Глоссарий

Абстракция AppArmor — подключаемый набор повторно используемых правил профиля, описывающий типовой доступ приложения к файлам и системным ресурсам.

Алгоритм обмена ключами — криптографический механизм согласования или передачи общего секрета между сторонами, обычно для последующего симметричного шифрования сеанса.

Антивирусное исключение — правило, выводящее объекты или операции из-под механизмов проверки по пути, расширению, процессу либо иному критерию.

Антималварная защита — комплекс средств безопасности для выявления, блокирования и удаления вредоносного ПО на конечных устройствах, серверах и в почтовом трафике.

Атака с подстановкой учётных данных — автоматизированная проверка утекших пар логин—пароль на других сервисах в расчёте на повторное использование паролей.

Аудиторский след — упорядоченный по времени набор записей о действиях и изменениях, позволяющий установить, кто, когда, над чем и с каким результатом выполнил операцию, а также откуда поступил запрос.

Аутентификация по открытому ключу — способ входа в SSH, при котором сервер проверяет подпись клиента по заранее разрешённому открытому ключу, а не по паролю.

Аутентифицированное сканирование — проверка уязвимостей с учётными данными, анализирующая конфигурацию и версии ПО изнутри целевой системы.

Бастионный хост — специально защищённый промежуточный сервер, через который ограничивают и контролируют административный доступ к системам в изолированных сегментах сети.

Бит setuid — специальный бит прав Unix, при котором исполняемый файл запускается с эффективным UID владельца файла, а не запустившего пользователя.

Блокировка учётной записи — временное или административное запрещение входа для аккаунта, обычно после заданного числа неудачных попыток аутентификации.

Бэкдор — скрытый механизм обхода штатной аутентификации или контроля доступа, позволяющий получить доступ к системе, данным либо функциям в обход предусмотренных процедур.

Вектор атаки — путь или способ, которым атакующий получает первоначальный доступ, доставляет вредоносный код либо воздействует на целевую систему.

Виртуальный патч — компенсирующая защита, блокирующая попытки эксплуатации известной уязвимости правилами WAF, IPS, EDR или иного средства без изменения уязвимого кода.

Доверие при первом использовании — модель доверия, при которой неизвестный ключ принимается при первом контакте, а его последующая смена считается подозрительной.

Доказательство осуществимости — проверочный прототип или сценарий, подтверждающий практическую реализуемость решения либо возможность эксплуатации конкретной уязвимости.

Журнал AVC — записи аудита SELinux о решениях Access Vector Cache, прежде всего об отказах доступа по действующей политике безопасности.

Журнал аудита — защищаемая совокупность записей о значимых действиях и изменениях с указанием времени, субъекта, объекта, результата и контекста для расследования и контроля.

Журнал аутентификации — набор записей о попытках подтверждения личности, их результатах и данных, необходимых для расследования и контроля доступа.

Журнал безопасности Windows — системный журнал событий, фиксирующий результаты аудита входов, доступа к объектам, изменений политик и привилегий в Windows.

Защита от выполнения данных — механизм ОС и процессора, запрещающий запуск кода в областях памяти, помеченных как данные, чтобы затруднить эксплуатацию переполнений.

Зона firewalld — профиль доверия к сетевому подключению, связывающий интерфейсы или источники с набором разрешённых служб и правил фильтрации.

Событие с идентификатором 4625 — запись аудита в журнале безопасности Windows о неудачной попытке входа, содержащая сведения о причине и источнике.

Идентификатор события 4688 — запись журнала безопасности Windows о создании нового процесса, формируемая при аудите успешных событий Audit Process Creation.

Известно эксплуатируемая уязвимость — уязвимость с подтверждёнными данными об использовании в атаках, требующая приоритетной оценки и устранения.

Изоляция пространства имён — механизм ядра Linux, предоставляющий группе процессов отдельное представление системных ресурсов, например процессов, сети или точек монтирования.

Инвентаризация активов — процесс выявления и ведения учёта ИТ-активов, их владельцев, характеристик, состояния и значимости для организации.

Инцидент информационной безопасности — выявленное или обоснованно подозреваемое событие, нарушающее политику защиты либо создающее угрозу конфиденциальности, целостности или доступности.

Ключ SSH — криптографический ключевой материал для протокола SSH, применяемый для подтверждения личности или проверки подлинности удалённого узла.

Ключ восстановления — резервный секрет для доступа к зашифрованным данным или учётной записи, применяемый при утрате обычного способа разблокировки.

Ключ хоста SSH — криптографическая ключевая пара сервера, которой SSH-служба подтверждает клиенту подлинность узла при установлении соединения.

Компрометация — нарушение защищённости актива, при котором произошли несанкционированный доступ или воздействие на его конфиденциальность, целостность либо доступность.

Контролируемый доступ к папкам — функция Microsoft Defender Antivirus, блокирующая изменение защищённых файлов приложениями, не признанными доверенными и не разрешёнными администратором.

Контроль целостности файлов — механизм выявления изменений файлов и атрибутов сравнением с эталоном или регистрацией операций файловой системы.

Конфигурационное соответствие — степень, в которой фактические параметры ИТ-объекта отвечают утверждённой политике, шаблону или базовой линии.

Конфигурационный дрейф — накопившееся отклонение фактической конфигурации системы от утверждённого эталона вследствие несогласованных или незафиксированных изменений.

Криптомайнер — программа, выполняющая вычисления для добычи криптовалюты; её использование без разрешения владельца вычислительных ресурсов является криптоджекингом.

Критичность актива — оценка важности ИТ-актива для бизнеса по последствиям его отказа, компрометации или недоступности, определяющая приоритет защиты и восстановления.

Ложноположительное срабатывание — результат контроля безопасности, ошибочно отмечающий безопасное событие, файл или конфигурацию как угрозу либо нарушение.

Локальная политика безопасности — хранящиеся на компьютере параметры безопасности Windows, действующие для этого узла; доменные GPO могут переопределять конфликтующие настройки.

Межсетевой экран — средство контроля сетевого трафика, разрешающее или блокирующее его по правилам на границе или между сегментами сети.

Межсетевой экран с отслеживанием состояния — межсетевой экран, который сопоставляет пакеты с состоянием отслеживаемых соединений и потоков и применяет правила с учётом их контекста.

Многофакторная аутентификация — метод проверки личности, требующий подтверждений из двух или более независимых факторов: знания, владения или биометрии.

Модель угроз — структурированное описание защищаемых активов, источников угроз, способов их реализации, уязвимостей и мер защиты, применяемое для обоснования требований безопасности.

Набор шифров — согласуемая спецификация криптографических алгоритмов и параметров защищённого сеанса, определяющая аутентификацию, обмен ключами и защиту данных.

Ограничение частоты запросов — механизм контроля нагрузки, ограничивающий число запросов от клиента или другого субъекта за заданный интервал.

Одноразовый пароль — код аутентификации, рассчитанный на однократное использование или короткий срок действия и обычно применяемый как дополнительный фактор входа.

Окно обслуживания — согласованный интервал времени для плановых работ с ИТ-системой, когда допустимы ограничение функциональности, перезапуск или недоступность сервиса.

Окно экспозиции — период, в течение которого актив остаётся подвержен угрозе из-за уязвимости или недостаточного контроля, до устранения причины, изоляции либо применения защитной меры.

Остаточный риск — уровень риска, сохраняющийся после внедрения и применения мер защиты, включая технические, организационные и компенсирующие контроли.

Отзыв сертификата — прекращение доверия к действующему сертификату до истечения его срока, фиксируемое центром сертификации в CRL или через OCSP.

Отпечаток ключа SSH — краткое представление хеша открытого SSH-ключа, используемое человеком или системой для проверки его соответствия ожидаемому ключу.

Патч безопасности — обновление ПО, ОС или прошивки, устраняющее конкретную уязвимость либо снижающее риск её эксплуатации без обязательного изменения функциональности.

Перенаправление устройств RDP — функция протокола удалённого рабочего стола, предоставляющая сеансу доступ к выбранным ресурсам клиентского устройства через виртуальные каналы.

Пересылка событий Windows — механизм доставки записей журналов Windows с источников на сервер-коллектор по подпискам, без установки отдельного агента сбора.

Поверхность атаки — совокупность точек, через которые можно воздействовать на систему или получить к ней доступ; включает интерфейсы, учётные записи, ПО и зависимости.

Подпись SMB — механизм проверки целостности и подлинности сообщений SMB, добавляющий криптографическую подпись к обмену между клиентом и файловым сервером.

Политика блокировки учётных записей — набор параметров аутентификации, задающий порог неверных входов, длительность блокировки и период сброса счётчика.

Политика межсетевого экрана — набор правил обработки сетевого трафика, определяющий разрешённые и запрещённые взаимодействия между зонами, узлами, сервисами и интерфейсами.

Полное шифрование диска — защита данных в состоянии покоя, при которой данные диска или тома шифруются на блочном уровне и становятся доступны после разблокировки.

Порядок обработки правил — механизм определения последовательности проверки правил политики, от которой зависит, какое совпавшее правило применит система безопасности.

Правило аудита — элемент конфигурации системы аудита, определяющий, какие события или операции подлежат регистрации и при каких условиях.

Правило межсетевого экрана — элемент политики фильтрации, задающий условия сопоставления трафика и действие над пакетами или соединениями.

Предзагрузочная аутентификация — проверка пользователя до запуска ОС, обычно для разблокировки ключа шифрования системного диска и продолжения загрузки.

Привилегированная учётная запись — учётная запись с правами управления системами, данными или политиками доступа, превышающими полномочия обычного пользователя.

Проброс портов SSH — передача TCP-подключений к заданному узлу и порту через зашифрованный SSH-сеанс в локальном, удалённом или динамическом режиме.

Проверка имени хоста — этап валидации TLS-сертификата, при котором имя целевого узла сопоставляется с DNS-именем или IP-адресом в SAN сертификата.

Проверка при доступе — режим антивирусной защиты, при котором файл, объект или поток данных анализируется в момент обращения к нему системой или приложением.

Прозрачность сертификатов — механизм публичного аудита TLS-сертификатов через криптографически проверяемые журналы их выпуска, помогающий выявлять ошибочно выданные сертификаты.

Профиль AppArmor — набор правил мандатного контроля доступа, определяющий допустимые для конкретной программы операции с файлами, Linux capabilities и другими ресурсами.

Профиль брандмауэра Windows — набор параметров и правил, применяемых к сетевому подключению в зависимости от категории сети: доменной, частной или общедоступной.

Путевой контроль доступа — способ задания правил авторизации, при котором защищаемый ресурс выбирается по пути, например по пути URI или имени в файловой системе.

Разделение обязанностей — принцип контроля, при котором несовместимые функции критического процесса разделяют так, чтобы один субъект не мог единолично выполнить их все.

Режим AppArmor — состояние профиля контроля доступа в Linux: enforce блокирует нарушения, а complain регистрирует их, кроме действий, явно запрещённых правилами deny.

Режим Disabled SELinux — состояние, в котором политика SELinux не загружена и SELinux не проверяет и не ограничивает доступ.

Режим Permissive — режим SELinux, в котором потенциальные отказы не блокируют операции и фиксируются как AVC, если не подавлены правилами dontaudit; права Linux продолжают действовать.

Режим SELinux — состояние принудительного контроля доступа в Linux, определяющее применение политик: блокирование, только журналирование нарушений или полное отключение SELinux.

Режим complain — режим профиля AppArmor, в котором потенциальные нарушения регистрируются, но обычно не блокируются; исключение составляют явные правила deny.

Ролевой контроль доступа — модель авторизации, в которой разрешения назначаются ролям, а пользователи и сервисные учётные записи получают права через членство в ролях.

Сдерживание инцидента — этап реагирования, ограничивающий распространение атаки и доступ нарушителя до устранения причины, с сохранением данных для расследования.

Сертификат TLS — цифровой документ X.509, содержащий открытый ключ и идентификаторы субъекта и подписанный издателем; доверие к связи определяется цепочкой и политикой клиента.

Сертификат X.509 — цифровой документ стандартизированного формата, связывающий открытый ключ с субъектом и подписанный издателем: центром сертификации или самим субъектом.

Сертификат клиента — цифровой сертификат X.509, идентифицирующий пользователя, устройство или сервис при взаимной TLS-аутентификации перед сервером.

Сертификат с проверкой организации — TLS-сертификат, при выпуске которого УЦ подтверждает контроль домена и проверяет сведения об организации, включаемые в данные субъекта.

Сетевая сегментация — архитектурное разделение сети на изолированные зоны с правилами межзонного обмена, ограничивающее область распространения инцидента.

Сигнатура вредоносного ПО — машиночитаемый шаблон или правило для распознавания известного вредоносного объекта, его семейства либо характерной активности.

Сигнатура обнаружения — формализованное правило выявления угрозы, сопоставляющее события, трафик или файлы с известными признаками атаки или нарушения.

Сигнатурное обнаружение — метод выявления угроз по совпадению с заранее известными шаблонами, правилами или индикаторами вредоносной активности.

Сканер уязвимостей — средство автоматизированной проверки активов на известные уязвимости, ошибки конфигурации и несоответствие политикам безопасности.

Сканирование портов — метод активного исследования сети, определяющий доступность и состояние TCP/UDP-портов узла по результатам отправки сетевых проб.

Сканирование уязвимостей — автоматизированная проверка активов на известные уязвимости, небезопасные настройки и устаревшие компоненты по правилам сканера.

Служебная учётная запись — учётная запись для запуска приложений, служб или автоматизированных задач, а не для интерактивной работы конкретного пользователя.

Список блокировки — набор идентификаторов, адресов или признаков, для которых политика явно запрещает действие, например подключение, доставку сообщения или доступ к ресурсу.

Список отзыва сертификатов — подписанный издателем CRL перечень сертификатов, признанных недействительными до истечения срока их действия.

Срок действия пароля — заданный политикой период использования пароля, после которого система требует его смены или прекращает аутентификацию с прежним значением.

Таблица iptables — логическая группа цепочек правил с общей задачей обработки пакетов, например фильтрацией, NAT или изменением служебных параметров пакета.

Таблица nftables — контейнер правил Netfilter для одного семейства протоколов, объединяющий цепочки, наборы и объекты обработки пакетов.

Тип входа Windows — числовое поле в событиях аудита входа, указывающее характер выполненного или запрошенного входа: интерактивного, сетевого, удалённого или служебного.

Триаж инцидента — первичная оценка события безопасности для подтверждения инцидента, определения его приоритета, масштаба, потенциального ущерба и необходимых действий реагирования.

Управление патчами — процесс учёта, оценки, тестирования, развёртывания и контроля обновлений ПО и прошивок для снижения риска уязвимостей и сбоев.

Управление уязвимостями — непрерывный процесс выявления, оценки, приоритизации и устранения слабых мест ИТ-активов с контролем результата и остаточного риска.

Уязвимость — недостаток программного обеспечения, конфигурации или процесса, который при определённых условиях может быть использован для нарушения безопасности.

Файл authorized_keys — файл SSH на сервере со списком открытых ключей, которым разрешена аутентификация для конкретной учётной записи пользователя.

Файл known_hosts — клиентское хранилище ключей SSH-серверов, используемое для проверки подлинности узла при последующих подключениях к его имени или адресу.

Фильтр Fail2ban — набор регулярных выражений для выявления в журналах событий, учитываемых jail как неудачные попытки или иные нарушения.

Фильтрация исходящего трафика — контроль соединений из защищаемой сети наружу, ограничивающий разрешённые назначения, протоколы, сервисы и источники исходящих пакетов.

Хранилище доверенных сертификатов — набор сертификатов и правил доверия, используемый системой или приложением при проверке цепочек сертификатов и цифровых подписей.

Центр сертификации — доверенная организация или сервис PKI, выпускающий и подписывающий сертификаты, чтобы связать открытые ключи с проверенными идентификаторами субъектов.

Централизованное журналирование — сбор и хранение журналов разных систем в общем сервисе для унифицированного поиска, контроля целостности и анализа.

Цепочка nftables — упорядоченный контейнер правил обработки пакетов, запускаемый из точки перехвата сетевого стека (hook) или вызываемый из другой цепочки.

Цепочка сертификатов — последовательность от конечного сертификата через сертификаты центров сертификации к точке доверия, позволяющая проверить подписи и построить путь доверия.

Шифрование данных при передаче — защита сетевого обмена от чтения при перехвате; защищённые протоколы также обеспечивают контроль целостности и аутентификацию сторон.

Эвристический анализ — метод выявления потенциально вредоносных объектов по набору признаков и правилам, позволяющий обнаруживать ранее неизвестные варианты угроз без точной сигнатуры.

Эксплойт — код, программа или последовательность действий, использующие конкретную уязвимость для выполнения несанкционированного действия в целевой системе.

ASLR — механизм случайного размещения областей адресного пространства процесса, затрудняющий эксплуатацию уязвимостей с заранее известными адресами кода и данных.

AppLocker — встроенный механизм контроля запуска в Windows, разрешающий или запрещающий файлы по данным издателя, пути или хешу, а упакованные приложения — по атрибутам пакета.

BitLocker — технология шифрования томов Windows, защищающая данные от автономного доступа при выключенном устройстве или извлечении накопителя.

CIS Benchmark — набор рекомендаций CIS по безопасной конфигурации конкретной ОС, платформы или сервиса с проверяемыми параметрами и уровнями жёсткости.

CIS Controls — набор приоритетных мер кибербезопасности от Center for Internet Security, предназначенный для поэтапного снижения типовых рисков.

CPE — стандартизированная схема именования ИТ-продуктов и платформ, применяемая для сопоставления инвентаря с записями об уязвимостях и правилами проверки.

CVSS — стандартная система оценки серьёзности уязвимостей, вычисляющая балл от 0,0 до 10,0 по техническим характеристикам атаки, её последствиям и контексту среды.

Certbot — ACME-клиент с открытым исходным кодом для запроса, установки и продления TLS-сертификатов; он автоматизирует проверку домена и операции с ключами.

ClamAV — антивирусный движок с открытым исходным кодом, предназначенный главным образом для проверки файлов и почтовых вложений по обновляемым сигнатурным базам.

DNS-01 — тип проверки контроля домена в ACME, при котором центр сертификации сверяет TXT-запись _acme-challenge со значением, вычисленным из токена и ключа учётной записи ACME.

Fail2Ban — средство автоматического реагирования на повторяющиеся события в журналах служб, выполняющее заданные действия, обычно временную блокировку IP-адреса, по настроенным фильтрам.

Jail Fail2ban — профиль защиты службы, связывающий фильтр журналов с условиями блокировки и действием, например добавлением адреса в firewall.

firewalld — служба управления межсетевым экраном в Linux, применяющая правила через зоны, сервисы и политики без прямого редактирования полного набора правил.

HTTP-01 — тип проверки владения доменом в ACME, при котором центр сертификации запрашивает специальный HTTP-ресурс на проверяемом имени.

IDS — система обнаружения вторжений, анализирующая сетевой трафик или события хоста и формирующая оповещения о признаках атак без обязательной блокировки.

LUKS — формат управления ключами для шифрования блочных устройств Linux, обычно используемый поверх dm-crypt и поддерживающий несколько слотов ключей.

Let’s Encrypt — публичный центр сертификации, выпускающий сертификаты TLS после автоматизированной проверки контроля над доменным именем по протоколу ACME.

auditd — служба Linux Audit, принимающая от ядра сообщения аудита, в том числе отобранные по правилам, и записывающая их в журнал для расследований, анализа доступа и проверки соответствия.

Microsoft Defender Antivirus — антивирусный компонент защиты Windows, выявляющий вредоносные файлы и действия по сигнатурам, эвристике и облачной репутации.

Microsoft Defender Firewall — встроенный в Windows межсетевой экран, фильтрующий входящие и исходящие соединения по правилам, профилям сети и параметрам трафика.

Microsoft Security Baselines — набор рекомендуемых параметров защиты для конкретных версий продуктов Microsoft, публикуемый как основа для безопасной типовой конфигурации.

NLA — механизм предварительной аутентификации RDP, проверяющий учётные данные пользователя до создания полного удалённого графического сеанса.

OCSP — сетевой протокол для запроса статуса отдельного X.509-сертификата у OCSP-респондера без загрузки списка отозванных сертификатов (CRL).

OpenSCAP — набор открытых инструментов и библиотек для обработки SCAP-контента, оценки конфигураций и формирования отчётов о соответствии заданным правилам.

OpenSSH — свободный набор клиентских и серверных средств SSH для защищённого удалённого доступа, передачи файлов и туннелирования TCP-соединений.

OpenSSL — программная криптографическая библиотека и набор утилит для реализации TLS, управления сертификатами, ключами, хешированием и другими криптографическими операциями.

OpenVAS — сканирующий компонент Greenbone Vulnerability Management (GVM), выявляющий известные уязвимости и небезопасные настройки доступных ИТ-активов.

PKCS#12 — бинарный контейнер для закрытого ключа, сертификата и цепочки УЦ, обычно защищаемый паролем; файлы формата имеют расширения .p12 или .pfx.

Password spraying — метод подбора учётных данных, при котором небольшое число распространённых паролей проверяют для множества учётных записей с ограниченной частотой попыток.

RDP — протокол удалённого доступа к графическому сеансу Windows, передающий экран, ввод и перенаправляемые ресурсы между клиентом и хостом.

Ransomware — вредоносная программа, которая блокирует доступ к данным или системам и требует выкуп; обычно применяет шифрование, но не сводится к нему.

Hardening — процесс усиления защищённости системы через отключение лишних функций, ограничение доступа и настройку безопасных параметров для снижения доступной поверхности атаки.

SCAP — семейство открытых спецификаций для машиночитаемого описания уязвимостей, конфигураций и результатов проверок соответствия требованиям безопасности.

SNI — расширение TLS, в котором клиент передаёт имя целевого хоста в ClientHello, позволяя серверу выбрать сертификат и TLS-конфигурацию до HTTP-запроса.

SSH-агент — фоновый процесс, хранящий закрытые SSH-ключи в памяти и выполняющий операции подписи по запросу клиента без повторного ввода ключевой фразы.

Subject Alternative Name — расширение X.509-сертификата, содержащее DNS-имена, IP-адреса, URI и другие идентификаторы, с которыми связывается открытый ключ.

Sudoers — конфигурационная политика sudo, определяющая, какие пользователи и группы могут запускать команды от имени других учётных записей.

TLS — криптографический протокол защиты прикладных данных при передаче по сети, обеспечивающий их конфиденциальность и целостность, а также аутентификацию сервера и, при настройке, клиента.

TLS 1.1 — версия криптографического протокола защиты транспортных соединений, устаревшая и запрещённая современными рекомендациями из-за известных ограничений безопасности.

TLS 1.2 — версия криптографического протокола защиты транспортных соединений, поддерживающая согласование современных наборов шифров и проверку сертификата сервера.

TLS 1.3 — актуальная версия протокола защиты транспортных соединений, исключающая ряд устаревших алгоритмов и сокращающая число этапов криптографического рукопожатия.

TLS handshake — начальный обмен сообщениями TLS: стороны согласуют версию и криптопараметры, формируют ключи сеанса и обычно аутентифицируют сервер, а при mTLS — также клиента.

TPM — аппаратный либо реализованный в защищённой среде платформы криптографический модуль, который защищает ключи и хранит значения PCR, формируемые по измерениям загрузки.

Targeted policy — вариант политики SELinux, в котором обязательный контроль доступа применяется к выбранным системным службам, а остальные процессы обычно работают в домене unconfined.

unattended-upgrades — пакет Debian и производных дистрибутивов для автоматической установки выбранных обновлений по заданным правилам, обычно исправлений безопасности.

Wildcard-сертификат — сертификат X.509 для TLS с wildcard-идентификатором DNS в SAN, обычно охватывающим имена с одной меткой перед базовым доменом.