Top 14 des questions et réponses d'entretien OWASP (2025)
Voici les questions et réponses d'entretien OWASP pour les candidats débutants et expérimentés pour obtenir l'emploi de leurs rêves.
1) Qu’est-ce que l’OWASP ?
OWASP (Open Web Application Security Project) est une organisation qui soutient le développement de logiciels sécurisés.
2) Mentionnez quel défaut résulte du faible caractère aléatoire des jetons de session sur une plage de valeurs ?
Le détournement de session provient de jetons de session ayant un faible caractère aléatoire sur une plage de valeurs.
Téléchargement gratuit du PDF : questions et réponses d'entretien avec l'OWASP
3) Mentionnez ce qui se passe lorsqu'une application prend les données insérées par l'utilisateur et les envoie à un navigateur Web sans validation ni échappement appropriés ?
Les scripts intersites se produisent lorsqu'une application prend les données insérées par l'utilisateur et les envoie à un navigateur Web sans validation ni échappement appropriés.
4) Mentionnez quelle menace peut être évitée en produisant des noms d'utilisateur uniques avec un degré élevé d'entropie ?
Le contournement d'autorisation peut être évité en créant des noms d'utilisateur uniques générés avec un degré élevé d'entropie.
5) Expliquez ce que sont OWASP WebGoat et WebScarab ?
- WebGoat : C'est un outil pédagogique pour l'apprentissage lié à la sécurité des applications, une base pour tester les outils de sécurité par rapport aux problèmes connus. C'est un J2EE application web organisée en "Security Lessons" basée sur tomcat et JDK 1.5.
- WebScarabée : C'est un framework pour analyser le trafic HTTP/HTTPS. Il effectue diverses fonctions telles que l'analyse de fragments, l'observation du trafic entre le serveur et le navigateur, l'interception manuelle, l'analyse des identifiants de session, l'identification de nouvelles URL dans chaque page consultée.
6) Répertorier les 10 principales vulnérabilités OWASP
Les 10 principales failles de sécurité de l'OWASP incluent
- Injection
- Cross site scripting
- Authentification brisée et gestion de session
- Stockage cryptographique non sécurisé
- Défaut de restreindre
- Communications non sécurisées
- Exécution de fichiers malveillants
- Référence d'objet directe non sécurisée
- Échec de la restriction de l'accès à l'URL
- Fuite d’informations et gestion inappropriée des erreurs
7) Expliquez quelle menace découle du fait de ne pas signaler les cookies HTTP avec des jetons comme sécurisés ?
La menace de violation du contrôle d'accès découle du fait de ne pas signaler les cookies HTTP avec des jetons comme étant sécurisés.
8) Nommez la technique d'attaque qui implémente les informations d'identification de session ou l'ID de session d'un utilisateur avec une valeur explicite ?
Une attaque par dictionnaire peut forcer les informations d'identification ou l'ID de session d'un utilisateur à une valeur explicite
9) Expliquez ce que comprend le projet OWASP Application Security Verification Standard (ASVS) ?
Le projet de norme de vérification de la sécurité des applications OWASP comprend
- Utiliser comme métrique : Il fournit aux propriétaires d'applications et aux développeurs d'applications un critère permettant d'analyser le degré de confiance qui peut être placé dans leurs applications Web.
- Utiliser à titre indicatif : Il fournit des informations aux développeurs de contrôles de sécurité sur les éléments à intégrer dans les contrôles de sécurité afin de répondre aux exigences de sécurité des applications.
- Utilisation lors de l'approvisionnement : Il fournit une base pour spécifier les exigences de vérification de la sécurité des applications dans les contrats.
10) Lister les contrôles à tester lors de l'évaluation ?
- La collecte d'informations
- Tests de gestion de la configuration et du déploiement
- Identifier les tests de gestion
- Authentifier les tests
- Test d'autorisation
- Test de gestion de session
- Test de validation des données
- Gestion des erreurs
- Cryptographie
- Tests de logique métier
- Tests côté client
11) Expliquez ce qu'est le mode passif ou la phase I de test de sécurité dans OWASP ?
Le mode passif, ou phase I, des tests de sécurité consiste à comprendre la logique de l'application et à recueillir des informations à l'aide d'outils appropriés. À l'issue de cette phase, le testeur doit comprendre toutes les portes ou points d'accès de l'application.
12) Mentionnez à quelle menace vous êtes exposé si vous ne vérifiez pas l'autorisation de l'utilisateur pour les références directes à des ressources restreintes ?
Vous êtes exposé à une menace liée aux références d'objet directes non sécurisées, si vous ne vérifiez pas l'autorisation de l'utilisateur pour les références directes à des ressources limitées ou restreintes.
13) Expliquez qu'est-ce que l'OWASP ESAPI ?
OWASP ESAPI (Enterprise Security API) est une bibliothèque de contrôle de sécurité d'applications Web open source qui permet aux développeurs de créer ou d'écrire des applications à moindre risque.
14) Mentionnez quelle est la conception de base de l’OWASP ESAPI ?
La conception de base d'OWASP ESAPI comprend
- Un ensemble d'interfaces de contrôle de sécurité
- Pour chaque contrôle de sécurité, il existe une implémentation de référence
- Pour chaque contrôle de sécurité, il existe une option de mise en œuvre pour votre propre organisation
Ces questions d'entretien vous aideront également dans votre soutenance
Tu pourrais aimer:
