Словарь терминов кибербезопасности: 40 понятий для начинающих

Кибербезопасность окружена аббревиатурами: фаервол, SIEM, EDR, MFA, DDoS. Пока эти слова остаются набором букв, трудно читать статьи, вакансии и учебные материалы. Этот словарь объясняет базовые термины кибербезопасности простыми словами: что означает понятие, зачем оно нужно и как связано с остальными. Термины сгруппированы по темам — от основ до ролей специалистов, а самые известные типы атак даны короткими определениями. Там, где понятие разбирается в лекции на практике, мы поставили ссылку, чтобы вы могли увидеть термин в действии.

• Основы
• Сети
• Защита и мониторинг
• Идентификация и доступ
• Шифрование
• Роли в кибербезопасности
• Типы атак коротко

Основы

Кибербезопасность (Cybersecurity)

Защита компьютеров, сетей, программ и данных от кражи, повреждения и несанкционированного доступа. Это часть более широкой информационной безопасности, которая касается информации в любом виде — и в файлах, и на бумаге.

Конфиденциальность, целостность и доступность (CIA)

Три главные цели защиты информации. Конфиденциальность — данные видят только те, кому разрешено; целостность — данные никто не меняет без ведома владельца; доступность — системы и данные доступны тогда, когда они нужны. Практически любое средство защиты работает на одну из этих трех целей.

Угроза (Threat)

Любое потенциально опасное событие или субъект, который может навредить системам или данным: злоумышленник, вредоносная программа, сбой оборудования или ошибка сотрудника. Угроза становится проблемой только тогда, когда находит уязвимость, через которую можно действовать.

Уязвимость (Vulnerability)

Слабое место в программе, настройке или рабочем процессе, которым может воспользоваться угроза. Уязвимости ищут специально: автоматически — сканерами уязвимостей, вручную — специалистами, а найденное закрывают исправлениями. Как работает такой сканер на практике, показано в лекции сканер уязвимостей Nessus.

Риск (Risk)

Вероятность того, что угроза воспользуется уязвимостью, и размер возможного ущерба. Работа специалиста по безопасности во многом состоит в снижении риска: закрытие уязвимостей, ограничение доступа и готовность к инцидентам.

Защита в глубину (Defense in Depth)

Подход, при котором система защищается несколькими независимыми слоями: фаервол, антивирус, ограничение прав, резервные копии. Если один слой не сработал, следующий либо остановит атаку, либо ограничит ее последствия.

Управление обновлениями (Patch Management)

Регулярный процесс установки исправлений (патчей) для операционных систем и программ. Большинство атак использует давно известные и уже закрытые производителем уязвимости, поэтому вовремя установленные обновления — одна из самых эффективных мер защиты.

Сети

IP-адрес

Адрес устройства в сети, по которому к нему доставляются данные — как почтовый адрес для писем. Внутри дома и офиса используются приватные адреса, а в интернете — публичные; современный протокол IPv6 появился потому, что адресов IPv4 перестало хватать.

Порт

Номер, который указывает, какая служба на устройстве принимает соединение: у веб-сервера это порт 443, у почтового сервера — свои порты. Сочетание IP-адреса и порта однозначно определяет точку связи, и именно по портам фаервол чаще всего решает, пропустить трафик или запретить.

TCP и UDP

Два основных транспортных протокола. TCP устанавливает соединение и гарантирует доставку и порядок данных, поэтому на нем работают сайты и передача файлов; UDP отправляет пакеты без подтверждений и подходит для связи в реальном времени — звонков и видео.

DNS

Система, которая переводит понятные имена сайтов (practicu.com) в IP-адреса — «телефонная книга» интернета. Ей пользуются и злоумышленники: подложный DNS-ответ может отправить жертву на фальшивый сайт, поэтому в организациях настраивают доверенные и фильтрующие DNS-серверы.

VPN (Virtual Private Network)

Шифрованный туннель между устройством и другой сетью. В компаниях VPN дает сотруднику безопасный доступ к корпоративной сети из дома или поездки, а личные VPN защищают трафик в недоверенных сетях, например в публичном Wi-Fi.

Сегментация сети

Деление сети на изолированные участки (например, с помощью VLAN), чтобы проблемы в одном участке не затрагивали остальные. Если атакующий попал на гостевой Wi-Fi или взломал один сервер, сегментация не дает ему свободно двигаться по всей сети.

DMZ

Отдельный сегмент сети для сервисов, доступных из интернета, — сайтов, почтовых серверов. Компрометация машины в DMZ не открывает атакующему путь во внутреннюю сеть: между ними стоят фаерволы с жесткими правилами.

Защита и мониторинг

Межсетевой экран (Firewall)

Узел или программа, которая фильтрует трафик по правилам: что, откуда и куда разрешено. Фаерволы стоят на границе сети, на каждом компьютере, а для веб-приложений существует отдельный вид — WAF (Web Application Firewall). Продуманные правила фильтрации — база всей сетевой защиты.

Антивирус

Программа, которая находит и блокирует известные вредоносные файлы и подозрительное поведение по сигнатурам и эвристикам. Это базовый, но обязательный уровень защиты рабочих станций и серверов.

EDR (Endpoint Detection and Response)

Развитие антивируса: агент на каждом компьютере постоянно записывает, что на нем происходит, а система связывает события в цепочки и помогает команде безопасности расследовать инцидент и откатить вредоносные изменения. EDR замечает и те атаки, для которых еще нет известной сигнатуры.

IDS и IPS (Intrusion Detection / Prevention System)

Системы, следящие за трафиком на предмет признаков атаки. IDS только обнаруживает угрозу и поднимает тревогу, IPS располагается в потоке трафика и автоматически блокирует подозрительные соединения.

SIEM (Security Information and Event Management)

Система, которая собирает журналы (логи) со всех серверов, устройств и программ в одном месте и сопоставляет события между собой. Она необходима, потому что признаки атаки размазаны по десяткам источников, и вручную их не собрать.

SOC (Security Operations Center)

Команда и центр, которые круглосуточно следят за событиями безопасности, разбирают оповещения SIEM, исследуют инциденты и координируют реагирование. SOC может быть внутренним или передаваться на аутсорс.

Анализ сетевого трафика

Изучение пакетов, проходящих по сети, чтобы понять, что в ней происходит: найти подозрительные соединения, ошибки настройки, признаки утечки данных. Классический инструмент анализа — Wireshark; основы работы с ним показаны в лекции как пользоваться Wireshark.

Резервное копирование (Backup)

Регулярное сохранение копий данных на отдельное хранилище, недоступное из основной сети. Хорошая практика — правило 3-2-1: три копии данных, на двух разных типах носителей, одна из них — вне площадки. Копии — главная страховка, в том числе от шифровальщиков.

Идентификация и доступ

Аутентификация и авторизация

Аутентификация отвечает на вопрос «кто вы» — это проверка личности по паролю, коду или отпечатку. Авторизация отвечает на вопрос «что вам можно» — какие права у проверенного пользователя. Это разные проверки: пройти первую и не иметь прав на конкретный файл совершенно нормально.

MFA (Multi-Factor Authentication)

Вход по двум и более независимым факторам: что-то, что вы знаете (пароль), что-то, что у вас есть (код из приложения или физический ключ), что-то, чем вы являетесь (отпечаток). Кража одного пароля при включенной MFA злоумышленнику уже не поможет, поэтому это одна из самых эффективных мер защиты учетных записей.

Хеширование паролей

Пароли не хранят в открытом виде: система хранит хеш — «отпечаток», по которому восстановить исходный пароль практически невозможно. При входе система вычисляет хеш введенного пароля и сравнивает его с сохраненным.

NTLM

Протокол проверки подлинности в сетях Windows, работающий по схеме «запрос — ответ» и не отправляющий пароль по сети в открытом виде. Сегодня вместо него предпочитают Kerberos, но NTLM еще встречается в старых системах, и администратору важно понимать, как он устроен, — в лекции как работает NTLM это разобрано по шагам.

Active Directory

Служба каталогов Microsoft: единая база учетных записей, групп, компьютеров и прав в корпоративной сети. Через нее пользователи входят в систему и получают доступ к файлам и программам, поэтому защита Active Directory — центральная задача безопасности любой Windows-сети.

Принцип наименьших привилегий (Least Privilege)

Каждый пользователь, служба и программа получают только те права, которые им действительно необходимы, и ничего сверх того. Тогда ошибка сотрудника или успешная атака наносят минимальный ущерб вместо полного контроля над системой.

Шифрование

Шифрование (Encryption)

Преобразование данных так, чтобы без ключа их невозможно было прочитать. Шифруют данные при передаче по сети и при хранении — на диске и в резервных копиях: похищенный зашифрованный файл без ключа для злоумышленника почти бесполезен.

Симметричное и асимметричное шифрование

Симметричное использует один и тот же ключ для шифрования и расшифровки — оно быстрое и подходит для больших объемов данных. Асимметричное работает с парой ключей: открытым шифруют, закрытым расшифровывают, и открытый ключ можно свободно публиковать. На практике их комбинируют: асимметричное шифрование безопасно передает сеансовый ключ, а симметричное шифрует сам трафик.

SSL/TLS

Протоколы, шифрующие соединение между браузером и сервером — именно они превращают HTTP в HTTPS. SSL устарел, сегодня используется его наследник TLS, но названия по привычке употребляют вместе.

Сертификат (Certificate)

Электронный документ, который связывает открытый ключ с конкретным сайтом или организацией и подписан удостоверяющим центром (CA). Благодаря сертификату браузер убеждается, что вы подключились к настоящему сайту, а не к его фальшивой копии.

Роли в кибербезопасности

SOC-аналитик

Специалист первой линии мониторинга: смотрит оповещения SIEM, отделяет реальные атаки от ложных срабатываний, эскалирует сложные случаи и участвует в разборе инцидентов. Это самая частая точка входа в профессию для начинающих.

Инженер по кибербезопасности

Специалист, который настраивает и обслуживает средства защиты: фаерволы, EDR, VPN, права доступа, резервное копирование. Он превращает требования безопасности в работающую технику и процессы.

Пентестер (Pentester)

Специалист по проверке защищенности: с письменного разрешения владельца ищет уязвимости в системах компании и отчитывается, что и как исправить. Его работа — законная часть защиты: лучше найти слабое место своими силами, чем оставить его злоумышленникам.

CISO (Chief Information Security Officer)

Руководитель направления безопасности в организации. Он отвечает за стратегию, политику, бюджет и соответствие требованиям, а также объясняет риски руководству на языке бизнеса.

Типы атак коротко

Фишинг (Phishing)

Письма и сообщения, маскирующиеся под доверенные, чтобы выманить пароль, данные карты или заставить открыть вредоносный файл. Компании защищаются фильтрами почты, обучением сотрудников и MFA, при которой украденного пароля для входа недостаточно.

Вредоносное ПО (Malware)

Общее название программ, созданных, чтобы вредить: шпионов, крадущих данные, бэкдоров, открывающих злоумышленнику доступ, шифровальщиков. Защита строится на антивирусе и EDR, своевременных обновлениях и ограничении прав пользователей.

Вымогательное ПО (Ransomware)

Вредоносная программа, которая шифрует файлы жертвы и требует выкуп за расшифровку. Самая надежная защита — изолированные резервные копии, а также обновления, MFA и сегментация сети, не дающие заразе распространиться по всей организации.

DDoS-атака

Атака, при которой сервис «заваливают» лавиной запросов с тысяч зараженных машин, и сайт становится недоступен для настоящих посетителей. Защищаются фильтрацией трафика у провайдера и специализированными сервисами защиты от DDoS.

Как пользоваться словарем и что дальше

Не пытайтесь запомнить все термины за один присест — возвращайтесь к словарю, когда встретите незнакомое слово в статье, вакансии или лекции. Понятия закрепляются, когда вы видите их на настоящих системах: что такое порт и IP-адрес — при просмотре сетевых соединений, как устроена аутентификация — при разборе протоколов, зачем нужен SIEM — когда видите поток логов своими глазами.

Если вы хотите двигаться дальше и связать эти понятия с реальной практикой, посмотрите курс хакинга «Взлом серверов и сетей — Пентест OSCP»: он начинается с установки рабочей среды и постепенно доходит до самостоятельных практических заданий, объясняя по пути многие термины из этого словаря на живых примерах.