Глоссарий

Абстракция AppArmor — подключаемый набор повторно используемых правил профиля, описывающий типовой доступ приложения к файлам и системным ресурсам.

Аварийная учётная запись — специально защищённая привилегированная учётная запись для восстановления доступа при отказе штатных средств администрирования или аутентификации.

Алгоритм обмена ключами — криптографический механизм согласования или передачи общего секрета между сторонами, обычно для последующего симметричного шифрования сеанса.

Антивирусное ПО — средство защиты конечных систем, выявляющее и блокирующее вредоносные объекты по сигнатурам, эвристике и поведенческим признакам.

Антивирусное исключение — правило, выводящее объекты или операции из-под механизмов проверки по пути, расширению, процессу либо иному критерию.

Антималварная защита — комплекс средств безопасности для выявления, блокирования и удаления вредоносного ПО на конечных устройствах, серверах и в почтовом трафике.

Аппаратный корень доверия — аппаратно защищённый компонент или функция, служащие исходной доверенной точкой для проверки кода, измерения состояния либо защиты ключей.

Аппаратный модуль безопасности — специализированное устройство для защищённого хранения криптографических ключей и выполнения криптографических операций в изолированной аппаратной среде.

Атака с подстановкой учётных данных — автоматизированная проверка утекших пар логин—пароль на других сервисах в расчёте на повторное использование паролей.

Аудиторский след — упорядоченный по времени набор записей о действиях и изменениях, позволяющий установить, кто, когда, над чем и с каким результатом выполнил операцию, а также откуда поступил запрос.

Аутентификация по открытому ключу — способ входа в SSH, при котором сервер проверяет подпись клиента по заранее разрешённому открытому ключу, а не по паролю.

Аутентифицированное сканирование — проверка уязвимостей с учётными данными, анализирующая конфигурацию и версии ПО изнутри целевой системы.

Базовая конфигурация безопасности — утверждённый набор обязательных параметров защиты для однотипных систем, используемый как эталон развёртывания и контроля отклонений.

Базовая цепочка nftables — цепочка, привязанная к hook Netfilter и запускающая обработку пакетов на заданном этапе сетевого стека с указанным приоритетом.

Бастионный хост — специально защищённый промежуточный сервер, через который ограничивают и контролируют административный доступ к системам в изолированных сегментах сети.

Бит setuid — специальный бит прав Unix, при котором исполняемый файл запускается с эффективным UID владельца файла, а не запустившего пользователя.

Блокировка учётной записи — временное или административное запрещение входа для аккаунта, обычно после заданного числа неудачных попыток аутентификации.

Боковое перемещение — этап атаки, при котором нарушитель использует уже полученный доступ для проникновения на другие системы и расширения контроля внутри инфраструктуры.

Бэкдор — скрытый механизм обхода штатной аутентификации или контроля доступа, позволяющий получить доступ к системе, данным либо функциям в обход предусмотренных процедур.

Бюллетень безопасности — официальное уведомление о риске или уязвимости, содержащее сведения о затронутых версиях, последствиях и мерах защиты.

Вектор атаки — путь или способ, которым атакующий получает первоначальный доступ, доставляет вредоносный код либо воздействует на целевую систему.

Вердикт nftables — управляющее значение, задающее решение по пакету или дальнейший ход выполнения правил в цепочках netfilter.

Виртуальный патч — компенсирующая защита, блокирующая попытки эксплуатации известной уязвимости правилами WAF, IPS, EDR или иного средства без изменения уязвимого кода.

Внутренний центр сертификации — контролируемый организацией центр сертификации, выпускающий сертификаты для её систем; доверие к нему на клиентах настраивают явно.

Вредоносное ПО — программное обеспечение, намеренно созданное для нарушения работы систем, несанкционированного доступа, кражи данных или скрытого выполнения действий.

Глубокая проверка пакетов — метод сетевой инспекции, анализирующий заголовки и содержимое потоков по правилам протоколов, а не только адреса, порты и флаги.

Дискреционный контроль доступа — модель авторизации, в которой владелец объекта назначает права пользователям и группам через разрешения или списки ACL.

Доверенная загрузка — этап защищённой загрузки ОС, при котором загрузчик проверяет целостность и подписи компонентов Windows, запускаемых после UEFI.

Доверие при первом использовании — модель доверия, при которой неизвестный ключ принимается при первом контакте, а его последующая смена считается подозрительной.

Доказательство осуществимости — проверочный прототип или сценарий, подтверждающий практическую реализуемость решения либо возможность эксплуатации конкретной уязвимости.

Домен SELinux — тип безопасности процесса в политике SELinux, определяющий набор разрешённых действий процесса над объектами с заданными метками.

Журнал AVC — записи аудита SELinux о решениях Access Vector Cache, прежде всего об отказах доступа по действующей политике безопасности.

Журнал аудита — защищаемая совокупность записей о значимых действиях и изменениях с указанием времени, субъекта, объекта, результата и контекста для расследования и контроля.

Журнал аутентификации — набор записей о попытках подтверждения личности, их результатах и данных, необходимых для расследования и контроля доступа.

Журнал безопасности Windows — системный журнал событий, фиксирующий результаты аудита входов, доступа к объектам, изменений политик и привилегий в Windows.

Закрытый ключ — секретная часть асимметричной ключевой пары для создания подписей, расшифрования данных или подтверждения владения ключом при аутентификации.

Запрет по умолчанию — политика контроля доступа, при которой разрешаются только явно разрешённые правилами обращения или действия, а всё остальное блокируется.

Защита LSA — функция Windows, запускающая процесс LSASS как защищённый процесс, чтобы ограничить загрузку неподписанных модулей и доступ других процессов к секретам аутентификации.

Защита от выполнения данных — механизм ОС и процессора, запрещающий запуск кода в областях памяти, помеченных как данные, чтобы затруднить эксплуатацию переполнений.

Зона firewalld — профиль доверия к сетевому подключению, связывающий интерфейсы или источники с набором разрешённых служб и правил фильтрации.

Событие с идентификатором 4625 — запись аудита в журнале безопасности Windows о неудачной попытке входа, содержащая сведения о причине и источнике.

Идентификатор события 4688 — запись журнала безопасности Windows о создании нового процесса, формируемая при аудите успешных событий Audit Process Creation.

Известно эксплуатируемая уязвимость — уязвимость с подтверждёнными данными об использовании в атаках, требующая приоритетной оценки и устранения.

Измеряемая загрузка — механизм доверенных вычислений, при котором хеши компонентов загрузки расширяют PCR TPM, а журнал измерений используют для локальной или удалённой аттестации.

Изоляция пространства имён — механизм ядра Linux, предоставляющий группе процессов отдельное представление системных ресурсов, например процессов, сети или точек монтирования.

Инвентаризация активов — процесс выявления и ведения учёта ИТ-активов, их владельцев, характеристик, состояния и значимости для организации.

Инфраструктура открытых ключей — совокупность ролей, правил и средств для выпуска, проверки, распространения, отзыва и управления цифровыми сертификатами и ключами.

Инцидент информационной безопасности — выявленное или обоснованно подозреваемое событие, нарушающее политику защиты либо создающее угрозу конфиденциальности, целостности или доступности.

Карантин — режим изоляции подозрительного или вредоносного объекта защитным средством, при котором его обычный запуск и доступ к нему ограничиваются.

Каталог KEV — поддерживаемый CISA перечень CVE-уязвимостей с подтверждённой эксплуатацией, используемый для приоритизации устранения рисков.

Ключ SSH — криптографический ключевой материал для протокола SSH, применяемый для подтверждения личности или проверки подлинности удалённого узла.

Ключ восстановления — резервный секрет для доступа к зашифрованным данным или учётной записи, применяемый при утрате обычного способа разблокировки.

Ключ хоста SSH — криптографическая ключевая пара сервера, которой SSH-служба подтверждает клиенту подлинность узла при установлении соединения.

Компенсирующий контроль — защитная мера, заменяющая недоступный основной контроль и снижающая тот же риск до приемлемого уровня при документированном обосновании.

Компрометация — нарушение защищённости актива, при котором произошли несанкционированный доступ или воздействие на его конфиденциальность, целостность либо доступность.

Компьютерная криминалистика — дисциплина сбора, сохранения, исследования и документирования цифровых доказательств с обеспечением их целостности и проверяемости.

Контекст SELinux — метка безопасности объекта или процесса, содержащая пользователя SELinux, роль, тип и уровень MLS/MCS; политика учитывает её при контроле доступа.

Контролируемый доступ к папкам — функция Microsoft Defender Antivirus, блокирующая изменение защищённых файлов приложениями, не признанными доверенными и не разрешёнными администратором.

Контроль учётных записей — механизм Windows, ограничивающий выполнение административных действий и запрашивающий повышение привилегий для процессов, которым требуются права администратора.

Контроль целостности файлов — механизм выявления изменений файлов и атрибутов сравнением с эталоном или регистрацией операций файловой системы.

Конфигурационное соответствие — степень, в которой фактические параметры ИТ-объекта отвечают утверждённой политике, шаблону или базовой линии.

Конфигурационный дрейф — накопившееся отклонение фактической конфигурации системы от утверждённого эталона вследствие несогласованных или незафиксированных изменений.

Корневой сертификат — самоподписанный сертификат центра сертификации, служащий верхней точкой доверия при проверке цепочек сертификатов.

Корреляция событий безопасности — анализ связанных записей из одного или нескольких источников для выявления общей цепочки действий, аномалии или признаков инцидента.

Криптографическая хеш-функция — функция, преобразующая данные произвольной длины в хеш фиксированной длины с практической стойкостью к поиску прообраза, второго прообраза и коллизий.

Криптомайнер — программа, выполняющая вычисления для добычи криптовалюты; её использование без разрешения владельца вычислительных ресурсов является криптоджекингом.

Критичность актива — оценка важности ИТ-актива для бизнеса по последствиям его отказа, компрометации или недоступности, определяющая приоритет защиты и восстановления.

Ложноположительное срабатывание — результат контроля безопасности, ошибочно отмечающий безопасное событие, файл или конфигурацию как угрозу либо нарушение.

Локальная политика безопасности — хранящиеся на компьютере параметры безопасности Windows, действующие для этого узла; доменные GPO могут переопределять конфликтующие настройки.

Мандатный контроль доступа — модель разграничения доступа, в которой операции разрешаются обязательной системной политикой, не изменяемой владельцем ресурса.

Межсетевой экран — средство контроля сетевого трафика, разрешающее или блокирующее его по правилам на границе или между сегментами сети.

Межсетевой экран с отслеживанием состояния — межсетевой экран, который сопоставляет пакеты с состоянием отслеживаемых соединений и потоков и применяет правила с учётом их контекста.

Метка безопасности SELinux — контекст, присваиваемый процессу, файлу или объекту, по которому политика SELinux разрешает или запрещает обращения.

Механизм закрепления — конфигурация, код или системный объект, позволяющий сохранять присутствие либо повторно получать доступ после выхода из сеанса, остановки процесса или перезагрузки.

Многоуровневая защита — стратегия построения нескольких независимых или взаимодополняющих защитных рубежей, чтобы отказ одного контроля не приводил к компрометации актива.

Многоуровневая защита SELinux — вариант политики SELinux, дополняющий контроль типов уровнями секретности и категориями для ограничения потоков данных между уровнями.

Многоуровневая политика SELinux — вариант политики SELinux, контролирующий доступ с учётом уровней и категорий конфиденциальности наряду с типами объектов.

Многофакторная аутентификация — метод проверки личности, требующий подтверждений из двух или более независимых факторов: знания, владения или биометрии.

Модель угроз — структурированное описание защищаемых активов, источников угроз, способов их реализации, уязвимостей и мер защиты, применяемое для обоснования требований безопасности.

Модуль политики SELinux — устанавливаемый компонент, добавляющий правила, типы, атрибуты или сопоставления файловых контекстов для конкретного ПО или сценария.

Набор nftables — типизированная коллекция значений, позволяющая сопоставлять адреса, порты или иные ключи без дублирования множества однотипных правил.

Набор шифров — согласуемая спецификация криптографических алгоритмов и параметров защищённого сеанса, определяющая аутентификацию, обмен ключами и защиту данных.

Неизменяемое правило аудита — управляющая настройка Linux Audit, блокирующая изменение активной конфигурации аудита до перезагрузки системы.

Неотказуемость — свойство системы, позволяющее с помощью проверяемых доказательств подтвердить событие или действие и участие в нём конкретного субъекта, чтобы он не мог обоснованно это отрицать.

Обнаружение аномалий — метод мониторинга, выявляющий отклонения метрик, событий или поведения от ожидаемого профиля, а не только совпадения с заранее заданным правилом.

Ограничение частоты запросов — механизм контроля нагрузки, ограничивающий число запросов от клиента или другого субъекта за заданный интервал.

Ограниченный языковой режим PowerShell — режим исполнения PowerShell, ограничивающий доступ скриптов к типам .NET, COM-объектам и опасным языковым конструкциям.

Одноразовый пароль — код аутентификации, рассчитанный на однократное использование или короткий срок действия и обычно применяемый как дополнительный фактор входа.

Окно обслуживания — согласованный интервал времени для плановых работ с ИТ-системой, когда допустимы ограничение функциональности, перезапуск или недоступность сервиса.

Окно экспозиции — период, в течение которого актив остаётся подвержен угрозе из-за уязвимости или недостаточного контроля, до устранения причины, изоляции либо применения защитной меры.

Остаточный риск — уровень риска, сохраняющийся после внедрения и применения мер защиты, включая технические, организационные и компенсирующие контроли.

Отзыв сертификата — прекращение доверия к действующему сертификату до истечения его срока, фиксируемое центром сертификации в CRL или через OCSP.

Отказ AVC — диагностическое сообщение SELinux о действии, не разрешённом политикой; обычно оно указывает субъект, объект, класс объекта и запрошенное разрешение.

Открытый ключ — несекретный ключ асимметричной пары, используемый в зависимости от алгоритма для проверки подписей, шифрования, аутентификации или согласования общего секрета.

Отпечаток ключа SSH — краткое представление хеша открытого SSH-ключа, используемое человеком или системой для проверки его соответствия ожидаемому ключу.

Отслеживание соединений в Linux — механизм Netfilter, ведущий записи о потоках и их состояниях для фильтрации с учётом состояния, NAT и правил, зависящих от направления трафика.

Парольная аутентификация — способ проверки личности, при котором пользователь подтверждает владение секретным паролем, передавая его или производное от него значение.

Парольная фраза — разновидность пароля из нескольких слов или длинной запоминаемой строки, используемая для аутентификации или защиты криптографических ключей.

Патч безопасности — обновление ПО, ОС или прошивки, устраняющее конкретную уязвимость либо снижающее риск её эксплуатации без обязательного изменения функциональности.

Перенаправление агента SSH — механизм SSH, предоставляющий удалённому хосту доступ к локальному агенту для подписи операций без копирования закрытого ключа на этот хост.

Перенаправление устройств RDP — функция протокола удалённого рабочего стола, предоставляющая сеансу доступ к выбранным ресурсам клиентского устройства через виртуальные каналы.

Пересылка событий Windows — механизм доставки записей журналов Windows с источников на сервер-коллектор по подпискам, без установки отдельного агента сбора.

Поведенческий анализ — метод обнаружения угроз по действиям объектов и их последовательностям с помощью правил, моделей и выявления отклонений от типичного профиля активности.

Поверхность атаки — совокупность точек, через которые можно воздействовать на систему или получить к ней доступ; включает интерфейсы, учётные записи, ПО и зависимости.

Подпись SMB — механизм проверки целостности и подлинности сообщений SMB, добавляющий криптографическую подпись к обмену между клиентом и файловым сервером.

Политика SELinux — набор правил мандатного контроля доступа, задающий допустимые действия доменов над объектами с метками безопасности.

Политика блокировки учётных записей — набор параметров аутентификации, задающий порог неверных входов, длительность блокировки и период сброса счётчика.

Политика информационной безопасности — утверждённый документ верхнего уровня, устанавливающий цели, принципы, роли и обязательные правила защиты информационных активов организации.

Политика межсетевого экрана — набор правил обработки сетевого трафика, определяющий разрешённые и запрещённые взаимодействия между зонами, узлами, сервисами и интерфейсами.

Политика паролей — набор обязательных правил создания, хранения, смены и проверки паролей учётных записей в информационной системе.

Полное шифрование диска — защита данных в состоянии покоя, при которой данные диска или тома шифруются на блочном уровне и становятся доступны после разблокировки.

Понижение версии протокола — атака, при которой нарушитель вынуждает стороны перейти на более старую или слабую версию протокола либо набор криптографических параметров.

Порядок обработки правил — механизм определения последовательности проверки правил политики, от которой зависит, какое совпавшее правило применит система безопасности.

Правило аудита — элемент конфигурации системы аудита, определяющий, какие события или операции подлежат регистрации и при каких условиях.

Правило межсетевого экрана — элемент политики фильтрации, задающий условия сопоставления трафика и действие над пакетами или соединениями.

Предзагрузочная аутентификация — проверка пользователя до запуска ОС, обычно для разблокировки ключа шифрования системного диска и продолжения загрузки.

Привилегированная учётная запись — учётная запись с правами управления системами, данными или политиками доступа, превышающими полномочия обычного пользователя.

Принцип наименьших привилегий — правило предоставления пользователю, службе или процессу только тех прав и на тот срок, которые необходимы для выполнения конкретной задачи.

Принятие риска — формальное решение владельца риска допустить остаточный риск без дополнительных мер либо после внедрения выбранных мер контроля.

Проброс портов SSH — передача TCP-подключений к заданному узлу и порту через зашифрованный SSH-сеанс в локальном, удалённом или динамическом режиме.

Проверка владения доменом — процедура подтверждения контроля над DNS-именем, обычно для выпуска сертификата, через DNS-запись, HTTP-файл, электронную почту или иной контрольный метод.

Проверка имени хоста — этап валидации TLS-сертификата, при котором имя целевого узла сопоставляется с DNS-именем или IP-адресом в SAN сертификата.

Проверка по требованию — запуск антивирусного сканирования администратором, заданием или API для выбранных объектов, в отличие от автоматической проверки при доступе.

Проверка при доступе — режим антивирусной защиты, при котором файл, объект или поток данных анализируется в момент обращения к нему системой или приложением.

Прозрачность сертификатов — механизм публичного аудита TLS-сертификатов через криптографически проверяемые журналы их выпуска, помогающий выявлять ошибочно выданные сертификаты.

Промежуточный сертификат — подписанный вышестоящим CA сертификат подчинённого центра, чей открытый ключ используется для проверки выпущенных им сертификатов в цепочке доверия.

Профиль AppArmor — набор правил мандатного контроля доступа, определяющий допустимые для конкретной программы операции с файлами, Linux capabilities и другими ресурсами.

Профиль брандмауэра Windows — набор параметров и правил, применяемых к сетевому подключению в зависимости от категории сети: доменной, частной или общедоступной.

Путевой контроль доступа — способ задания правил авторизации, при котором защищаемый ресурс выбирается по пути, например по пути URI или имени в файловой системе.

Разделение обязанностей — принцип контроля, при котором несовместимые функции критического процесса разделяют так, чтобы один субъект не мог единолично выполнить их все.

Расширенная политика аудита — механизм Windows, задающий детальные подкатегории аудита безопасности вместо общих категорий базовой политики аудита.

Режим AppArmor — состояние профиля контроля доступа в Linux: enforce блокирует нарушения, а complain регистрирует их, кроме действий, явно запрещённых правилами deny.

Режим Disabled SELinux — состояние, в котором политика SELinux не загружена и SELinux не проверяет и не ограничивает доступ.

Режим Permissive — режим SELinux, в котором потенциальные отказы не блокируют операции и фиксируются как AVC, если не подавлены правилами dontaudit; права Linux продолжают действовать.

Режим SELinux — состояние принудительного контроля доступа в Linux, определяющее применение политик: блокирование, только журналирование нарушений или полное отключение SELinux.

Режим complain — режим профиля AppArmor, в котором потенциальные нарушения регистрируются, но обычно не блокируются; исключение составляют явные правила deny.

Режим enforce AppArmor — режим принудительного применения профиля контроля доступа, в котором действия процесса, запрещённые профилем, блокируются и фиксируются в журнале.

Ролевой контроль доступа — модель авторизации, в которой разрешения назначаются ролям, а пользователи и сервисные учётные записи получают права через членство в ролях.

Роль SELinux — элемент политики RBAC, определяющий домены процессов, доступные SELinux-пользователю, и допустимые переходы между ролями.

Ротация ключей — управляемая замена криптографических ключей по сроку, событию или политике с переводом систем на новые ключи и выводом прежних из активного применения.

Руткит — набор компонентов, скрывающих присутствие и действия на скомпрометированной системе путём вмешательства в ОС, загрузочную цепочку или механизмы мониторинга.

Самоподписанный сертификат — сертификат X.509, подписанный закрытым ключом, соответствующим открытому ключу в самом сертификате; автоматически доверенным он не считается.

Сдерживание инцидента — этап реагирования, ограничивающий распространение атаки и доступ нарушителя до устранения причины, с сохранением данных для расследования.

Сервер управления (C2-сервер) — узел инфраструктуры атаки, через который вредоносные программы или иные импланты получают команды и передают результаты их выполнения.

Сертификат SSH — подписанный центром сертификации SSH объект, связывающий открытый ключ с идентичностью, сроком действия и правилами его применения.

Сертификат TLS — цифровой документ X.509, содержащий открытый ключ и идентификаторы субъекта и подписанный издателем; доверие к связи определяется цепочкой и политикой клиента.

Сертификат X.509 — цифровой документ стандартизированного формата, связывающий открытый ключ с субъектом и подписанный издателем: центром сертификации или самим субъектом.

Сертификат клиента — цифровой сертификат X.509, идентифицирующий пользователя, устройство или сервис при взаимной TLS-аутентификации перед сервером.

Сертификат с проверкой домена — TLS-сертификат, выдаваемый после подтверждения контроля над доменным именем без проверки юридической личности владельца домена.

Сертификат с проверкой организации — TLS-сертификат, при выпуске которого УЦ подтверждает контроль домена и проверяет сведения об организации, включаемые в данные субъекта.

Сетевая сегментация — архитектурное разделение сети на изолированные зоны с правилами межзонного обмена, ограничивающее область распространения инцидента.

Сетевая система обнаружения вторжений — средство мониторинга трафика, выявляющее признаки атак и нарушений политик без обязательного блокирования обнаруженных пакетов.

Сигнатура вредоносного ПО — машиночитаемый шаблон или правило для распознавания известного вредоносного объекта, его семейства либо характерной активности.

Сигнатура обнаружения — формализованное правило выявления угрозы, сопоставляющее события, трафик или файлы с известными признаками атаки или нарушения.

Сигнатурное обнаружение — метод выявления угроз по совпадению с заранее известными шаблонами, правилами или индикаторами вредоносной активности.

Сканер уязвимостей — средство автоматизированной проверки активов на известные уязвимости, ошибки конфигурации и несоответствие политикам безопасности.

Сканирование портов — метод активного исследования сети, определяющий доступность и состояние TCP/UDP-портов узла по результатам отправки сетевых проб.

Сканирование уязвимостей — автоматизированная проверка активов на известные уязвимости, небезопасные настройки и устаревшие компоненты по правилам сканера.

Служебная учётная запись — учётная запись для запуска приложений, служб или автоматизированных задач, а не для интерактивной работы конкретного пользователя.

Событие аудита — действие, попытка действия или изменение состояния, регистрируемое системой согласно политике аудита для последующей проверки.

Событие безопасности — наблюдаемое действие или изменение состояния системы либо сети, значимое для защиты; оно может быть штатным, связанным с ошибкой или подозрительным.

Соль пароля — уникальная дополнительная последовательность, включаемая в вычисление хеша пароля, чтобы одинаковые пароли не давали одинаковых хешей.

Состояние соединения — классификация пакета подсистемой отслеживания соединений: NEW, ESTABLISHED, RELATED, INVALID или UNTRACKED.

Список блокировки — набор идентификаторов, адресов или признаков, для которых политика явно запрещает действие, например подключение, доставку сообщения или доступ к ресурсу.

Список отзыва сертификатов — подписанный издателем CRL перечень сертификатов, признанных недействительными до истечения срока их действия.

Срок действия пароля — заданный политикой период использования пароля, после которого система требует его смены или прекращает аутентификацию с прежним значением.

Срок действия сертификата — интервал между полями Not Before и Not After, в пределах которого сертификат может считаться действующим при успешной проверке остальных условий.

Таблица iptables — логическая группа цепочек правил с общей задачей обработки пакетов, например фильтрацией, NAT или изменением служебных параметров пакета.

Таблица nftables — контейнер правил Netfilter для одного семейства протоколов, объединяющий цепочки, наборы и объекты обработки пакетов.

Тайм-аут неактивности — ограничение времени простоя сеанса, после которого система завершает или блокирует соединение при отсутствии заданной активности пользователя.

Тип входа Windows — числовое поле в событиях аудита входа, указывающее характер выполненного или запрошенного входа: интерактивного, сетевого, удалённого или служебного.

Транскрибирование PowerShell — функция журналирования, сохраняющая текстовый протокол ввода и вывода сеанса PowerShell в отдельный файл транскрипции.

Триаж инцидента — первичная оценка события безопасности для подтверждения инцидента, определения его приоритета, масштаба, потенциального ущерба и необходимых действий реагирования.

Удалённое выполнение кода — класс последствий уязвимости, при котором атакующий может запустить выбранный код на целевой системе через сеть или иной удалённый канал.

Управление ключами шифрования — процесс создания, хранения, распределения, ротации, отзыва и уничтожения ключей шифрования с контролем доступа и аудитом.

Управление патчами — процесс учёта, оценки, тестирования, развёртывания и контроля обновлений ПО и прошивок для снижения риска уязвимостей и сбоев.

Управление привилегированным доступом — комплекс процессов и средств для выдачи, контроля и аудита доступа к административным учётным записям и критическим системам.

Управление уязвимостями — непрерывный процесс выявления, оценки, приоритизации и устранения слабых мест ИТ-активов с контролем результата и остаточного риска.

Учётная запись root — привилегированная локальная учётная запись Unix-подобочной ОС с идентификатором UID 0, обладающая практически неограниченными системными правами.

Уязвимость — недостаток программного обеспечения, конфигурации или процесса, который при определённых условиях может быть использован для нарушения безопасности.

Уязвимость нулевого дня — дефект безопасности, для которого на момент публичного раскрытия или эксплуатации ещё нет доступного исправления от разработчика.

Файл authorized_keys — файл SSH на сервере со списком открытых ключей, которым разрешена аутентификация для конкретной учётной записи пользователя.

Файл known_hosts — клиентское хранилище ключей SSH-серверов, используемое для проверки подлинности узла при последующих подключениях к его имени или адресу.

Фильтр Fail2ban — набор регулярных выражений для выявления в журналах событий, учитываемых jail как неудачные попытки или иные нарушения.

Фильтрация исходящего трафика — контроль соединений из защищаемой сети наружу, ограничивающий разрешённые назначения, протоколы, сервисы и источники исходящих пакетов.

Фильтрация пакетов — способ контроля сетевого трафика по полям пакета и правилам, при необходимости дополненный отслеживанием состояния соединений.

Хеш пароля — результат одностороннего преобразования пароля, хранимый для проверки подлинности без сохранения исходного секретного значения в открытом виде.

Хранилище доверенных сертификатов — набор сертификатов и правил доверия, используемый системой или приложением при проверке цепочек сертификатов и цифровых подписей.

Центр сертификации — доверенная организация или сервис PKI, выпускающий и подписывающий сертификаты, чтобы связать открытые ключи с проверенными идентификаторами субъектов.

Центр сертификации SSH — доверенная сущность с ключом подписи, выпускающая SSH-сертификаты пользователей или хостов по заданной политике идентификации.

Централизованное журналирование — сбор и хранение журналов разных систем в общем сервисе для унифицированного поиска, контроля целостности и анализа.

Цепочка iptables — упорядоченный набор правил в одной из таблиц iptables, которые Netfilter последовательно проверяет при обработке пакета.

Цепочка nftables — упорядоченный контейнер правил обработки пакетов, запускаемый из точки перехвата сетевого стека (hook) или вызываемый из другой цепочки.

Цепочка сертификатов — последовательность от конечного сертификата через сертификаты центров сертификации к точке доверия, позволяющая проверить подписи и построить путь доверия.

Цепочка хранения доказательств — документированная история получения, передачи, хранения и анализа цифровых доказательств, позволяющая проследить их происхождение и оценить целостность.

Цифровая подпись — криптографический механизм подтверждения происхождения и целостности данных: подпись создают закрытым ключом и проверяют соответствующим открытым ключом.

Шифрование данных при передаче — защита сетевого обмена от чтения при перехвате; защищённые протоколы также обеспечивают контроль целостности и аутентификацию сторон.

Эвристический анализ — метод выявления потенциально вредоносных объектов по набору признаков и правилам, позволяющий обнаруживать ранее неизвестные варианты угроз без точной сигнатуры.

Эксплойт — код, программа или последовательность действий, использующие конкретную уязвимость для выполнения несанкционированного действия в целевой системе.

Эскалация привилегий — получение субъектом прав, превышающих исходно назначенные ему разрешения, вследствие уязвимости, ошибки настройки или злоупотребления доступом.

ACME — прикладной протокол автоматизации выпуска, продления и отзыва сертификатов, подтверждающий контроль заявителя над доменом или иным идентификатором.

AIDE — средство контроля целостности файлов Linux и Unix, сравнивающее текущее состояние файловой системы с заранее созданной доверенной базой атрибутов и хешей.

AMSI — интерфейс Windows, через который интегрированные приложения передают содержимое скриптов, макросов и другие данные зарегистрированному средству защиты для проверки.

ASLR — механизм случайного размещения областей адресного пространства процесса, затрудняющий эксплуатацию уязвимостей с заранее известными адресами кода и данных.

Allowlist — перечень разрешающих записей или правил: система допускает только те субъекты, объекты, действия или значения, которые им соответствуют.

AppArmor — система мандатного контроля доступа Linux, ограничивающая программы профилями; профиль обычно выбирается по пути исполняемого файла, а файловые правила сопоставляются с путями.

AppLocker — встроенный механизм контроля запуска в Windows, разрешающий или запрещающий файлы по данным издателя, пути или хешу, а упакованные приложения — по атрибутам пакета.

Правила Attack Surface Reduction (ASR) — набор правил Microsoft Defender Antivirus для Windows, блокирующих или аудирующих рискованные действия приложений, документов и сценариев.

BitLocker — технология шифрования томов Windows, защищающая данные от автономного доступа при выключенном устройстве или извлечении накопителя.

Brute force — атака, при которой систематически проверяют варианты пароля, ключа или иного секрета через сервис либо по данным для автономной проверки.

CIS Benchmark — набор рекомендаций CIS по безопасной конфигурации конкретной ОС, платформы или сервиса с проверяемыми параметрами и уровнями жёсткости.

CIS Controls — набор приоритетных мер кибербезопасности от Center for Internet Security, предназначенный для поэтапного снижения типовых рисков.

CPE — стандартизированная схема именования ИТ-продуктов и платформ, применяемая для сопоставления инвентаря с записями об уязвимостях и правилами проверки.

CSR — запрос на выпуск сертификата, содержащий открытый ключ и сведения о субъекте, подписанные соответствующим закрытым ключом для подтверждения владения ключевой парой.

CVE — система идентификаторов публично раскрытых киберуязвимостей, присваивающая каждой записи уникальный номер для сопоставления бюллетеней, сканеров и исправлений.

CVSS — стандартная система оценки серьёзности уязвимостей, вычисляющая балл от 0,0 до 10,0 по техническим характеристикам атаки, её последствиям и контексту среды.

CWE — классификация типов слабостей программного и аппаратного обеспечения, позволяющая соотносить конкретные уязвимости с их классами, а не каталог самих уязвимостей.

Certbot — ACME-клиент с открытым исходным кодом для запроса, установки и продления TLS-сертификатов; он автоматизирует проверку домена и операции с ключами.

ClamAV — антивирусный движок с открытым исходным кодом, предназначенный главным образом для проверки файлов и почтовых вложений по обновляемым сигнатурным базам.

Credential Guard — функция Windows, изолирующая учётные данные и производные секреты с помощью виртуализации, чтобы ограничить их извлечение из процессов ОС.

DNS-01 — тип проверки контроля домена в ACME, при котором центр сертификации сверяет TXT-запись _acme-challenge со значением, вычисленным из токена и ключа учётной записи ACME.

dm-crypt — криптографическая цель Linux Device Mapper, создающая блочное устройство с прозрачным шифрованием данных на нижележащем диске или разделе.

ECDHE — механизм согласования ключей на эллиптических кривых с эфемерными ключевыми парами, поддерживающий прямую секретность при последующей компрометации долгосрочного ключа.

EDR — класс систем защиты конечных точек, которые собирают телеметрию, выявляют подозрительную активность и помогают расследовать и сдерживать инциденты.

EPSS — модель оценки вероятности эксплуатации CVE в ближайшие 30 дней, помогающая приоритизировать устранение уязвимостей наряду с их влиянием на активы.

Ed25519 — алгоритм цифровой подписи на эллиптической кривой edwards25519, использующий 32-байтный открытый ключ и 64-байтную подпись; он не предназначен для шифрования.

Exploit Protection — набор настраиваемых системных и прикладных мер защиты Windows, затрудняющих эксплуатацию уязвимостей, прежде всего связанных с повреждением памяти.

FIDO2 — набор стандартов аутентификации с открытым ключом, поддерживающий беспарольный вход и дополнительный фактор; он включает WebAuthn и CTAP.

Fail2Ban — средство автоматического реагирования на повторяющиеся события в журналах служб, выполняющее заданные действия, обычно временную блокировку IP-адреса, по настроенным фильтрам.

Jail Fail2ban — профиль защиты службы, связывающий фильтр журналов с условиями блокировки и действием, например добавлением адреса в firewall.

firewalld — служба управления межсетевым экраном в Linux, применяющая правила через зоны, сервисы и политики без прямого редактирования полного набора правил.

HTTP-01 — тип проверки владения доменом в ACME, при котором центр сертификации запрашивает специальный HTTP-ресурс на проверяемом имени.

IDS — система обнаружения вторжений, анализирующая сетевой трафик или события хоста и формирующая оповещения о признаках атак без обязательной блокировки.

IOC — наблюдаемый технический признак возможной или подтверждённой компрометации: хеш файла, IP-адрес, домен, путь, ключ реестра или иной артефакт.

IPS — система предотвращения вторжений, выявляющая атаки в сетевом трафике или на узле и автоматически блокирующая вредоносную активность по правилам безопасности.

iptables — утилита Linux для управления правилами пакетной фильтрации Netfilter через таблицы, цепочки и цели; это не самостоятельный межсетевой экран.

Just Enough Administration — модель делегированного администрирования PowerShell, предоставляющая пользователю только заданные команды, параметры и права для конкретной задачи.

LSASS — системный процесс Windows, реализующий локальную политику безопасности, проверку учётных данных, создание маркеров доступа и работу пакетов аутентификации.

LUKS — формат управления ключами для шифрования блочных устройств Linux, обычно используемый поверх dm-crypt и поддерживающий несколько слотов ключей.

Let’s Encrypt — публичный центр сертификации, выпускающий сертификаты TLS после автоматизированной проверки контроля над доменным именем по протоколу ACME.

Linux Audit Framework — подсистема аудита Linux, регистрирующая заданные события ядра и ОС в структурированных записях для расследований, контроля доступа и соответствия требованиям.

Linux Security Modules — каркас ядра Linux для подключения модулей контроля доступа, перехватывающих операции с объектами системы по заданным политикам.

Linux capabilities — механизм разбиения привилегий root на независимые полномочия, которые ядро проверяет при выполнении чувствительных операций.

Live patching — технология применения исправлений к работающей ОС, обычно к ядру, без штатной перезагрузки; поддерживает только изменения, совместимые с механизмом патчинга.

Lynis — инструмент аудита защищённости Unix-подобных систем, проверяющий настройки ОС и служб по набору тестов и выдающий рекомендации по усилению конфигурации.

auditd — служба Linux Audit, принимающая от ядра сообщения аудита, в том числе отобранные по правилам, и записывающая их в журнал для расследований, анализа доступа и проверки соответствия.

Microsoft Defender Antivirus — антивирусный компонент защиты Windows, выявляющий вредоносные файлы и действия по сигнатурам, эвристике и облачной репутации.

Microsoft Defender Firewall — встроенный в Windows межсетевой экран, фильтрующий входящие и исходящие соединения по правилам, профилям сети и параметрам трафика.

Microsoft Defender for Endpoint — облачная EDR-платформа Microsoft для защиты конечных точек, анализа телеметрии, расследования инцидентов и выполнения ответных действий.

Microsoft Security Baselines — набор рекомендуемых параметров защиты для конкретных версий продуктов Microsoft, публикуемый как основа для безопасной типовой конфигурации.

mTLS — режим TLS, в котором сервер и клиент подтверждают личности сертификатами X.509, а не только сервер предъявляет сертификат клиенту.

NLA — механизм предварительной аутентификации RDP, проверяющий учётные данные пользователя до создания полного удалённого графического сеанса.

NTLM — семейство протоколов аутентификации Microsoft с механизмом запрос—ответ, применяемое в Windows для подтверждения учётных данных без передачи пароля в открытом виде.

NX-бит — атрибут записи таблицы страниц, запрещающий выполнение инструкций из соответствующей страницы; ОС использует его для отделения исполняемого кода от данных.

Netfilter — подсистема ядра Linux для перехвата и обработки сетевых пакетов в контрольных точках стека; правила iptables и nftables используют её механизмы.

nftables — подсистема Linux и интерфейс управления правилами Netfilter, использующие единый набор правил, выражения, множества и атомарное обновление конфигурации.

OCSP — сетевой протокол для запроса статуса отдельного X.509-сертификата у OCSP-респондера без загрузки списка отозванных сертификатов (CRL).

OpenSCAP — набор открытых инструментов и библиотек для обработки SCAP-контента, оценки конфигураций и формирования отчётов о соответствии заданным правилам.

OpenSSH — свободный набор клиентских и серверных средств SSH для защищённого удалённого доступа, передачи файлов и туннелирования TCP-соединений.

OpenSSL — программная криптографическая библиотека и набор утилит для реализации TLS, управления сертификатами, ключами, хешированием и другими криптографическими операциями.

OpenVAS — сканирующий компонент Greenbone Vulnerability Management (GVM), выявляющий известные уязвимости и небезопасные настройки доступных ИТ-активов.

PAM — модульная подсистема Unix-подобных ОС, через которую совместимые службы применяют правила аутентификации, проверки учётной записи, смены паролей и управления сеансами.

PEM — текстовый формат представления криптографических объектов в Base64 между строками BEGIN/END с меткой типа объекта; он не задаёт алгоритм шифрования или тип ключа.

PKCS#12 — бинарный контейнер для закрытого ключа, сертификата и цепочки УЦ, обычно защищаемый паролем; файлы формата имеют расширения .p12 или .pfx.

Password spraying — метод подбора учётных данных, при котором небольшое число распространённых паролей проверяют для множества учётных записей с ограниченной частотой попыток.

Perfect Forward Secrecy — свойство криптосеанса, при котором компрометация долгосрочного ключа не позволяет расшифровать ранее записанный трафик без сеансовых ключей.

Port knocking — метод скрытия сетевой службы, при котором доступ к закрытому порту открывается для клиента после заданной последовательности сетевых пакетов.

RDP — протокол удалённого доступа к графическому сеансу Windows, передающий экран, ввод и перенаправляемые ресурсы между клиентом и хостом.

RSA — асимметричный криптографический алгоритм, стойкость которого связывают со сложностью факторизации больших чисел; применяется для цифровых подписей, шифрования и транспорта ключей.

Ransomware — вредоносная программа, которая блокирует доступ к данным или системам и требует выкуп; обычно применяет шифрование, но не сводится к нему.

Remote Credential Guard — режим защиты учётных данных в RDP, при котором пароль и производные секреты пользователя не передаются на удалённый компьютер.

Restricted Admin Mode — режим RDP, при котором удалённому компьютеру не делегируются повторно используемые учётные данные подключившегося пользователя.

Boolean SELinux — именованный логический параметр, от значения которого зависит применение предусмотренных политикой SELinux условных правил без изменения их исходного текста.

Hardening — процесс усиления защищённости системы через отключение лишних функций, ограничение доступа и настройку безопасных параметров для снижения доступной поверхности атаки.

SCAP — семейство открытых спецификаций для машиночитаемого описания уязвимостей, конфигураций и результатов проверок соответствия требованиям безопасности.

SELinux — подсистема мандатного контроля доступа Linux, применяющая политики и метки безопасности для ограничения действий процессов сверх обычных прав Unix.

SIEM — класс систем централизованного сбора, нормализации и корреляции событий безопасности для выявления инцидентов, расследования и отчётности.

SNI — расширение TLS, в котором клиент передаёт имя целевого хоста в ClientHello, позволяя серверу выбрать сертификат и TLS-конфигурацию до HTTP-запроса.

SSH-агент — фоновый процесс, хранящий закрытые SSH-ключи в памяти и выполняющий операции подписи по запросу клиента без повторного ввода ключевой фразы.

SSL — устаревшее семейство протоколов защиты сетевых соединений, предшествующее TLS; версии SSL 2.0 и SSL 3.0 не следует включать в рабочих конфигурациях.

Script Block Logging — механизм журналирования PowerShell, записывающий текст блоков сценариев, обрабатываемых движком, включая динамически сформированный код.

Seccomp — механизм ядра Linux для ограничения системных вызовов процесса, обычно через фильтр, разрешающий только операции, необходимые приложению.

Subject Alternative Name — расширение X.509-сертификата, содержащее DNS-имена, IP-адреса, URI и другие идентификаторы, с которыми связывается открытый ключ.

Sudoers — конфигурационная политика sudo, определяющая, какие пользователи и группы могут запускать команды от имени других учётных записей.

Suricata — движок сетевой безопасности с открытым исходным кодом для IDS/IPS-анализа, протокольного журналирования и сопоставления трафика с правилами.

Sysmon — компонент Sysinternals для Windows, записывающий в журнал событий детализированную телеметрию о процессах, сетевых соединениях и операциях с файлами и реестром.

sshd_config — конфигурационный файл или набор настроек SSH-сервера OpenSSH, определяющий параметры прослушивания, аутентификации, доступа и криптографических алгоритмов.

TLS — криптографический протокол защиты прикладных данных при передаче по сети, обеспечивающий их конфиденциальность и целостность, а также аутентификацию сервера и, при настройке, клиента.

TLS 1.0 — устаревшая версия протокола защиты транспортного соединения, определённая RFC 2246 и выведенная из употребления RFC 8996 из-за известных ограничений безопасности.

TLS 1.1 — версия криптографического протокола защиты транспортных соединений, устаревшая и запрещённая современными рекомендациями из-за известных ограничений безопасности.

TLS 1.2 — версия криптографического протокола защиты транспортных соединений, поддерживающая согласование современных наборов шифров и проверку сертификата сервера.

TLS 1.3 — актуальная версия протокола защиты транспортных соединений, исключающая ряд устаревших алгоритмов и сокращающая число этапов криптографического рукопожатия.

TLS handshake — начальный обмен сообщениями TLS: стороны согласуют версию и криптопараметры, формируют ключи сеанса и обычно аутентифицируют сервер, а при mTLS — также клиента.

TOTP — алгоритм одноразовых паролей, вычисляющий код из общего секрета и текущего времени; код действует в пределах заданного временного шага.

TPM — аппаратный либо реализованный в защищённой среде платформы криптографический модуль, который защищает ключи и хранит значения PCR, формируемые по измерениям загрузки.

Targeted policy — вариант политики SELinux, в котором обязательный контроль доступа применяется к выбранным системным службам, а остальные процессы обычно работают в домене unconfined.

Type Enforcement — модель мандатного контроля доступа, в которой правила разрешают действия процессов определённых типов над объектами заданных типов.

UFW — утилита упрощённого управления правилами межсетевого экрана в Linux, создающая правила Netfilter по командам высокого уровня.

unattended-upgrades — пакет Debian и производных дистрибутивов для автоматической установки выбранных обновлений по заданным правилам, обычно исправлений безопасности.

Web shell — серверный веб-скрипт или приложение, принимающее команды через HTTP(S) и выполняющее их с правами процесса, обрабатывающего запрос.

Wildcard-сертификат — сертификат X.509 для TLS с wildcard-идентификатором DNS в SAN, обычно охватывающим имена с одной меткой перед базовым доменом.

Windows Defender Application Control (ныне App Control for Business) — механизм Windows, который по правилам доверия разрешает код и в режиме принудительного применения блокирует остальной.

X.509 — стандарт инфраструктуры открытых ключей, задающий структуру цифровых сертификатов и правила связывания открытого ключа с субъектом.

Zero Trust — модель безопасности, в которой доступ предоставляют после явной проверки субъекта, устройства и контекста запроса, а не на основании нахождения во внутренней сети.