Обычные атаки (MITM, DDoS, подделка)

Сетевые угрозы включают атаки Man-in-the-Middle (MITM), перехватывающие трафик между двумя сторонами; DDoS-атаки (Distributed Denial of Service), перегружающие цель потоком трафика; и IP/ARP spoofing, подделывающий адреса источника пакетов. Для защиты: принудительное использование TLS против MITM, rate limiting и scrubbing-центры против DDoS, ingress filtering (BCP 38) против spoofing. Wireshark и Snort помогают обнаруживать аномальный трафик в реальном времени.

Как это работает

Обычные атаки (MITM, DDoS, подделка): TLS 1.3 (1-RTT или 0-RTT handshake, modern cipher suites) — дефолт. PKI (Public Key Infrastructure) — CA выпускают X.509-сертификаты, подтверждающие domain ownership; браузеры доверяют root store. Let's Encrypt + ACME автоматизировали cert issuance бесплатно. Распространённые атаки: MITM (intercept + alter — TLS побеждает); DDoS (заваливают трафиком — Cloudflare, AWS Shield); spoofing (подделка identity — DNSSEC, SPF, DKIM побеждают). VPN: WireGuard (современный, быстрый, audited) + OpenVPN (старый, конфигурируемый). Zero Trust = "не доверяй, всегда верифицируй" — каждый запрос authenticated независимо от network location.

Когда применять

TLS 1.3 only — отключите 1.0/1.1/1.2 если можно. Автоматизируйте cert renewal (Let's Encrypt + cert-manager / acme.sh). Современные ciphers (AEAD). Для VPN в 2026 WireGuard — дефолт: быстрее + чище OpenVPN. Адоптируйте Zero Trust даже на private-сетях — implicit-trust internal networks = 2010s паттерн, не масштабирующийся.

Типичные ошибки

Ловушки Обычные атаки (MITM, DDoS, подделка): self-signed certs в prod (браузеры + клиенты отвергают); просроченный cert (ручное renewal забыто — outage); allow legacy TLS (1.0/1.1 — атакабельно); VPN как security perimeter (Zero Trust — современный аналог; perimeter предполагает что внутри safe, что редко правда).

Как это работает

Когда применять

Типичные ошибки

Связанные понятия

Полезные ресурсы