Глоссарий терминов безопасности сервера

Указатель терминов от А до Я, которые чаще всего встречаются при усилении защиты Linux сервера. Выберите термин, чтобы открыть его полное определение.

/

• /etc/passwd (файл учётных записей Linux)/etc/passwd: файл Linux со списком локальных пользователей из семи полей. Что значит каждое поле, UID 0, оболочка nologin и как проводить аудит.

A

• AllowUsers (разрешённые пользователи SSH)AllowUsers: директива sshd_config, разрешающая вход по SSH только перечисленным пользователям (можно по адресу). Синтаксис, DenyUsers, проверка.
• auditd (аудит Linux)auditd это демон аудита Linux: он записывает изменения файлов, команды и системные вызовы по правилам. Правила auditctl, поиск через ausearch и aureport.
• authorized_keysФайл со списком публичных ключей, которым разрешён вход в конкретную учётную запись по SSH.

B

• Bastion host (бастионный хост)Бастионный хост (jump host) это защищённый сервер, единственная точка входа по SSH в частную сеть. К внутренним серверам ходят через ssh -J или ProxyJump.

C

• CORS (cross-origin resource sharing)CORS это механизм заголовков HTTP: он сообщает браузеру, каким источникам можно читать ваш API. Preflight, примеры заголовков и типичные ошибки.
• CVSS (система оценки уязвимостей)CVSS (Common Vulnerability Scoring System) оценивает серьёзность уязвимости от 0.0 до 10.0. Он не показывает вероятность атаки и ваш реальный риск.

D

• DDoS атакаDistributed Denial of Service, распределённая атака, цель которой сделать сервер или сервис недоступным, перегрузив его трафиком с множества источников одновременно, а не попыткой проникновения..
• DIY защита (самостоятельная защита)Самостоятельное выполнение всей защиты, мониторинга и реагирования на инциденты силами имеющейся команды, вместо оплаты управляемого сервиса..
• Docker socketDocker socket (/var/run/docker.sock) это Unix-сокет демона Docker, и доступ к нему равнозначен root на хосте.
• Docker socket proxy (прокси сокета Docker)Прокси сокета Docker стоит перед /var/run/docker.sock и пропускает только разрешённые вызовы API. Он сужает доступ, но не делает сокет безопасным.

F

• fail2banШироко используемый инструмент предотвращения вторжений, который следит за логами на предмет паттернов вроде повторных неудачных входов и временно или постоянно банит IP адрес источника через firewall сервера..
• FIDO2 и WebAuthn (вход с аппаратным ключом)FIDO2 это открытый стандарт входа без риска фишинга на аппаратных ключах, WebAuthn его браузерный API. В OpenSSH работают ключи ecdsa-sk и ed25519-sk.
• FirewallПрограммное или аппаратное средство, контролирующее, какой сетевой трафик допускается до сервера, на основе правил вроде IP адреса и порта.

H

• HSTS (строгая транспортная безопасность HTTP)HSTS (HTTP Strict Transport Security): заголовок Strict-Transport-Security, по которому браузер ходит на сайт только по HTTPS. Синтаксис, nginx, риски.

I

• Intrusion prevention (предотвращение вторжений)Программное обеспечение, автоматически обнаруживающее и блокирующее вредоносную активность, например fail2ban, банящий IP после повторных неудачных попыток входа, вместо того чтобы просто фиксировать это в логах для последующего просмотра..
• iptablesИсходный инструмент firewall для Linux, построенный на основе netfilter в ядре.

J

• Jail (в fail2ban)Отдельный набор правил мониторинга внутри fail2ban, направленный на конкретный сервис, например sshd jail или nginx-http-auth jail, каждый со своими условиями блокировки..
• journalctl (просмотр журнала systemd)journalctl читает журнал systemd. Фильтры по службе, приоритету и времени, просмотр логов вживую и проверка неудачных входов по SSH, с примерами команд.

K

• known_hostsknown_hosts это файл SSH-клиента с доверенными ключами серверов: по нему ssh замечает подмену сервера. Формат, StrictHostKeyChecking, предупреждение.

L

• limit_req (ограничение запросов в nginx)limit_req: директива nginx, ограничивающая запросы на ключ (например, IP) через limit_req_zone, с burst и nodelay. Синтаксис, значения, проверка.
• Live patching ядраПрименение исправлений безопасности к работающему ядру Linux без перезагрузки сервера, полезно, когда плановый простой сложно организовать..
• Livepatch (живое обновление ядра)Livepatch: механизм ядра Linux и инструменты вендоров (Canonical Livepatch, kpatch), исправляющие работающее ядро без перезагрузки. Команды и ограничения.

M

• MaxAuthTries (лимит попыток входа в SSH)MaxAuthTries: директива sshd_config, ограничивающая число попыток аутентификации на одно SSH соединение (по умолчанию 6) до отключения клиента.

N

• N-day эксплойтАтака на уязвимость, которая уже публично известна и на которую уже существует патч.
• nftablesСовременная замена iptables в Linux, часть того же netfilter, но с более чистым синтаксисом и лучшей производительностью на больших объёмах правил..
• nginxШироко используемый веб-сервер и reverse proxy.

O

• Object Lock (неизменяемое хранение объектов)Object Lock: функция Amazon S3 по модели WORM (write once, read many), не дающая удалить или перезаписать версии объектов. Режимы, настройка и ограничения.

P

• PAM (подключаемые модули аутентификации)PAM (Pluggable Authentication Modules) определяет, как sshd, su и login Linux проверяют пользователя. Типы модулей, флаги, /etc/pam.d, блокировки.
• PasswordAuthentication (вход по паролю в SSH)PasswordAuthentication: директива sshd_config, разрешающая или запрещающая вход по SSH с паролем учётной записи. Значения: yes (по умолчанию) или no.
• PermitRootLogin (вход root по SSH)PermitRootLogin: директива sshd_config, определяющая, может ли root входить по SSH: yes, prohibit-password (по умолчанию), forced-commands-only или no.

R

• Rate limiting (ограничение частоты запросов)Ограничение количества запросов или попыток соединения от одного источника за определённый промежуток времени.
• Read-only аудитПроверка безопасности, только считывающая текущее состояние системы без изменения конфигурации, блокировки IP или удаления чего либо.
• RECOVERED и VERIFIEDРазграничение, при котором сервис, снова отвечающий на запросы после инцидента, считается только "восстановленным", тогда как статус "проверено" требует дополнительно независимых проверок файлов, служб и сети, подтверждающих, что причина инцидента реально устранена..
• RPO и RTO (допустимая потеря данных и время восстановления)RPO (допустимая потеря данных) и RTO (допустимое время простоя): определения, примеры и тест восстановления для вашего VPS.
• rsyslog (системный журнал syslog)rsyslog это демон syslog в Linux: он направляет сообщения по объекту и приоритету в файлы или на сервер. Правила, шаблоны и пересылка логов по TLS.

S

• Security headers (заголовки безопасности)HTTP заголовки ответа, такие как Strict-Transport-Security или X-Content-Type-Options, указывающие браузеру применять дополнительную защиту сверх того, что делает сам сервер..
• server_tokensНастройка nginx, которая, если оставлена включённой, показывает точную версию nginx в каждом ответе, давая атакующим преимущество в поиске уязвимостей, характерных для этой версии..
• SIEMSecurity Information and Event Management, система, централизующая и коррелирующая данные логов из разных источников, что позволяет заметить закономерности, невидимые при просмотре только одного лога..
• SQL-инъекцияSQL-инъекция позволяет атакующему выполнить свой SQL через ваши запросы. Как она возникает, параметризованные запросы как решение и проверка приложения.
• SSHSecure Shell, зашифрованный протокол для удалённого входа и администрирования Linux сервера.
• SSH X11 forwarding (проброс X11)Что значит ssh -X: проброс X11 показывает окно GUI-программы с сервера на вашем экране. Чем -X отличается от -Y и зачем отключать его на серверах.
• ssh-copy-id (установка ключа на сервер)ssh-copy-id устанавливает ваш открытый SSH-ключ на сервер, добавляя его в authorized_keys и создавая файл при нужде. Проверьте до отказа от паролей.
• ssh-keygen (создание ключей OpenSSH)ssh-keygen это утилита OpenSSH для создания пар SSH-ключей. По умолчанию создаёт Ed25519, а также печатает отпечатки и удаляет записи из known_hosts.
• sshd_configОсновной файл конфигурации SSH демона в Linux, обычно расположен по пути /etc/ssh/sshd_config.
• ssl_protocols (версии TLS в nginx)ssl_protocols: директива nginx со списком версий SSL/TLS, которые принимает сервер. По умолчанию TLSv1.2 TLSv1.3; TLS 1.0 и 1.1 запрещены RFC 8996.
• sudo (выполнение команд с правами root)sudo запускает одну программу от root или другого пользователя по политике, с вашим паролем и журналом. Как работает, ключи, кэш учётных данных, проверка.
• sudoers (правила sudo)sudoers: файл политики (/etc/sudoers, /etc/sudoers.d): кто и какие команды может запускать через sudo. Синтаксис правил, NOPASSWD, алиасы, visudo.
• SYN flood (SYN-флуд)SYN-флуд это DoS-атака на TCP, переполняющая очередь полуоткрытых соединений сервера. Как она устроена, как заметить её в Linux и что помогает.

T

• TLS / SSLКриптографические протоколы, шифрующие трафик между браузером и сервером.
• TOTP (одноразовый пароль по времени)TOTP (Time-based One-Time Password, RFC 6238) это короткий код, меняющийся каждые 30 секунд. Как работает, SSH через PAM, расхождение часов, пределы.

U

• ufw (Uncomplicated Firewall)Упрощённая обёртка над iptables, созданная для того, чтобы типовые правила firewall было проще писать без ошибок.
• UID 0Любая учётная запись Linux с идентификатором пользователя 0 обладает теми же правами, что и root, независимо от имени.
• unattended-upgradesПакет для Debian и Ubuntu, автоматически устанавливающий обновления безопасности по расписанию, без необходимости вручную заходить на сервер и запускать обновление..

V

• VPS (Virtual Private Server)Виртуальная машина, арендуемая у хостинг провайдера и дающая полный административный контроль над операционной системой, а значит вся настройка безопасности с первого дня становится ответственностью арендатора..

W

• WAF (Web Application Firewall)Уровень защиты, проверяющий HTTP запросы на паттерны атак, например SQL инъекции, прежде чем они достигнут самого приложения.

Z

• Zero-day эксплойтАтака, использующая уязвимость, о которой разработчик программы пока не знает, поэтому патча ещё не существует.

А

• Атака на уровне приложения (Layer 7)Тип DDoS атаки, направленный непосредственно на веб-приложение с запросами, которые выглядят как легитимные, из за чего его сложнее отличить от реального трафика, чем простой поток мусорных пакетов..
• Атака подбором (brute-force)Автоматический перебор множества комбинаций логина и пароля против сервиса авторизации, пока одна не сработает.
• Аутентификация по ключуВход в SSH по паре криптографических ключей вместо пароля.

Б

• Ботнет (botnet)Ботнет это сеть захваченных устройств под управлением одного атакующего. Зачем он нужен, как вербуют роутеры и как проверить свой сервер.

В

• Вайб-кодингВайб-кодинг (vibe coding) это создание ПО промптами к ИИ без чтения кода. Откуда термин, какие риски для безопасности и как выпускать продукт безопасно.
• Волюметрическая атакаТип DDoS атаки, при котором цель просто заливают трафиком в объёме, превышающем пропускную способность её сетевого подключения..
• Вход под rootПрямой вход по SSH под учётной записью root, то есть администратора.

Д

• Двухфакторная аутентификация (2FA)Двухфакторная аутентификация требует при входе второе подтверждение личности помимо пароля или ключа.

З

• Защита на уровне строк (RLS)Защита на уровне строк (RLS) в PostgreSQL решает, какие строки каждый пользователь может читать и менять. Политики, запрет по умолчанию, Supabase и ошибки.

К

• Каталог KEV CISA (известные эксплуатируемые уязвимости)Каталог KEV CISA (Known Exploited Vulnerabilities) перечисляет CVE с подтверждённой эксплуатацией. Ленты JSON и CSV; сроки обязательны для агентств США.

М

• Мониторинг целостности файловНепрерывная проверка того, не были ли изменены файлы, которые не должны меняться, например системные бинарные файлы или конфигурационные файлы..

О

• Обратный прокси (reverse proxy)Обратный прокси стоит перед вашими серверами и пересылает запросы клиентов. Как работает nginx proxy_pass, реальный IP клиента, TLS и риски.
• Окно обновлений (patch window)Заранее согласованный промежуток времени, в течение которого обновления тестируются и применяются на production серверах, чтобы избежать неожиданных изменений в непредсказуемое время..

П

• Переменные окруженияПеременные окружения это именованные значения, которые приложение читает при старте: конфигурация и ключи. Файл .env, .gitignore и места утечек.
• Политика default denyКонфигурация firewall, при которой весь трафик блокируется по умолчанию, а разрешаются только явно перечисленные соединения.
• Правило резервного копирования 3-2-1Правило 3-2-1: три копии данных, на двух типах носителей, одна копия вне площадки.
• Принцип минимальных привилегий (least privilege)Принцип минимальных привилегий: каждый пользователь и сервис получает только минимальные права для своей работы.
• Проброс SSH-агента (agent forwarding)Проброс SSH-агента (ssh -A, ForwardAgent) даёт удалённому хосту доступ к ключам вашего агента. По умолчанию выключен и рискован. Безопаснее ProxyJump.
• Программа-вымогатель (ransomware)Ransomware это вредоносное ПО, которое шифрует файлы, делая их непригодными, и требует плату за расшифровку.
• Промпт-инъекцияПромпт-инъекция заставляет ИИ-модель выполнять скрытый в данных текст атакующего. Прямая и непрямая, риски для агентов и способы ограничить ущерб.
• Протокольная атакаТип DDoS атаки, эксплуатирующий недостатки самих сетевых протоколов и истощающий ресурсы сервера или сетевого оборудования, а не просто полосу пропускания..

Р

• Реагирование на инцидентыСтруктурированный процесс обнаружения, сдерживания, устранения причины и восстановления после инцидента безопасности, за которым следует разбор того, что вообще позволило инциденту произойти..

С

• Сдерживание (containment)Этап реагирования на инцидент, направленный на то, чтобы остановить дальнейшее распространение активного взлома, прежде чем полностью устранять его причину..
• Слопсквоттинг (slopsquatting)Слопсквоттинг (slopsquatting): регистрация выдуманных ИИ имён пакетов с вредоносным кодом. Что показали исследования и как проверять зависимости.

У

• Управление обновлениями (patch management)Непрерывный процесс отслеживания, тестирования и установки обновлений, закрывающих известные уязвимости, а не обновление только тогда, когда что то сломалось..
• Управление секретамиУправление секретами это хранение, доставка и ротация API-ключей, паролей и токенов. Базовая схема для новичка: права на .env, секреты Compose, ротация.
• Управляемая защита (managed security)Услуга, при которой третья сторона непрерывно следит за сервером, обслуживает его и реагирует на события безопасности, вместо того чтобы бизнес занимался этим полностью самостоятельно..