детекция от хоста до сетиdetection from host to network

Антивирус, EDR и SOCAntivirus, EDR & SOC

Как AV работает изнутри: сигнатуры, эвристика, поведенческий анализ, зачем нужен VSS (снапшоты для скана залоченных файлов и отката после ransomware — и почему ransomware в первую очередь удаляет теневые копии). Сетевая детекция по секторам интернета: IDS/IPS, NetFlow, threat intelligence, honeypots, SIEM-корреляция, EDR/XDR как эволюция хостового AV. Каркас: 13 карточек, страницы ещё не написаны.How AV works internally: signatures, heuristics, behavioral analysis; why VSS matters (snapshots for scanning locked files and rolling back after ransomware — and why ransomware deletes shadow copies first). Network-wide detection: IDS/IPS, NetFlow, threat intelligence, honeypots, SIEM correlation, EDR/XDR as the evolution of host AV. Skeleton: 13 cards, pages not yet written.

Антивирус изнутриAntivirus internals

от сигнатур к поведениюfrom signatures to behavior

Сигнатурное детектированиеSignature-based detectionХэши и байт-паттерны известных образцов, базы сигнатур, почему это быстро и дёшево — и почему бессильно против новых угроз.Hashes and byte patterns of known samples, signature databases, why it's fast and cheap — and why it's helpless against new threats. ЭвристикаHeuristicsСтатический анализ подозрительных признаков без точного совпадения сигнатуры: структура PE-файла, энтропия секций, подозрительные API-вызовы в импорте.Static analysis of suspicious traits without an exact signature match: PE file structure, section entropy, suspicious API calls in the import table. Поведенческий анализ и sandboxingBehavioral analysis & sandboxingЗапуск в изолированной среде, отслеживание цепочки действий (создание процессов, запись в реестр, сетевые вызовы) вместо статичного кода.Running in an isolated environment, tracking the chain of actions (process creation, registry writes, network calls) instead of static code. Полиморфизм против сигнатурPolymorphism vs signaturesПочему сигнатурный AV системно проигрывает полиморфному и метаморфному коду, и как поведенческие движки закрывают этот разрыв.Why signature-only AV systemically loses to polymorphic and metamorphic code, and how behavioral engines close that gap.interview

VSS и восстановлениеVSS & recovery

теневые копии как поле боя ransomwareshadow copies as ransomware's first target

Volume Shadow Copy — что это — what it isМеханизм точечных снапшотов тома в Windows, зачем он AV-сканеру для доступа к залоченным системным файлам, отличие от полноценного бэкапа.The point-in-time volume snapshot mechanism in Windows, why an AV scanner needs it to access locked system files, how it differs from a real backup. Почему ransomware удаляет теневые копииWhy ransomware deletes shadow copiesvssadmin delete shadows как один из первых шагов атаки — до шифрования, чтобы отрезать путь к восстановлению без выкупа.vssadmin delete shadows as one of the earliest attack steps — before encryption, to cut off recovery without paying.interview Бэкап vs теневая копияBackup vs shadow copyПочему VSS не заменяет офлайн/immutable бэкап: тот же диск, та же атака может уничтожить оба одновременно.Why VSS is not a substitute for an offline/immutable backup: same disk, the same attack can wipe out both at once.

Сетевая детекцияNetwork detection

видимость по секторам интернетаvisibility across internet sectors

IDS/IPSSnort/Suricata: сигнатурное и аномальное детектирование в трафике, разница между пассивным обнаружением (IDS) и активным блокированием (IPS).Snort/Suricata: signature and anomaly-based traffic detection, the difference between passive detection (IDS) and active blocking (IPS). NetFlow и телеметрия & telemetryАнализ метаданных потоков вместо полного трафика: кто с кем говорил, сколько и как часто — детекция без расшифровки payload.Analyzing flow metadata instead of full traffic: who talked to whom, how much and how often — detection without decrypting the payload. Threat intelligenceРепутационные фиды по IP/ASN/гео — "секторам интернета", блок-листы, обогащение алертов контекстом об известной инфраструктуре атакующих.Reputation feeds by IP/ASN/geo — "sectors of the internet", blocklists, enriching alerts with context about known attacker infrastructure. HoneypotsПриманки-ловушки для сбора данных об атакующих и ранней детекции сканирования сети без риска для реальных активов.Decoy traps for gathering attacker data and early detection of network scanning without risking real assets.

SOC и корреляцияSOC & correlation

от отдельных алертов к картине атакиfrom isolated alerts to the attack picture

SIEMАгрегация логов со всех источников (хосты, сеть, приложения) и корреляция событий в единую картину — без SIEM отдельные алерты AV/IDS не складываются в атаку.Aggregating logs from every source (hosts, network, applications) and correlating events into one picture — without a SIEM, isolated AV/IDS alerts never add up to an attack. EDR/XDR как эволюция AV as the evolution of AVОт реактивного сканирования файлов к непрерывной телеметрии хоста и активному реагированию; XDR расширяет это за пределы одного хоста — на сеть, облако, identity.From reactive file scanning to continuous host telemetry and active response; XDR extends this beyond a single host — to network, cloud, identity.

статусstatus

Это каркас: 13 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 13 cards are locked in, pages not yet written.