كل الدول

أكثر 10 أسئلة تتكرر في مقابلات SOC للمبتدئين

الأسئلة العشرة هنا مجانية، ومع سؤالين منها جواب كامل. ومع حزمة الوظيفة تحصل على 10 أسئلة خاصة بالوظيفة التي تختارها، ومع كل سؤال ما يجب أن يتضمنه الجواب الجيد.

  1. 1

    What is the CIA triad? Can you give me an example for each part?

    ما يذكره الجواب الجيد

    • Confidentiality, integrity and availability, one line each
    • A real incident that hits each part
    • How you would check integrity, for example with a hash
    جواب كامل

    يريد المحاور أن يرى أنك تربط المفهوم بحوادث حقيقية، لا أنك تحفظ ثلاث كلمات. الـ Confidentiality ألا يصل إلى البيانات إلا من يملك الإذن، والـ Integrity ألا تتغير البيانات دون إذن، والـ Availability أن تبقى الأنظمة والبيانات متاحة حين يحتاجها من يحق له استخدامها. ثم اربطها بحوادث: تسريب بيانات العملاء يضرب الـ Confidentiality، والـ ransomware يضرب الـ Availability لأنه يشفّر الملفات ويوقف العمل. وإن كنت حسبت في مختبر الـ SHA-256 لملف قبل تعديله وبعده، فاذكر أن الـ hash تغيّر، وأن هذه طريقة عملية لفحص الـ Integrity.

  2. 2

    What is the difference between TCP and UDP? Walk me through the TCP three-way handshake.

    ما يذكره الجواب الجيد

    • Connection first against no connection
    • SYN, SYN-ACK and ACK in order
    • A port or protocol that uses each
    • What a handshake that never finishes looks like in logs
    جواب كامل

    يبدأ بعض المحاورين بهذا السؤال ثم يرفعون الصعوبة خطوة خطوة، ليعرفوا أين يقف فهمك للشبكات. يفتح TCP اتصالًا قبل أن يرسل، ويتأكد أن البيانات وصلت كاملة وبالترتيب، وعليه يعمل SSH على الـ port 22. أما UDP فيرسل دون اتصال ودون تأكيد، لذلك هو أخف وأسرع، وعليه تعمل أغلب استعلامات DNS على الـ port 53. والـ handshake ثلاث حزم (packets): يرسل جهازك SYN، فيرد الـ server بـ SYN-ACK، ثم يرسل جهازك ACK. وفي الـ SOC، حزم SYN كثيرة لا يكتمل بعدها الـ handshake قد تعني SYN scan إذا توزعت على ports كثيرة، أو SYN flood إذا أغرقت خدمة واحدة، وإن فتحت ملف pcap في Wireshark فاعزلها بالفلتر tcp.flags.syn == 1 && tcp.flags.ack == 0.

  3. 3

    What is a SIEM? Have you used one?

    ما يذكره الجواب الجيد

    • What a SIEM collects and what it does with it
    • Rules raise alerts, and the analyst still decides
    • A SIEM you used, or a home lab where you sent logs to one

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  4. 4

    A user reports a phishing email, and they already clicked the link. What do you do?

    ما يذكره الجواب الجيد

    • Check the headers and the link without opening it on your own machine
    • Find everyone who received the same message
    • What the user did after the click, and the containment step
    • When to escalate and to whom

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  5. 5

    How do you tell if an alert is a false positive?

    ما يذكره الجواب الجيد

    • What the rule was built to catch
    • The context: user, device, history and reputation
    • What you write in the ticket when you close it
    • Tuning the rule if it keeps firing

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  6. 6

    What is the difference between an IDS and an IPS? When would you pick one over the other?

    ما يذكره الجواب الجيد

    • Alerts on a copy of the traffic against blocking in line
    • The cost of a wrong blocking rule
    • Starting in detect-only mode and blocking once the rules are tuned

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  7. 7

    You get an alert for a suspicious login, or a burst of failed logins on one account. How do you investigate it?

    ما يذكره الجواب الجيد

    • A successful login after the failed ones
    • The source IP: internal or external, usual or new
    • Brute force against password spraying
    • When you escalate and what you ask the user to do

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  8. 8

    How do you keep up with security news and new threats?

    ما يذكره الجواب الجيد

    • Two or three sources you really read
    • One recent incident you can explain from start to end
    • How a SOC would have detected it

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  9. 9

    What is the difference between a vulnerability, a threat and a risk?

    ما يذكره الجواب الجيد

    • Each word in one line
    • One example that uses all three
    • How likelihood and impact make the risk

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

  10. 10

    What is the difference between encryption and hashing? Where does encoding fit in?

    ما يذكره الجواب الجيد

    • Encryption is reversible with a key, hashing is one way
    • Encoding is only a format change and protects nothing
    • One everyday use of each, such as passwords stored as hashes

    الأسئلة الخاصة بوظيفتك، مع ما يجب أن يتضمنه كل جواب، تجدها في حزمة الوظيفة.

تريد الوظائف الجديدة في بريدك كل أسبوع؟

لم نبدأ الإرسال بعد. اترك بريدك، وحين نبدأ نرسل لك الوظائف الجديدة مرة في الأسبوع.

اقرأ أيضًا

تصفّح الوظائف والتقديم عليها مجاني، وسيبقى مجانيًا.