Alterna · Сетевая безопасность

В главе 4 вы узнали о паролях, фишинге и защите персональных данных. Теперь поднимемся на сетевой уровень — как инфраструктура защищает данные от перехвата, вторжения и атак.

Firewall, IDS, VPN, TLS — каждый из этих инструментов решает свою задачу в многоуровневой защите.

ФГОС · базовый ФОП · углублённый

Угрозы в сети

Что именно мы защищаем и от кого

ФГОС

Три столпа информационной безопасности (CIA)

🔒

Confidentiality

конфиденциальность

Данные доступны только авторизованным пользователям. Защита от перехвата и несанкционированного доступа.

✓

Integrity

целостность

Данные не были изменены несанкционированно. Защита от подмены и модификации.

⚡

Availability

доступность

Данные и сервисы доступны, когда нужны. Защита от DDoS и сбоев.

Основные сетевые угрозы

Угроза	Описание	Нарушает
Перехват (sniffing)	Злоумышленник читает трафик в сети	Конфиденциальность
MITM (Man-in-the-Middle)	Атакующий встраивается между клиентом и сервером	Конфиденциальность + целостность
DDoS	Массовые запросы «ложат» сервер	Доступность
SQL-инъекция	Внедрение вредоносного SQL-кода через формы	Конфиденциальность + целостность
Сканирование портов	Разведка открытых портов для поиска уязвимостей	— (подготовка атаки)
Spoofing	Подделка IP/MAC-адреса	Целостность

Межсетевой экран (Firewall)

Фильтр, который решает: пропустить пакет или заблокировать

ФГОСФОП

Что делает firewall

Межсетевой экран (firewall) — устройство или программа, которая анализирует сетевые пакеты и решает, пропустить их или заблокировать, на основе набора правил.

Типы firewall

Тип	Что анализирует	Пример правила
Packet filter	Заголовки: IP, порт, протокол	«Запретить TCP-порт 23 (Telnet) извне»
Stateful	+ состояние соединения	«Пропускать ответы на исходящие запросы»
Application (proxy)	Содержимое (HTTP, DNS)	«Блокировать запросы к malware.ru»
NGFW	+ IDS, глубокий анализ	«Блокировать трафик с сигнатурой эксплойта»

Правила firewall

Каждое правило содержит: протокол (TCP/UDP/ICMP), адрес источника, порт источника, адрес назначения, порт назначения, действие (ALLOW / DENY).

Правила обрабатываются сверху вниз. Первое совпавшее правило применяется. В конце обычно стоит «default deny» — запретить всё, что не разрешено.

Принцип Правильная политика firewall: запретить всё, разрешить только необходимое (default deny). Обратный подход (разрешить всё, запретить известное плохое) — гораздо менее безопасен.

IDS и IPS — обнаружение и предотвращение

Системы, которые видят аномалии в трафике

ФОП

IDS — Intrusion Detection System

Обнаруживает подозрительную активность и оповещает администратора. Не блокирует трафик — только мониторит. Аналогия: камера видеонаблюдения.

IPS — Intrusion Prevention System

Обнаруживает и блокирует атаки автоматически. Стоит «в разрыв» трафика. Аналогия: охранник на проходной.

Методы обнаружения

Метод	Как работает	Плюсы	Минусы
Signature-based	Сравнение с базой известных атак (сигнатурами)	Точный для известных угроз	Не видит новые (zero-day)
Anomaly-based	Отклонение от «нормального» профиля трафика	Ловит новые атаки	Ложные срабатывания
Heuristic	Анализ поведения (эвристики)	Гибкий	Сложен в настройке

VPN — виртуальная частная сеть

Зашифрованный туннель через публичный Интернет

ФГОСФОП

Что делает VPN

VPN (Virtual Private Network) создаёт зашифрованный туннель между вашим устройством и VPN-сервером. Весь трафик идёт через этот туннель — провайдер и злоумышленники в сети видят только шифр.

Зачем нужен VPN

Безопасность в публичных Wi-Fi — в кафе, аэропорту трафик шифруется
Удалённый доступ к корпоративной сети — сотрудник работает из дома как в офисе
Конфиденциальность — провайдер не видит, какие сайты вы посещаете

Протоколы VPN

Протокол	Шифрование	Скорость	Применение
OpenVPN	AES-256	Средняя	Универсальный, открытый
WireGuard	ChaCha20	Высокая	Современный, лёгкий
IPsec	AES / 3DES	Средняя	Корпоративные site-to-site
PPTP	MPPE (слабый)	Высокая	Устарел, не безопасен

Важно VPN не делает вас анонимным. VPN-провайдер видит ваш трафик. Для анонимности нужен Tor (луковая маршрутизация через 3+ узла).

TLS и PKI — как работает HTTPS

SSL-сертификаты, центры сертификации, рукопожатие TLS

ФОП

Что такое TLS

TLS (Transport Layer Security) — протокол шифрования на транспортном уровне. Наследник SSL. Обеспечивает:

Шифрование — данные в транзите нечитаемы
Аутентификацию — вы уверены, что общаетесь с нужным сервером
Целостность — данные не подменены

TLS Handshake — рукопожатие

Client Hello — браузер отправляет поддерживаемые алгоритмы шифрования
Server Hello — сервер выбирает алгоритм + отправляет сертификат
Проверка сертификата — браузер проверяет подпись центра сертификации (CA)
Обмен ключами — генерируется общий симметричный ключ (через RSA или Diffie-Hellman)
Зашифрованная связь — весь дальнейший трафик шифруется симметричным ключом

PKI — инфраструктура открытых ключей

PKI (Public Key Infrastructure) — система центров сертификации (CA), которые выдают цифровые сертификаты. Сертификат подтверждает: «этот публичный ключ действительно принадлежит domain.com».

Связь с главой 4 В главе 4 вы узнали, что HTTPS использует шифрование. Теперь видно всю цепочку: браузер → TLS handshake → проверка сертификата CA → обмен ключами → шифрованный канал. Значок 🔒 в адресной строке — результат этой процедуры.

Предупреждение Если браузер показывает «Сертификат недействителен» — это может означать MITM-атаку. Не продолжайте ввод паролей на таком сайте!

Шифрование и хеширование

Симметричное и асимметричное шифрование, хеш-функции, цифровые подписи

ФОП · углублённый

Симметричное шифрование

Один ключ используется и для шифрования, и для расшифровки. Как замок с одним ключом: закрыл — открыл тем же ключом.

Алгоритм	Ключ	Применение
AES-256	256 бит	Стандарт: TLS, VPN, шифрование дисков
ChaCha20	256 бит	WireGuard, мобильные устройства
DES / 3DES	56 / 168 бит	Устарел, взламывается

Асимметричное шифрование

Два ключа: публичный (public) и приватный (private). Публичным ключом шифруют, приватным — расшифровывают.

🔑

Публичный ключ

открытый

Раздаётся всем. Им шифруют данные для вас. Как почтовый ящик — любой может бросить письмо.

🗝️

Приватный ключ

секретный

Хранится только у вас. Им расшифровываете. Как ключ от почтового ящика — только у вас.

Алгоритм	Основа	Применение
RSA	Факторизация больших чисел	TLS handshake, цифровые подписи
Diffie-Hellman	Дискретный логарифм	Обмен ключами (ECDHE в TLS)
ECDSA	Эллиптические кривые	Подписи в блокчейне, TLS

Как работает TLS TLS использует оба типа: асимметричное шифрование (RSA/ECDHE) — для обмена ключами при рукопожатии, симметричное (AES/ChaCha20) — для шифрования трафика. Асимметричное медленнее в 100–1000 раз, поэтому его применяют только в начале.

Хеширование

Хеш-функция — одностороннее преобразование: из данных любого размера получает фиксированную строку (хеш). Обратное преобразование невозможно.

Алгоритм	Длина хеша	Применение
SHA-256	256 бит (64 hex)	TLS, блокчейн, проверка файлов
SHA-512	512 бит (128 hex)	Пароли, сертификаты
MD5	128 бит (32 hex)	Устарел, коллизии найдены

Свойства хеш-функций

Детерминированность — одинаковые данные → одинаковый хеш
Необратимость — по хешу нельзя восстановить данные
Уникальность — разные данные → разные хеши (с огромной вероятностью)
Лавинный эффект — изменение 1 бита меняет ~50% бит хеша

Цифровая подпись

Комбинация хеширования и асимметричного шифрования:

Отправитель вычисляет хеш документа (SHA-256)
Шифрует хеш своим приватным ключом → это и есть подпись
Получатель расшифровывает подпись публичным ключом отправителя
Сравнивает полученный хеш с хешем документа
Если совпадают — документ подлинный и не изменён

Связь с главой 3 В главе 3 (права и безопасность) вы уже шифровали текст шифром Цезаря и Виженера — это примеры симметричного шифрования (один ключ). RSA и AES — современные алгоритмы того же принципа, но с математической стойкостью.

🛡️

Симулятор правил Firewall

настройте правила · проверьте пакеты

интерактив

Перед вами набор правил межсетевого экрана. Протестируйте, какие пакеты пройдут, а какие будут заблокированы.