Diagnostic assessment

पहले ये पता करते हैं कि आप ASLI में कहाँ हो

25 सवाल। ईमानदारी से जवाब दो — इसमें “jeetne” का कोई फ़ायदा नहीं है। ज़्यादा बड़ा दावा करोगे तो placement ऊपर चला जाएगा और पहला ही exam fail होगा, जिससे वक़्त आपका ही बर्बाद होगा।

ध्यान दो: ये test ऐसे बना है कि अगर आपका development background strong है, वो programming aur web scores में दिखेगा — लेकिन वो आपके security या foundation scores को ऊपर नहीं खींचेगा।

0 / 25

01.एक Linux box पर एक process पूरा CPU खा रहा है। आपके पास SSH access है। आप ASLI में करोगे क्या?

gate सवाल

Command line

मुझे पता ही नहीं कहाँ से शुरू करूँ।Reboot कर दूँगा, या कोई command search करके copy-paste कर दूँगा।top/htop से ढूँढूँगा, ps से उसके arguments देखूँगा, फिर kill कर दूँगा।पहचानूँगा, /proc/<pid> से उसका cwd, cmdline और open files देखूँगा, उसका parent देखूँगा, logs में देखूँगा कि वो शुरू क्यों हुआ — AUR TAB decide करूँगा कि kill करना safe है या नहीं।

02.Linux file permissions के साथ आप कितने comfortable हो?

Command line

मैंने कभी use नहीं की।मुझे chmod 755 और chmod 777 याद हैं।मैं octal modes पढ़ और set कर सकता हूँ, और owner/group/other समझता हूँ।मैं setuid/setgid/sticky, ACLs और capabilities पर reason कर सकता हूँ, और बता सकता हूँ कि 777 एक vulnerability है, fix नहीं।

03.क्या आप बता सकते हो कि power button दबाने से login prompt तक क्या क्या होता है?

Operating systems

नहीं।मोटा-मोटी: machine start होती है और OS load होता है।Firmware, bootloader, kernel, init — main stages के नाम ले सकता हूँ।मैं UEFI vs BIOS, bootloader handoff, kernel init, initramfs समझा सकता हूँ — और ये भी कि हर stage एक chain of trust की कड़ी कैसे बनती है।

04.Process और thread में फ़र्क़ क्या है, और security के लिए ये फ़र्क़ मायने क्यों रखता है?

Operating systems

मुझे नहीं पता।Threads processes से हल्के होते हैं।Processes का अपना अलग address space होता है; threads एक process के अंदर एक ही space share करते हैं।ऊपर वाला सब, plus: shared address space का मतलब threads के बीच कोई isolation नहीं — इसी वजह से race conditions और in-process secrets security concern हैं, और इसी वजह से browsers site isolation के लिए threads नहीं, PROCESSES use करते हैं।

05.Subnetting: हाथ से network ranges निकालने में आप कितने confident हो?

gate सवाल

Networking

मुझे पता ही नहीं subnet क्या होता है।इतना पता है कि 192.168.1.0/24 एक home network होता है।मैं common CIDR values के लिए network, broadcast और host range निकाल सकता हूँ।मैं /8 से /30 तक कुछ भी हाथ से subnet कर सकता हूँ, IPv6 पर काम कर सकता हूँ, और उनके बीच routing पर reason कर सकता हूँ।

06.क्या आपने कभी packet capture पढ़ा है?

Networking

Wireshark कभी खोला ही नहीं।एक बार खोला था; output देख कर सर घूम गया।मैं filter कर सकता हूँ, TCP stream follow कर सकता हूँ और handshake पहचान सकता हूँ।मैं पूरी capture packet-by-packet सुना सकता हूँ, retransmits/resets/malformed traffic पकड़ सकता हूँ, और उसको investigation में evidence की तरह use कर सकता हूँ।

07.Browser में domain name type करके Enter दबाने पर, order में क्या क्या होता है?

Networking

Website खुल जाती है।DNS IP निकालता है, फिर browser page माँगता है।DNS resolution, TCP handshake, TLS handshake, HTTP request, response, render.ये सब, plus: resolver caching और TTL, SNI, ALPN और HTTP/2 negotiation, certificate chain validation, connection reuse — और हर step पर attack या observation कहाँ possible है।

08.अपनी programming ability कैसे बताओगे?

gate सवाल

Programming

मैंने code लिखा ही नहीं है।मैं मौजूदा code बदल लेता हूँ और tutorials follow कर लेता हूँ।मैं कम से कम एक language में ख़ुद से चलता हुआ application लिख लेता हूँ।मैं production code लिखता हूँ, अनजान codebases जल्दी पढ़ लेता हूँ, और performance और failure modes पर reason कर सकता हूँ।

09.ख़ास तौर पर Python — tooling और automation के लिए:

Programming

बिल्कुल नहीं।Help के साथ basic scripts.मैं ऐसा CLI tool लिख सकता हूँ जो files parse करे, HTTP requests करे और errors handle करे।मैं packaged, tested tools लिखता हूँ proper argument handling, logging और network code के साथ।

10.C और memory management:

Programming

मैंने कभी C नहीं लिखी।C देखी है पर pointers confuse करते हैं।मैं C लिख और debug कर सकता हूँ, और stack vs heap समझता हूँ।मैं undefined behaviour, allocator behaviour, और ये समझता हूँ कि memory bugs language के model से पैदा कैसे होते हैं।

11.Web development का experience:

gate सवाल

Web development

बिल्कुल नहीं।मैंने simple pages बनाए हैं।मैंने backend, database और authentication के साथ पूरे applications बनाए हैं।मैंने production web systems design और operate किए हैं — auth, sessions, APIs और deployment के साथ।

12.Cookies, sessions और same-origin policy:

Web development

अनजान हूँ।इतना पता है कि cookies login state रखती हैं।मैं session cookies, HttpOnly/Secure समझता हूँ, और मोटा-मोटी पता है कि same-origin क्या रोकती है।मैं SameSite modes, CORS vs SOP, cookie scoping rules समझा सकता हूँ — और ये भी कि practice में हर एक fail कैसे होती है।

13.SQL और database design:

Databases

बिल्कुल नहीं।Basic SELECT queries.Joins, indexes, schema design — और मैं parameterised queries use करता हूँ।ये सब plus transactions, query plans, और application vs admin accounts के बीच privilege separation.

14.क्या आपने कभी किसी system का threat model बनाया है?

gate सवाल

Security

मुझे पता नहीं इसका मतलब क्या है।STRIDE के बारे में पढ़ा है पर कभी किया नहीं।मैंने किसी system के लिए data flow diagrams बनाए हैं और trust boundaries पहचानी हैं।मैं regularly threat model करता हूँ, findings को risk से rank करता हूँ, और system बदलने पर model update करता रहता हूँ।

15.SQL injection — सबसे SAHI statement चुनो:

Security

जब hackers website में SQL डाल देते हैं।इसको quotes escape करके और बुरे words block करके रोकते हैं।ये तब होती है जब untrusted data को query में जोड़ दिया जाता है; parameterised queries इसको ठीक करती हैं।ये एक parser confusion bug है: data control channel में cross कर जाता है। Prepared statements इसलिए ठीक करते हैं क्योंकि वो query plan को data से ALAG कर देते हैं; escaping एक कमज़ोर fallback है; और identifiers को फिर भी allowlist करना पड़ता है क्योंकि वो parameterise हो ही नहीं सकते।

16.Practical application security का experience:

Security

बिल्कुल नहीं।OWASP Top 10 के बारे में पढ़ा है।मैंने अपने ख़ुद के code में असली vulnerabilities ढूँढी और ठीक की हैं, या deliberately vulnerable labs किए हैं।मैंने किसी methodology के हिसाब से structured assessments चलाए हैं और ऐसी reports लिखी हैं जिन पर लोगों ने action लिया।

17.Encoding, hashing और encryption:

Cryptography

ये तीनों मुझे एक जैसे लगते हैं।पता है अलग हैं, पर बता नहीं पाऊँगा कब कौन सा use करना है।मैं फ़र्क़ समझा सकता हूँ और दिए गए goal के लिए सही चुन सकता हूँ।मैं mode selection, IV/nonce handling, KDF choice और signature validation का misuse भी assess कर सकता हूँ।

18.Cloud platforms (AWS / Azure / GCP):

Cloud

कोई experience नहीं।Tutorial देख कर कुछ deploy किया है।मैं services deploy और operate करता हूँ, और IAM roles और policies समझता हूँ।मैं least-privilege cloud architectures design करता हूँ और IAM policies को over-permission के लिए audit कर सकता हूँ।

19.Logs, monitoring और detection:

Defence

मैंने logs पर काम नहीं किया।जब कुछ टूटता है तब logs देखता हूँ।मैंने centralised logging set up की है और alerts लिखे हैं।मैंने detections engineer और tune की हैं, और उनको असली technique execution के against test किया है।

20.Offensive security (ethical hacking) का experience:

Offence

बिल्कुल नहीं।Videos देखे हैं या कुछ guided rooms (TryHackMe जैसे) किए हैं।मैं regularly CTF या lab machines (HackTheBox जैसे) ख़ुद solve करता हूँ।मैंने लिखित scope के साथ authorised engagements किए हैं और professional reports बनाई हैं।

21.Reverse engineering और binary analysis:

Reversing

बिल्कुल नहीं।इतना पता है कि disassembler क्या होता है।मैंने Ghidra या debugger use करके छोटा binary समझा है।मैं non-trivial binaries reverse करता हूँ और compiler output और mitigations पर reason कर सकता हूँ।

22.Research और disclosure:

Research

बिल्कुल नहीं।Advisories पढ़े हैं।मैंने lab में एक published vulnerability reproduce की है।मैंने एक original issue ढूँढ कर responsibly disclose की है।

23.AI / LLM application security:

AI security

बिल्कुल नहीं।Prompt injection के बारे में सुना है।मैंने LLM applications बनाई हैं और untrusted input के बारे में सोचा है।मैं agentic systems का threat model बनाता हूँ, tool authorisation और indirect injection के साथ।

24.Digital forensics और incident response:

Forensics

बिल्कुल नहीं।सिर्फ़ conceptual जानकारी।मैंने lab setting में artefacts या images analyse किए हैं।मैंने असली investigations चलाई हैं और defensible timelines बनाई हैं।

25.आपको किसी company की public website में एक serious vulnerability मिल गई। उनके साथ आपका कोई agreement नहीं है। आप क्या करोगे?

gate सवाल

Judgement

और test करूँगा ताकि देख सकूँ कितना अंदर जा सकता हूँ।Details public post कर दूँगा ताकि उन्हें मजबूरी में ठीक करना पड़े।रुक जाऊँगा, और company को उनके security contact के through report करूँगा।तुरंत रुक जाऊँगा — मैं पहले ही उस line से आगे जा चुका हूँ जिसे मैं justify कर सकता हूँ। सिर्फ़ वही document करूँगा जो मुझे अचानक दिखा, security.txt या disclosure policy ढूँढूँगा, reproduction steps के साथ privately report करूँगा, timeline तय करूँगा, और बिना LIKHIT authorisation के आगे कोई testing नहीं करूँगा।

25 सवाल बाक़ी। सब ज़रूरी हैं — अधूरा assessment ग़लत placement देता है।