Хочу розвиватися в SOC, DFIR та інженерії безпеки.
Будувати, захищати, обороняти.
Майже все, що я роблю, обертається навколо цих трьох дієслів. За плечима в мене розгортання в хмарі та адміністрування систем, тож спершу я навчився піднімати інфраструктуру (мікросервісні архітектури в AWS і Azure, бази даних, кеш, оркестрація з Kubernetes) і автоматизувати її за допомогою CI/CD-пайплайнів у GitHub і GitLab.
Спеціалізація з кібербезпеки повела цю практику в бік підходу DevSecOps: вбудовувати контролі в сам цикл розробки, з аналізом коду, скануванням залежностей і перевіркою контейнерів ще до того, як щось потрапить у продакшн.
Потім я навчився обороняти те, що побудував.
Я розгорнув повноцінні середовища Blue Team: SIEM на Wazuh з правилами виявлення, автоматизацію реагування через SOAR, фаєрволи OPNsense, EDR і VPN, а також honeypot-и, відкриті в інтернет. Досвід адміністрування систем дає мені тут перевагу: коли знаєш, як виглядає здорова машина, значно раніше помічаєш те, що виходить за межі норми.
Але найбільше мене захоплює те, що відбувається після атаки.
Мій honeypot щодня отримує реальні спроби вторгнення, і кожна залишає слід, який треба відтворити: звідки зайшла, які команди виконала, що завантажила і як далеко дісталася. Для цього я спираюся на аналіз пам'яті та фреймворк MITRE ATT&CK, який дає змогу класифікувати кожен крок за відомими тактиками й техніками.
І те, що звідси виходить, не залишається в лабораторії: я повідомляю про атакувальні IP-адреси та завантажую зразки шкідливого ПЗ на публічні платформи threat intelligence, зокрема кілька бінарних файлів, яких раніше не фіксував жоден антивірусний рушій.
Власне...
Поговорімо про досягнення та цифри:
Дані зібрані з моїх власних honeypot-ів і лабораторій, актуальні на серпень 2026 року. Якщо вам цікаво, можу детально розповісти про будь-який із цих внесків.
Це Dirtylands, проєкт на Cowrie + Dionaea, цінність якого в швидкому розгортанні. Робочі команди, реалістичне середовище, ретельність і зрілість проєкту. Він також має повну змогу повідомляти про кожну подію в Telegram, а про шкідливу активність відповідним платформам, і забезпечує спостережуваність.
Перекладено 5 мовами: іспанською, французькою, англійською, німецькою та болгарською.
Експертиза лабораторії "Sysinternals" з CyberDefenders.org. Образ .E01, досліджений в Autopsy та Registry Explorer, завантаження через HTTP під виглядом Microsoft, виконання від імені SYSTEM, SHA-1 з Amcache, троян Rozena, C2 і закріплення через службу. Містить ланцюг зберігання доказів і експертні висновки.
Експертиза запису мережевого трафіку (.PCAP) з комп'ютера, зараженого Lumma Stealer. Аналіз у Wireshark, ідентифікація хоста через DHCP і Kerberos, HTTP-beaconing до C2, ексфільтрація стиснутих облікових даних і п'ять шкідливих доменів, перевірених у VirusTotal. Містить IoC і ланцюг зберігання доказів.
Експертиза дампу оперативної пам'яті (.dmp) з комп'ютера, скомпрометованого StrelaStealer. Аналіз у Volatility 3: процеси-сироти, ланцюжок Living off the Land з PowerShell, безфайлове завантаження DLL через WebDAV, підключення до C2 і впровадження коду в Thunderbird для крадіжки облікових даних.
Практика 1: IAM-лабораторія на Keycloak у Docker і WSL. Потоки OAuth 2.0 та OpenID Connect, будова трьох токенів, PKCE, інтроспекція, ротація та відкликання. Містить навмисно спричинені помилки з реальною відповіддю сервера.
Практика 2: сервер ресурсів на FastAPI, що перевіряє JWT-токени, видані Keycloak, за його JWKS: підпис, видавця, аудиторію, термін дії та ролі. Містить шість типів навмисно спричинених збоїв із реальною відповіддю API.
Практика 3: федерація Active Directory у Keycloak через LDAPS. Контролер домену працює в Hyper-V, а Keycloak у Docker усередині WSL2. Користувачі, які існують лише в AD, входять через OIDC, а їхні атрибути й групи потрапляють у токен. Містить мапери, життєвий цикл і осиротілі облікові записи.
Honeypot в Azure з динамічним port knocking через iptables і сповіщеннями в Telegram у реальному часі.
Повний DevSecOps-пайплайн у GitLab CI/CD із SonarQube, GitLeaks, Snyk і OWASP ZAP для наскрізної перевірки якості й безпеки коду. Статус пайплайна автоматично й у реальному часі надходить у Discord.
Міграція lift & shift в AWS (IaaS) багаторівневого вебзастосунку на Java, спершу зібраного локально. Сервери Tomcat за Elastic Load Balancer з Auto Scaling, MariaDB, Memcached і RabbitMQ як бекенд-сервіси, приватний DNS у Route 53, артефакти з S3 і доступ, обмежений через IAM.
Розгортання керованого кластера Kubernetes в AWS на EKS, починаючи з щойно створеного акаунта. Посилення доступу за допомогою користувачів IAM і MFA, сповіщення про витрати в CloudWatch, VPC з публічними підмережами, група вузлів із потрібними ролями та реальні помилки, що виникали дорогою.
Проєкт, у якому я опановую основи Ansible і проходжу всі модулі курсу на Udemy. Крім того, мені довелося зіткнутися зі сценарієм, коли губляться ключі .pem від моєї машини EC2, і я намагаюся його розв'язати.
Цей проєкт на GitHub входить до курсу "DevOps Beginners to Advanced" на Udemy. У проєкті сайт збирається за допомогою Vagrant, Nginx, Tomcat, RabbitMQ, Memcached і MySQL.
Проєкт показує створення CI/CD-пайплайна на сервісах AWS, який керує вебзастосунком, збирає його й розгортає в AWS Elastic Beanstalk, з AWS CodePipeline, AWS CodeBuild і підключенням до бази даних AWS RDS. Git-репозиторієм для вихідного коду слугує Bitbucket.
Цей проєкт на GitHub входить до курсу "DevOps Beginners to Advanced" на Udemy. Наш попередній проєкт в AWS розгортав багаторівневий вебзастосунок із Memcached, MySQL, Tomcat, RabbitMQ і балансувальником навантаження. Тепер ми перебудовуємо все на сервісах AWS, як-от ElastiCache, Amazon MQ, RDS і Beanstalk.
