Вопросы на собеседовании: Инженер облачной безопасности

Центральный security-аккаунт администрирует KMS-ключи для 70 application-аккаунтов, но владельцам приложений нужны encrypt и decrypt без права менять policies; как вы построите модель доступа?

Multi-tenant SaaS хранит записи 20 000 клиентов в одной таблице DynamoDB, а отдельный customer key на tenant превысит операционные пределы; как вы изолируете шифрование?

Signing service должен хранить ключи в оборудовании FIPS 140-2 Level 3 и выполнять 6 000 подписей в секунду в 3 Availability Zones; вы выберете KMS или CloudHSM?

API fleet достигает 60 000 decrypt operations в секунду и приближается к региональной квоте KMS; как вы сократите вызовы, не сохраняя plaintext keys на диске?

Компания включает ежегодную automatic rotation для 300 KMS-ключей и предполагает, что все существующие 2 ПБ ciphertext будут зашифрованы заново; как вы исправите дизайн?

Backup-аккаунт должен копировать зашифрованные EBS snapshots из 120 workload-аккаунтов, но workload-роли не должны напрямую расшифровывать backup-данные; как вы спроектируете KMS-доступ?

Архитектура использует один KMS-ключ для логов, баз данных и application secrets в 35 аккаунтах; как вы разделите его, не создавая сотни неуправляемых ключей?

Двести AWS-аккаунтов создают 8 ТБ security telemetry в день, но бюджет SIEM позволяет индексировать только 2 ТБ; какую detection architecture вы построите?

GuardDuty должен покрывать 300 AWS-аккаунтов и доставлять high-severity findings в Microsoft Sentinel менее чем за 2 минуты; как вы их направите и нормализуете?

Спроектируйте SIEM-правило для использования AWS root user в 250 аккаунтах, где легитимный root-доступ бывает только во время ежеквартальных тестов.

Среда создаёт 40 миллионов AssumeRole events в день; как вы обнаружите необычное cross-account использование ролей без alert на каждую новую сессию?

Нужно обнаруживать публичную экспозицию S3 за 5 минут в 90 production-аккаунтах, включая изменения через access points; какие events и логику вы используете?

Payment service обычно выполняет 300 KMS decrypt calls в минуту из одной роли; спроектируйте правило для аномального использования ключей без paging на пиках трафика.

Route 53 Resolver logs содержат 12 миллиардов DNS-запросов в день; как вы обнаружите DNS tunneling и удержите число alerts ниже 50 в день?

Двадцать пять EKS-кластеров отправляют audit logs в SIEM; спроектируйте правила для неразрешённого shell-доступа и создания privileged pod с целевой задержкой 3 минуты.

Cloud detections зависят от 6 источников логов, а пропажа telemetry должна быть заметна за 10 минут; как вы будете контролировать здоровье detection pipeline?

Сто двадцать Terraform repositories должны блокировать публичные S3 buckets до merge, но 8 repositories намеренно публикуют static sites; как вы реализуете OPA policy?

Platform team хочет обеспечивать каждое AWS-правило через SCP, а разработчики хотят только CI checks; где вы разместите запрет выхода из одобренных регионов и правило обязательных RDS backups?

OPA блокирует 6 процентов из 2 000 еженедельных Terraform runs, и команды начали добавлять blanket waivers; как вы перестроите механизм исключений?

Нужно развернуть 35 новых OPA policies в 120 repositories без роста median CI time более чем на 20 секунд; какой pipeline вы построите?

Сорок EKS-кластеров должны отклонять privileged workloads, даже если manifests обходят CI; как вы объедините OPA checks и admission control?

Terraform plans содержат 15 000 IAM statements в день, а простые проверки wildcard создают слишком много false positives; как вы напишете semantic OPA rule?

OPA проверяет Terraform до deploy, но администраторы всё ещё могут менять 500 production-ресурсов в консоли; как вы покроете drift?

Пятнадцати тысячам сотрудников нужен доступ к 220 AWS-аккаунтам через Entra ID, без IAM users и с production privilege не дольше 1 часа; как вы спроектируете workforce identity?

Спроектируйте break-glass доступ к 220 AWS-аккаунтам на случай недоступности Entra ID или IAM Identity Center, при этом постоянные administrator credentials запрещены.

Триста EKS workloads сейчас используют общие node IAM roles, а каждый pod должен обращаться только к своему S3 prefix или SQS queue; как вы перенесёте identity?

Сервис работает в AWS и GCP и сейчас хранит долгоживущие service-account keys в обоих clouds; как вы построите keyless workload federation?

Двести GitHub repositories выполняют deploy в 60 AWS-аккаунтов, а хранить AWS access keys в GitHub запрещено; какую workload identity model вы используете?

Девятистам сервисам в Kubernetes и virtual machines нужна mutual authentication, а сертификаты должны меняться за 24 часа без ручного управления со стороны application teams; какую архитектуру вы выберете?

Четыреста application pods открывают 12 000 соединений к Amazon RDS, а static database passwords нужно удалить без превышения connection limits; как вы спроектируете authentication?

В 09:00 GuardDuty сообщает, что IAM access key использует production administrator role из новой страны в 12 AWS-аккаунтах; как локализовать инцидент за 15 минут, не уничтожив evidence и не остановив checkout?

В 14:20 Entra ID отмечает кражу токена cloud-администратора с доступом к 38 Azure subscriptions, а payroll закрывается через 2 часа; как действовать, не отзывая доступ у всех 6 000 сотрудников?

Self-hosted GitHub Actions runner скомпрометирован 25 минут назад и мог через OIDC принимать deploy roles в 20 AWS-аккаунтах; как сохранить delivery для emergency fix через 90 минут?

GCP service-account key, опубликованный 40 минут назад, может администрировать 9 production projects, но его немедленное отключение остановит ingestion pipeline 24/7; как реагировать?

Azure app-registration secret, используемый 16 сервисами, попал в vendor ticket в 11:30 и истекает через 8 месяцев; как сменить его до конца дня без failed requests?

Токен Kubernetes service account из payments pod скопировали 12 минут назад, и account может читать 3 Secrets в одном namespace; как локализовать инцидент без перезапуска всех 400 pods?

В 03:10 CloudTrail показывает один AWS root ConsoleLogin без MFA в production account, но source IP принадлежит recovery provider; что делать в первые 30 минут?

Cosign identity для 60 repositories подписала неизвестный container digest 18 минут назад, а 7 EKS-кластеров непрерывно выполняют deploy; как остановить распространение без суточной заморозки всех builds?

CNAPP vendor сообщает, что токен его cross-account AWS role мог утечь 3 часа назад, а role имеет read-only доступ к 210 аккаунтам; нужно ли отзывать её сразу, если пропадёт active visibility?

Одночасовая AWS STS session deployment role украдена на 20-й минуте и меняет Lambda environment variables в 6 аккаунтах; как остановить её до expiry, не блокируя все deployments?

В 08:40 Macie подтверждает, что public S3 bucket открывал 2,3 миллиона customer records 47 минут, а отключение website endpoint ломает order tracking; как локализовать эксплуатацию?

SSRF активно обращается к IMDSv1 на 35 EC2 web instances, а принудительный IMDSv2 может сломать legacy agent на 8 из них; что делать в следующие 60 минут?

GCS bucket с 600 ГБ research data имел allUsers objectViewer 19 минут, но 4 public reports должны оставаться доступными; как локализовать и восстановить доступ за 1 час?

30-дневный Azure Blob SAS token с read и list опубликовали 6 часов назад, и он обслуживает 11 partner jobs; как отозвать его сегодня без потери batch window партнёров?

Открытый в интернет Kubernetes Dashboard выдавал cluster-admin 22 минуты в одном из 14 кластеров, а отключение кластера нарушит SLA 99,95 процента; как его локализовать?

Security group открывала Redis без authentication на порту 6379 в течение 3 часов, а instance теперь запускает неизвестный процесс и обслуживает 40 процентов session traffic; какова последовательность containment?

Public AWS Lambda Function URL вызвали 180 000 раз за 12 минут, а её role может писать в одну DynamoDB table; как остановить abuse и сохранить API для 3 партнёров?

Encrypted RDS snapshot был открыт незнакомому внешнему AWS-аккаунту 26 минут и скопирован туда, а source database должна оставаться online; что делать в первые 4 часа?

GuardDuty сообщает об exfiltration из S3 одной role: за 38 минут ушло 480 ГБ; как за 6 часов доказать, что передано, используя CloudTrail, S3 data events и VPC Flow Logs?

GuardDuty отмечает UnusualNetworkConnection с 9 EC2 instances на 185.77.1.24 в течение 17 минут, но IP также является новым vendor endpoint; как за 45 минут решить вопрос containment?

Threat intelligence сообщает, что IP 91.214.6.88 использовал украденные AWS keys за последние 14 дней; как проверить 260 аккаунтов и дать доказательный результат за 8 часов?

Route 53 Resolver logs показывают, что 75 hosts запрашивают bad-update.example каждые 30 секунд в течение 2 дней, но endpoint engineering считает это telemetry; как провести hunt и принять решение к полудню?

Analytics role скачала 1,1 миллиона S3 objects за 22 минуты, в 10 раз выше baseline, во время approved job; как определить exfiltration за 3 часа без немедленной остановки job?

Azure Defender for Cloud сообщает о чтении 320 ГБ из одного storage account новым service principal за 50 минут; как определить scope exfiltration до legal checkpoint через 4 часа?

GCP principal запустил 46 BigQuery extract jobs общим объёмом 7 ТБ в незнакомый bucket за 35 минут; как найти цепочку действий и локализовать её за 1 час?

Falco обнаруживает curl к 45.9.148.12, а затем miner process в 28 pods из 3 EKS-кластеров; как за 90 минут найти общий entry point, не удаляя 2 000 чистых pods?

Скомпрометированный third-party API key загружен в 48 сервисов с нагрузкой 18 000 requests per second; как сменить его за 6 часов без downtime и при лимите 2 одновременных provider keys?

Amazon RDS for PostgreSQL password для 25 Kubernetes services за RDS Proxy открыт, а database допускает только 200 connections; как сменить его за 2 часа без connection storm?

Private keys 120 TLS certificates на Azure Application Gateway listeners могли быть украдены, а issuance ограничен 20 certificates per hour; как восстановиться за 8 часов?

Ransomware зашифровал 73 из 200 Windows EC2 instances за 18 минут, а recovery point objective равен 4 часам; как выполнить containment и restore, не доверяя domain?

Атакующий удалил или зашифровал 14 миллионов S3 objects за 35 минут, versioning включён, а customer downloads нужно восстановить за 3 часа; какова последовательность recovery?

Malicious admission webhook менял workloads в 12 Kubernetes-кластерах 70 минут, а etcd backups отстают на 6 часов; как восстановиться без rollback каждого кластера?

Poisoned container image попал в 320 deployments в 9 EKS-кластерах 2 часа назад, но previous image имеет известную medium vulnerability; какой image восстанавливать и в какие сроки?

PCI DSS audit провален, потому что S3 data events были отключены для 6 cardholder-data buckets 41 день; как закрыть finding за 10 рабочих дней, не заявляя о несуществующем evidence?

SOC 2 auditor находит 27 dormant Azure owners с eligibility в PIM, включая 3 бывших contractors, а evidence нужен через 5 дней; как закрыть провал access review?

FedRAMP assessor обнаруживает, что AWS Config был остановлен в 11 из 84 in-scope accounts на 9 дней, а monthly package закрывается через 72 часа; как исправить и отразить это?

CIS control audit находит 74 из 500 EC2 instances с разрешённым IMDSv1, но на 12 работает agent, несовместимый с IMDSv2; как закрыть finding за 14 дней?

PCI segmentation test достигает cardholder database на порту 5432 из 2 из 40 out-of-scope subnets, а retest через 7 дней; как закрыть failure без срыва settlement?

ISO 27001 audit выбирает 30 GCP projects и находит 9 service accounts с user-managed keys старше 400 дней; как закрыть finding за 3 недели без срыва nightly jobs?

AWS Config отмечает production S3 bucket как public в 10:00, но remediation через EventBridge и Lambda может сломать 15-минутный partner upload; как автоматизировать containment при risk target 5 минут?

EventBridge rule будет автоматически закрывать security groups с SSH на 0.0.0.0/0 в 140 аккаунтах, но 6 disaster-recovery hosts зависят от временного доступа; как развернуть её за 2 недели?

SSM Patch Manager auto-remediation перезапустил 18 из 60 production nodes одновременно и вызвал outage на 12 минут; как исправить rollout до следующего patch window через 9 дней?

Config change storm создаёт 80 000 EventBridge events за 6 минут, и remediation Lambda начинает throttling production APIs; как стабилизировать её за 30 минут без потери critical findings?

Lambda auto-remediator установил RDS backup retention 35 дней на 220 databases, подняв cost на 28 процентов, после неверной маркировки 7-дневного требования в AWS Config; как исправить это за 48 часов?

Cross-account EventBridge delivery незаметно не работал в 17 из 120 аккаунтов 11 часов, поэтому Config auto-remediation пропустил 43 findings; как восстановиться сегодня и закрыть blind spot?

Lambda junior-инженера удалила database security-group rule у 14 сервисов и вызвала outage на 9 минут; как наставлять инженера и вернуть automation за 10 дней?

Две команды по-разному отработали один stolen AWS key, потратив 12 и 74 минуты на отзыв; какой concrete response standard установить до учений в следующем месяце?

SRE на ротации в cloud security пропускает indicator среди 30 миллионов CloudTrail events во время 4-часового hunt; как за 3 недели научить его проводить следующий hunt самостоятельно?

Пять incident reports расходятся в том, доказывают ли VPC Flow Logs exfiltration файлов, а 11 инженерам нужен единый evidence standard за 2 недели; что внедрить?

Команда просит 90-дневное исключение IMDSv1 для 36 EC2 instances, потому что agent upgrade не уложился в 7-дневный срок; как обучить owner и установить defensible standard?