سوالات مصاحبه حضوری افتا – 2 گرایش مهم
مهمترین چالش شرکت های IT جهت اخذ مجوز افتا در مرحله آخر پس از بارگذاری مدارک مورد نیاز، سوالات مصاحبه حضوری افتا از کارشناسان امتیازآور می باشد. تیم مهندسی شرکت ایزوفرتاک با سابقه ای درخشان جهت اخذ گواهینامه افتا برای شرکت های متقاضی این مقاله را تدوین کرده تا شرکت های متقاضی و کارشناسان امتیازآور جهت سوالات مصاحبه حضوری افتا اطلاعات جامعه ای داشته باشند.
مهمترین چالش شرکت های IT جهت اخذ مجوز افتا در مرحله آخر پس از بارگذاری مدارک مورد نیاز، سوالات مصاحبه حضوری افتا از کارشناسان امتیازآور می باشد. تیم مهندسی شرکت ایزوفرتاک با سابقه ای درخشان جهت اخذ گواهینامه افتا برای شرکت های متقاضی این مقاله را تدوین کرده تا شرکت های متقاضی و کارشناسان امتیازآور جهت سوالات مصاحبه حضوری افتا اطلاعات جامعه ای داشته باشند.
گواهینامه افتا یا گواهینامه ارزیابی امنیتی محصول چیست؟
امنیت، فضا، تولید و تبادل و اطلاعات مخفف “افتا” می باشد، لذا اخذ مجوز افتا سندی است که از طرف مرکز مدیریت راهبردی افتا ریاست جمهوری (مرکز صدور گواهینامه افتا) همینطور سازمان فناوری اطلاعات ایران، به متقاضیان اعطا می گردد. اخذ گواهینامه افتا در راستای طرح ارزیابی امنیتی افتا شکل گرفته است.
سوالات مصاحبه حضوری افتا برای دو گرایش بسیار مهم و پرتقاضا به شرح زیر می باشد:
- سوالات مربوط به خدمات عملیاتی گرایش پیاده سازی امنیت فیزیکی و محیط پیرامونی
- سوالات مربوط به گرایش امن‌سازی و مقاوم‌سازی سامانه‌ها، زیرساخت‌ها و سرویسهای فناوری اطلاعات و ارتباطات
در ادامه مطلب سوالات مصاحبه حضوری افتا به سوالات مهم این دو گرایش می پردازیم.
در مصاحبه حضوری افتا چه سوالاتی مطرح می شود؟
نمونه سوالات حضوری افتا چیست؟، آزمون افتا به چه صورت انجام میشود؟، آزمون افتا برای چه نفراتی الزامی است؟، منابع مربوط به آزمون افتا چیست؟، محل برگزاری آزمون حضوری افتا کجاست، جواب آزمون حضوری افتا چند روزه اعلام میشود؟.
درآزمون افتا که به صورت حضوری انجام میشود از منابعی که قبلا کارشناسان افتا از طریق سامانه اطلاع رسانی کرده اند، در زمان تعیین شده و در محل اعلام شده از مدیرعامل و دو کارشناس امتیازآور به صورت کتبی و شفاهی انجام می شود.
سوالات مصاحبه حضوری افتا – گرایش امن‌سازی و مقاوم‌سازی سامانه‌ها، زیرساخت‌ها و سرویسهای فناوری اطلاعات
- تفاوت cryptography and steganography
- مورد مشترک مشترک در Athentication Header و Encapsulate Security Payload در IPSec و موردی که در ESP هست ولی در AH وجود ندارد.
- فرض کنید مهاجم از طریق حمله brute force روی لبه مسیریاب سیسکو اقدام به حمله کرده است، چطوری شناسایی کنیم و جلوی نفوذ رو بگیریم.
- 5 موردی که مهاجم جهت ورود و نفوذ به شبکه نیاز دارد.
- 3 راهکار امن سازی SNMP را معرفی کنید.
- Power shell چیست؟ و 5 راهکاری که برای اتصال دور (JEA” (JUST ENGOUGH ADMIN” چیست؟
- سیستم قدیمی که موارد امنیتی را رعایت نکرده است به سیستم ها موجود اضافه شود، حسگرهایی که جهت تشخیص وجود دارد کدام است؟
- مهاجم به زیر ساخت شبکه نفود کرده و قصد گسترش دامنه نفوذش را دارد، ما چه کاری جهت جلوگیری از برنامه های غیر سازمانی می توانیم انجام دهیم(5 مورد)
- کاربرد com object hijacking را با مثال توضیح دهید.
- 3 مورد از کاربرد های sysmon در سیستم را توضیح دهید.
نمونه سوالات آزمون امن‌سازی و مقاوم‌سازی سامانه‌ها، زیرساخت‌ها و سرویسهای فناوری اطلاعات و ارتباطات (افتا) که مربوط به شرکت هایی میباشد که در حوزه های خدمات شبکه و امنیت و خرید و فروش فعالیت دارند.
سوالات مصاحبه حضوری افتا – خدمات عملیاتی گرایش پیاده سازی امنیت فیزیکی و محیط پیرامونی
- شما هدف امنیت اطلاعات در یک سازمان را چه مواردی می دانید؟
- پاسخ: امنیت شبکه باید؛ 1. در دسترس بودنِ شبکه و اطلاعات را برای همه کاربران تضمین کند. 2. از دسترسی غیرمجاز به شبکه جلوگیری کند. 3. حفظ حریم خصوصی همه کاربران را انجام دهد. 4. از شبکه ها در برابر بدافزارها، هکرها و حملات DDoS دفاع کند. 5. تمام داده ها را از تغییر بدون مجوز و سرقت محافظت و ایمن کند.
- شما چگونه خطر، آسیب پذیری و تهدید را در زمینه امنیت شبکه را تعریف می کنید؟
- پاسخ: خطر به عنوان نتیجه ایمن بودن سیستم اما به اندازه کافی ایمن نبودن تعریف می شود در نتیجه احتمال تهدید را افزایش می دهد. آسیب پذیری یک ضعف یا نقض شبکه یا تجهیزات شما است (به عنوان مثال آسیب پذیری روب مودم ها، روترها، اکسس پوینت ها و سرویسهای مختلف). تهدید وسیله واقعی ایجاد حادثه است. به عنوان مثال حمله ویروس ها یک تهدید تلقی می شود.
- پیامد های احتمالی حمله به شبکه شامل چه مواردی است؟
- پاسخ: نتایج احتمالی شامل موارد زیر است:
- از دست دادن یا نقض امنیت اطلاعات حساس که برای بقا و موفقیت یک شرکت ضروری است
- از اعتبار و اعتماد بین مشتریان کاسته می شود
- کاهش ارزش سهام شرکت
- کاهش ارزش نام تجاری
- کاهش سود
- پاسخ: نتایج احتمالی شامل موارد زیر است:
- چقدر پیگیر هستید که خود را در زمینه اخبار مربوط به امنیت شبکه بروز نگه دارید؟ اخبار امنیتی خود را از کجا می گیرید؟
- پاسخ: حوادث امنیتی شبکه امروز خبرهای بزرگی است و در چند سال گذشته خبرهای پرشمار در مورد نقض داده و هکرها منتشر شده است. کارفرمای می خواهد بداند که شما در مورد آخرین اخبار و حوادث امنیتی چقدر آگاه هستید. نکته: اگر این کار را به عنوان عملی نگه داشتن آخرین اخبار جدید مربوط به امنیت شبکه انجام نمی دهید بهتر است از همین حالا شروع کنید!
- بهترین دفاع در برابر حملات brute force login کدام است؟
- پاسخ: سه اقدام عمده وجود دارد كه می توان برای دفاع در مقابل حمله brute force login استفاده کرد. برای برای شروع میتوان از قفل حساب کاربری account lockout استفاده کرد. حسابهای متخلف قفل می شوند تا زمانی که مدیر سیستم تصمیم به باز کردن مجدد آن بگیرد. در مرحله بعدی تاخیر در ورود قرار می گیرد. در اینجا بعد از انجام چند تلاش ناموفق برای ورود به حساب، حساب برای مدت از پیش تعرف شده ای قفل می شود. در نهایت، آزمون پاسخ به چالش وجود دارد، که به صورت هوشمندانه سوالات خودکار را در صفحه ورود به سیستم انجام می دهد.
- تفاوت رمزگذاری متقارن و نامتقارن را توضیح دهید؟
- پاسخ: رمزنگاری متقارن به صورت کوتاه، استفاده از کلید یکسان برای رمزگذاری و رمزگشایی است، در حالی که رمزگذاری نامتقارن کلیدهای مختلفی را برای این دو فرآیند به کار می برد. متقارن به دلایل استفاده از کلید یکسان سریع تر است اما نیاز به ارسال کلید از طریق کانال غیر رمزنگاری شده دارد، که این یک ریسک است.
- تفاوت هکر کلاه سفید و سیاه را توضیح دهید.
- پاسخ: هکرهای کلاه سیاه و سفید طرف های مختلف یک سکه هستند. هر دو گروه در بدست آوردن اطلاعات ورود به شبکه ها و دسترسی به داده های محافظت شده مهارت و استعداد دارند. با این حال هدف هکرهای کلاه های سیاه از برنامه های سیاسی، حرص و طمع شخصی یا بدخواهی ناشی می شوند، در حالی که هکر های کلاه سفید سعی در خنثی کردن کلاه سیاه ها دارند. بسیاری از هکر های کلاه سفید نیز برای اطمینان از اثربخشی امنیت، آزمایشاتی را انجام می دهند و تست روی سیستم های شبکه با مجوز مسئولین سیستم انجام می شود.
- فرآیند salting و مورد استفاده آنرا را تعریف کنید.
- پاسخ: Salting فرآیندی است که در آن کاراکترهای خاصی را برای رمزگذاری ایمن تر به یک رمز عبور اضافه می کنند. این کار قدرت رمز عبور را از دو طریق افزایش می دهد: باعث طولانی تر شدن آن می شود و مجموعه دیگری از کاراکترها را اضافه می کند که یک هکر باید آنها را حدس بزند. این یک اقدام خوب برای کاربرانی است که تمایل دارند به طور عادی رمزهای عبور ضعیف را استفاده کنند، اما در کل این یک دفاع سطح پایین است زیرا بسیاری از هکرهای باتجربه از قبل با این روند آشنا هستند و آن را در نظر می گیرند.
- چگونه با حملات “مرد میانی Man In The Middle” برخورد می کنید؟
- پاسخ: حملات مرد میانی هنگامی اتفاق می افتد که شخص ثالثی مکالمه بین دو طرف را شنود و کنترل کند، در حالی که طرف دوم از اوضاع آگاهی ندارد. دو روش برای مقابله با این حمله وجود دارد. اول از همه از استفاده از شبکه های Wi-Fi باز خودداری کنید. دوم، هر دو طرف باید رمزنگاری نهایی (end-to-end encryption) را به کار گیرند.
- برای اقدامات امنیتی بهتر HTTPS یا SSL کدام بهتر است؟
- پاسخ: HTTPS (پروتکل انتقال انتقال Hypertext) HTTP همراه با SSL است، فعالیت مرور کاربر را رمزگذاری می کند و آن را ایمن تر می کند. SSL (Secure Sockets Layer) پروتکلی است که از مکالمات اینترنتی بین دو یا چند طرف محافظت می کند.
- سه وسیله تأیید اعتبار کاربر را نام ببرید.
- پاسخ: روشهای بیومتریک (به عنوان مثال: اثر انگشت، اسکن چشم/صورت) و همچنین Token یا پسورد وجود دارد. علاوه بر آن احراز هویت دو مرحله ای two-level authentication نیز وجود دارد که از دو روش استفاده می کند.
- کدام نوع پروژه امن تر است: منبع باز یا اختصاصی؟
- پاسخ: این یک سوال کلاهبرداری است. فریب نخورید! امنیت پروژه با کیفیت اقدامات امنیتی استفاده شده برای محافظت از آن، تعداد کاربران/توسعه دهندگان با دسترسی و اندازه کلی پروژه تعیین می شود. نوع پروژه بی ربط است.
- شما یک مشکل را در شبکه سازمان خود کشف می کنید، اما خارج از حوزه نفوذ شماست. شکی نیست که می توانید آن را برطرف کنید؛ چیکار میکنید؟
- پاسخ: ممکن است بشود بلافاصله مشکل را حل کرد اما برای اینکار باید راه مناسب را طی کنید. از ایمیل استفاده کنید تا فرد مسئول آن بخش را در مورد مشکل امنیتی فوق آگاه کنید، نگرانی های خود را بیان کرده و از آنها بخواهید در راستای حل مشکل اقدام کنند. اطمینان حاصل کنید که رئیس شما وارد زنجیره ایمیل شده است، و مطمئن شوید که نسخه ای از آن ایمیل را برای خود ذخیره کرده اید تا بتوانید به آن مراجعه کنید.
- مؤثرترین اقدام برای مقابله با CSRF چیست؟
- پاسخ: یک حمله متقابل درخواست جعلی Cross-Site Request Forgery (CSRF) باعث می شود کاربر نهایی در حال حاضر تصدیق شده دستورات غیرمجاز را در یک برنامه وب اجرا کند. دو اقدام دفاعی مؤثر وجود دارد. اول از همه برای هر قسمت از یک فرم از نام های مختلف استفاده کنید، زیرا باعث افزایش ناشناس بودن کاربر می شود. دوم، با هر درخواست یک علامت تصادفی درج کنید.
- شما یک تماس تلفنی از یک مدیر اجرایی با نفوذ بالا در نمودار سازمانی دریافت می کنید. او از شما می خواهد سیاست شرکت را متناسب با آنها تنظیم کنید و به آنها اجازه دهید از دستگاه منزل خود برای انجام کار شرکت استفاده کنند. چه کار میکنید؟
- پاسخ: این مورد است که شما اجازه می دهید که مقام بالاتر در مورد آن تصمیم گیری کند. درخواست را به مدیر خود ارسال کنید و بگذارید او تصمیم گیری کند. این مورد خارج از اختیارات شماست. بگذارید رئیس شما یا مقام بالاتر در مورد آن تصمیم بگیرد.
- کدام یک از موارد تشخیص فایروال بدتر است و چرا؟ false positive or a false negative؟
- پاسخ: منفی کاذب false negative به مراتب بدتر است. یک نتیجه مثبت کاذب false positive صرفاً یک نتیجه مشروع است که به درستی پرچم گذاری شد. اگرچه جنجالی است به هیچ وجه تصحیح کشنده یا دشوار نیست. اما یک منفی دروغین بدین معنی است که چیز بدی در دیوار آتش کشف نشده است و این به معنی انبوهی از مشکلات موجود است.
این گرایش مربوط به شرکت هایی می باشد که در حوزه نصب دوربین مداربسته فعالیت می کنند.
