Курс Кибербезопасность

Кибербезопасность:
защита в цифровом мире

Кибербезопасность — это защита компьютеров, сетей и данных от злоумышленников. Как замок на двери: он не гарантирует, что вор не попробует, но делает преступление максимально сложным и рискованным. Безопасность — это не продукт, а процесс, который нужно поддерживать постоянно.

Раздел 01

Зачем нужна кибербезопасность?

Каждый день хакеры атакуют компании, правительства и частных лиц. Утечка данных может стоить миллионы долларов и репутации. Безопасность — это не роскошь, а необходимость.

Объяснение простым языком

Представьте, что ваш компьютер — это квартира. Без антивируса и паролей это квартира с открытой дверью и окнами. Кибербезопасность — это замки, сигнализация, жалюзи и привычка не открывать дверь незнакомцам. Цель — не сделать квартиру неприступной крепостью (это невозможно), а повысить стоимость атаки для злоумышленника: пусть он потратит больше времени, чем это стоит.

Защита данных

Персональные данные, финансовая информация, коммерческие тайны — всё это ценная цель для хакеров. Шифрование и контроль доступа не позволяют злоумышленникам прочитать украденные данные даже при утечке.

Бизнес-непрерывность

Атака может остановить компанию на дни и недели. Потеря доступа к системам, шифрование данных вымогателями — всё это означает прямые убыки. Резервное копирование и план реагирования спасают бизнес.

Юридическая ответственность

Законы о защите данных (GDPR, 152-ФЗ) обязывают компании защищать информацию клиентов. За утечку — штрафы до миллионов рублей. Незнание закона не освобождает от ответственности.

Доверие клиентов

После публичной утечки данных клиенты уходят. Исследования показывают: 65% пользователей перестают пользоваться сервисом после инцидента. Репутация строится годами, а теряется за один день.

Раздел 02

Основные типы кибератак

Злоумышленники используют десятки методов. Вот самые распространённые — с ними сталкиваются каждый день миллионы людей и компаний.

Объяснение простым языком

Кибератака — это как взлом замка, только вместо двери — компьютер, а вместо отмычки — вирус или обман. Фишинг — это когда вас обманывают, заставляя ввести пароль на поддельном сайте. Шифровальщик — это вор, который запирает ваши файлы и требует выкуп. DDoS — это когда толпа людей пытается заблокировать вход в магазин, и реальные покупатели не могут войти.

Тип атаки	Цель	Метод	Размер угрозы
Фишинг	Украсть пароли	Поддельные письма и сайты	критический
Рансомвер	Зашифровать данные	Вирус-шифровальщик + выкуп	критический
SQL-инъекция	Взлом базы данных	Вставка кода в запросы	высокий
DDoS	Остановить сервис	Забивание трафиком	средний
MITM	Перехват данных	Подмена сети	высокий

SQL-инъекция

Злоумышленник вставляет SQL-код в поле ввода (форму входа, поиск). Если сервер не проверяет ввод — он выполнит чужую команду. Пример: ввод ' OR 1=1 -- может вернуть все записи из базы.

OWASP #3

XSS (Cross-Site Scripting)

Злоумышленник внедряет JavaScript на чужой сайт. Браузер жертвы выполняет чужой код — крадёт куки, перенаправляет на фишинг. Противодействие: экранирование вывода и CSP-заголовки.

OWASP #7

Фишинг и соц. инженерия

Обманывают людей, а не компьютеры. Поддельное письмо от «банка», звонок от «техподдержки», SMS о «выигрыше». Человек сам отдаёт пароль или деньги. Слабое звено — человек.

Человек

Шифровальщик (Ransomware)

Зашифровывает все файлы на компьютере и требует выкуп за ключ. Распространяется через письма, взломанные сайты, удалённый доступ. Самый дорогой тип атаки: ущерб — миллиарды долларов в год.

Выкуп

OWASP Top-10 — список самых опасных уязвимостей

OWASP (Open Web Application Security Project) — некоммерческая организация, которая составляет список самых опасных уязвимостей веб-приложений. Обновляется раз в несколько лет. Сюда входят: инъекции (SQL, XSS), проблемы аутентификации, уязвимости безопасности данных, некорректная настройка. Любой разработчик должен знать этот список наизусть.

Раздел 03

Криптография: шифрование данных

Криптография — это наука о защите информации. Она превращает читаемый текст в «кашу», которую невозможно понять без ключа. Это основа всей интернет-безопасности.

Объяснение простым языком

Представьте, что вы отправляете другу секретное сообщение. Вы записываете его на листе и шифруете — превращаете в набор символов. Друг получает его и расшифровывает с помощью ключа — специального слова или кода. Если кто-то перехватит сообщение — увидит только бессмысленный набор букв. Криптография — это математика, которая делает это возможным.

Симметричное шифрование

Один ключ для шифрования и расшифрования. Быстро, но есть проблема: как передать ключ получателю? Если его перехватят — всё вскроется. Примеры: AES-256, ChaCha20. Используется для шифрования файлов и дисков.

Быстро

Асимметричное шифрование

Два ключа: публичный (можно всем) и приватный (только у вас). Публичным шифруют, приватным расшифровывают. Проблема — медленное. Примеры: RSA, ECC. Используется для обмена ключами и подписей.

Безопасно

Хеширование

Превращает данные в фиксированную строку. Нельзя расшифровать обратно — только проверить, совпадает ли хеш. Пример: пароли хранят не в открытом виде, а в виде хешей. Если базу украдут — пароли не прочитают.

Одностороннее

HTTPS и TLS

Когда вы видите замок в адресной строке — это TLS (Transport Layer Security). Он шифрует весь трафик между браузером и сервером. TLS использует асимметричное шифрование для обмена ключами, а потом симметричное — для скорости.

Веб-трафик

Сравнение методов шифрования

Симметричное vs Асимметричное

✓ Симметричное: один ключ, быстро, дёшево
✓ Асимметричное: два ключа, безопасно, медленно
✗ Симметричное: проблема передачи ключа
✓ В реальности используют вместе: обмен ключами асимметричным, потом симметричное

Хеширование vs Шифрование

✓ Шифрование: обратимое, нужен ключ для расшифровки
✓ Хеширование: необратимое, только проверка совпадения
✗ Хеш нельзя расшифровать — данные не вернуть
✓ Хеш используют для паролей и проверки целостности файлов

Раздел 04

Аутентификация: проверка личности

Аутентификация — это доказательство, что вы — это вы. Как паспорт на границе: нужно показать документ, чтобы пропустили. Без надёжной аутентификации любая защита бессмысленна.

Объяснение простым языком

Есть три способа доказать, кто вы: 1) знать что-то (пароль, PIN), 2) иметь что-то (телефон, ключ-токен), 3) быть кем-то (отпечаток пальца, лицо). Чем больше способов вы используете одновременно — тем сложнее взломать. Двухфакторная аутентификация (2FA) — это когда нужно и пароль, и код из SMS или приложения.

Пароли и их проблемы

Пароли — первый рубеж, но и самый слабый. Люди используют «123456», «password» и один пароль на всё. Совет: используйте менеджер паролей (Bitwarden, 1Password) и генерируйте длинные уникальные пароли.

Слабое звено

Двухфакторная аутентификация (2FA)

Добавляет второй шаг: пароль + код из SMS, Google Authenticator или YubiKey. Даже если пароль украден — без второго фактора злоумышленник не войдёт. Обязательно включайте 2FA на всех важных аккаунтах.

Рекомендуется

Биометрия

Отпечаток пальца, скан лица, радужка глаза. Удобно и сложно подделать. Но: если украдут биометрические данные — заменить палец нельзя. Поэтому биометрию лучше комбинировать с другими факторами.

Удобно

OAuth и JWT

OAuth — «Войти через Google/GitHub». Сервис не видит ваш пароль, только подтверждение личности. JWT (JSON Web Token) — токен-пропуск: содержит информацию о пользователе и подпись сервера.

Токены

Правило MFA: пароль + ещё что-то

Многoфакторная аутентификация (MFA) — золотой стандарт. Google сообщает, что MFA блокирует 99% автоматических атак. Используйте приложение-аутентификатор (Google Authenticator, Authy) вместо SMS — SMS можно перехватить через подмену базовой станции.

Раздел 05

OWASP Top-10: десять главных уязвимостей

Это список самых опасных проблем безопасности веб-приложений. Любой разработчик, тестировщик и DevOps-инженер должны знать их и уметь предотвращать.

Объяснение простым языком

OWASP Top-10 — это как список самых частых болезней для врача. Если знаешь эти десять проблем и умеешь их лечить — ты предотвратишь большинство атак. Каждая позиция в списке — это реальная уязвимость, которая привела к утечке миллионов аккаунтов.

A01: Broken Access Control

Пользователь получает доступ к чужим данным. Например, подмена ID в URL: /user/123 → /user/124. Если сервер не проверяет права — вы видите чужой профиль.

Частая ошибка

A02: Cryptographic Failures

Неправильное шифрование или его отсутствие. Пароли в открытом виде, SSL-сертификат устарел, данные передаются по HTTP. Всегда используйте HTTPS и храните пароли в виде bcrypt/scrypt-хешей.

Критично

A03: Injection (SQL, XSS)

Внедрение вредоносного кода. SQL-инъекция — в поле ввода пишут SQL-запрос, XSS — в поле пишут JavaScript. Защита: параметризованные запросы и экранирование вывода.

OWASP #3

A07: Identification Failures

Слабая аутентификация: нет 2FA, пароль не проверяется, сессия не истекает. Злоумышленник перебирает пароли (brute-force) или крадёт сессию. Решение: rate limiting + 2FA +проверенные пароли.

Аутентификация

Частичный список OWASP Top-10 (2021)

Broken Access Control

Нарушение контроля доступа. Пользователь получает права, которые ему не положены. Самая частая уязвимость.

Cryptographic Failures

Неправильное шифрование: устаревшие алгоритмы, отсутствие TLS, хранение паролей в открытом виде.

Injection

SQL-инъекции, XSS, командные инъекции. Злоумышленник внедряет код, который выполняется сервером или браузером.

Insecure Design

Проблемы на этапе проектирования. Если архитектура не продумана — никакой код не спасёт.

Security Misconfiguration

Неправильная настройка: дефолтные пароли, открытые порты, избыточные права. Часто из-за «я не думал, что это важно».

Раздел 06

Тестирование на проникновение (Pentest)

Пентест — это легальный взлом с целью найти уязвимости раньше, чем это сделают реальные злоумышленники. Этичные хакеры проверяют системы компании и выдают отчёт с рекомендациями.

Объяснение простым языком

Пентест — это как нанять вора, чтобы он проверил, можно ли взломать ваш дом. Он попробует вскрыть замки, обойти сигнализацию, залезть через окно. А потом расскажет, какие дыры нашёл и как их заделать. Только вместо вора — профессиональный этичный хакер, а вместо вашей квартиры — компьютерная система.

Сканирование и разведка

Пентестер изучает цель: какие сервисы работают, какие порты открыты, какое ПО используется. Инструменты: Nmap, Shodan. Это как разведка перед штурмом.

Разведка

Эксплуатация уязвимостей

После поиска дыр — попытка эксплуатации. Используются фреймворки Metasploit, Burp Suite. Пентестер доказывает, что уязвимость реальна, а не теоретична.

Атака

Отчёт и рекомендации

Главный результат пентеста — отчёт. Он описывает найденные уязвимости, их критичность и конкретные рекомендации по исправлению. Без отчёта пентест бесполезен.

Результат

Этапы пентеста

Подготовка и согласование

Определяется: что можно атаковать, а что нельзя. Подписывается соглашение (NDA + авторизация). Без этого — уголовная ответственность.

Разведка (Reconnaissance)

Сбор информации: DNS-записи, IP-адреса, технологии, сотрудники. Пассивная (без контакта с целью) и активная (с запросами).

Сканирование

Nmap для портов, Nikto для веб-уязвимостей, Burp Suite для HTTP-анализа. Автоматические сканеры + ручная проверка.

Эксплуатация

Попытка использовать найденные уязвимости для получения доступа. Metasploit, SQLmap, собственные эксплойты. Доказательство концепции (PoC).

Отчётность

Подробный отчёт: описание уязвимости, шаги воспроизведения, критичность (CVSS), рекомендации по исправлению. Презентация руководству.

Раздел 07

Инструменты кибербезопасности

Вот основные инструменты, которые используют специалисты по безопасности. Большинство из них бесплатны и доступны для изучения.

Wireshark

Анализатор сетевого трафика. Показывает каждый пакет данных, который проходит через вашу сеть. Как «рентген» для трафика. Бесплатный, кроссплатформенный,must-have для сетевого анализа.

Трафик

Burp Suite

Интерсептор HTTP/HTTPS-трафика. Перехватывает запросы браузера, позволяет модифицировать их. Главный инструмент для веб-пентеста. Есть бесплатная версия Community.

Веб-тест

Nmap

Сканер сетей и портов. Определяет, какие сервисы работают, какие порты открыты, какое ПО используется. «Разведчик» в мире кибербезопасности.

Сканирование

Metasploit

Фреймворк для эксплуатации. Содержит тысячи эксплойтов и полезных нагрузок. Позволяет автоматизировать процесс атаки. Используйте только с разрешения!

Эксплойты

Чеклист: базовая защита приложений

Валидация входных данных

Никогда не доверяйте пользовательскому вводу. Проверяйте, экранируйте, используйте параметризованные запросы для БД.

Шифрование данных

HTTPS обязателен. Пароли — bcrypt/scrypt/argon2. Чувствительные данные — AES-256. Никогда не храните пароли в открытом виде.

Контроль доступа

Проверяйте права на каждом запросе. Не полагайтесь только на «скрытые» маршруты. Принцип минимальных привилегий.

Логирование и мониторинг

Записывайте все попытки входа, ошибки, подозрительную активность. Без логов вы не узнаете о взломе.

Регулярное обновление

Обновляйте ПО, библиотеки, зависимости. Уязвимости исправляют патчами — не игнорируйте обновления безопасности.