Безопасность: vulnerability, exploit, hardening, least privilege

Тема дорожной карты · Английский для IT

🔊 Словарь терминов с произношением →

Словарь безопасности почти не переводится, потому что стандарты, базы данных уязвимостей и отчёты пишутся на английском, а русские переводы часто расходятся между собой. Базовая триада: vulnerability — уязвимость, слабое место; threat — угроза, потенциальный источник вреда; risk — риск, вероятность и последствия. Exploit — как существительное «эксплойт», код или приём, использующий уязвимость; как глагол to exploit — воспользоваться. Attack vector — путь атаки, attack surface — поверхность атаки, всё, что может быть атаковано; to reduce the attack surface. Hardening — усиление защиты системы: отключение лишнего, ужесточение настроек. Least privilege — принцип минимальных привилегий: каждому только необходимый доступ. Defense in depth — эшелонированная защита. Zero trust — не доверять по умолчанию даже внутри сети. Authentication (authn) — кто вы, authorization (authz) — что можно, MFA / 2FA — многофакторная аутентификация, SSO — единый вход, credentials — учётные данные, secret — секрет, token, certificate, key rotation — ротация ключей, expiry. Encryption — шифрование: at rest (на диске), in transit (при передаче), end-to-end, symmetric / asymmetric, hashing — хеширование (не шифрование), salt, TLS. Injection — внедрение: SQL injection, command injection, XSS (cross-site scripting), CSRF, SSRF, path traversal, deserialization. Escaping / sanitizing / validating input. Privilege escalation — повышение привилегий, lateral movement — перемещение по сети, exfiltration — вывод данных, persistence — закрепление, backdoor, payload (в атаке), C2 (command and control). Malware, ransomware, phishing, social engineering, brute force, credential stuffing, DDoS. Patch — исправление, patch Tuesday, zero-day — уязвимость без патча, CVE — идентификатор уязвимости, CVSS — оценка серьёзности от 0 до 10, CWE — тип слабости, OWASP Top 10, advisory — бюллетень, disclosure — раскрытие: responsible / coordinated disclosure, bug bounty. Audit, pentest (penetration testing), red team / blue team, SOC, SIEM, incident response, breach — утечка/взлом, compromised — скомпрометированный, IOC (indicators of compromise), false positive. Compliance — соответствие требованиям: GDPR, SOC 2, PCI DSS, ISO 27001. Supply chain attack, SBOM, dependency scanning, SAST / DAST, secrets scanning, signed commits, provenance.

Как произносится

Vulnerability /ˌvʌlnərəˈbɪləti/, vulnerable /ˈvʌlnərəbl/ (ударение на первый слог, «вАлнерэбл»), threat /θrɛt/ (с «θ»), exploit существительное /ˈɛksplɔɪt/, глагол /ɪkˈsplɔɪt/, hardening /ˈhɑːrdənɪŋ/, privilege /ˈprɪvəlɪdʒ/, escalation /ˌɛskəˈleɪʃən/, authentication /ɔːˌθɛntɪˈkeɪʃən/, authorization /ˌɔːθəraɪˈzeɪʃən/, credentials /krəˈdɛnʃəlz/ («кридЕншелз»), certificate /sərˈtɪfɪkət/ (ударение на второй слог), encryption /ɪnˈkrɪpʃən/, cipher /ˈsaɪfər/, hash /hæʃ/, salt /sɔːlt/, injection /ɪnˈdʒɛkʃən/, XSS по буквам, CSRF «си-сёрф» или по буквам, exfiltration /ˌɛksfɪlˈtreɪʃən/, phishing /ˈfɪʃɪŋ/ (как fishing), ransomware /ˈrænsəmwɛər/, breach /briːtʃ/, compromised /ˈkɒmprəmaɪzd/, CVE по буквам, CVSS по буквам, OWASP /ˈoʊwɑːsp/ («Оуосп»), pentest /ˈpɛntɛst/, SIEM /sɪm/ или /siːm/, compliance /kəmˈplaɪəns/, zero-day /ˈzɪəroʊ deɪ/, advisory /ədˈvaɪzəri/, disclosure /dɪsˈkloʊʒər/, provenance /ˈprɒvənəns/.

Как употребляется

  • This endpoint is vulnerable to SQL injection; the input isn't parameterized. — Эндпоинт уязвим к SQL-инъекции, ввод не параметризован.
  • Apply least privilege: the service account only needs read on that bucket. — Минимальные привилегии: сервисному аккаунту нужно только чтение.
  • Harden the image: drop root, remove the shell, pin the base version. — Усиль образ: без root, без shell, зафиксируй базовую версию.
  • There's a critical CVE in the TLS library, CVSS 9.8; patch today. — Критическая CVE в TLS-библиотеке, CVSS 9.8, патчим сегодня.
  • Credentials were committed to the repo; rotate them and scan history. — Учётные данные попали в репозиторий, ротируем и сканируем историю.
  • Encrypt at rest and in transit. — Шифруем на диске и при передаче.
  • The attacker escalated privileges and moved laterally to the DB host. — Атакующий повысил привилегии и переместился на хост БД.
  • Reduce the attack surface: close every port you don't need. — Уменьши поверхность атаки: закрой ненужные порты.

Ловушки

Первая ловушка — vulnerability с ударением на «ра»: /ˌvʌlnərəˈbɪləti/. Вторая — exploit как «эксплуатировать оборудование»: в безопасности только «воспользоваться уязвимостью». Третья — hashing и encryption как синонимы: хеш необратим, шифрование обратимо; пароли хешируют, не шифруют. Четвёртая — authentication и authorization. Пятая — privilege с ударением на второй слог. Шестая — threat, vulnerability, risk как одно слово «угроза»: у них разные роли в модели угроз. Седьмая — compromised как «компромисс»: это «скомпрометирован, взломан». Восьмая — phishing писать как fishing: слово намеренно искажено, произносится одинаково. Девятая — secure как глагол в значении «обеспечить»: secure the API значит «защитить API», а «обеспечить финансирование» — secure funding, и контекст важен.

Связанные понятия

Полезные ресурсы