Информационная безопасность
Security на собеседовании (FAANG)
Google Security Engineering L6. $400K+/год. System design вопрос: 'Спроектируй secure payment system for Google Pay'. Кандидат без security framework: рассказывает про sharding и микросервисы. Кандидат с framework: начинает с threat model (кто атакующий?), STRIDE, PCI DSS requirements, defense layers. Второй кандидат получает offer. Security thinking = competitive advantage на любом technical interview.
- LinkedIn 2012: 6.5M паролей утекло. SHA-1 без соли. GPU взломал за часы. Argon2/bcrypt с правильными параметрами = годы взлома
- LastPass 2022: master password хеши с pbkdf2 + 100K iterations. Взлом займёт десятилетия. Правильный выбор параметров - интервью вопрос
- Apple vs FBI 2016: E2E шифрование iMessage. Backdoor = backdoor для всех. Пример security tradeoff на уровне продукта
Design Secure System: как отвечать на system design с security
Google L5/L6 system design interview. Вопрос: 'Спроектируй payment processing систему для 1M транзакций/день'. Без security фреймворка: рассказываешь про базы данных и API. С security фреймворком: STRIDE threat model + defense layers + compliance requirements = impresses интервьюера. Security - не отдельный раздел системного дизайна, это dimension который пронизывает всё решение.
PCI DSS (Payment Card Industry Data Security Standard) обязателен для обработки карточных данных. 12 requirements: не хранить CVV после авторизации, шифровать PAN (Primary Account Number), ежегодный аудит. Вместо полного PCI DSS compliance - использовать Stripe/Braintree для tokenization: они берут PCI compliance на себя, прикладная система работает только с токенами, не реальными card numbers.
System Design: 'Спроектируй auth систему для 100M пользователей'. Интервьюер спрашивает как хранить пароли. Правильный ответ?
Crypto Questions: что спрашивают на интервью
Crypto вопросы на FAANG интервью часто кажутся академическими но имеют практическую основу. 2012 год. LinkedIn. 6.5 млн паролей утекло. Хешированы SHA-1 без соли. GPU взломал большинство за часы. 2022 год. LastPass утечка. Master password хеши были с pbkdf2 + 100 000 iterations - взлом занял бы годы. Разница в правильном выборе алгоритма и параметров - именно то что спрашивают на интервью.
Certificate Pinning вопрос: 'Как защитить мобильное приложение от MitM атаки даже при compromised CA?' Ответ: SSL pinning - приложение проверяет конкретный certificate fingerprint или public key, не доверяет всем CA из системного store. Риск: если сертификат expires/rotates и нет механизма update - приложение перестаёт работать. Google рекомендует: pin public key, не certificate hash, с backup pin.
Интервью: 'Почему нельзя использовать ECB mode для AES?'. Правильный ответ?
Incident Scenarios: решение задач на интервью
FAANG security engineering интервью включают incident scenarios: 'Тебе звонят в 3 ночи. Мониторинг показывает аномальный трафик из production API к внешнему IP. 50GB за час. Твои действия?'. Интервьюер оценивает: структурированность мышления, приоритизацию, коммуникацию. Паника и хаотичные действия = fail. Structured IR framework = pass. Эти вопросы проверяют не знание инструментов, а процесс.
Интервьюеры часто проверяют: 'Будешь ли ты проверять логи или сразу выключишь сервер?'. Правильно: проверить логи, создать timeline, понять что происходит, ПОТОМ действовать. Выключение сервера без понимания = потеря volatile данных + возможное ухудшение ситуации. Forensics first, action second.
Интервью: 'SIEM алерт: S3 bucket стал публичным, в нём customer PII'. Первые 3 шага?
Security Tradeoffs: как обосновывать решения
Security engineering - это постоянные tradeoffs. Apple End-to-End Encryption iMessage: даже Apple не может прочитать сообщения. FBI требует backdoor. Apple отказывает: backdoor для FBI = backdoor для всех. Это не технический вопрос, это risk tradeoff: privacy vs lawful access. FAANG интервью проверяют способность обосновать tradeoff, не знание 'правильного ответа' - его нет.
FAANG security интервью оценивает: 1) Знание framework (STRIDE, CSF) 2) Практический опыт (конкретные инструменты, incidents) 3) Tradeoff мышление (нет абсолютно правильных ответов) 4) Communication (объяснить non-technical CISO) 5) Depth vs breadth (глубина в 1-2 областях + broad знание). Security Engineering роль ($200-400K FAANG) требует комбинации: software engineering + security knowledge + system thinking.
На security интервью нужно знать все CVE и инструменты
FAANG security интервью оценивает: structured thinking (frameworks), tradeoff analysis, communication skills, depth в 1-2 областях. Знание конкретных CVE - второстепенно
Google security engineering L5 interview feedback (Glassdoor, 2023): 'Strong systems thinking + ability to discuss tradeoffs > encyclopedic CVE knowledge'. Security engineering - это engineering, не просто security knowledge.
Интервью: 'Нужно хранить медицинские записи. HIPAA требует шифрование. Как выбрать между AES-256 at-rest и client-side encryption?'
Итоги
- System Design + Security: STRIDE threat model -> security layers -> tradeoffs. Начинать с requirements: какие данные, regulatory, threat actors
- Crypto Questions: bcrypt/Argon2 для паролей (не SHA-256). AES-GCM не ECB. JWT vs sessions (revocation tradeoff). TLS 1.3 forward secrecy
- Incident Scenarios: структура важнее скорости. Triage -> Containment (preserve evidence) -> Investigation -> Communication -> Remediation
- Tradeoffs: HSM vs KMS (cost vs compliance), MFA mandatory vs optional (security vs UX), Full logging vs privacy (forensics vs GDPR)
Связанные темы
Security на собеседовании объединяет все пройденные темы в практический контекст:
- Security Architecture Design — STRIDE + Defense in Depth - основа system design ответов на интервью
- IAM и управление доступом — IAM, least privilege, federation - частые вопросы на security интервью
- Security at Scale — SOC, Data Lake, SOAR - типичные FAANG system design вопросы по security
Вопросы для размышления
- Как объяснить non-technical stakeholder почему Apple не может создать backdoor только для FBI?
- Какой framework применить чтобы структурировать ответ на 'Design auth system for 100M users'?
- Как обосновать выбор bcrypt вместо SHA-256 для хранения паролей через tradeoff анализ?