практики, не теорияpractices, not theory

Защита внутренней сетиInternal Network Hardening

Сегментация (VLAN, zero trust vs периметр), IAM и PAM, least privilege, patch management, hardening baselines (CIS), централизованное логирование, backup-стратегия 3-2-1 как последний рубеж от ransomware. Каркас: 13 карточек, страницы ещё не написаны.Segmentation (VLAN, zero trust vs perimeter), IAM and PAM, least privilege, patch management, hardening baselines (CIS), centralized logging, the 3-2-1 backup strategy as the last line against ransomware. Skeleton: 13 cards, pages not yet written.

Сегментация сетиNetwork segmentation

ограничение бокового перемещенияlimiting lateral movement

VLAN и разделение сегментов& segment separationЛогическое разделение широковещательных доменов, разнесение серверных, клиентских и гостевых сетей, inter-VLAN routing через firewall, а не просто L3-свитч.Logical separation of broadcast domains, splitting server, client, and guest networks, inter-VLAN routing through a firewall rather than a plain L3 switch. Zero trust vs периметрvs perimeterКлассическая модель "внутри — доверенная зона" против verify-every-request: почему периметр перестал быть достаточной границей с ростом удалёнки и облаков.The classic "inside is trusted" model versus verify-every-request: why the perimeter stopped being a sufficient boundary as remote work and cloud adoption grew.interview МикросегментацияMicrosegmentationПолитики на уровне отдельного хоста или workload, а не подсети целиком — software-defined perimeter, ограничение blast radius при компрометации одной машины.Policy at the level of a single host or workload rather than a whole subnet — software-defined perimeter, limiting blast radius when one machine is compromised.

Управление доступомAccess management

кто и с какими правамиwho, with what rights

IAM основыfundamentalsИдентификация, аутентификация, авторизация как отдельные слои; роли и группы вместо прав, назначенных персонально каждому пользователю.Identification, authentication, authorization as separate layers; roles and groups instead of rights assigned to each user individually. PAMPrivileged access management: выдача админ-прав just-in-time, сессии с записью, отдельные учётки для привилегированных операций вместо постоянного root/admin доступа.Privileged access management: just-in-time admin rights, recorded sessions, separate accounts for privileged operations instead of standing root/admin access.interview Least privilegeМинимально необходимые права по умолчанию, регулярный пересмотр доступов, отзыв неиспользуемых прав — принцип, который проще декларировать, чем поддерживать в реальной организации.Minimal necessary rights by default, regular access reviews, revoking unused grants — a principle easier to declare than to maintain in a real organization. MFA повсеместноeverywhereМногофакторная аутентификация не только для внешнего периметра, но и для внутренних сервисов, VPN, административных панелей.Multi-factor authentication not just at the external perimeter but for internal services, VPN, and admin panels too.

Гигиена инфраструктурыInfrastructure hygiene

рутина, которая закрывает большинство инцидентовthe routine that closes most incidents

Patch managementРегулярность обновлений, приоритизация по критичности CVE, окна обслуживания, разница между patch Tuesday-ритмом вендоров и emergency-патчами для 0-day.Update cadence, prioritizing by CVE severity, maintenance windows, the difference between vendors' patch-Tuesday rhythm and emergency 0-day patches. Hardening baselinesCIS Benchmarks и аналоги как готовые чек-листы конфигурации ОС и сервисов, автоматическая проверка соответствия вместо ручного аудита.CIS Benchmarks and similar as ready-made OS and service configuration checklists, automated compliance checks instead of manual audits. Централизованное логированиеCentralized loggingАгрегация логов со всей инфраструктуры в единое хранилище (SIEM), почему локальные логи на хосте бесполезны при компрометации самого хоста.Aggregating logs from the whole infrastructure into one store (SIEM), why logs kept only on the host are useless once that host is compromised.

Резервное копированиеBackup strategy

последний рубежthe last line of defense

Правило 3-2-1The 3-2-1 rule3 копии данных, 2 разных типа носителей, 1 копия offsite — почему это остаётся стандартом и как именно оно спасает от ransomware, если остальная защита не сработала.3 copies of the data, 2 different media types, 1 copy offsite — why it's still the standard and exactly how it saves you from ransomware when everything else fails.interview Immutable и air-gapped бэкапы& air-gapped backupsРезервные копии, недоступные для изменения или удаления даже с правами администратора — прямой ответ на ransomware, который целится в сами бэкапы.Backups that cannot be altered or deleted even with admin rights — a direct answer to ransomware that targets the backups themselves. Тестирование восстановленияRestore testingБэкап без проверенного восстановления — это не бэкап: регулярные учения по разворачиванию из копии, замер реального RTO/RPO.A backup that has never been restored is not a backup: regular restore drills, measuring real-world RTO/RPO.

статусstatus

Это каркас: 13 карточек зафиксированы, страницы ещё не написаны.This is a skeleton: 13 cards are locked in, pages not yet written.