שאלות נפוצות, תשובות מומלצות וטיפים מקצועיים
אני עובד לפי defense-in-depth: מיפוי נכסים ואיומים עם threat modeling, הגנה ברשת עם segmentation ו-firewalls, הגנה על endpoints עם EDR, ניהול זהויות עם IAM ו-MFA, monitoring עם SIEM, ותוכנית response לאירועים. הכל מבוסס על framework כמו NIST CSF.
שמים firewall ואנטי-וירוס וזה בסדר.
זיהינו ב-SIEM פעילות חריגה — משתמש ניגש לקבצים רגישים בשעות לא שגרתיות. הפעלתי את צוות ה-IR, בדדנו את המשתמש, חקרנו ומצאנו שהחשבון נפרץ דרך phishing. עשינו reset של כל ה-credentials, סרקנו את הרשת לנזקים נוספים, ועדכנו את המדיניות.
לא היו לנו אירועים כי האבטחה שלנו מעולה.
אני משתמש ב-STRIDE לזיהוי סוגי איומים, ממפה את ה-attack surface עם data flow diagrams, ומתעדף לפי likelihood ו-impact. עובד בשיתוף עם צוותי פיתוח כחלק מה-SDLC. בפרויקט האחרון מיפיתי 47 איומים פוטנציאליים ותעדפנו 12 לטיפול מיידי.
אני סוקר את הקוד ומחפש בעיות.
ביצעתי pentest פנימיים וחיצוניים באמצעות Burp Suite, Nmap, Metasploit, ו-custom scripts. בבדיקה אחרונה מצאתי SSRF vulnerability שאפשרה גישה ל-metadata service של AWS, דיווחתי ותיקנו תוך 24 שעות. אני גם מכיר OWASP Top 10 לעומק.
אני מריץ סקריפטים אוטומטיים ורואה מה יוצא.
קורא בלוגים של חוקרי אבטחה, עוקב אחרי CVEs חדשים, משתתף ב-CTF competitions, ומנוי לקהילות כמו r/netsec ו-SANS. גם מנהל lab ביתי שבו אני מתרגל כלים חדשים. בנוסף, יש לי הסמכת OSCP ואני לומד ל-CISSP.
כשיש פריצה גדולה בחדשות אני קורא על זה.
שיטת STAR: Situation, Task, Action, Result — הדרך הטובה ביותר לענות על שאלות התנהגותיות.
ב-security audit גילינו שמערכת פנימית קריטית חשופה לאינטרנט עם credentials ברירת מחדל, ויש סימנים לניסיונות פריצה
הייתי צריך לסגור את הפרצה מיידית ולבצע חקירה מלאה תוך כדי שמירה על רציפות עסקית
בודדתי את המערכת מגישה חיצונית, שיניתי credentials, ביצעתי forensic analysis ללוגים, סרקתי את הרשת לממצאים נוספים, והטמעתי WAF ו-IDS
לא נמצא נזק פעיל, הפרצה נסגרה תוך שעתיים, והטמענו תהליך security review חודשי שמנע 6 פרצות דומות ברבעון הבא
הכר את ה-frameworks: NIST CSF, ISO 27001, OWASP
הכן דוגמאות מעשיות — findings, incidents, improvements
היה מוכן לשאלות טכניות מעמיקות — networking, crypto, web security
הכר את הכלים: SIEM, EDR, vulnerability scanners, pentest tools
עקוב אחרי CVEs עדכניים ואיומים חדשים — תשאלו על זה
הכן שאלות על ה-security posture והאתגרים של החברה
גישה של ׳בלתי חדיר׳ — חוסר ענווה לגבי אבטחה
חוסר ידע בנושאי compliance ורגולציה
רק תיאוריה בלי ניסיון מעשי עם כלים
לא להכיר את ה-OWASP Top 10 ואיומים נפוצים
להתעלם מההיבט האנושי של אבטחה — social engineering, training
לבוש עסקי-קז׳ואל. חולצה מכופתרת ומכנסי בד. בחברות ממשלתיות או ביטחוניות — לבוש קצת יותר רשמי. בסטארטאפים — קז׳ואל.
OSCP (פנטסט), CISSP (ניהול אבטחה), CEH (ethical hacking), ו-CompTIA Security+ (בסיסי). בישראל, שירות צבאי ביחידות טכנולוגיות (8200, מצ"ב) הוא יתרון משמעותי.
SOC Analyst מנטר אירועים, Penetration Tester מחפש פרצות, Security Engineer בונה הגנות, ו-CISO מנהל את האסטרטגיה. התחום רחב — בחר התמחות שמתאימה לך והתפתח ממנה.