Тест по безопасности приложений

Q: Сколько вопросов в тесте по безопасности приложений?

20 вопросов с выбором ответа: 7 junior, 8 middle и 5 senior. Их берём из банка в 126 вопросов с разборами.

Q: Как считается уровень?

Каждый ответ весит по сложности: junior 1 балл, middle 2, senior 3. Senior дают только тем, кто закрыл и сложные вопросы, поэтому угадать уровень на лёгких не выйдет.

Q: Нужна ли регистрация?

Нет. Вердикт, разбивка по темам и ошибки с правильными ответами видны сразу. Регистрация нужна, только чтобы сохранить результат и получить план подготовки.

Q: Таймер строгий?

Нет. На тест отводится около 10 минут, таймер просто показывает время. Когда оно выйдет, можно спокойно закончить.

Q: Вопросы каждый раз одни и те же?

Набор вопросов теста постоянный, а порядок вопросов и вариантов меняется при каждом прохождении. Остальные вопросы ждут в билетах тренажёра.

Q: Можно поделиться результатом?

Да. Ссылка показывает только тему, уровень, процент и дату, без имени и почты.

Question 1

Разработчик опечатался и установил python-dateutils вместо python-dateutil. Как называется такой риск?

Accepted Answer

Typosquatting: пакет с именем, похожим на популярное

Answer

Dependency confusion через публичный индекс PyPI

Answer

Transitive dependency: вредонос пришёл через зависимость

Answer

Semantic versioning: пакет принят за мажорную версию

Question 2

Что должно происходить при нажатии «Выйти»?

Accepted Answer

Сессия инвалидируется на сервере, а cookie удаляется у клиента

Answer

Достаточно удалить cookie в браузере

Answer

Достаточно перезагрузить страницу

Answer

Сессия должна жить до истечения срока, чтобы не нагружать сервер

Question 3

Чем CWE отличается от CVE?

Accepted Answer

CWE это каталог типов слабостей, CVE это конкретная уязвимость в продукте

Answer

CWE описывает уязвимости веб-приложений, а CVE уязвимости мобильных и десктопа

Answer

CVE это оценка серьёзности от 0 до 10, а CWE ссылка на описание уязвимости

Answer

Это синонимы: CWE используют в США, а CVE в европейских базах уязвимостей

Question 4

Какой вид XSS обычно считается самым опасным и почему?

Accepted Answer

Хранимый: код сохраняется на сервере и срабатывает у каждого посетителя

Answer

Отражённый: он приходит в URL, и такую ссылку можно разослать тысячам людей

Answer

DOM-based: сервер его не видит, поэтому WAF и логи его не обнаружат

Answer

Все виды одинаковы по опасности, отличается способ доставки кода

Question 5

Когда моделирование угроз даёт больше всего пользы?

Accepted Answer

На проектировании функции или изменения архитектуры, с пересмотром при изменениях

Answer

Один раз после релиза, перед пентестом, чтобы дать пентестерам полную карту системы

Answer

После крупного инцидента, когда понятно, какие угрозы реальны для продукта

Answer

Раз в три года для всей компании сразу, силами внешнего аудитора

Question 6

API берёт роль пользователя из поля role JWT. Когда это допустимо?

Accepted Answer

Если сервер проверяет подпись, а роль ставит сервер авторизации; смена роли ждёт нового токена

Answer

В любом случае: JWT подписан, поэтому его содержимое нельзя ни прочитать, ни изменить

Answer

Ни в каком: стандарт RFC 7519 запрещает класть в токен данные об авторизации

Answer

Если токен передаётся в заголовке Authorization, а не в cookie, где его можно подменить

Question 7

Что означает принцип shift left в безопасной разработке?

Accepted Answer

Искать и предотвращать проблемы как можно раньше, где исправление дешевле

Answer

Переложить ответственность за безопасность полностью на разработчиков продукта

Answer

Отказаться от проверок в продакшене, раз всё проверено на этапе разработки

Answer

Сдвинуть релизы на более поздний срок, чтобы успеть провести все проверки

Question 8

Проверка URL корректна, но HTTP-клиент автоматически следует редиректам. Чем это опасно?

Accepted Answer

Сервер атакующего ответит 302 на внутренний адрес, и клиент пойдёт туда

Answer

Ничем: HTTP-клиенты следуют редиректам только в пределах того же домена

Answer

Лишними задержками и таймаутами при длинных цепочках редиректов

Answer

Клиент понизит соединение до HTTP, если редирект ведёт на адрес без TLS

Question 9

Что верно про объекты Secret в Kubernetes по умолчанию?

Accepted Answer

Данные в base64, но не зашифрованы: их видит любой с доступом к etcd

Answer

Они зашифрованы AES-256 ключом кластера, который генерируется при установке

Answer

Их невозможно прочитать через kubectl, только смонтировать в под

Answer

Они хранятся в памяти узлов и не попадают в etcd на диск

Question 10

Почему важно ограничить доступ подов к сервису метаданных облака (169.254.169.254)?

Accepted Answer

Иначе любой под на узле получит учётные данные роли узла с лишними правами

Answer

Запросы к метаданным замедляют сеть подов и создают лишнюю нагрузку на CNI

Answer

Через метаданные можно подменить образ контейнера, который запустит kubelet

Answer

Ограничивать не нужно: адрес метаданных доступен только из сети хоста

Question 11

Что такое provenance в терминах SLSA?

Accepted Answer

Подписанное описание, как и из каких исходников собран артефакт

Answer

Список лицензий всех зависимостей с указанием их источников

Answer

Отчёт сканера уязвимостей, подписанный ключом CI при сборке

Answer

Юридический документ о происхождении компании-поставщика ПО

Question 12

Чем опасен код render_template_string("Привет, " + name) во Flask, где name из запроса?

Accepted Answer

Это SSTI: выражения Jinja2 из ввода выполнятся на сервере, вплоть до кода

Answer

Только XSS в браузере: Jinja2 вставит ввод в HTML, но на сервере ничего не выполнится

Answer

Ничем: Jinja2 автоматически экранирует всё, что попадает в шаблон, включая сам текст

Answer

Только утечка имени в логи: Flask пишет в лог каждый отрендеренный шаблон целиком

Senior	от 80% баллов и от 60% senior-вопросов
Middle	от 60% баллов и от половины middle-вопросов
Junior	от 30% баллов или от 70% junior-вопросов
Пока стажёр	меньше, чем нужно для junior

Тест по безопасности приложений онлайн

20 вопросов по безопасности приложений

Примеры вопросов по безопасности приложений

Какие темы проверяет тест

Как считается уровень

Ещё тесты

Частые вопросы