Моя цель - развиваться в направлениях SOC, DFIR и инженерии безопасности.
Создавать, укреплять, защищать.
Почти всё, чем я занимаюсь, вращается вокруг этих трёх глаголов. Моя база - облачное развёртывание и системное администрирование, поэтому сначала я научился выстраивать инфраструктуру (микросервисные архитектуры в AWS и Azure, базы данных, кэширование, оркестрацию с помощью Kubernetes) и автоматизировать её с помощью CI/CD-пайплайнов в GitHub и GitLab.
Специализация по кибербезопасности направила эту практику в сторону подхода DevSecOps: встраивание контроля внутрь самого цикла разработки, с анализом кода, сканированием зависимостей и проверкой контейнеров до того, как что-либо попадёт в продакшн.
Затем я научился защищать то, что построил.
Я разворачивал полноценные среды Blue Team: SIEM на базе Wazuh с правилами обнаружения, автоматизацию реагирования через SOAR, межсетевые экраны OPNsense, EDR и VPN, а также honeypots, доступные из интернета. Опыт системного администрирования даёт здесь преимущество: когда знаешь, как выглядит здоровая машина, гораздо раньше замечаешь то, что выбивается из нормы.
Но больше всего меня увлекает то, что происходит после атаки.
Мой honeypot ежедневно фиксирует реальные попытки проникновения, и каждая оставляет след, который предстоит восстановить: каким путём зашли, какие команды выполнили, что скачали и как далеко продвинулись. Для этого я опираюсь на анализ памяти и на матрицу MITRE ATT&CK, позволяющую соотнести каждое действие с известными тактиками и техниками.
И результат не остаётся в лаборатории: я передаю IP-адреса атакующих и загружаю образцы вредоносного ПО на публичные платформы аналитики угроз, включая несколько бинарных файлов, которые прежде не фиксировал ни один антивирусный движок.
Кстати...
Поговорим о достижениях и цифрах:
Данные, накопленные с моих собственных honeypot-ов и лабораторий, актуальны на август 2026 года. Готов подробно рассказать о любом из этих вкладов, если это интересно.
Это Dirtylands, проект на Cowrie + Dionaea, чьё ценностное предложение - быстрое развёртывание. Работающие команды, реалистичная среда, тщательность и зрелость проекта. Он также в полной мере способен сообщать о каждом событии в Telegram, а о вредоносной активности - соответствующим платформам, и обеспечивает наблюдаемость.
Переведён на 5 языков: испанский, французский, английский, немецкий и болгарский.
Экспертиза лаборатории "Sysinternals" с CyberDefenders.org. Образ .E01, исследованный в Autopsy и Registry Explorer, загрузка по HTTP под видом Microsoft, выполнение от имени SYSTEM, SHA-1 из Amcache, троян Rozena, C2 и закрепление через службу. Включает цепочку хранения доказательств и экспертные выводы.
Экспертиза дампа сетевого трафика (.PCAP) с компьютера, заражённого Lumma Stealer. Анализ в Wireshark, идентификация хоста по DHCP и Kerberos, HTTP-биконинг к C2, эксфильтрация сжатых учётных данных и пять вредоносных доменов, проверенных в VirusTotal. Включает IoC и цепочку хранения доказательств.
Экспертиза дампа оперативной памяти (.dmp) с компьютера, скомпрометированного StrelaStealer. Анализ в Volatility 3: процессы-сироты, цепочка Living off the Land с PowerShell, бесфайловая загрузка DLL через WebDAV, подключение к C2 и внедрение кода в Thunderbird для кражи учётных данных.
Практика 1: IAM-лаборатория на Keycloak в Docker и WSL. Потоки OAuth 2.0 и OpenID Connect, устройство трёх токенов, PKCE, интроспекция, ротация и отзыв. Включает намеренно вызванные ошибки с реальным ответом сервера.
Практика 2: сервер ресурсов на FastAPI, который проверяет JWT-токены, выданные Keycloak, по его JWKS: подпись, издателя, аудиторию, срок действия и роли. Включает шесть видов намеренно вызванных сбоев с реальным ответом API.
Практика 3: федерация Active Directory в Keycloak через LDAPS. Контроллер домена работает в Hyper-V, а Keycloak в Docker внутри WSL2. Пользователи, которые есть только в AD, входят через OIDC, а их атрибуты и группы попадают в токен. Включает мапперы, жизненный цикл и осиротевшие учётные записи.
Honeypot в Azure с динамическим port knocking через iptables и оповещениями в Telegram в реальном времени.
Полный DevSecOps-пайплайн в GitLab CI/CD с SonarQube, GitLeaks, Snyk и OWASP ZAP для сквозной проверки качества и безопасности кода. Статус пайплайна автоматически и в реальном времени приходит в Discord.
Миграция lift & shift в AWS (IaaS) многоуровневого веб-приложения на Java, сначала собранного локально. Серверы Tomcat за Elastic Load Balancer с Auto Scaling, MariaDB, Memcached и RabbitMQ как бэкенд-сервисы, приватный DNS в Route 53, артефакты из S3 и доступ, ограниченный через IAM.
Развёртывание управляемого кластера Kubernetes в AWS на EKS, начиная с только что созданного аккаунта. Усиление доступа с пользователями IAM и MFA, оповещение о расходах в CloudWatch, VPC с публичными подсетями, группа узлов с нужными ролями и реальные ошибки, которые возникали по ходу дела.
Проект, в котором я осваиваю основы Ansible и прохожу все модули курса на Udemy. Кроме того, мне пришлось столкнуться со сценарием, когда теряются ключи .pem от моей машины EC2, и я пытаюсь его решить.
Этот проект на GitHub входит в курс "DevOps Beginners to Advanced" на Udemy. В проекте сайт собирается с помощью Vagrant, Nginx, Tomcat, RabbitMQ, Memcached и MySQL.
Проект показывает создание CI/CD-пайплайна на сервисах AWS, который управляет веб-приложением, собирает его и разворачивает в AWS Elastic Beanstalk, с AWS CodePipeline, AWS CodeBuild и подключением к базе данных AWS RDS. Git-репозиторием для исходного кода служит Bitbucket.
Этот проект на GitHub входит в курс "DevOps Beginners to Advanced" на Udemy. Наш предыдущий проект в AWS разворачивал многоуровневое веб-приложение с Memcached, MySQL, Tomcat, RabbitMQ и балансировщиком нагрузки. Теперь мы пересобираем всё на сервисах AWS, таких как ElastiCache, Amazon MQ, RDS и Beanstalk.
