Целта ми е да се развивам в SOC, DFIR и инженерство на сигурността.
Изграждам, обезопасявам, защитавам.
Почти всичко, което правя, се върти около тези три глагола. Идвам от внедряването в облак и системната администрация, затова първо се научих да изграждам инфраструктура (микросървизни архитектури в AWS и Azure, бази данни, кеширане, оркестрация с Kubernetes) и да я автоматизирам с CI/CD пайплайни в GitHub и GitLab.
Специализацията по киберсигурност насочи тази практика към подхода DevSecOps: вграждане на контроли в самия цикъл на разработка, с анализ на кода, сканиране на зависимостите и преглед на контейнерите, преди каквото и да било да стигне до продукция.
После се научих да защитавам това, което бях изградил.
Изграждал съм пълноценни среди за Blue Team: SIEM с Wazuh и правилата му за откриване, автоматизация на реакцията чрез SOAR, защитни стени с OPNsense, решения за EDR и VPN, както и honeypots, изложени в интернет. Опитът в системната администрация ми дава предимство тук: когато знаеш как изглежда една здрава машина, забелязваш много по-рано онова, което излиза извън нормата.
Но най-много ме увлича това, което се случва след атаката.
Моят honeypot регистрира реални опити за проникване всеки ден и всеки от тях оставя следа, която трябва да бъде възстановена: откъде е влязъл, какви команди е изпълнил, какво е свалил и докъде е стигнал. За целта разчитам на анализ на паметта и на рамката MITRE ATT&CK, която ми позволява да класифицирам всяко действие според познати тактики и техники.
И това, което излиза оттам, не остава в лабораторията: докладвам IP адресите на нападателите и качвам образци от зловреден софтуер в публичните платформи за разузнаване на заплахи, включително няколко бинарни файла, които преди това не са били засичани от нито един антивирусен скенер.
Всъщност...
Да поговорим за постижения и числа:
Данни, натрупани от собствените ми honeypots и лаборатории, актуални към август 2026 г. Мога да разкажа подробно за всеки от тези приноси, ако представлява интерес.
Това е Dirtylands, проект с Cowrie + Dionaea, чието ценностно предложение е бързото внедряване. Предлага работещи команди, реалистична среда, прецизност и зрялост на проекта. Освен това може изцяло да докладва всяко събитие чрез Telegram и злонамерената активност към съответните платформи и осигурява наблюдаемост.
Преведен е на 5 езика: испански, френски, английски, немски и български.
Експертиза на лабораторията "Sysinternals" от CyberDefenders.org. Образ .E01, анализиран с Autopsy и Registry Explorer, изтегляне по HTTP, което се представя за Microsoft, изпълнение като SYSTEM, SHA-1, извлечен от Amcache, троянецът Rozena, C2 и персистентност чрез услуга. Включва верига на съхранение и експертни заключения.
Експертиза на запис на мрежов трафик (.PCAP) от компютър, заразен с Lumma Stealer. Анализ в Wireshark, идентифициране на хоста чрез DHCP и Kerberos, HTTP beaconing към C2, изнасяне на компресирани идентификационни данни и пет злонамерени домейна, проверени във VirusTotal. Включва IoC и верига на съхранение.
Експертиза на дъмп на RAM паметта (.dmp) от компютър, компрометиран от StrelaStealer. Анализ с Volatility 3: осиротели процеси, верига Living off the Land с PowerShell, fileless зареждане на DLL през WebDAV, връзка с C2 и инжектиране на код в Thunderbird за кражба на идентификационни данни.
Практика 1: IAM лаборатория с Keycloak върху Docker и WSL. Потоци на OAuth 2.0 и OpenID Connect, анатомия на трите токена, PKCE, интроспекция, ротация и отнемане. Включва умишлено предизвикани грешки с реалния отговор на сървъра.
Практика 2: сървър за ресурси на FastAPI, който валидира JWT токени, издадени от Keycloak, спрямо неговия JWKS, като проверява подпис, издател, аудитория, изтичане и роли. Включва шест вида умишлено предизвикани грешки с реалния отговор на API-то.
Практика 3: федерация на Active Directory в Keycloak през LDAPS. Домейн контролерът работи в Hyper-V, а Keycloak в Docker вътре в WSL2. Потребители, които съществуват само в AD, влизат с OIDC и техните атрибути и групи стигат до токена. Включва мапери, жизнен цикъл и осиротели акаунти.
Honeypot, внедрен в Azure, с динамичен port knocking чрез iptables и известия в Telegram в реално време.
Пълен DevSecOps пайплайн в GitLab CI/CD, който интегрира SonarQube, GitLeaks, Snyk и OWASP ZAP за проверка на качеството и сигурността на кода от край до край. Състоянието на пайплайна се съобщава автоматично и в реално време в Discord.
Lift & shift миграция към AWS (IaaS) на многослойно Java уеб приложение, изградено първо локално. Tomcat сървъри зад Elastic Load Balancer с Auto Scaling, MariaDB, Memcached и RabbitMQ като бекенд услуги, частен DNS в Route 53, артефакти, внедрявани от S3, и достъп, ограничен с IAM.
Внедряване на управляван Kubernetes клъстер в AWS с EKS, като се започва от току-що създаден акаунт. Подсилване на достъпа с IAM потребители и MFA, аларма за таксуване в CloudWatch, VPC с публичните ѝ подмрежи, група възли с нужните роли и реалните грешки, които излизаха по пътя.
Проект, в който използвам Ansible на базово ниво и минавам всички модули от курса в Udemy. Освен това трябваше да се справя със сценария, в който ключовете .pem на моята EC2 машина се губят, и се опитвам да го реша.
Този проект в GitHub е част от курса "DevOps Beginners to Advanced" в Udemy. Целта е с Vagrant, Nginx, Tomcat, RabbitMQ, Memcached и MySQL да се изгради уебсайт.
Проектът показва изграждането на CI/CD пайплайн с услуги на AWS за управление, компилиране и внедряване на уеб приложение в AWS Elastic Beanstalk, с AWS CodePipeline, AWS CodeBuild и връзка с база данни AWS RDS. За git хранилище на изходния код се използва Bitbucket.
Този проект в GitHub е част от курса "DevOps Beginners to Advanced" в Udemy. Предишният ни проект в AWS внедряваше многослойно уеб приложение с Memcached, MySQL, Tomcat, RabbitMQ и балансьор на натоварването. Сега изграждаме всичко наново с услуги на AWS като ElastiCache, Amazon MQ, RDS и Beanstalk.
