vulnérabilité de l'OWASP est simple. Ce qui vous différenciera, c'est d'expliquer le problème et pourquoi il est exploitable, en fournissant la meilleure atténuation évolutive possible qui peut réellement être mise en œuvre dans une configuration d'entreprise.

Bien sûr, pour toute interview, l'exemple serait suivi de questions. En tant qu'intervieweur, l'exemple montre que le candidat comprend non seulement la cause profonde de la vulnérabilité, mais également comment elle doit être atténuée dans une configuration d'entreprise. Cela démontre également la capacité du candidat à expliquer le problème aux parties prenantes concernées, ce qui est une compétence très importante pour un ingénieur en sécurité efficace.

Ressources d'entrevue

-- Resume 
[] Create a one page resume, include a good summary 
[] Free resume maker https://resumake.io/generator/templates 

-- Introduction 
[] Create an elevator pitch. Read this post

-- Coding
[] Leetcode top interview questions for company X 
[] Scripting questions like parsing log files, and extracting IP addresses
[] Learn regex https://www.hackerrank.com/domains/regex 

Security technical round 
[] Ultimate resource https://github.com/gracenolan/Notes/blob/master/interview-study-notes-for-security-engineering.md
[] OWASP top 10 https://cheatsheetseries.owasp.org/IndexTopTen.html 
[] Web security, HTML 5 Security https://developer.mozilla.org/en-US/docs/Web/Security 
[] Threat Modeling - STRIDE, PASTA
[] Security awareness, whats current -> https://tldrsec.com/
[] Cloud security -> https://cloudsecdocs.com/
[] How to secure VPN and attacks against it
[] How to identify crypto miners and ransomware running on a user’s machine
[] Topics - SSH, IPSec, TLS vs SSH, OSI, Heartbleed, Log4j, HMAC, Serialization vulnerability,
XXE, Rainbow table attack, OAuth/OpenID, SAML, WebauthN, 

-- Behavioral round 
[] https://www.thebalancecareers.com/top-behavioral-interview-questions-2059618
[] Write 8-10 stories in SAR format (Situation, Action, Result) and practice them with a friend 
[] Example of any conflict with peers, managers
[] Biggest mistake. What is your weakness? What are you doing about it? 
[] (Manager) How did you deal with poor performers and a strong performer 
[] (Manager) How do you measure the health of the organization 

-- System desgin 
[] System design mock interviews https://www.youtube.com/c/ExponentTV,
https://www.youtube.com/channel/UCRPMAqdtSgd0Ipeef7iFsKw 
[] Design a large-scale malware identification system
[] Design a password storage system