Глоссарий

Абстракция AppArmor — подключаемый набор повторно используемых правил профиля, описывающий типовой доступ приложения к файлам и системным ресурсам.

Аутентификация по открытому ключу — способ входа в SSH, при котором сервер проверяет подпись клиента по заранее разрешённому открытому ключу, а не по паролю.

Базовая цепочка nftables — цепочка, привязанная к hook Netfilter и запускающая обработку пакетов на заданном этапе сетевого стека с указанным приоритетом.

Бастионный хост — специально защищённый промежуточный сервер, через который ограничивают и контролируют административный доступ к системам в изолированных сегментах сети.

Бит setuid — специальный бит прав Unix, при котором исполняемый файл запускается с эффективным UID владельца файла, а не запустившего пользователя.

Бэкдор — скрытый механизм обхода штатной аутентификации или контроля доступа, позволяющий получить доступ к системе, данным либо функциям в обход предусмотренных процедур.

Вердикт nftables — управляющее значение, задающее решение по пакету или дальнейший ход выполнения правил в цепочках netfilter.

Дискреционный контроль доступа — модель авторизации, в которой владелец объекта назначает права пользователям и группам через разрешения или списки ACL.

Доверие при первом использовании — модель доверия, при которой неизвестный ключ принимается при первом контакте, а его последующая смена считается подозрительной.

Домен SELinux — тип безопасности процесса в политике SELinux, определяющий набор разрешённых действий процесса над объектами с заданными метками.

Журнал AVC — записи аудита SELinux о решениях Access Vector Cache, прежде всего об отказах доступа по действующей политике безопасности.

Журнал аутентификации — набор записей о попытках подтверждения личности, их результатах и данных, необходимых для расследования и контроля доступа.

Зона firewalld — профиль доверия к сетевому подключению, связывающий интерфейсы или источники с набором разрешённых служб и правил фильтрации.

Изоляция пространства имён — механизм ядра Linux, предоставляющий группе процессов отдельное представление системных ресурсов, например процессов, сети или точек монтирования.

Ключ SSH — криптографический ключевой материал для протокола SSH, применяемый для подтверждения личности или проверки подлинности удалённого узла.

Ключ хоста SSH — криптографическая ключевая пара сервера, которой SSH-служба подтверждает клиенту подлинность узла при установлении соединения.

Контекст SELinux — метка безопасности объекта или процесса, содержащая пользователя SELinux, роль, тип и уровень MLS/MCS; политика учитывает её при контроле доступа.

Контроль целостности файлов — механизм выявления изменений файлов и атрибутов сравнением с эталоном или регистрацией операций файловой системы.

Мандатный контроль доступа — модель разграничения доступа, в которой операции разрешаются обязательной системной политикой, не изменяемой владельцем ресурса.

Метка безопасности SELinux — контекст, присваиваемый процессу, файлу или объекту, по которому политика SELinux разрешает или запрещает обращения.

Многоуровневая защита SELinux — вариант политики SELinux, дополняющий контроль типов уровнями секретности и категориями для ограничения потоков данных между уровнями.

Многоуровневая политика SELinux — вариант политики SELinux, контролирующий доступ с учётом уровней и категорий конфиденциальности наряду с типами объектов.

Модуль политики SELinux — устанавливаемый компонент, добавляющий правила, типы, атрибуты или сопоставления файловых контекстов для конкретного ПО или сценария.

Набор nftables — типизированная коллекция значений, позволяющая сопоставлять адреса, порты или иные ключи без дублирования множества однотипных правил.

Неизменяемое правило аудита — управляющая настройка Linux Audit, блокирующая изменение активной конфигурации аудита до перезагрузки системы.

Отказ AVC — диагностическое сообщение SELinux о действии, не разрешённом политикой; обычно оно указывает субъект, объект, класс объекта и запрошенное разрешение.

Открытый ключ — несекретный ключ асимметричной пары, используемый в зависимости от алгоритма для проверки подписей, шифрования, аутентификации или согласования общего секрета.

Отпечаток ключа SSH — краткое представление хеша открытого SSH-ключа, используемое человеком или системой для проверки его соответствия ожидаемому ключу.

Отслеживание соединений в Linux — механизм Netfilter, ведущий записи о потоках и их состояниях для фильтрации с учётом состояния, NAT и правил, зависящих от направления трафика.

Перенаправление агента SSH — механизм SSH, предоставляющий удалённому хосту доступ к локальному агенту для подписи операций без копирования закрытого ключа на этот хост.

Политика SELinux — набор правил мандатного контроля доступа, задающий допустимые действия доменов над объектами с метками безопасности.

Проброс портов SSH — передача TCP-подключений к заданному узлу и порту через зашифрованный SSH-сеанс в локальном, удалённом или динамическом режиме.

Профиль AppArmor — набор правил мандатного контроля доступа, определяющий допустимые для конкретной программы операции с файлами, Linux capabilities и другими ресурсами.

Режим AppArmor — состояние профиля контроля доступа в Linux: enforce блокирует нарушения, а complain регистрирует их, кроме действий, явно запрещённых правилами deny.

Режим Disabled SELinux — состояние, в котором политика SELinux не загружена и SELinux не проверяет и не ограничивает доступ.

Режим Permissive — режим SELinux, в котором потенциальные отказы не блокируют операции и фиксируются как AVC, если не подавлены правилами dontaudit; права Linux продолжают действовать.

Режим SELinux — состояние принудительного контроля доступа в Linux, определяющее применение политик: блокирование, только журналирование нарушений или полное отключение SELinux.

Режим complain — режим профиля AppArmor, в котором потенциальные нарушения регистрируются, но обычно не блокируются; исключение составляют явные правила deny.

Режим enforce AppArmor — режим принудительного применения профиля контроля доступа, в котором действия процесса, запрещённые профилем, блокируются и фиксируются в журнале.

Роль SELinux — элемент политики RBAC, определяющий домены процессов, доступные SELinux-пользователю, и допустимые переходы между ролями.

Сертификат SSH — подписанный центром сертификации SSH объект, связывающий открытый ключ с идентичностью, сроком действия и правилами его применения.

Таблица iptables — логическая группа цепочек правил с общей задачей обработки пакетов, например фильтрацией, NAT или изменением служебных параметров пакета.

Таблица nftables — контейнер правил Netfilter для одного семейства протоколов, объединяющий цепочки, наборы и объекты обработки пакетов.

Учётная запись root — привилегированная локальная учётная запись Unix-подобочной ОС с идентификатором UID 0, обладающая практически неограниченными системными правами.

Файл authorized_keys — файл SSH на сервере со списком открытых ключей, которым разрешена аутентификация для конкретной учётной записи пользователя.

Файл known_hosts — клиентское хранилище ключей SSH-серверов, используемое для проверки подлинности узла при последующих подключениях к его имени или адресу.

Фильтр Fail2ban — набор регулярных выражений для выявления в журналах событий, учитываемых jail как неудачные попытки или иные нарушения.

Центр сертификации SSH — доверенная сущность с ключом подписи, выпускающая SSH-сертификаты пользователей или хостов по заданной политике идентификации.

Цепочка iptables — упорядоченный набор правил в одной из таблиц iptables, которые Netfilter последовательно проверяет при обработке пакета.

Цепочка nftables — упорядоченный контейнер правил обработки пакетов, запускаемый из точки перехвата сетевого стека (hook) или вызываемый из другой цепочки.

Эскалация привилегий — получение субъектом прав, превышающих исходно назначенные ему разрешения, вследствие уязвимости, ошибки настройки или злоупотребления доступом.

AIDE — средство контроля целостности файлов Linux и Unix, сравнивающее текущее состояние файловой системы с заранее созданной доверенной базой атрибутов и хешей.

ASLR — механизм случайного размещения областей адресного пространства процесса, затрудняющий эксплуатацию уязвимостей с заранее известными адресами кода и данных.

AppArmor — система мандатного контроля доступа Linux, ограничивающая программы профилями; профиль обычно выбирается по пути исполняемого файла, а файловые правила сопоставляются с путями.

Certbot — ACME-клиент с открытым исходным кодом для запроса, установки и продления TLS-сертификатов; он автоматизирует проверку домена и операции с ключами.

ClamAV — антивирусный движок с открытым исходным кодом, предназначенный главным образом для проверки файлов и почтовых вложений по обновляемым сигнатурным базам.

dm-crypt — криптографическая цель Linux Device Mapper, создающая блочное устройство с прозрачным шифрованием данных на нижележащем диске или разделе.

Ed25519 — алгоритм цифровой подписи на эллиптической кривой edwards25519, использующий 32-байтный открытый ключ и 64-байтную подпись; он не предназначен для шифрования.

Fail2Ban — средство автоматического реагирования на повторяющиеся события в журналах служб, выполняющее заданные действия, обычно временную блокировку IP-адреса, по настроенным фильтрам.

Jail Fail2ban — профиль защиты службы, связывающий фильтр журналов с условиями блокировки и действием, например добавлением адреса в firewall.

firewalld — служба управления межсетевым экраном в Linux, применяющая правила через зоны, сервисы и политики без прямого редактирования полного набора правил.

iptables — утилита Linux для управления правилами пакетной фильтрации Netfilter через таблицы, цепочки и цели; это не самостоятельный межсетевой экран.

LUKS — формат управления ключами для шифрования блочных устройств Linux, обычно используемый поверх dm-crypt и поддерживающий несколько слотов ключей.

Linux Audit Framework — подсистема аудита Linux, регистрирующая заданные события ядра и ОС в структурированных записях для расследований, контроля доступа и соответствия требованиям.

Linux Security Modules — каркас ядра Linux для подключения модулей контроля доступа, перехватывающих операции с объектами системы по заданным политикам.

Linux capabilities — механизм разбиения привилегий root на независимые полномочия, которые ядро проверяет при выполнении чувствительных операций.

Live patching — технология применения исправлений к работающей ОС, обычно к ядру, без штатной перезагрузки; поддерживает только изменения, совместимые с механизмом патчинга.

Lynis — инструмент аудита защищённости Unix-подобных систем, проверяющий настройки ОС и служб по набору тестов и выдающий рекомендации по усилению конфигурации.

auditd — служба Linux Audit, принимающая от ядра сообщения аудита, в том числе отобранные по правилам, и записывающая их в журнал для расследований, анализа доступа и проверки соответствия.

Netfilter — подсистема ядра Linux для перехвата и обработки сетевых пакетов в контрольных точках стека; правила iptables и nftables используют её механизмы.

nftables — подсистема Linux и интерфейс управления правилами Netfilter, использующие единый набор правил, выражения, множества и атомарное обновление конфигурации.

OpenSCAP — набор открытых инструментов и библиотек для обработки SCAP-контента, оценки конфигураций и формирования отчётов о соответствии заданным правилам.

OpenSSH — свободный набор клиентских и серверных средств SSH для защищённого удалённого доступа, передачи файлов и туннелирования TCP-соединений.

OpenSSL — программная криптографическая библиотека и набор утилит для реализации TLS, управления сертификатами, ключами, хешированием и другими криптографическими операциями.

PAM — модульная подсистема Unix-подобных ОС, через которую совместимые службы применяют правила аутентификации, проверки учётной записи, смены паролей и управления сеансами.

Port knocking — метод скрытия сетевой службы, при котором доступ к закрытому порту открывается для клиента после заданной последовательности сетевых пакетов.

Boolean SELinux — именованный логический параметр, от значения которого зависит применение предусмотренных политикой SELinux условных правил без изменения их исходного текста.

SELinux — подсистема мандатного контроля доступа Linux, применяющая политики и метки безопасности для ограничения действий процессов сверх обычных прав Unix.

SSH-агент — фоновый процесс, хранящий закрытые SSH-ключи в памяти и выполняющий операции подписи по запросу клиента без повторного ввода ключевой фразы.

Seccomp — механизм ядра Linux для ограничения системных вызовов процесса, обычно через фильтр, разрешающий только операции, необходимые приложению.

Sudoers — конфигурационная политика sudo, определяющая, какие пользователи и группы могут запускать команды от имени других учётных записей.

sshd_config — конфигурационный файл или набор настроек SSH-сервера OpenSSH, определяющий параметры прослушивания, аутентификации, доступа и криптографических алгоритмов.

Targeted policy — вариант политики SELinux, в котором обязательный контроль доступа применяется к выбранным системным службам, а остальные процессы обычно работают в домене unconfined.

Type Enforcement — модель мандатного контроля доступа, в которой правила разрешают действия процессов определённых типов над объектами заданных типов.

UFW — утилита упрощённого управления правилами межсетевого экрана в Linux, создающая правила Netfilter по командам высокого уровня.

unattended-upgrades — пакет Debian и производных дистрибутивов для автоматической установки выбранных обновлений по заданным правилам, обычно исправлений безопасности.

Web shell — серверный веб-скрипт или приложение, принимающее команды через HTTP(S) и выполняющее их с правами процесса, обрабатывающего запрос.