سوالات مصاحبه تیم آبی (Blue Team): راهنمای جامع سوالات فنی، عملی و سناریومحور SOC
راهنمای جامع و تخصصی پرسش‌های مصاحبه تیم آبی (Blue Team) و مرکز عملیات امنیت (SOC)، شامل سناریوهای عملیاتی، تحلیل لاگ، تریدکرفت‌های مهاجم، پرسش‌های تخصصی ابزارها (Wazuh, Zeek, Suricata) و معیارهای ارزیابی کاندیداها برای مهندسان و تحلیل‌گران امنیت.
# سوالات مصاحبه تیم آبی (Blue Team): راهنمای جامع سوالات فنی، عملی و سناریومحور SOC
## مقدمه
پیدا کردن، استخدام و ارزیابی نیروهای متخصص در **تیم آبی (Blue Team)** و **مرکز عملیات امنیت (SOC)** یکی از چالش‌برانگیزترین مراحل برای مدیران امنیت سایبری است. سوالات تئوریک قدیمی دیگر کارایی ندارند؛ مهاجمان روزبه‌روز از تکنیکهای پیشرفته‌تری استفاده میکنند و تحلیل‌گران باید توانایی پاسخ عملی، تحلیل لاگ زنده و تفکر سیستمی داشته باشند. در این مقاله جامع، مجموعه‌ای از سوالات فنی، عملی، سناریومحور و کلیدی مصاحبههای L1 تا L3 را به همراه پاسخ‌های استاندارد و معیارهای ارزیابی بررسی می‌کنیم.
پیش از مطالعه این راهنما، مرور مقالاتی چون [ابزارهای تیم آبی: Wazuh، Zeek، Suricata، Osquery](https://aidenweb.ir/blog/blue-team-tools-comprehensive-guide-ecc5697d)، [کتاب واکنش به حادثه (Incident Response Playbook)](https://aidenweb.ir/blog/incident-response-playbook-blue-team-2ua3n1g) و [مسیر شغلی تیم آبی](https://aidenweb.ir/blog/blue-team-career-path-complete-guide-lmaoumv) به شما کمک میکند تا چارچوب ذهنی کامتری از انتظارات نقش‌های دفاعی داشته باشید.
---
## ۱. دسته‌بندی سطوح مصاحبه و انتظارات کلیدی
برای اینکه مصاحبه ساختاریافته‌ای داشته باشید، سوالات باید متناسب با سطح تخصص کاندیدا طرح شوند:
| سطح مصاحبه | حوزه تمرکز اصلی | ابزارها و مهارت‌های مورد انتظار | نمونه سوال کلیدی |
| :--- | :--- | :--- | :--- |
| **SOC Analyst L1** | تریاژ هشدار، بررسی اولیه، اسکالیشن | SIEM (Wazuh/ELK)، ابزارهای تیکتینگ، تریاژ EDR | چگونه یک هشدار مشکوک PowerShell را بررسی می‌کنید؟ |
| **SOC Analyst L2** | تحلیل عمیق حادثه، شکار تهدید، فورنزیک | Osquery، Wireshark، Volatility، Sysmon | تفاوت میان Process Injection و DLL Hijacking چیست؟ |
| **Detection Engineer** | ساخت و بهینهسازی قوانین تشخیص | Sigma، Suricata Rules، KQL/SPL، Python | چطور یک قانون Sigma برای تشخیص استخراج اطلاعات بنویسید؟ |
| **Incident Responder** | مهار، ریشهکنی، بازیابی، تحلیل بگو مگو | ایمیج‌گیری مموری، اسزوله‌سازی شبکه، NIST SP 800-61 | گام‌های اولیه پس از تایید نفوذ با باج‌افزار چیست؟ |
---
## ۲. سناریوهای عملی و سوالات تریاژ لاگ (Log Triage & Incident Response)
یکی از بخش‌های حیاتی مصاحبههای فنی، دادن یک نمونه لاگ واقعی یا یک سناریوی فرضی به کاندیدا و خواستن تحلیل گام‌به‌گام است.
### سناریوی ۱: اجرای اسکریپت مشکوک PowerShell
**سوال مصاحبه‌کننده:** «شما در سامانه SIEM یک هشدار با سطح بالا (Level 12) دریافت می‌کنید که نشان می‌دهد فرآیند `powershell.exe` با پارامتر `-EncodedCommand` روی یک سرور حساس اجرا شده است. گام‌های بررسی شما چیست؟»
**پاسخ استاندارد و مطلوب کاندیدا:**
1. **بررسی Context اولیه:** بررسی اینکه کدام کاربر (User) و کدام IP این دستور را اجرا کرده‌اند و آیا این فرآیند متعلق به یک اسکریپت اتوماسیون سازمانی مجاز است یا خیر.
2. **رمزگشایی Base64:** استخراج رشته کدگذاری‌شده (`-EncodedCommand`) و تبدیل آن به متن قابل خواندن با پایتون یا ابزارهای CLI:
```bash
echo "JABzAD0ATgBlAHcALQBPAGIAagBlAGMAdAA..." | base64 -d | iconv -f utf-16le
```
3. **بررسی Sysmon Event ID 1 و 4104:** بررسی لاگ‌های PowerShell Script Block Logging جهت مشاهده محتوای کامل اسکریپت اجرا شده.
4. **مهار (Containment):** در صورت اثبات مخرب بودن، ایزوله کردن سریع هاست از شبکه (Network Isolation) از طریق EDR یا فایروال لبه.
---
## ۳. سوالات تخصصی ابزارها (Wazuh، Zeek، Suricata، Osquery)
مهارت کار با ابزارهای منبع‌باز دفاعی از الزامات اصلی مهندسان Blue Team است.
### پرسش‌های کلیدی ابزارها:
- **Wazuh:** «تفاوت Syscheck (FIM) با Rootcheck در Wazuh چیست و چگونه می‌توانید یک قانون سفارشی برای تغییرات غیرمجاز در `/etc/passwd` بنویسید؟»
- **Zeek:** «چطور با استفاده از لاگ‌های Zeek (`dns.log` و `conn.log`) می‌توانید نشانه‌های اولیه یک حمله DNS Tunneling را استخراج کنید؟»
- **Suricata:** «چرا حالت Inline در Suricata برای مسدودسازی خودکار ترافیک مخرب در لایه شبکه قدرتمندتر از حالت Passive است؟»
- **Osquery:** «یک کوئری SQL برای پیدا کردن تمام فرآیندهایی که از مسیرهای موقت (`/tmp/` یا `C:\Users\Public\`) در حال اجرا هستند بنویسید.»
---
## ۴. نمونه کد و پایتون در اتوماسیون واکنش به حادثه (SOAR)
بسیاری از مصاحبه‌کنندگان از کاندیدا می‌خواهند یک اسکریپت ساده پایتون برای خودکارسازی بررسی IP یا مسدودسازی بنویسد.
```python
#!/usr/bin/env python3
import ipaddress
import sys
import logging
logging.basicConfig(level=logging.INFO, format='%(asctime)s [%(levelname)s] %(message)s')
def validate_and_extract_suspicious_ip(ip_str: str) -> str:
try:
parsed_ip = ipaddress.ip_address(ip_str)
if parsed_ip.is_private or parsed_ip.is_loopback:
raise ValueError(f"IP {ip_str} is private or loopback.")
return str(parsed_ip)
except ValueError as e:
logging.error(f"Invalid or unsafe IP input: {e}")
sys.exit(1)
if __name__ == "__main__":
if len(sys.argv) < 2:
print("Usage: python3 validate_ip.py <IP_ADDRESS>")
sys.exit(1)
target = sys.argv[1]
safe_ip = validate_and_extract_suspicious_ip(target)
logging.info(f"IP validated successfully for automated blocking: {safe_ip}")
```
---
## ۵. بخش پرسش و پاسخ تخصصی (FAQ)
در این بخش به پرسش‌های کلیدی مدیران استخدام و کارجویان حوزه امنیت درباره مصاحبههای تیم آبی پاسخ داده شده است.
### چه تفاوت کلیدی میان مصاحبههای سطح L1 (تحلیلگر جوان) و L2/L3 (مهندس ارشد SOC) وجود دارد؟
مصاحبههای سطح L1 بیشتر روی درک پایهای لاگها، تشخیص هشدارها (Alert Triage)، کار با ابزارهای SIEM و توانایی تریاژ سریع بر اساس کتابچههای راهنما (Playbooks) تمرکز دارد. در مقابل، سطوح L2 و L3 روی تحلیل عمیق بدافزار، مهندسی معکوس حافظه، طراحی قوانین تشخیص پیشرفته (Sigma/Suricata)، پاسخ به حادثه پیچیده (Incident Response) و معماری امنیت سیستمها تمرکز میکنند.
### چگونه در مصاحبه عملی نشان دهم که توانایی تشخیص و تحلیل یک فعالیت C2 (Command and Control) را دارم؟
شما باید با ابزارهایی مانند Zeek و Suricata آشنا باشید. در مصاحبه باید توضیح دهید که چگونه ترافیک شبکه را با Zeek بررسی می‌کنید (مانند بررسی dns.log برای درخواست‌های پرتکرار DNS tunneling یا tls.log برای بررسی گواهی‌های خودامضا و عدم تطابق JA3) و چگونه قوانین ساریکاتا را برای مسدودسازی کانال‌های ارتباطی مهاجم پیاده‌سازی می‌کنید.
### معیار اصلی ارزیابی یک کاندیدای Blue Team در مواجهه با یک هشدار False Positive چیست؟
یک تحلیلگر ماهر به جای خاموش کردن هشدار یا نادیده گرفتن آن، ریشه رویداد را بررسی میکند، context فرآیند و کاربر را میسنجد، و در صورت نیاز قانون تشخیص (Detection Rule) را با افزودن فیلترهای دقیقتر (مانند استثنا کردن مسیرهای مجاز یا امضای دیجیتال معتبر) بهینهسازی میکند تا از بروز مجدد نویز جلوگیری شود.
### نقش چارچوبهای استاندارد مانند NIST CSF و MITRE ATT&CK در مصاحبههای تخصصی تیم آبی چیست؟
این چارچوبها زبان مشترک دفاع سایبری هستند. در مصاحبهها انتظار میرود کاندیدا بتواند مراحل یک حمله را به تکنیکهای MITRE ATT&CK نگاشت کند (مثلاً T1059 برای اسکریپتینگ یا T1547 برای Persistence) و فرآیند پاسخ به حادثه را بر اساس چرخه حیات NIST (آمادگی، شناسایی، مهار، ریشهکنی و بازیابی) تشریح کند.
---
## نتیجه‌گیری
مصاحبه موفق در تیم آبی نیازمند ترکیبی از دانش عمیق سیستم‌عامل، مهارت‌های تحلیل لاگ، تسلط بر ابزارهای متن‌باز مانند Wazuh و Zeek و توانایی تفکر مانند مهاجم است. با استفاده از سوالات سناریومحور و ارزیابی عملی مهارت‌ها، سازمان‌ها می‌توانند تحلیل‌گران و مهندسانی دقیق، چابک و آماده برای رویارویی با تهدیدات سایبری مدرن جذب کنند.