Выполняли ли тестирование безопасности

Что проверяют

Был ли у вас реальный опыт и понимаете ли вы, где заканчивается работа QA и начинается пентест. Следом спрашивают, какие именно уязвимости вы находили и как проверяли права доступа.

Как отвечать

Отвечайте через свой пример: что за продукт, какие данные в нём защищались, что проверяли лично вы, чем и что нашли. Находки и цифры должны быть вашими, выдуманный кейс рассыпается на втором уточнении.

Каркас, на который удобно опереться:

• ориентир: OWASP Top 10 как список классов уязвимостей и OWASP WSTG как руководство, по которому строят проверки;
• доступы: самое частое и полезное для QA. Подмените идентификатор чужого заказа в запросе (IDOR), вызовите админский эндпоинт с токеном обычного пользователя, проверьте, что после выхода токен перестаёт работать;
• ввод: XSS в полях, которые потом где-то отображаются, SQL-инъекции в фильтрах и поиске, загрузка файлов с подменённым расширением;
• сессии и заголовки: флаги HttpOnly, Secure, SameSite у кук, наличие Content-Security-Policy и Strict-Transport-Security, отсутствие стек-трейсов и лишних данных в ответах;
• инструменты: Burp Suite или OWASP ZAP как прокси для перехвата и правки запросов, ZAP baseline scan в CI, сканеры зависимостей и образов вроде Trivy.

Хорошо добавить, как вы оформляли находки: шаги воспроизведения, оценка критичности, иногда по CVSS, и передача закрытым каналом, а не в общий чат.

Если опыта не было, так и скажите, но покажите, что тема для вас не пустая: вы проходили лаборатории PortSwigger Web Security Academy или OWASP Juice Shop и знаете, с чего начали бы на их проекте.

Где спотыкаются

Называют пентестом запуск автоматического сканера. Интервьюер спросит, какие находки оказались ложными, и ответить будет нечего.

Проверяют только инъекции и забывают про авторизацию, хотя нарушение контроля доступа стоит первым в OWASP Top 10.

Рассказывают, как проверяли чужой сайт или прод без разрешения. Для интервьюера это не инициатива, а красный флаг: такие проверки делаются только на своём стенде и с согласия владельца.