Глоссарий

Boolean SELinux — именованный логический параметр, от значения которого зависит применение предусмотренных политикой SELinux условных правил без изменения их исходного текста.

Hardening — процесс усиления защищённости системы через отключение лишних функций, ограничение доступа и настройку безопасных параметров для снижения доступной поверхности атаки.

S.M.A.R.T. — технология самодиагностики накопителей, собирающая показатели состояния и ошибок. Она помогает выявлять признаки деградации диска до отказа.

SAS — последовательный интерфейс и набор протоколов SCSI для подключения накопителей, поддерживающий адресацию устройств, экспандеры и обычно двухпортовое подключение дисков.

Устройство коммутации SAS, расширяющее число подключаемых накопителей относительно числа портов контроллера. Передаёт SAS-трафик между инициаторами и целевыми устройствами.

SATA — последовательный интерфейс подключения HDD, SSD и оптических приводов; в обычной прямой схеме один порт контроллера соединён с одним накопителем.

SCAP — семейство открытых спецификаций для машиночитаемого описания уязвимостей, конфигураций и результатов проверок соответствия требованиям безопасности.

SELinux — подсистема мандатного контроля доступа Linux, применяющая политики и метки безопасности для ограничения действий процессов сверх обычных прав Unix.

SIEM — класс систем централизованного сбора, нормализации и корреляции событий безопасности для выявления инцидентов, расследования и отчётности.

SLAT — аппаратная двухуровневая трансляция адресов памяти, при которой процессор преобразует адреса гостевой ВМ в физические адреса хоста без постоянного участия гипервизора.

SNI — расширение TLS, в котором клиент передаёт имя целевого хоста в ClientHello, позволяя серверу выбрать сертификат и TLS-конфигурацию до HTTP-запроса.

SPBM — механизм vSphere для назначения ВМ и их дискам политик хранения, выбора совместимых датасторов и контроля соответствия требованиям.

SPICE — протокол удалённого доступа к графической консоли виртуальной машины, передающий изображение, ввод и дополнительные каналы, включая буфер обмена и перенаправление устройств.

Спецификация PCI-SIG для PCIe, позволяющая физическому устройству создавать виртуальные функции (VF), назначаемые виртуальным машинам для близкого к прямому доступа.

SSH — криптографический сетевой протокол для удалённого доступа и передачи данных, аутентифицирующий стороны и защищающий сеанс от перехвата.

SSH-агент — фоновый процесс, хранящий закрытые SSH-ключи в памяти и выполняющий операции подписи по запросу клиента без повторного ввода ключевой фразы.

SSL — устаревшее семейство протоколов защиты сетевых соединений, предшествующее TLS; версии SSL 2.0 и SSL 3.0 не следует включать в рабочих конфигурациях.

Script Block Logging — механизм журналирования PowerShell, записывающий текст блоков сценариев, обрабатываемых движком, включая динамически сформированный код.

Seccomp — механизм ядра Linux для ограничения системных вызовов процесса, обычно через фильтр, разрешающий только операции, необходимые приложению.

Steal time — показатель гостевой ОС: время, когда её vCPU был готов к выполнению, но гипервизор не предоставлял ему процессорный ресурс.

StorCLI — консольная утилита управления совместимыми RAID-контроллерами Broadcom, применяемая для настройки массивов, просмотра состояния дисков, кэша и событий.

Storage DRS — механизм VMware для выбора и балансировки хранилищ в кластере datastore по свободной ёмкости и задержке ввода-вывода.

Функция VMware vSphere для переноса файлов и виртуальных дисков работающей виртуальной машины между датасторами без её выключения.

Параметр чередования RAID: объём последовательных данных, размещаемых на одном диске до перехода к следующему. Значение термина stripe size зависит от вендора.

Subject Alternative Name — расширение X.509-сертификата, содержащее DNS-имена, IP-адреса, URI и другие идентификаторы, с которыми связывается открытый ключ.

Sudoers — конфигурационная политика sudo, определяющая, какие пользователи и группы могут запускать команды от имени других учётных записей.

Suricata — движок сетевой безопасности с открытым исходным кодом для IDS/IPS-анализа, протокольного журналирования и сопоставления трафика с правилами.

Swap — область на диске или SSD, используемая ядром Linux для размещения вытесненных страниц памяти, когда RAM требуется более активным данным.

Sysmon — компонент Sysinternals для Windows, записывающий в журнал событий детализированную телеметрию о процессах, сетевых соединениях и операциях с файлами и реестром.

Systemd unit — именованный объект systemd, представляющий отслеживаемый или управляемый ресурс, службу, задачу либо состояние системы.

sshd_config — конфигурационный файл или набор настроек SSH-сервера OpenSSH, определяющий параметры прослушивания, аутентификации, доступа и криптографических алгоритмов.

sudo — утилита контроля и делегирования привилегий, которая по заданной политике запускает команду от имени целевого пользователя, обычно root.

swappiness — параметр ядра Linux, задающий относительную склонность освобождать память выгрузкой анонимных страниц в swap вместо вытеснения файлового кэша.

syslog — семейство форматов и протоколов передачи журнальных сообщений от ОС, приложений и устройств локальному обработчику или удалённому коллектору.

systemctl — командная утилита управления systemd, которая запускает и останавливает юниты, показывает их состояние и настраивает автоматическую активацию.

systemd — система инициализации и менеджер служб Linux, управляющий службами и другими ресурсами как объектами unit, обычно описанными unit-файлами.

systemd target — unit типа target, группирующий другие units и служащий точкой синхронизации при загрузке или изменении состояния системы.

systemd timer — юнит systemd, который по календарному или монотонному расписанию активирует другой юнит, по умолчанию одноимённый сервис.

systemd-journald — служба systemd для приёма, индексации и хранения структурированных журналов ядра, служб, процессов и системных сообщений.

systemd-resolved — служба systemd для локального разрешения DNS-имён, объединяющая DNS-настройки интерфейсов, кэширование и выбор DNS-серверов.

Базовая конфигурация безопасности — утверждённый набор обязательных параметров защиты для однотипных систем, используемый как эталон развёртывания и контроля отклонений.

Бит setuid — специальный бит прав Unix, при котором исполняемый файл запускается с эффективным UID владельца файла, а не запустившего пользователя.

Бюллетень безопасности — официальное уведомление о риске или уязвимости, содержащее сведения о затронутых версиях, последствиях и мерах защиты.

Домен SELinux — тип безопасности процесса в политике SELinux, определяющий набор разрешённых действий процесса над объектами с заданными метками.

Ключ SSH — криптографический ключевой материал для протокола SSH, применяемый для подтверждения личности или проверки подлинности удалённого узла.

Ключ хоста SSH — криптографическая ключевая пара сервера, которой SSH-служба подтверждает клиенту подлинность узла при установлении соединения.

Командная оболочка — программа-интерпретатор, принимающая команды и запускающая процессы; в отличие от терминала, она обрабатывает синтаксис и сценарии.

Консолидация снимков — операция объединения оставшихся файлов изменений снимка с базовыми или родительскими дисками ВМ после удаления снимка либо сбоя очистки.

Контекст SELinux — метка безопасности объекта или процесса, содержащая пользователя SELinux, роль, тип и уровень MLS/MCS; политика учитывает её при контроле доступа.

Корреляция событий безопасности — анализ связанных записей из одного или нескольких источников для выявления общей цепочки действий, аномалии или признаков инцидента.

Межсетевой экран с отслеживанием состояния — межсетевой экран, который сопоставляет пакеты с состоянием отслеживаемых соединений и потоков и применяет правила с учётом их контекста.

Метка безопасности SELinux — контекст, присваиваемый процессу, файлу или объекту, по которому политика SELinux разрешает или запрещает обращения.

Многоуровневая защита SELinux — вариант политики SELinux, дополняющий контроль типов уровнями секретности и категориями для ограничения потоков данных между уровнями.

Многоуровневая политика SELinux — вариант политики SELinux, контролирующий доступ с учётом уровней и категорий конфиденциальности наряду с типами объектов.

Модуль политики SELinux — устанавливаемый компонент, добавляющий правила, типы, атрибуты или сопоставления файловых контекстов для конкретного ПО или сценария.

Отпечаток ключа SSH — краткое представление хеша открытого SSH-ключа, используемое человеком или системой для проверки его соответствия ожидаемому ключу.

Патч безопасности — обновление ПО, ОС или прошивки, устраняющее конкретную уязвимость либо снижающее риск её эксплуатации без обязательного изменения функциональности.

Перенаправление агента SSH — механизм SSH, предоставляющий удалённому хосту доступ к локальному агенту для подписи операций без копирования закрытого ключа на этот хост.

Подписочная лицензия — право использовать программный продукт в течение оплаченного срока, обычно с доступом к обновлениям и поддержке на условиях поставщика.

Подпись SMB — механизм проверки целостности и подлинности сообщений SMB, добавляющий криптографическую подпись к обмену между клиентом и файловым сервером.

Политика SELinux — набор правил мандатного контроля доступа, задающий допустимые действия доменов над объектами с метками безопасности.

Проброс портов SSH — передача TCP-подключений к заданному узлу и порту через зашифрованный SSH-сеанс в локальном, удалённом или динамическом режиме.

RAID, реализованный ОС или другим программным стеком хоста без отдельного аппаратного RAID-контроллера. Использует вычислительные ресурсы сервера.

Разделение обязанностей — принцип контроля, при котором несовместимые функции критического процесса разделяют так, чтобы один субъект не мог единолично выполнить их все.

Режим Disabled SELinux — состояние, в котором политика SELinux не загружена и SELinux не проверяет и не ограничивает доступ.

Режим Permissive — режим SELinux, в котором потенциальные отказы не блокируют операции и фиксируются как AVC, если не подавлены правилами dontaudit; права Linux продолжают действовать.

Режим SELinux — состояние принудительного контроля доступа в Linux, определяющее применение политик: блокирование, только журналирование нарушений или полное отключение SELinux.

Роль SELinux — элемент политики RBAC, определяющий домены процессов, доступные SELinux-пользователю, и допустимые переходы между ролями.

Самоподписанный сертификат — сертификат X.509, подписанный закрытым ключом, соответствующим открытому ключу в самом сертификате; автоматически доверенным он не считается.

Сертификат SSH — подписанный центром сертификации SSH объект, связывающий открытый ключ с идентичностью, сроком действия и правилами его применения.

Сигнатурное обнаружение — метод выявления угроз по совпадению с заранее известными шаблонами, правилами или индикаторами вредоносной активности.

Системная служба — программный компонент, которым ОС управляет как логической единицей для фонового выполнения задач или предоставления функций программам и пользователям.

Служебная учётная запись — учётная запись для запуска приложений, служб или автоматизированных задач, а не для интерактивной работы конкретного пользователя.

Зафиксированное гипервизором состояние поддерживаемых виртуальных дисков и конфигурации ВМ на определённый момент, иногда также памяти, к которому можно выполнить откат.

Событие безопасности — наблюдаемое действие или изменение состояния системы либо сети, значимое для защиты; оно может быть штатным, связанным с ошибкой или подозрительным.

Сокетная активация — запуск службы при активности на заранее открытом диспетчером сокете с передачей службе его файлового дескриптора.

Накопитель энергии высокой мощности, применяемый для кратковременного питания кэша RAID-контроллера. При сбое питания он сохраняет данные до записи во флеш-память.

Суперпользователь — учётная запись с UID 0 или процесс с эффективным UID 0, обладающий административными правами; его полномочия шире, чем у обычного пользователя.

Центр сертификации SSH — доверенная сущность с ключом подписи, выпускающая SSH-сертификаты пользователей или хостов по заданной политике идентификации.

Распределение последовательных блоков данных между дисками или группами дисков RAID. Позволяет распараллеливать ввод-вывод, но само по себе не создаёт избыточности.