Специалист по кибербезопасности (Профессиональный уровень)

1.  Что включает в себя понятие «информационная безопасность»?   
Информационная безопасность — это защита информации от несанкционированного доступа, модификации, уничтожения и обеспечения её доступности, целостности и конфиденциальности. Это достигается с помощью технических, организационных и юридических мер.

2.  Какие основные компоненты модели безопасности предприятия?   
Модель безопасности включает политики безопасности, контрольные меры (технические и административные), управление инцидентами, мониторинг активности, обучение персонала и оценку рисков.

3.  В чём разница между уязвимостью, угрозой и риском?   
Уязвимость — слабое место в системе. Угроза — потенциальное событие или действие, которое может воспользоваться уязвимостью. Риск — вероятность реализации угрозы через уязвимость с негативными последствиями.

4.  Что такое APT-атаки и как они реализуются?   
APT (Advanced Persistent Threat) — это длительная, хорошо спланированная атака, направленная на кражу данных или контроль над сетью. Реализуется через фишинг, эксплойты, установку backdoor и долгосрочное пребывание в системе без обнаружения.

5.  Какие стандарты информационной безопасности наиболее распространены?   
Среди ключевых: ISO/IEC 27001, NIST Cybersecurity Framework, PCI DSS, HIPAA, COBIT, CIS Controls, SOC 2. Каждый из них регулирует определённую область защиты информации.

6.  Как проводится анализ рисков в области ИБ?   
Анализ рисков включает идентификацию активов, угроз, уязвимостей, оценку вероятности инцидента и его воздействия, выбор методов снижения риска и документирование результатов.

7.  Что такое пентест и зачем он нужен?   
Пентест — это имитация реальной атаки на систему для выявления уязвимостей. Он позволяет проверить эффективность текущих мер безопасности и повысить уровень защиты перед реальной угрозой.

8.  Какие основные этапы пентеста?   
Разведка, сканирование, получение доступа, повышение привилегий, сохранение доступа, очистка следов, составление отчета.

9.  Что такое MITRE ATT&CK и как он используется в кибербезопасности?   
MITRE ATT&CK — это база знаний тактик и техник атак, используемая для классификации действий злоумышленников. Применяется при анализе инцидентов, создании правил обнаружения и тестировании защиты.

10.  Какие существуют виды шифрования и их особенности?   
Симметричное (AES, DES) и асимметричное (RSA, ECC). Первое быстрее, но требует общего ключа. Второе безопаснее, но медленнее, так как использует пару открытый/закрытый ключ.

11.  Что такое PKI и зачем она нужна?   
PKI (Public Key Infrastructure) — это система управления цифровыми сертификатами и ключами. Она обеспечивает подлинность, целостность и конфиденциальность данных в коммуникациях.

12.  Как работает SSL/TLS и какие протоколы входят в его состав?   
SSL/TLS обеспечивают безопасный обмен данными через интернет. Состоит из протоколов: Handshake, Change Cipher Spec, Alert и Record.

13.  Какие типы фаерволов существуют и где применяются?   
Пакетные фильтры, stateful inspection, прикладные фаерволы (WAF), next-gen (NGFW). Используются для фильтрации трафика, предотвращения атак и анализа содержимого.

14.  Что такое SIEM и как он помогает в защите?   
SIEM (Security Information and Event Management) — система сбора, корреляции и анализа логов безопасности. Позволяет обнаруживать аномалии, расследовать инциденты и обеспечивать соответствие нормам.

15.  Какие инструменты используются для анализа сетевого трафика?   
Wireshark, tcpdump, TShark, Zeek (ранее Bro). Они позволяют просматривать, фильтровать и анализировать данные для выявления подозрительной активности.

16.  Что такое IDS/IPS и в чём разница между ними?   
IDS — система обнаружения вторжений (обнаруживает атаки), IPS — система предотвращения вторжений (может блокировать активность). Обе работают на основе сигнатур и аномалий.

17.  Какие основные типы атак на веб-приложения по OWASP Top 10?   
Внедрение SQL, XSS, CSRF, нарушение контроля доступа, утечки данных, использование уязвимых библиотек, недостатки аутентификации, жёстко заданные учетные данные, недостатки шифрования, неправильная настройка безопасности.

18.  Как происходит анализ вредоносного ПО (malware analysis)?   
Включает статический (без запуска), динамический (в песочнице) и поведенческий анализ. Цель — понять функционал, источник, команды C2 и методы распространения.

19.  Что такое DFIR и как он связан с кибербезопасностью?   
DFIR (Digital Forensics and Incident Response) — это процесс расследования инцидентов и сбора доказательств. Необходим для понимания масштаба атаки, восстановления системы и возможного привлечения злоумышленников к ответственности.

20.  Какие существуют подходы к управлению доступом?   
DAC (Discretionary), MAC (Mandatory), RBAC (Role-Based), ABAC (Attribute-Based). Каждый из них имеет разные уровни гибкости и строгости контроля.

21.  Какие есть методы аутентификации и авторизации?   
Пароли, двухфакторная аутентификация (2FA), OAuth, SAML, Kerberos, LDAP, биометрия. Авторизация осуществляется через ACL, RBAC, ABAC.

22.  Что такое Zero Trust и как он реализуется?   
Zero Trust — модель безопасности, основанная на принципе «никогда не доверяй, всегда проверяй». Реализуется через строгую аутентификацию, микросегментацию, постоянный мониторинг и минимальные привилегии.

23.  Какие основные законы и регуляции в сфере ИБ в России?   
ФЗ-149 «Об информации», ФЗ-152 «О персональных данных», требования ЦБ РФ для финансовых организаций, ГОСТы по защите информации, указы Президента и постановления Правительства.

24.  Какие задачи решает этичный хакер?   
Выявление уязвимостей, тестирование на проникновение, анализ безопасности, рекомендации по устранению проблем, подготовка отчетов и демонстрация рисков.

25.  Какие навыки должен иметь специалист по кибербезопасности уровня Professional?   
Глубокое понимание сетей, опыт работы с инструментами анализа и защиты, навыки программирования, знание стандартов и законодательства, умение реагировать на инциденты, мышление атакующего, аналитические способности.

26.  Какие типы угроз наиболее опасны для корпоративных сетей и почему?   
Наиболее опасны APT-атаки, фишинг, ransomware и insider threats. Они сложны для обнаружения, могут долгое время оставаться незамеченными и причинить серьёзный ущерб за счёт целенаправленности и высокой сложности.

27.  Что такое хардening системы и какие меры в него входят?   
Харденинг — это процесс усиления безопасности систем. Включает отключение ненужных служб, настройку политик доступа, установку актуальных патчей, ограничение привилегий и логирование активности.

28.  Какие основные цели тестирования на проникновение?   
Выявить уязвимости, проверить эффективность защиты, смоделировать реальную атаку, предоставить рекомендации по устранению рисков и подтвердить соответствие стандартам безопасности.

29.  Как работает механизм DNSSEC и зачем он нужен?   
DNSSEC обеспечивает целостность и достоверность данных DNS через цифровые подписи. Он предотвращает перехват и модификацию записей DNS, такие как кэширующая отрава (cache poisoning).

30.  Что такое DLP-системы и где они применяются?   
DLP (Data Loss Prevention) — технологии предотвращения утечек данных. Применяются для контроля передачи информации внутри и вне организации, блокировки несанкционированного копирования и экспорта данных.

31.  Какие существуют методы брутфорса и как их предотвратить?   
Методы: простой перебор, словниковые атаки, hybrid-атаки. Предотвращение: ограничение попыток входа, двухфакторная аутентификация, использование сложных паролей, CAPTCHA.

32.  Что такое MITM-атака и как её можно обнаружить?   
MITM (Man-in-the-Middle) — прослушивание или модификация коммуникации между двумя сторонами. Обнаруживается через несоответствие сертификатов, изменение маршрутов трафика и анализ шифрования.

33.  Какие протоколы обеспечивают безопасность беспроводных сетей и в чём их различие?   
WEP (слабый), WPA (улучшенный), WPA2 (AES-CCMP), WPA3 (SAE). Чем выше версия, тем лучше защита от взлома и перехвата трафика.

34.  Какие основные этапы расследования инцидента ИБ?   
Идентификация, изоляция, анализ, ликвидация, восстановление, документирование и анализ урока.

35.  Что такое honeypot и зачем он используется в кибербезопасности?   
Honeypot — это ловушка для злоумышленников, имитирующая уязвимую систему. Используется для анализа тактик атак, сбора IoC и отвлечения внимания от реальных активов.

36.  Какие существуют подходы к шифрованию данных в хранилище и при передаче?   
В хранилище: шифрование дисков (BitLocker, FileVault), файлов (GPG, VeraCrypt). При передаче: TLS/SSL, IPsec, SFTP, HTTPS.

37.  Какие функции выполняет EDR-решение и чем оно отличается от традиционного антивируса?   
EDR (Endpoint Detection and Response) обеспечивает постоянное наблюдение за конечными точками, детектирование продвинутых угроз и автоматическое реагирование. В отличие от антивирусов, EDR работает на основе поведения и сигнатур APT.

38.  Какие аспекты необходимо учитывать при разработке плана реагирования на инциденты?   
Состав команды, этапы реагирования, каналы связи, взаимодействие с внешними организациями, логирование событий, документирование действий, постинцидентный анализ.

39.  Что такое SOC и какова его роль в кибербезопасности?   
SOC (Security Operations Center) — центр обработки событий безопасности. Отвечает за мониторинг, обнаружение, анализ и реагирование на инциденты в режиме 24/7.

40.  Какие виды утечек данных существуют и как их предотвратить?   
Физические (носители), электронные (почта, облачные сервисы), человеческий фактор. Предотвращаются политиками, обучением, DLP, контролем доступа и аудитом.

41.  Что такое MFA и почему он важен?   
MFA (Multi-Factor Authentication) — многофакторная аутентификация, требующая нескольких способов подтверждения личности. Увеличивает уровень безопасности даже при компрометации одного из факторов.

42.  Какие задачи решает Threat Intelligence в современных системах безопасности?   
Сбор, анализ и распространение информации об известных угрозах. Позволяет заранее готовиться к атакам, выявлять IoC, строить профили атакующих и повышать эффективность защиты.

43.  Какие особенности защиты IoT-устройств в корпоративной среде?   
Ограничения аппаратных ресурсов, слабая реализация безопасности, большое количество устройств, необходимость регулярного обновления прошивок и сегментация сети.

44.  Что такое Secure Coding и почему он важен в разработке ПО?   
Secure Coding — практики написания кода, исключающие распространённые уязвимости. Важен для предотвращения XSS, SQLi, buffer overflow и других угроз на этапе разработки.

45.  Какие основные принципы работы с PKI и управление сертификатами?   
Регистрация ключей, выпуск сертификатов, отзыв при компрометации, проверка доверия, хранение закрытых ключей, автоматизация жизненного цикла.

46.  Какие есть методы обхода систем обнаружения вторжений (IDS)?   
Фрагментация пакетов, шифрование трафика, использование легитимных протоколов, полиморфизм payload, evasion-техники.

47.  Как происходит фаза «разведка» в рамках пентеста?   
Сбор информации о цели: WHOIS, DNS-поиск, поиск в интернете, сканирование портов, определение ОС, выявление открытых сервисов и возможных путей атаки.

48.  Что такое CVE и CVSS и как они используются?   
CVE — уникальный идентификатор уязвимости. CVSS — шкала оценки критичности уязвимостей от 0 до 10. Используются для классификации и приоритизации устранения проблем.

49.  Какие основные причины человеческого фактора в инцидентах ИБ?   
Недостаточное обучение, социальная инженерия, ошибки в настройках, несоблюдение политик, использование слабых паролей, подключение к небезопасным сетям.

50.  Какие ключевые показатели эффективности (KPI) используются в сфере кибербезопасности?   
MTTD (время обнаружения инцидента), MTTR (время реагирования), количество инцидентов, процент успешных пентестов, уровень соответствия стандартам.

51.  Какие основные функции выполняет протокол IPsec и в каких режимах он работает?   
IPsec обеспечивает безопасную передачу данных на уровне IP. Работает в двух режимах: транспортном (защищает полезную нагрузку) и туннельном (шифрует весь пакет). Используется для построения VPN и защиты сетевого уровня.

52.  Что такое sandboxing и как он используется в анализе угроз?   
Sandboxing — это изолированная среда для запуска подозрительных файлов или кода. Применяется для анализа поведения malware без риска заражения основной системы, особенно в автоматизированных системах обнаружения угроз.

53.  Какие существуют методы атак на двухфакторную аутентификацию?   
Phishing сессий, MITM-атаки с проксированием 2FA, социальная инженерия для получения кодов, использование SMS-спуфинга, эксплойты в мобильных приложениях аутентификации.

54.  Как реализуется принцип минимальных привилегий и почему он важен?   
Пользователи и процессы получают только те права, которые необходимы для выполнения своих задач. Это снижает риск компрометации системы в случае взлома учетной записи или эксплойта.

55.  Что такое SOAR и как он связан с кибербезопасностью?   
SOAR (Security Orchestration, Automation and Response) — это платформа для автоматизации процессов реагирования на инциденты. Позволяет интегрировать инструменты безопасности, автоматизировать действия и ускорить реакцию на угрозы.

56.  Какие особенности защиты облачных сред и какие меры контроля используются?   
Шифрование данных, управление доступом (IAM), мониторинг активности, защита API, соблюдение соглашений shared responsibility model, регулярный аудит конфигураций и шифрование на стороне клиента.

57.  Какие основные типы DDoS-атак и как с ними бороться?   
UDP flood, SYN flood, HTTP flood, DNS amplification. Защита осуществляется через фильтрацию трафика, rate limiting, использование CDN, WAF, DDoS mitigation сервисов и распределённые сети.

58.  Что такое IoC и как они используются в расследованиях инцидентов?   
Indicators of Compromise (IoC) — следы активности злоумышленника: IP-адреса, хэши файлов, домены C2. Используются для выявления и блокировки угроз, а также для корреляции событий в SIEM.

59.  Как происходит процесс восстановления после инцидента ИБ?   
Включает восстановление из резервных копий, проверку целостности систем, обновление программного обеспечения, изменение учетных данных, мониторинг на наличие повторных атак и документирование всего процесса.

60.  Что такое threat hunting и чем он отличается от стандартного обнаружения угроз?   
Threat hunting — это активный поиск скрытых угроз в инфраструктуре на основе гипотез и анализа логов. В отличие от пассивного обнаружения, не ожидает сигнала тревоги, а инициируется специалистом.

61.  Какие основные цели и этапы цифровой судебной экспертизы (DF)?   
Цель — сбор и сохранение доказательств. Этапы: идентификация, сбор, анализ, представление. Особое внимание уделяется юридической допустимости доказательств и целостности образов.

62.  Какие инструменты используются для работы с цифровыми доказательствами?   
FTK Imager, EnCase, Autopsy, X-Ways Forensics, Volatility (для memory forensics),取证桥接器 для создания bit-to-bit копий носителей.

63.  Какие виды тестирования безопасности наиболее распространены и в чём их различие?   
Black box (нет информации), white box (полная информация), grey box (частичная информация). Отличаются уровнем доступа к данным о системе и глубиной анализа.

64.  Что такое DevSecOps и как он влияет на уровень безопасности разработки?   
DevSecOps — внедрение практик безопасности на всех этапах DevOps-процесса. Обеспечивает раннее выявление уязвимостей, автоматизацию проверок, безопасное развёртывание и постоянный мониторинг.

65.  Какие основные ошибки возникают при настройке фаерволов и как их избежать?   
Слишком широкие правила, отсутствие регулярного аудита, неправильная маршрутизация, перекрытие правил. Избегают через минимальные ACL, регулярный ревью политик, использование best practices и автоматизированного тестирования.

66.  Какие особенности безопасности в контейнерных технологиях (Docker, Kubernetes)?   
Изоляция контейнеров, безопасность оркестраторов, управление образами, ограничение привилегий, сканирование уязвимостей, защита реестров, политики NetworkPolicy и RBAC.

67.  Какие ключевые элементы составляют стратегию Zero Trust Architecture?   
Постоянная аутентификация, микросегментация, минимальные привилегии, шифрование, мониторинг поведения пользователей и устройств, защита данных вне зависимости от местоположения.

68.  Какие основные проблемы возникают при внедрении систем IAM и как их решать?   
Сложность управления множеством систем, плохая интеграция, дублирование учетных записей, слабые пароли. Решаются через унификацию ID, SSO, MFA, автоматизацию жизненного цикла аккаунтов и обучение пользователей.

69.  Какие техники используются для обнаружения скрытых backdoor в коде?   
Статический анализ, динамическое тестирование, проверка контрольных сумм, сравнение с эталонными версиями, анализ вызовов системных функций, использование YARA-правил и сигнатур.

70.  Какие основные причины успешных APT-атак и как противостоять им?   
Фишинг, непатченные уязвимости, слабый мониторинг, недостаточная сегментация. Противодействие: обучение персонала, EDR, TIP, поведенческий анализ, регулярные пентесты и сегментация сети.

71.  Какие факторы учитываются при выборе решения для защиты электронной почты?   
Антифишинг, анти-спам, защита от вложений, шифрование сообщений, интеграция с другими системами безопасности, поддержка DKIM/SPF/DMARC, возможность расследования инцидентов.

72.  Какие подходы к защите данных в условиях BYOD?   
Разделение рабочих и личных профилей, шифрование, MDM-системы, контроль доступа, удалённое обнуление, политики использования, обучение сотрудников и мониторинг активности.

73.  Какие особенности безопасности в SCADA-системах и ICS?   
Ограничения аппаратных ресурсов, старые ОС, длительные циклы обновления, высокая доступность, необходимость изоляции от внешней сети, применение air-gapped сетей и протоколов промышленной автоматизации.

74.  Какие метрики используются для оценки зрелости программы кибербезопасности?   
Уровень соответствия стандартам, количество закрытых уязвимостей, время реагирования, уровень осведомлённости сотрудников, частота атак и их успешность, затраты на защиту и ROI.

75.  Какие основные ошибки совершают организации при реагировании на инциденты ИБ?   
Отсутствие готового плана, задержки в реагировании, неправильная изоляция систем, потеря доказательств, игнорирование post-incident анализа, недостаточная координация между отделами.