Travaillez depuis les en-têtes vers l'extérieur, dans un environnement sûr. Vérifiez le chemin d'envoi, les résultats SPF, DKIM et DMARC, l'expéditeur d'enveloppe face à l'expéditeur affiché, et toute incohérence de reply-to. Détonez les liens et les pièces jointes dans un bac à sable, jamais sur votre poste. Extrayez les indicateurs, puis cherchez dans les journaux de messagerie tous les autres destinataires et si quelqu'un a cliqué ou s'est authentifié. Confinez en purgeant le message et en bloquant l'infrastructure.
Pourquoi les recruteurs posent cette question
Le recruteur vérifie vos habitudes de manipulation sûre, votre aisance avec les en-têtes, et si vous pensez au-delà du seul e-mail signalé pour aller à l'échelle de l'organisation. Beaucoup de candidats analysent l'échantillon et s'arrêtent là. La bonne réponse bascule vite vers la question qui compte vraiment : qui d'autre l'a reçu et qui a interagi avec. Il veut aussi les actions de réponse que vous pouvez mener vous-même et celles qui exigent l'appui de l'administrateur de messagerie.
Comment structurer votre réponse
- Énoncez vos précautions de manipulation avant de toucher à l'échantillon.
- Lisez d'abord les résultats d'authentification et le chemin de l'expéditeur.
- Détonez et extrayez les indicateurs dans un environnement isolé.
- Basculez immédiatement vers la portée organisationnelle et le confinement.
Exemple de réponse
Je ne l'ouvre jamais sur ma propre machine. Je récupère le message original avec les en-têtes complets depuis la plateforme de messagerie, et je détone tout ce qui est vivant dans une machine virtuelle bac à sable avec une capture réseau en route. Les en-têtes d'abord : résultats SPF, DKIM et DMARC, la chaîne received, si l'expéditeur d'enveloppe correspond au nom affiché, et si l'adresse de réponse est un domaine sosie. La plupart du phishing d'identifiants que j'ai vu passe SPF parce qu'il est envoyé depuis un tenant légitime compromis, donc un pass tout seul ne prouve rien. Ensuite les liens : déplier les raccourcisseurs, suivre les chaînes de redirection, et vérifier si la page d'atterrissage est un collecteur qui imite notre propre page de connexion. Puis je bascule sur la portée, qui compte plus que l'échantillon : chercher dans les journaux de messagerie l'expéditeur, l'objet et l'URL pour trouver tous ceux qui l'ont reçu, vérifier les journaux de proxy pour les clics, et les journaux de connexion pour des authentifications depuis cette infrastructure. Purger de toutes les boîtes, bloquer le domaine, réinitialiser quiconque s'est authentifié.
Vous passez cet entretien bientôt ? GhostPilot écoute votre appel en direct, repère la question dès qu'elle est posée et affiche une réponse structurée à l'écran en temps réel. Essayez-le lors de votre prochain entretien blanc, ou prenez un Session Pass à $29, sans abonnement, pour le jour J.
Voir comment ça marcheQuestions de relance à prévoir
- Que faites-vous si trois utilisateurs ont déjà saisi leurs identifiants ?
- Comment distinguez-vous un collecteur d'identifiants d'une page de livraison de malware ?
- Comment gérez-vous un signalement de phishing qui se révèle être un vrai e-mail fournisseur ?
Autres questions pour Analyste cybersécurité
Votre recruteur posera sa propre version de celle-ci. Collez votre véritable fiche de poste dans le Question Predictor gratuit et obtenez les 20 questions que ce poste a le plus de chances de poser, avec ce que chacune cherche vraiment à sonder.
Prédire mes questions