Подготовка к интервью
Разбирайте реальные вопросы, сверяйтесь с подробными ответами и готовьтесь по технологиям и компаниям.
Проверьте, насколько резюме подходит выбранной позиции, и получите рекомендации по улучшению.
Каталог
Количество зависит от версии. Почему ответ «25 событий» устарел и как не перепутать создание процесса, изменение времени файла и состояние службы.
Читать ответПочему в доменной среде предпочитают Kerberos, чем NTLMv2 отличается от NTLMv1 и какие риски остаются при неправильной конфигурации.
Читать ответТелеметрия процессов и системы для расследований: возможности Sysmon, зависимость от конфигурации и отличие от готового средства обнаружения угроз.
Читать ответLM и NT-хеши — производные пароля, а не сам протокол и не сетевой ответ. Чем различаются схемы и почему NT-хеш не подходит новому приложению.
Читать ответДва источника создания процессов: настройка аудита, командная строка, хеши и корреляция через ProcessGuid.
Читать ответОсновные события входа, процессов, учетных записей и служб с указанием журнала; почему номер без источника не дает однозначного смысла.
Читать ответОсновные типы успешного входа Windows и важное различие: NetworkCleartext не доказывает передачу пароля по сети открытым текстом.
Читать ответСобытие создания процесса в Sysmon: ключевые поля, связь с родительским процессом и ограничения при расследовании инцидента.
Читать ответРоль LSASS в аутентификации, риск извлечения учетных данных и защитные меры без предположения, что все пароли хранятся открытым текстом.
Читать ответLocalSystem, известная как NT AUTHORITY\SYSTEM, имеет широкие локальные привилегии. Это не доменный администратор и не синоним режима ядра.
Читать ответРазличаем виртуализационную основу защиты Windows и проверку целостности кода ядра: назначение, границы и требования совместимости.
Читать ответ