MiraВопрос на собеседовании · Инженер по информационной безопасности
Как применять OWASP Top 10 на практике?
Короткий ответ, ключевые тезисы и ошибки, которых стоит избежать на интервью.
OWASP Top 10 — удобная карта типовых классов рисков, но не чек-лист, который можно закрыть раз в год. На практике категорию связывают с конкретным endpoint, данными и доверенной границей: например, для broken access control проверяют доступ к объекту при смене пользователя и tenant, а не только наличие роли в UI.
Предотвращение сочетает безопасный дизайн, библиотечные механизмы, code review, автоматические проверки и наблюдение. Для injection используют параметризованные запросы и валидацию, для misconfiguration — безопасные defaults и конфигурационный контроль; обнаруженная находка должна вести к исправлению класса проблемы, а не только одного URL.
01 · Структура ответа
Что важно сказать интервьюеру
Раскройте тезисы, которые относятся именно к этому вопросу, и поясните их на собственном примере:
02 · Пример
Как объяснить на практике
Тесты API создают двух пользователей одного и разных tenant и пытаются читать, менять и удалять чужие объекты по прямому ID. Проверка включена в integration suite, а middleware требует policy для каждого защищённого маршрута.
Не заучивайте формулировку дословно. Свяжите принцип с задачей из собственного проекта — интервьюер почти наверняка попросит уточнить детали реализации и компромиссы.
03 · Ошибки
Чего избегать в ответе
04 · Углубление
Что могут спросить следом
- Что такое IDOR?
- Как снизить риск injection?
- Как оформлять исключение из политики?
05 · Проверка фактов
Первоисточники по теме
Ссылки ниже помогают проверить понятия, методы и ограничения по теме. Они не являются доказательством того, что этот вопрос задают на каждом собеседовании.
- OWASP Top 10 — Официальный перечень категорий рисков веб-приложений.
Практика ответа
Ответьте вслух, а не про себя
Откроем тренировку сразу на этом вопросе. Выберите грейд, сформулируйте ответ и сравните его с подсказкой.