угрозы, защита, операционная безопасностьthreats, defense, operational security

Информационная безопасностьInformation Security

Прикладной срез безопасности: как устроены угрозы (malware, веб-атаки, DDoS, социнженерия), как их детектируют и останавливают (SOC, AV, red/blue team), как организована защита внутренней сети, облака и биржевой инфраструктуры, и как защититься на личном уровне (ключи, seed-фразы, YubiKey). Дополняет теоретический фундамент криптографии в theory/06-security-crypto — здесь операционная и прикладная сторона, там — математика и модели. Каркас: 5 групп, 15 модулей, страницы ещё не написаны.The applied side of security: how threats work (malware, web attacks, DDoS, social engineering), how they're detected and stopped (SOC, AV, red/blue team), how internal network, cloud, and exchange infrastructure are secured, and personal-level defense (keys, seed phrases, YubiKey). Complements the theoretical cryptography foundation in theory/06-security-crypto — this is the operational and applied side, that one is the math and models. Skeleton: 5 groups, 15 modules, pages not yet written.

УгрозыThreats

как устроены атакиhow attacks work

Вредоносное ПОMalwareКлассификация (вирус/червь/троян/ransomware/rootkit/botnet), механика распространения и персистентности, кто и зачем пишет (script kiddies → криминальные группы → APT), Cyber Kill Chain / MITRE ATT&CK, supply chain и living-off-the-land атаки. Без рабочего кода — только механика.Classification (virus/worm/trojan/ransomware/rootkit/botnet), propagation and persistence mechanics, who writes it and why (script kiddies → criminal groups → APT), the Cyber Kill Chain / MITRE ATT&CK, supply-chain and living-off-the-land attacks. No working code — mechanics only. Атаки на веб/APIWeb/API attacksOWASP Top 10: SQLi, XSS, CSRF, SSRF, IDOR, insecure deserialization — прикладной слой, с которым реально сталкивается любой, кто пишет API. — the application layer anyone writing an API actually runs into. DDoSVolumetric (L3/L4) vs application-layer (L7), ботнеты как инфраструктура атаки, защита: anycast, scrubbing centers, rate limiting. Частый первый вектор или отвлекающий манёвр против бирж и публичных API.Volumetric (L3/L4) vs application-layer (L7), botnets as attack infrastructure, defense: anycast, scrubbing centers, rate limiting. A common first vector or a diversion against exchanges and public APIs. Атаки на крипто/DeFiCrypto/DeFi attacksReentrancy, flash loan, oracle manipulation, rug pull, MEV/sandwich — специфика блокчейн-слоя, отдельная от общих веб-атак. — the blockchain layer's own specifics, separate from generic web attacks. Социальная инженерияSocial engineeringФишинг/вишинг/смишинг, pretexting, baiting, tailgating; психологические принципы влияния (авторитет, срочность, социальное доказательство); личная защита — верификация вне канала атаки, паранойя по умолчанию.Phishing/vishing/smishing, pretexting, baiting, tailgating; the psychological principles behind them (authority, urgency, social proof); personal defense — out-of-band verification, default paranoia toward unexpected requests.

Детекция и реагированиеDetection & response

как угрозы находят и останавливаютhow threats get found and stopped

Антивирус, EDR и SOCAntivirus, EDR & SOCКак AV работает изнутри: сигнатуры, эвристика, поведенческий анализ, зачем нужен VSS (снапшоты для скана залоченных файлов и отката после ransomware — и почему ransomware в первую очередь удаляет теневые копии). Сетевая детекция по секторам интернета: IDS/IPS, NetFlow, threat intelligence, honeypots, SIEM-корреляция, EDR/XDR как эволюция хостового AV.How AV works internally: signatures, heuristics, behavioral analysis; why VSS matters (snapshots for scanning locked files and rolling back after ransomware — and why ransomware deletes shadow copies first). Network-wide detection: IDS/IPS, NetFlow, threat intelligence, honeypots, SIEM correlation, EDR/XDR as the evolution of host AV. Red team / Blue teamRed team / Blue teamRed team: pentest-методология, эмуляция реального противника. Blue team: detection engineering, threat hunting. Purple teaming — обмен знаниями вместо чистого соревнования. Пример внутрикорпоративной атаки/защиты друг на друга.Red team: pentest methodology, emulating a real adversary. Blue team: detection engineering, threat hunting. Purple teaming — knowledge exchange instead of pure competition. An example of internal teams attacking and defending against each other. Incident response и форензикаIncident response & forensicsЧто делать после взлома: IR-плейбук, сбор улик и цепочка хранения, форензика хоста/сети, коммуникация и disclosure — последний рубеж, когда превентивные меры уже не сработали.What to do after a breach: an IR playbook, evidence collection and chain of custody, host/network forensics, communication and disclosure — the last line once prevention has already failed.

Защита инфраструктурыInfrastructure defense

сеть, облако, ключиnetwork, cloud, keys

Внутренняя сеть: практикиInternal network: practicesСегментация (VLAN, zero trust vs периметр), IAM и PAM, least privilege, patch management, hardening baselines (CIS), централизованное логирование, backup-стратегия 3-2-1 как последний рубеж от ransomware.Segmentation (VLAN, zero trust vs perimeter), IAM and PAM, least privilege, patch management, hardening baselines (CIS), centralized logging, the 3-2-1 backup strategy as the last line against ransomware. Облачная инфраструктураCloud infrastructureShared responsibility model, IAM в облаке (роли vs пользователи), secrets management (Vault/KMS), network security groups, CSPM и детекция misconfiguration; отдельно — container/Kubernetes security (image scanning, pod security, network policies, секреты не в ConfigMap).The shared responsibility model, cloud IAM (roles vs users), secrets management (Vault/KMS), network security groups, CSPM and misconfiguration detection; plus container/Kubernetes security (image scanning, pod security, network policies, secrets never in a ConfigMap). Ротация ключей и сертификатовKey & certificate rotationПолитики ротации внутри компании (90 дней для TLS, годовые для root CA), автоматизация (cert-manager, Vault PKI), процесс компрометации и revocation. Операционная сторона того, что в theory/06.5.3-4 описано как математика/форматы.Company-internal rotation policies (90 days for TLS, yearly for root CA), automation (cert-manager, Vault PKI), the compromise-and-revocation process. The operational side of what theory/06.5.3-4 covers as math/formats.

Биржи и финтехExchanges & fintech

специфика высокоценных целейspecifics of high-value targets

Безопасность биржиExchange securityАрхитектура cold/hot/warm wallet, multisig, withdrawal whitelisting, разделение обязанностей (нет единой точки компрометации), compliance как driver архитектуры (SOC2, PCI DSS), IR-план на случай компрометации hot wallet.Cold/hot/warm wallet architecture, multisig, withdrawal whitelisting, separation of duties (no single point of compromise), compliance as an architecture driver (SOC2, PCI DSS), an IR plan for a hot-wallet compromise. Топ атак: биржи и частные лицаTop attacks: exchanges & individualsНа биржи: hot wallet breach, insider threat, утечка API-ключей, эксплойты смарт-контрактов. На частных лиц: SIM swap, фишинг под вход на биржу, вредоносные расширения браузера, clipboard hijacking, fake support/recovery scam — и защита от каждого вектора.Against exchanges: hot-wallet breaches, insider threats, API-key leaks, smart-contract exploits. Against individuals: SIM swap, exchange-login phishing, malicious browser extensions, clipboard hijacking, fake support/recovery scams — and the defense for each vector.

Личная защитаPersonal defense

ключи, устройства, приватностьkeys, devices, privacy

YubiKey и аппаратные ключиYubiKey & hardware keysFIDO2/WebAuthn — как физический ключ даёт phishing-resistant MFA; TOTP vs U2F/FIDO2 и почему SMS-2FA слабый; passkeys как следующий шаг.FIDO2/WebAuthn — how a physical key gives phishing-resistant MFA; TOTP vs U2F/FIDO2 and why SMS 2FA is weak; passkeys as the next step. Защита ключей и seed-фразKey & seed phrase protectionBIP39, где хранить (steel backup, air-gapped, Shamir/SLIP39), hardware wallets (Ledger/Trezor) vs software, модель угроз: $5 wrench attack, clipboard-малварь, поддельные аппаратные кошельки.BIP39, where to keep it (steel backup, air-gapped, Shamir/SLIP39), hardware wallets (Ledger/Trezor) vs software, the threat model: the $5 wrench attack, clipboard malware, counterfeit hardware wallets.

статус и источникstatus and source

Каркас: 5 групп, 15 модулей зафиксированы, ни одна страница ещё не написана. Разделение с theory/06-security-crypto: там — математика и формальные модели (алгоритмы шифрования/подписи, side-channel, memory safety theory, adversarial ML), здесь — операционная и прикладная сторона (как атакуют на практике, как детектируют, как организуют защиту инфраструктуры и личных ключей). Кандидаты на будущее расширение, пока не включены как отдельные модули: mobile security, regulatory/compliance как отдельная тема (сейчас — часть exchange-security), атаки на криптографические протоколы (padding oracle, downgrade, replay — пересекается с network-protocols/tls).Skeleton: 5 groups, 15 modules are locked in, no page is written yet. The split from theory/06-security-crypto: that section covers math and formal models (encryption/signature algorithms, side channels, memory safety theory, adversarial ML); this one covers the operational and applied side (how attacks actually work, how they're detected, how infrastructure and personal keys get defended). Candidates for future expansion, not yet broken out as their own modules: mobile security, regulatory/compliance as a standalone topic (currently folded into exchange-security), attacks on cryptographic protocols themselves (padding oracle, downgrade, replay — overlaps with network-protocols/tls).