Setiap hari, kami membaca tentang PHK yang berdampak pada individu, beberapa di antaranya adalah teman dan kolega kami. Pada saat-saat seperti ini mendapatkan panggilan wawancara dapat menjadi tantangan dan oleh karena itu menjadi penting untuk memanfaatkan setiap peluang yang menghampiri Anda. Dan jujur ​​​​saja, sama sekali tidak ada yang suka wawancara - itu membuat stres dan menghabiskan waktu.

Karthik (Manajer Teknik @ Meta) dan saya, Jeet (Insinyur Keamanan Produk @ Plaid) telah bekerja di bidang keamanan di berbagai tingkatan dan mewawancarai kandidat dari pekerja magang, kontributor individu, manajer, dan pemimpin senior. Dengan posting ini, kami bertujuan untuk membagikan apa yang telah kami pelajari di masa lalu dan bagaimana kami menjalani proses wawancara. Sementara contoh dan sumber daya yang dibagikan dalam postingan berorientasi pada keamanan (keamanan produk tepatnya), beberapa pembelajaran dapat diterapkan saat wawancara untuk peran apa pun.

Setiap organisasi dan tim mungkin memiliki putaran dan format wawancara yang berbeda untuk mengevaluasi kandidat. Umumnya, Anda akan memiliki layar teknis dan/atau berbicara dengan manajer perekrutan. Setelah itu, Anda akan melakukan 2–3 wawancara teknis dan putaran perilaku sebagai putaran wawancara. Dalam posting ini, kita akan fokus terutama pada

• Wawancara Manajer Perekrutan: Cara membuat elevator pitch
• Wawancara teknis keamanan: Bagaimana menjelaskan kerentanan keamanan?

Mempekerjakan wawancara manajer

Wawancara manajer perekrutan biasanya berupa percakapan singkat (30 menit) di mana pewawancara mencoba memahami motivasi dan aspirasi Anda untuk peran tersebut dan memahami luasnya pengalaman dan pengetahuan Anda. Mereka tidak mencoba mendalami topik teknis (putaran teknis tepat untuk itu).

Ceritakan kepadaku tentangmu

Mari kita mulai dengan perkenalan pribadi. Ini adalah pertanyaan pertama dalam putaran penyaringan manajer perekrutan atau perekrut. Di permukaan, ini adalah pertanyaan yang sangat mendasar tetapi ini adalah kesempatan Anda untuk menciptakan kesan, berbicara tentang pengalaman Anda di masa lalu dan saat ini, dan menyoroti pencapaian utama, dalam 2–3 menit.

Kami sangat menekankan betapa pentingnya menyiapkan "elevator pitch" yang ringkas. Itu dapat dipecah menjadi 5 langkah

• Mulailah dengan ringkasan singkat
• Kembali ke akarnya
• Perluas ringkasan awal
• Tambahkan sentuhan akhir
• Menyimpulkan dan terbuka untuk umpan balik

Berikut adalah contoh bagaimana kami akan menjawab pertanyaan ini menggunakan 5 langkah yang diuraikan di atas

[Mulai dengan ringkasan singkat] Saya seorang insinyur keamanan produk di Acme.

[Kembali ke akar] Sebelum Acme, saya bekerja di Hooli dan Umbrella Corp dalam berbagai peran mulai dari pentester, hingga otomatisasi keamanan di mana saya bekerja menyematkan alat keamanan di pipa pengembang, hingga peran arsitek keamanan tempat saya memimpin lintas tim inisiatif dan tinjauan keamanan.

[Perluas ringkasan awal] Di Acme, peran saya terutama memimpin inisiatif manajemen pergeseran kiri dan kerentanan kami. Peran saya juga mencakup bekerja dengan tim produk sebagai mitra keamanan untuk meningkatkan dan menyematkan keamanan dalam produk kami serta berinteraksi dengan pelanggan untuk menjawab setiap pertanyaan terbuka terkait keamanan.

[Tambahkan sentuhan akhir] Saya sangat bangga dengan pekerjaan saya di BeyondCorp tempat saya bermitra dengan tim Keamanan Perusahaan kami untuk mengaktifkan akses jaringan berbasis risiko ke sumber daya terkelola. Bisa dibayangkan betapa pentingnya hal ini saat Covid melanda dan tiba-tiba semua orang harus WFH.

[Simpulkan dan terbuka untuk umpan balik] Jadi ya, ringkasan singkat tentang saya, tetapi saya senang menyelami lebih dalam dan memberikan lebih banyak konteks tentang topik apa pun selama wawancara.

Contoh tersebut memberikan banyak topik pilihan Anda kepada pewawancara untuk didiskusikan lebih lanjut dalam wawancara dan mengaitkannya dengan peran terbuka dalam tim mereka.

Cara terbaik untuk menyempurnakan nada bicara Anda adalah pertama-tama tuliskan, atur waktu, sesuaikan, dan terakhir latih dengan teman atau keluarga.

Wawancara teknis keamanan

Ketika datang ke putaran teknis keamanan, ada rasa yang berbeda. Ini bisa terkait dengan desain sistem dan pemodelan ancaman, skenario eksploitasi kerentanan, meninjau kode sumber untuk menemukan bug, otomatisasi/implementasi alat, dan domain keamanan khusus (Cloud, Web, Seluler). Yang paling umum dan hampir setiap wawancara di mana kami menjadi pewawancara atau orang yang diwawancarai memiliki putaran teknis khusus domain keamanan. Di sinilah pewawancara akan meminta Anda untuk menjelaskan kerentanan.

Apa itu kerentanan CSRF?

Kerentanan Cross-Site Request Forgery (CSRF) sangat sulit untuk dijelaskan kepada pewawancara. Ini melibatkan beberapa langkah dan strategi perbaikan yang dapat memiliki efek dan konsekuensi yang berbeda. Pendekatan terbaik untuk menjelaskan kerentanan apa pun adalah dengan mengikuti pola Apa dan Bagaimana yang sederhana

• Apa kerentanannya
• Apa risikonya
• Bagaimana mengeksploitasi, dan
• Bagaimana mencegah

[Apa kerentanannya] CSRF adalah kerentanan di mana penyerang jahat mencoba melakukan tindakan mengubah status atas nama pengguna yang diautentikasi . Tindakan yang mengubah keadaan seperti menambah, mengedit, memperbarui, atau menghapus tindakan.

[ Apa risikonya ] CSRF paling sering dilakukan menggunakan teknik rekayasa sosial berbahaya dengan mengirimkan email atau tautan yang mengelabui korban untuk mengirim permintaan palsu ke server. Pengguna jahat dapat menyebabkan tindakan perubahan status yang dapat mengakibatkan skenario serangan umum seperti transfer dana atau mengubah informasi pribadi atau kata sandi pengguna.

[Cara mengeksploitasi] Ketika pengguna terotentikasi yang tidak curiga mengunjungi penyerang.com dan masuk ke bank.com jika bank.com menerima jenis konten teks/polos untuk titik akhir POST penyerang kemudian dapat mengirim permintaan perubahan status ke server yang akan memungkinkan mereka untuk mengambil tindakan atas nama pengguna. Karena server bank.com mendapatkan cookie sesi yang valid, tidak ada cara untuk membedakan apakah permintaan tersebut berasal dari penyerang jahat atau pengguna sah yang diautentikasi.

[Cara mencegah] Untuk memulihkan kerentanan CSRF ada beberapa teknik tetapi menggunakan atribut cookie situs yang sama bersama dengan memverifikasi header asal adalah solusi jangka pendek paling sederhana untuk mengurangi kerentanan CSRF dalam skala besar . Ada metode mitigasi lain yang populer dan teruji yang bisa kita bahas secara mendalam seperti pendekatan berbasis token, mengirimkan cookie dua kali, dan header permintaan khusus untuk mencegah serangan CSRF.

Menghafal dan memberikan jawaban buku teks untuk setiap kerentanan dari OWASP sangatlah mudah. Apa yang akan membedakan Anda adalah menjelaskan masalahnya dan mengapa itu dapat dieksploitasi, memberikan mitigasi terbaik yang dapat diskalakan yang benar-benar dapat diterapkan dalam pengaturan perusahaan.

Tentu saja dengan wawancara apa pun, contohnya akan diikuti dengan pertanyaan. Sebagai seorang pewawancara, apa yang ditunjukkan oleh contoh tersebut adalah bahwa kandidat tidak hanya memahami akar penyebab kerentanan tetapi juga bagaimana hal itu harus dikurangi dalam penyiapan perusahaan. Ini juga menunjukkan kemampuan kandidat untuk menjelaskan masalah tersebut kepada pemangku kepentingan terkait yang merupakan keterampilan yang sangat penting bagi seorang insinyur keamanan yang efektif.

Sumber wawancara

-- Resume 
[] Create a one page resume, include a good summary 
[] Free resume maker https://resumake.io/generator/templates 

-- Introduction 
[] Create an elevator pitch. Read this post

-- Coding
[] Leetcode top interview questions for company X 
[] Scripting questions like parsing log files, and extracting IP addresses
[] Learn regex https://www.hackerrank.com/domains/regex 

Security technical round 
[] Ultimate resource https://github.com/gracenolan/Notes/blob/master/interview-study-notes-for-security-engineering.md
[] OWASP top 10 https://cheatsheetseries.owasp.org/IndexTopTen.html 
[] Web security, HTML 5 Security https://developer.mozilla.org/en-US/docs/Web/Security 
[] Threat Modeling - STRIDE, PASTA
[] Security awareness, whats current -> https://tldrsec.com/
[] Cloud security -> https://cloudsecdocs.com/
[] How to secure VPN and attacks against it
[] How to identify crypto miners and ransomware running on a user’s machine
[] Topics - SSH, IPSec, TLS vs SSH, OSI, Heartbleed, Log4j, HMAC, Serialization vulnerability,
XXE, Rainbow table attack, OAuth/OpenID, SAML, WebauthN, 

-- Behavioral round 
[] https://www.thebalancecareers.com/top-behavioral-interview-questions-2059618
[] Write 8-10 stories in SAR format (Situation, Action, Result) and practice them with a friend 
[] Example of any conflict with peers, managers
[] Biggest mistake. What is your weakness? What are you doing about it? 
[] (Manager) How did you deal with poor performers and a strong performer 
[] (Manager) How do you measure the health of the organization 

-- System desgin 
[] System design mock interviews https://www.youtube.com/c/ExponentTV,
https://www.youtube.com/channel/UCRPMAqdtSgd0Ipeef7iFsKw 
[] Design a large-scale malware identification system
[] Design a password storage system