14 nejčastějších otázek a odpovědí v rozhovoru s OWASP (2025)
Zde jsou otázky a odpovědi na pohovor OWASP pro začátečníky i zkušené kandidáty, aby získali svou vysněnou práci.
1) Co je OWASP?
OWASP je zkratka pro Open Web Application Security Project. Je to organizace, která podporuje bezpečný vývoj softwaru.
2) Uveďte, jaká chyba vyplývá z toho, že žetony relace mají špatnou náhodnost v rozsahu hodnot?
Únos relace vzniká z tokenů relace, které mají špatnou náhodnost v rozsahu hodnot.
Zdarma ke stažení PDF: Otázky a odpovědi k rozhovoru s OWASP
3) Uveďte, co se stane, když aplikace vezme data vložená uživatelem a odešle je do webového prohlížeče bez řádného ověření a úniku?
Ke skriptování napříč weby dochází, když aplikace vezme data vložená uživatelem a odešle je do webového prohlížeče bez řádného ověření a escapování.
4) Uveďte, jaké hrozbě se lze vyhnout tím, že se vytvoří jedinečná uživatelská jména s vysokým stupněm entropie?
Autorizačnímu vynechání se lze vyhnout tím, že si necháte vygenerovat jedinečná uživatelská jména s vysokým stupněm entropie.
5) Vysvětlete, co je OWASP WebGoat a WebScarab?
- WebGoat: Je to vzdělávací nástroj pro výuku související s bezpečností aplikací, základ pro testování bezpečnostních nástrojů proti známým problémům. To je J2EE webová aplikace organizovaná v „Security Lessons“ na základě kocoura a JDK 1.5.
- WebScarab: Je to rámec pro analýzu provozu HTTP/HTTPS. Provádí různé funkce, jako je analýza fragmentů, sledování provozu mezi serverem a prohlížečem, ruční zachycení, analýza ID relace, identifikace nových adres URL na každé zobrazené stránce.
6) Vyjmenujte 10 nejlepších zranitelností OWASP
Mezi 10 nejlepších bezpečnostních chyb OWASP patří
- Injekční
- Skriptování napříč weby
- Nefunkční ověřování a správa relací
- Nezabezpečené kryptografické úložiště
- Neschopnost omezit
- Nezabezpečená komunikace
- Spuštění škodlivého souboru
- Nezabezpečený přímý odkaz na objekt
- Selhání omezení přístupu k adrese URL
- Únik informací a nesprávné zpracování chyb
7) Vysvětlete, jaká hrozba vzniká tím, že neoznačíte soubory cookie HTTP s tokeny jako bezpečné?
Hrozba porušení řízení přístupu vzniká tím, že nejsou označeny soubory cookie HTTP s tokeny jako bezpečné.
8) Pojmenujte techniku útoku, která implementuje pověření relace uživatele nebo ID relace, na explicitní hodnotu?
Slovníkový útok může vynutit pověření relace uživatele nebo ID relace na explicitní hodnotu
9) Vysvětlete, co zahrnuje projekt OWASP Application Security Verification Standard (ASVS)?
Standardní projekt ověřování zabezpečení aplikací OWASP zahrnuje
- Použít jako metriku: Poskytuje vlastníkům aplikací a vývojářům aplikací měřítko, se kterým mohou analyzovat míru důvěry, kterou lze vložit do jejich webových aplikací.
- Použijte jako vodítko: Poskytuje vývojářům bezpečnostní kontroly informace o tom, co zabudovat do bezpečnostních kontrol, aby byly splněny požadavky na zabezpečení aplikací
- Použití při nákupu: Poskytuje základ pro specifikaci požadavků na ověření zabezpečení aplikací ve smlouvách
10) Vyjmenujte kontroly, které se mají během hodnocení otestovat?
- Sběr informací
- Testování správy konfigurace a nasazení
- Identifikujte testování managementu
- Testování pravosti
- Autorizační testování
- Testování řízení relace
- Testování ověření dat
- Vypořádání se s chybou
- Kryptografie
- Testování obchodní logiky
- Testování na straně klienta
11) Vysvětlete, co je pasivní režim nebo fáze I testování bezpečnosti v OWASP?
Pasivní režim neboli fáze I testování zabezpečení zahrnuje pochopení logiky aplikace a shromažďování informací pomocí vhodných nástrojů. Na konci této fáze by měl tester rozumět všem branám nebo přístupovým bodům aplikace.
12) Uveďte, jaké hrozbě jste vystaveni, pokud neověříte oprávnění uživatele pro přímé odkazy na omezené zdroje?
Pokud neověříte oprávnění uživatele k přímým odkazům na omezené nebo omezené zdroje, budete vystaveni hrozbě za nezabezpečené přímé odkazy na objekty.
13) Vysvětlete, co je OWASP ESAPI?
OWASP ESAPI (Enterprise Security API) je open source knihovna pro kontrolu zabezpečení webových aplikací, která umožňuje vývojářům vytvářet nebo psát aplikace s nižším rizikem.
14) Uveďte, jaký je základní design OWASP ESAPI?
Základní provedení OWASP ESAPI zahrnuje
- Sada rozhraní pro kontrolu zabezpečení
- Pro každou kontrolu zabezpečení existuje referenční implementace
- Pro každou kontrolu zabezpečení existuje možnost implementace pro vaši vlastní organizaci
Tyto otázky na pohovoru také pomohou ve vašem životě (ústních)
Máš rád:
