Готовый набор · beginner · 30 карточек · около 10 минут
30 карточек об угрозе, уязвимости, последствиях и ответе — чтобы отделять подтверждённые факты от тревожного заголовка.
Автор: Cards2All. Обновлено: 2026-08-20.
Материал проверен 2026-08-20. Статус: проверено по источникам.
Событие — наблюдаемое действие или изменение в системе; инцидент — событие, которое фактически или потенциально угрожает данным или работе системы и может требовать ответа.
Пример: Необычный вход — событие; подтверждённый несанкционированный доступ к аккаунту — инцидент.
Примечание: Модуль 1/5 · Источники: NIST SP 800-61 Rev. 3 и NIST Glossary. Не каждый сигнал означает успешную атаку.
Преднамеренная попытка нарушить конфиденциальность, целостность или доступность данных и систем либо получить неразрешённый доступ.
Пример: Сообщение «компания расследует попытку атаки» ещё не подтверждает кражу данных.
Примечание: Модуль 1/5 · Сначала отделите попытку, успешную компрометацию и доказанный ущерб.
Обстоятельство, событие или субъект, способные использовать слабость и причинить нежелательные последствия.
Пример: Фишинговая кампания может быть угрозой для аккаунтов сотрудников, даже если конкретный вход ещё не подтверждён.
Примечание: Модуль 1/5 · Источник: CISA NICCS Glossary. Угроза — не то же самое, что уже случившийся инцидент.
Человек, группа, организация или государственная структура, которые совершают или намерены совершить вредоносные действия.
Пример: Название группы в заголовке — заявление об атрибуции, которое должно опираться на доказательства и уровень уверенности.
Примечание: Модуль 1/5 · Источник: CISA NICCS Glossary. Не приписывайте мотив только по эффекту атаки.
Слабость в системе, настройке, процедуре или контроле, которую угроза может использовать или случайно затронуть.
Пример: Ошибка конфигурации, открывшая лишний доступ, является уязвимостью, даже если злоупотребление ещё не доказано.
Примечание: Модуль 1/5 · Источник: NIST CSRC Glossary. Уязвимость описывает слабость, а не обязательно факт взлома.
Способ, последовательность действий или код, использующие конкретную уязвимость для получения нежелательного результата.
Пример: Публикация эксплойта повышает практический риск, но не доказывает, что им воспользовались в данном инциденте.
Примечание: Модуль 1/5 · Вопрос к новости: названы уязвимость, способ эксплуатации и подтверждение использования?
Данные, устройство, программа, учётная запись, сервис или процесс, которые имеют ценность и нуждаются в защите.
Пример: Почтовый аккаунт и база заказов — разные активы с разными последствиями компрометации.
Примечание: Модуль 2/5 · Источник: NIST CSF 2.0. Ищите в сообщении точный затронутый актив.
Свойство, при котором информация доступна только тем, кто имеет разрешение.
Пример: Копирование закрытых записей посторонним нарушает конфиденциальность, даже если сервис продолжает работать.
Примечание: Модуль 2/5 · Источник: NIST CSRC Glossary. Ключевой вопрос: кто получил доступ к каким данным?
Свойство точности и полноты данных, защищённых от неразрешённого изменения или уничтожения.
Пример: Подмена реквизитов в записи нарушает целостность, даже если данные не были опубликованы.
Примечание: Модуль 2/5 · Источник: NIST CSRC Glossary. Утечка и подмена — разные последствия.
Свойство системы или данных быть доступными и пригодными к использованию по требованию уполномоченного пользователя.
Пример: Перегрузка сервиса может нарушить доступность без кражи пользовательских данных.
Примечание: Модуль 2/5 · Источник: NIST CSRC Glossary. Сбой не равен утечке.
Сведения или средства, которыми пользователь подтверждает свою личность: пароль, ключ, токен или другой фактор.
Пример: Украденный пароль — скомпрометированные учётные данные; доступ к самому аккаунту нужно проверять отдельно.
Примечание: Модуль 2/5 · Не публикуйте коды, токены и recovery keys при обсуждении инцидента.
Утечка означает неразрешённое раскрытие данных; сбой означает потерю доступности. Один инцидент может вызвать оба эффекта, но это нужно подтверждать раздельно.
Пример: Фраза «сайт не работал два часа» не доказывает, что персональные данные были похищены.
Примечание: Модуль 2/5 · Проверяйте тип данных, масштаб, период и подтверждённый эффект.
Путь или средство, через которое субъект угрозы пытается получить доступ или причинить воздействие.
Пример: Фишинговое письмо и уязвимый публичный сервис — разные возможные векторы первоначального доступа.
Примечание: Модуль 3/5 · Вектор описывает путь, а уязвимость — слабость, которая делает путь возможным.
Сообщение или взаимодействие, замаскированные под доверенный источник, чтобы заставить человека раскрыть сведения, открыть вложение или перейти по опасной ссылке.
Пример: Неожиданное письмо просит срочно войти по ссылке; безопаснее открыть официальный сайт самостоятельно и сообщить о подозрении.
Примечание: Модуль 3/5 · Источник: CISA Secure Our World. Не пересылайте вредоносную ссылку другим пользователям.
Программа или код, предназначенные для неразрешённого доступа, наблюдения, изменения, нарушения работы или другого вреда.
Пример: Ransomware — один вид вредоносного ПО, а не синоним любого malware.
Примечание: Модуль 3/5 · Новость должна отделять обнаруженный файл, его поведение и доказанное воздействие.
Вредоносное ПО или операция вымогательства, которые блокируют доступ, шифруют данные и/или угрожают их публикацией ради давления на жертву.
Пример: Недоступность файлов вместе с требованием выкупа соответствует сценарию ransomware, но расследование должно установить масштаб и путь проникновения.
Примечание: Модуль 3/5 · Источник: CISA StopRansomware Guide. Набор не даёт советов по переговорам или оплате.
Первый подтверждённый способ, которым нарушитель вошёл в среду или получил точку опоры.
Пример: Украденная учётная запись может дать initial access, но не объясняет все последующие действия.
Примечание: Модуль 3/5 · Ищите формулировку «подтверждено», а не восстанавливайте путь по догадке.
Переход нарушителя от уже скомпрометированного узла или аккаунта к другим системам внутри среды.
Пример: Вход в один почтовый аккаунт и дальнейший доступ к файловому серверу — разные этапы инцидента.
Примечание: Модуль 3/5 · Высокоуровневое понятие для чтения таймлайна; технические инструкции намеренно не приводятся.
Наблюдаемый след, который может быть связан с вредоносной активностью: например, известный файл, адрес или необычная запись.
Пример: Совпадение с IoC помогает расследованию, но отдельно может не доказывать весь сценарий атаки.
Примечание: Модуль 4/5 · Источник: NIST SP 800-61 Rev. 3. Индикатор оценивают вместе с контекстом.
Отклонение от ожидаемого поведения системы, пользователя или трафика, которое требует проверки.
Пример: Вход из нового места — аномальная активность; он может быть законным путешествием или признаком компрометации.
Примечание: Модуль 4/5 · Аномалия — повод анализировать, а не автоматически обвинять.
Нахождение и анализ признаков возможной атаки или компрометации.
Пример: Мониторинг заметил необычные входы, после чего команда начала проверять связанные аккаунты.
Примечание: Модуль 4/5 · NIST CSF 2.0: Detect — одна из шести непрерывных функций управления риском.
Действия, ограничивающие распространение и последствия инцидента, пока расследование продолжается.
Пример: Команда временно изолировала затронутую систему и отозвала подозрительные сессии.
Примечание: Модуль 4/5 · Источник: NIST SP 800-61 Rev. 3. Сдерживание не означает, что причина уже устранена.
Удаление причины и следов компрометации после того, как команда поняла, что нужно исправить.
Пример: Удалить вредоносный компонент недостаточно, если скомпрометированные учётные данные всё ещё действуют.
Примечание: Модуль 4/5 · Проверяйте, что сообщение различает локализацию, устранение и восстановление.
Возврат затронутых активов и операций к рабочему состоянию с проверкой, что риск повторного воздействия снижен.
Пример: Сервис вернулся онлайн после восстановления и усиленного мониторинга.
Примечание: Модуль 4/5 · NIST CSF 2.0: Recover — не просто включить систему, а вернуть устойчивую работу.
Оценка того, кто стоял за операцией, основанная на совокупности технических, поведенческих и иных данных.
Пример: Совпадение одного инструмента с прошлой атакой может поддерживать гипотезу, но редко достаточно для уверенной атрибуции.
Примечание: Модуль 5/5 · Различайте официальную оценку, уровень уверенности и журналистское предположение.
Подтверждённый факт опирается на проверенное наблюдение; предварительная оценка объясняет доступные данные, но может измениться по мере расследования.
Пример: «Зафиксированы 12 недоступных серверов» — факт; «вероятно использована фишинговая цепочка» — оценка, если источник так и пишет.
Примечание: Модуль 5/5 · Ищите слова «подтверждено», «предварительно», «вероятно» и дату обновления.
Границы подтверждённого воздействия: какие системы, аккаунты, данные, регионы и интервалы времени затронуты.
Пример: «Расследуются все аккаунты» шире, чем «подтверждено 200 затронутых аккаунтов»; первая фраза не увеличивает доказанный масштаб.
Примечание: Модуль 5/5 · Не переносите верхнюю границу расследования на подтверждённый ущерб.
Мера, уменьшающая вероятность или последствия угрозы, даже если она не устраняет весь риск.
Пример: Временное отключение функции может снизить риск до выпуска исправления.
Примечание: Модуль 5/5 · Источники: NIST CSF 2.0 и SP 800-61 Rev. 3. Mitigation не равна обещанию нулевого риска.
Обновление исправляет известные слабости в ПО, а многофакторная аутентификация добавляет проверку помимо пароля; меры закрывают разные части риска.
Пример: После уведомления сервиса сначала проверьте официальный адрес, затем установите официальное обновление и включите доступный сильный фактор.
Примечание: Модуль 5/5 · Источник: CISA Secure Our World. Не устанавливайте «патч» из случайного сообщения.
Пять вопросов к сообщению: кто делает утверждение и кого атрибутирует, какой путь подтверждён, какой актив затронут, какой эффект доказан и что уже делает организация или пользователь.
Пример: «Официальный статус подтверждает компрометацию аккаунтов через украденные credentials; сессии отозваны, пользователям рекомендуют сменить уникальный пароль и включить MFA».
Примечание: Модуль 5/5 · После 30/30 примените схему к одному официальному уведомлению и завершите цикл; при личном риске следуйте только проверенной инструкции сервиса или профильного специалиста.
Сначала выберите близкую тему, затем — новый повод из другой области.