Фундаментальні знання кібербезпеки

Що таке кібербезпека?

Кібербезпека (також відома як «інформаційна безпека» або «інфoseк») — це практика захисту комп’ютерних систем, мереж, програм та даних від цифрових атак, несанкціонованого доступу, пошкодження чи викрадення. З оскільки суспільство переміщує майже всі аспекти життя в цифрові системи, кібербезпека стала критичною дисципліною – захищаючи критичну інфраструктуру, фінансові системи, приватність та національну безпеку.

ЦІА Триад визначає три основні цілі інформаційної безпеки:

🛡️ ЦІА Триад

Конфіденційність: інформація доступна лише авторизованим особам (шифрування, контроль доступу).

Цілісність: інформація точна та не була піддана зміні (хешування, цифрові підписи, журнали аудиту).

Доступність: системи та дані доступні тоді, коли вони потрібні (здублювання, пом’якшення DDoS, стратегії резервного копіювання).

Загрози

шкідливе програмне забезпечення є найбільш поширеним вектором атак. Основні типи:

🦠 Віруси та черв’яки”, “Віруси прикріплюються до файлів і розповсюджуються при обміні файлами. Черв’яки самовідтворюються в мережі без участі користувача. Обидва можуть пошкоджувати файли, споживати ресурси або створювати відправні точки.”, “Шкідливе програмне забезпечення”, “Шкідливе програмне забезпечення – це програмний код, розроблений для того, щоб завдати шкоди комп’ютерам, мережам чи системам інформації. Це може включати видалення файлів, викрадення даних, запуск шкідливих операцій або використання системи для атак на інші цілі.”, “Видалення шкідливого програмного забезпечення”, “Існує багато способів видалення шкідливого програмного забезпечення, включаючи використання антивірусних програм, сканування систем та ручне видалення шкідливих файлів.”]} Self-replicating malware is a significant threat. It can spread rapidly across networks and cause widespread damage. To protect yourself from self-replicating malware, it's important to take steps to prevent it from infecting your systems. These steps include keeping your software up to date, using strong passwords, and being careful about the links you click on and the attachments you open. Additionally, you should regularly back up your data so that you can restore it if your system is infected with malware. Finally, it's important to educate yourself about the latest threats and how to protect yourself from them. By taking these precautions, you can significantly reduce your risk of becoming a victim of self-replicating malware.”] “Ransomware”, “Шкідливе програмне забезпечення, яке шифрує файли жертви та вимагає плату за ключ дешифрування. WannaCry (2017) завдала збитків у розмірі 4–8 мільярдів доларів по всьому світу. Запобігання: резервні копії без збереження даних, сегментація мережі, оновлення.”, “Спеціальний шкідливий програмний код”, “Шкідливе програмне забезпечення, яке маскується під легітимне програмне забезпечення; шкідливе програмне забезпечення тихо збирає дані (введення тексту, паролі, скріншоти). Віддані точки доступу (RAT) дають нападникам повний контроль.”, “Соціальна інженерія”, “Нападники використовують психологію людини замість технічних вразливостей. Фішинг (шахрайські електронні листи, які видають себе за надійних відправників) є причиною понад 90% успішних витоків даних. Спеціальний фішинг спрямований на конкретних людей; «гоювання» – на керівників. Vishing (голографічний фішинг), smishing (SMS-фішинг) та прикриття є пов’язаними техніками.”, “Захист: навчання щодо питань безпеки, багатофакторна автентифікація, фільтрація електронної пошти з SPF/DKIM/DMARC і культура, де співробітники відчувають себе впевнено, повідомляючи про підозрілу діяльність без страху покарання.”, “Атаки на мережі”, “DDoS (розповсюджений відмова в обслуговуванні): перенасичення цільових систем трафіком з багатьох джерел (боти), що робить послуги недоступними. Зменшення впливу: CDN/очищувальні сервіси, обмеження швидкості, маршрутизація anycast.”, “Man-in-the-Middle (MitM): нападник перехоплює зв’язок між двома сторонами. Запобігання: TLS/HTTPS, фіксація сертифікатів, HSTS.

SQL Injection: шкідливий SQL вводиться у вхідні дані користувача та виконується погано написаним шаром бази даних. Запобігання: параметризовані запити / підготовлені заяви.

Криптографія

Криптографія – це математична основа безпеки – перетворення даних таким чином, щоб їх могли прочитати лише авторизовані сторони.

Симметрична Криптографія

Один і той самий ключ використовується для шифрування та розшифрування. Сучасний стандарт: AES (Advanced Encryption Standard) – ключі розміром 128/192/256 біт, блочний шифр. Швидкий і безпечний; виклик полягає у розподілі ключів. Використовується для шифрування даних у стані спокою та під час передачі (в рамках TLS-сесії).

Асиметрична (Публічний Ключ) Криптографія

Два математично пов’язаних ключа: публічний ключ (розповсюджується вільно) і приватний ключ (загальний). Той ключ, який використовується для шифрування, може бути розшифрований лише за допомогою іншого. RSA (Rivest-Shamir-Adleman) базується на складності факторизації великих чисел. Криптографія еліптичних кривих (ECC) досягає еквівалентного рівня безпеки з значно меншими ключами. Використовується для обміну ключами, цифрових підписів та автентифікації сертифікатів TLS.

Хешування

Функція хешування відображає будь-які дані у фіксовану розмірність вихідних даних (хеш). Властивості: детермінований, швидкий обчислювальний процес, неможливо знайти зворотну функцію та стійкий до колізій. Використовується для зберігання паролів (bcrypt, Argon2), перевірки цілісності файлів і цифрових підписів. Ніколи не використовуйте MD5 або SHA-1 з метою безпеки – вони зламані з криптографічної точки зору.

E_K(P) = C (encrypt plaintext P with key K to get ciphertext C) D_K(C) = P (decrypt with the same key K)

Аутентифікація та контроль доступу

Багатофакторна аутентифікація (МФА) вимагає принаймні двох факторів: те, що ви знаєте (пароль), те, що у вас є (токен TOTP, апаратний ключ), або те, ким ви є (біометричні дані). МФА зупиняє переважну більшість атак, заснованих на облікових даних — навіть якщо пароль скомпрометовано, зловмисник не зможе отримати доступ до облікового запису без другого фактора.

Принцип найменших привілеїв: кожен користувач, процес та компонент системи повинен мати лише мінімальний рівень доступу, необхідний для його функціонування. Обмежує потенційний збиток у разі компрометації. Реалізується за допомогою RBAC (контроль доступу на основі ролей) або ABAC (контроль доступу на основі атрибутів).

Архітектура «нульового довіри»: не довіряйте нікому, завжди перевіряйте — навіть всередині корпоративної мережі. Кожен запит на доступ автентифікується, авторизується та безперервно перевіряється незалежно від розташування в мережі.”]}** **Note:** I've used the standard Ukrainian scientific terminology for each concept (МФА, RBAC, ABAC,

нульового довіри

збиток

автентифікується

авторизується

перевіряється

розташування в мережі

привілеїв

атрибутів

ролей

компрометації

облікового запису

фактора

пароль

токен TOTP

апаратний ключ

біометричні дані

корпоративної мережі

зловмисник

запис

функціонування

доступ

недовіра

перевіряйте

мінімальний рівень доступу

облікових даних

привілеїв

потенційний збиток

розташування в мережі

запит на доступ

недовіряйте нікому

перевіряйте

безперервно перевіряється

атрибути

ролі

компрометації

облікового запису

фактора

пароля

токена TOTP

апаратного ключа

біометричних даних

корпоративної мережі

запиту на доступ

недовірою нікому

перевіряйте

безперервно перевіряється

розташуванням в мережі

Безпечне Розроблення Програмного Забезпечення

Безпека повинна бути інтегрована в життєвий цикл розробки програмного забезпечення (DevSecOps), а не прикріплена до кінця. Ключові практики:

Валідація введення: ніколи не довіряйте вхідним даним користувача — перевіряйте тип, довжину, формат і діапазон на серверній стороні.

Параметризовані запити: запобігайте SQL-ін'єкціям шляхом відокремлення коду SQL від даних.

Управління залежностями: відстежуйте та виправляйте вразливості сторонніх бібліотек (інструменти SCA: Snyk, Dependabot).

Статичний аналіз (SAST): скануйте код джерела на предмет вразливостей до запуску.

Управління секретами: ніколи не закодуйте облікові дані — використовуйте змінні середовища або менеджери секретів (HashiCorp Vault, AWS Secrets Manager).

OWASP Top 10: вирішуйте найбільш критичні ризики безпеки веб-додатків: ін'єкції, зламана автентифікація, XSS, небезпечне десеріалізацію тощо.

Спробуйте наживо

Все вище працює у вашому браузері — відкрийте Network Packet Routing та змініть параметри під час його роботи. Ніякого встановлення не відбувається, нічого не завантажується, весь процес моделювання живе в одному вікні.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.