უსაფრთხოების ცოდნის სრული ტანი, ისე ნასწავლი, როგორც CompTIA Security+ ასწავლის: ხუთი დომენი — ძირითადი ტერმინოლოგიიდან და კრიპტოგრაფიიდან, საფრთხეებსა და უსაფრთხო არქიტექტურამდე, ყოველდღიურ ოპერაციებამდე და მართვამდე, რომელიც ყველაფერს კრავს. დიდი თეორია იქ, სადაც იდეები ცხოვრობს, და ხელით შესასრულებელი ლაბები იზოლირებულ სტენდზე — ყველგან, სადაც ცნების ხელით შეხება შეიძლება.
მდგომარეობა: მშენებლობის პროცესში — პირველი დომენი, „უსაფრთხოების ზოგადი კონცეფციები", სრულადაა დაწერილი; დანარჩენი ოთხი დომენი იწერება. სამი შეტევითი ლაბი (დაზვერვა, SQL-ინექცია, პაროლის გატეხვა) უკვე მუშაობს დახურულ ქსელში, ინტერნეტისკენ მარშრუტის გარეშე — ხელსაწყოები იქ რჩება, სადაც უნდა იყოს.
ტერმინოლოგია, რომელზეც მთელი დარგი დგას — CIA-სამკუთხედი, AAA, უსაფრთხოების კონტროლები, ნულოვანი ნდობა და კრიპტოგრაფია, რომელიც ამ ყველაფრის საფუძველია.
ნებისმიერ ხელსაწყოზე თუ შეტევაზე ადრე — საერთო ენა. სამი თვისება, რომელსაც ყოველი უსაფრთხოების ზომა იცავს, სამი კითხვა, რომელსაც წვდომის ყოველი გადაწყვეტილება პასუხობს, და იდეა, რომელიც ხელმოწერას აზრს ანიჭებს. ამ კურსში ყველაფერი დანარჩენი ამ სიტყვებზე დგას.
კონტროლი ნებისმიერი ზომაა, რომელიც რისკს ამცირებს — მაგრამ ისინი ერთი და იგივე ბუნების არაა. დაახარისხე ორი ღერძით ერთდროულად: ვინ ახორციელებს (ტექნიკური, მმართველობითი, ოპერაციული, ფიზიკური) და რას უკეთებს საფრთხეს (აღკვეთს, აშინებს, აღმოაჩენს, ასწორებს, ანაზღაურებს, წარმართავს). ეს ბადე ყოველ გამოცდასა და აუდიტზეა.
ძრავა ამ კურსის თითქმის ყოველი კონტროლის ქვეშ. სიმეტრიული და ასიმეტრიული დაშიფვრა და რატომ გჭირდება ყოველთვის ორივე; ჰეშირება და რა ხდის ჰეშს პაროლისთვის ვარგისს; ციფრული ხელმოწერა, რომელიც ერთდროულად აძლევს მთლიანობას, ავთენტურობასა და უარყოფის შეუძლებლობას; და გასაღების გაცვლის ხრიკი, რომლითაც ორი უცხო საჯაროდ თანხმდება საიდუმლოზე.
საჯარო გასაღები საიდუმლოებას წყვეტს, მაგრამ ახალ კითხვას სვამს — საიდან იცი, რომ საჯარო გასაღები ნამდვილად შენს ბანკს ეკუთვნის და არა თაღლითს? პასუხია ხელმოწერების ჯაჭვი, რომელიც რამდენიმე ავტორიტეტში ფესვგადგმულია, რომელსაც შენი მოწყობილობა უკვე ენდობა. სერტიფიკატები, CA-ები, TLS-ის ხელის ჩამორთმევა ბოლომდე და როგორ უქმდება სერტიფიკატი, როცა გასაღები მოიპარეს.
ციხე-თხრილის მოდელი — მაგარი პერიმეტრი, რბილი სანდო შიგნეთი — ვარდება იმ წამს, როცა თავდამსხმელი შიგნით მოხვდება, ისინი კი ბოლოს ყოველთვის ხვდებიან. ნულოვანი ნდობა სანდო შიგნეთს სრულად აგდებს: ყოველი მოთხოვნა ავთენტიფიცირდება და ავტორიზდება საკუთარი დამსახურებით, ყოველ ჯერზე. კონტროლისა და მონაცემების სიბრტყეები, პოლიტიკის ძრავები და აღსრულების წერტილები, და მიკროსეგმენტაცია.
ვინ ესხმის და რატომ, თვითონ შეტევების ფორმა და ის სისუსტეები, რომლებსაც ისინი იყენებენ — სოციალური ინჟინერიიდან ინექციამდე და პაროლებზე შეტევამდე.
სანამ შეტევისგან დაიცავ, უნდა იცოდე, ვინ დგას მის უკან. ეს სტატია ალაგებს მოწინააღმდეგეებს — სახელმწიფოები, ორგანიზებული დანაშაული, ჰაკტივისტები, შიდა პირები, სკრიპტ-კიდები — მათი რესურსების, დახვეწილობისა და მოტივაციის მიხედვით და ხსნის, რატომ ცვლის „ვინ" ყველაფერს იმაში, თუ „როგორ" იცავ თავს.
ყოველი შესასვლელი გზა ვექტორია, ხოლო ყველა მათგანის ჯამი შენი შეტევის ზედაპირია. ეს სტატია ხატავს გავრცელებულ ვექტორებს — ელფოსტა, ვები, მოხსნადი მედია, მიწოდების ჯაჭვი, უსადენო ქსელი, მოპარული რწმუნებები — და ორ იდეას, ყველა მათგანში რომ გასდევს: შეამცირე ზედაპირი და არ ენდო არცერთ შემოსასვლელ გზას.
მავნე პროგრამა ერთი რამ არაა — ის მთელი ზოოპარკია, და გამოცდაც და სამუშაოც ითხოვს, რომ ცხოველები ერთმანეთისგან გაარჩიო. ვირუსები, ჭიები, ტროიანები, გამომძალველი პროგრამა, spyware, rootkit-ები, ლოგიკური ბომბები, ботnet-ები და სხვა — დახარისხებული იმის მიხედვით, როგორ ვრცელდებიან, როგორ იმალებიან და რისთვის არიან — პლუს ინდიკატორები, ინფექციას რომ ამხელს.
ფაიერვოლის გვერდის ავლის ყველაზე იაფი გზა ისაა, შიგნით მყოფს სთხოვო, გააღოს ის. სოციალური ინჟინერია ადამიანს ესხმის თავს, არა მანქანას — ფიშინგი და მისი ბიძაშვილები, pretexting, საქმიანი ელფოსტის კომპრომეტაცია და გავლენის ბერკეტები, რომლებიც მათ ამუშავებს. ისწავლე ტექნიკები და დაცვები, რომლებიც მართლა უძლებს.
შესვლის ფორმა და საძიებო ველი ნამდვილ, მომუშავე ვებ-აპლიკაციაზე. არცერთი არ აშორებს მომხმარებლის შეყვანას იმ მოთხოვნისგან, რომელსაც აგებს — ამიტომ პაროლის გარეშე შეხვალ, მერე კი წაიკითხავ ცხრილს, რომელიც არასდროს უნდა გენახა. შემდეგ ერთ სტრიქონში გაასწორებ, ისე, როგორც თავიდანვე უნდა დაწერილიყო.
„ქსელური ხელსაწყოების" ვებ-გვერდი ping-სა და nslookup-ს გიშვებს — შენს შეყვანას პირდაპირ shell-ის ბრძანებაში აწებებს. მის ping-ის ველს სერვერზე შელად აქცევ, წაიკითხავ ფაილს, რომელიც არასდროს უნდა გენახა, და გაიგებ, რატომ არის ერთადერთი გამოსავალი ბრძანება საერთოდ არ ააგო სტრიქონისგან.
ორი მოპარული ფაილი — ვებ-აპლიკაციის ჰეშ-სვეტი და სერვერის shadow-ფაილი — და ლექსიკონი. ზოგი ჰეში მილიწამებში ვარდება, ზოგს ნამდვილი შრომა სჭირდება, ერთი კი უარს ამბობს. ბოლოს ზუსტად გეცოდინება, ჰეშირების სქემის რომელი თვისება წყვეტს, რომელი რომელია, და რატომ არასდროსაა პასუხი „ალგორითმი საიდუმლოა".
უსაფრთხოების ყოველდღიური მართვა — გამაგრება, მონიტორინგი, მოწყვლადობის მართვა, იდენტობა და წვდომა, და რეაგირება, როცა რაღაც შეცდება.
ერთი რამ გეძლევა — ქვექსელი — და დახურული სტენდი, საიდანაც გასასვლელი არაა. აქციე ის სრულ რუკად: რომელი ჰოსტია ცოცხალი, რომელი პორტია ღია, რომელი სერვისი და ზუსტი ვერსია პასუხობს და სამი დროშა, სადაც მხოლოდ ნამდვილი დათვალიერება იპოვის. ეტაპი, საიდანაც ყოველი შეტევა — და ყოველი დაცვა — იწყება.