Кейс: волна credential stuffing
Вопрос
Вы видите в логах сотни тысяч попыток входа с разных IP, часть успешных. Что вы сделаете сейчас и в долгую?
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Сейчас: лимиты и CAPTCHA на вход, блок явных источников, мониторинг
Найти скомпрометированные аккаунты: успешные входы с аномалий, сбросить сессии и пароли
Уведомить пользователей и при необходимости подготовить сообщение регулятору
Проверка паролей по базам утечек при входе и смене
MFA, лучше passkeys, хотя бы для чувствительных действий
Обнаружение аномалий: новое устройство, геолокация, скорость
Что могут спросить следом
- Почему блокировка по IP плохо помогает?
- Как не помешать обычным пользователям?
Разбор
Образцовый ответ: «Сейчас включаю лимиты на эндпоинт входа по аккаунту и по отпечатку устройства, CAPTCHA при подозрительных признаках, блокирую самые активные подсети. IP-блокировка помогает слабо: атакующие используют резидентные прокси. Ищу успешные входы, совпадающие с атакой по времени, устройствам и поведению, завершаю их сессии и требую смены пароля. Уведомляю пользователей, если доступ был к персональным данным, оцениваю необходимость уведомления регулятора. В долгую: проверка паролей по базам утечек, MFA с упором на passkeys, повторное подтверждение для критичных действий и система оценки риска входа».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.