Англійська лексика для розробників програмного забезпечення

API, мережі й безпека

• fetchдієсловоотримувати дані, завантажувати дані

  Запитувати й отримувати дані із сервера або API, наприклад нові повідомлення чи список товарів, часто вже після відкриття сторінки.

• HTTP methodіменникметод HTTP, HTTP-метод

  Слово на початку HTTP-запиту, що вказує на бажану дію клієнта: GET для читання, POST для створення чи DELETE для видалення.

• headerіменникзаголовок HTTP, заголовок

  Пара з назви й значення в HTTP-запиті або відповіді, що передає додаткові відомості, наприклад Content-Type, Authorization чи Cache-Control.

• cross-site scriptingіменникміжсайтовий скриптинг, XSS

  Атака, за якої зловмисний JavaScript потрапляє на сторінку, яку відкривають інші користувачі, наприклад через коментар, і запускається в їхніх браузерах.

• SQL injectionіменникSQL-ін’єкція, ін’єкція SQL-коду

  Атака, за якої хтось вводить SQL-код у форму або URL, і база даних виконує його, потенційно розкриваючи чи видаляючи дані.

• CORSскороченняCORS, обмін ресурсами між джерелами

  Cross-Origin Resource Sharing — правила браузера, що дають серверу змогу вказати, яким іншим сайтам (джерелам) дозволено читати його відповіді через JavaScript.

• CSRFскороченняCSRF, підроблення міжсайтового запиту

  Cross-Site Request Forgery — атака, що змушує браузер авторизованого користувача надіслати небажаний запит довіреному сайту, наприклад змінити адресу електронної пошти.

• hashдієсловохешувати, хеш

  Перетворювати дані, наприклад пароль, на рядок фіксованої довжини за допомогою односторонньої функції, щоб відновити початкове значення з нього було неможливо.

• IAMскороченняIAM, керування ідентифікацією та доступом

  Скорочення від identity and access management: система, що визначає, хто або що може ввійти до хмарного облікового запису та які дії дозволено виконувати.

• least privilegeіменникпринцип найменших привілеїв

  Принцип безпеки, за яким кожен користувач, сервіс або програма має отримувати лише ті дозволи, що справді потрібні для роботи, і нічого понад це.

• secretіменниксекрет, секретне значення

  Чутливе значення, потрібне системі для роботи, наприклад пароль, ключ API, токен або приватний ключ; його треба надійно зберігати й ніколи не показувати в коді чи журналах.

• security groupіменникгрупа безпеки

  Віртуальний брандмауер у хмарі з правилами, які визначають, який мережевий трафік за портом і джерелом може надходити до сервера чи іншого ресурсу або виходити з нього.

• encryptionіменникшифрування

  Перетворення даних на нечитабельний вигляд, який можна відновити лише за допомогою правильного ключа, щоб сторонні не могли їх прочитати.

• shared responsibility modelіменникмодель спільної відповідальності

  Принцип розподілу безпеки в хмарі: провайдер захищає центри обробки даних, обладнання та базові служби, а клієнт — власні дані, налаштування й доступ.

• push notificationіменникpush-сповіщення, push-повідомлення

  Коротке повідомлення, яке сервер надсилає на пристрій користувача й показує на екрані, навіть коли застосунок не відкритий, наприклад про нове повідомлення чи доставку.

• permissionіменникдозвіл

  Згода користувача, яку застосунок має отримати перед доступом до чутливих функцій чи даних, як-от камера, місцезнаходження, контакти або сповіщення.

• deep linkіменникглибоке посилання, deep link

  Посилання, що відкриває конкретний екран застосунку, наприклад сторінку товару чи замовлення, а не лише запускає його на головному екрані.

• local notificationіменниклокальне сповіщення, сповіщення на пристрої

  Сповіщення, яке застосунок планує безпосередньо на пристрої, наприклад нагадування на дев’яту ранку, без надсилання із сервера.

• APNsскороченняAPNs, служба APNs

  Apple Push Notification service — система Apple, що доставляє push-сповіщення із сервера на iPhone, iPad та інші пристрої Apple.

• FCMскороченняFCM, Firebase Cloud Messaging

  Firebase Cloud Messaging — безплатна служба Google для надсилання push-сповіщень і повідомлень із даними застосункам Android, iOS та вебу.

• device tokenіменниктокен пристрою, токен інсталяції

  Унікальний рядок, що ідентифікує одну інсталяцію застосунку на пристрої; сервер використовує його для надсилання push-сповіщень саме туди.

• badgeіменникзначок-лічильник, індикатор сповіщень

  Невелике число або крапка, зазвичай червона, на значку застосунку чи вкладці; показує кількість непрочитаних елементів або нових сповіщень.

• opt inфразове дієсловопогодитися долучитися, надати згоду

  Свідомо погодитися на участь у чомусь, наприклад отриманні сповіщень чи передаванні даних; протилежне — відмовитися (opt out).

• keychainіменникзв’язка ключів, сховище Keychain

  Зашифроване сховище Apple для невеликих секретів — паролів, токенів і ключів; система захищає його окремо від звичайних даних застосунку.

• biometric authenticationіменникбіометрична автентифікація, біометричний вхід

  Підтвердження особи користувача за фізичною ознакою, як-от відбитком пальця чи скануванням обличчя, замість пароля або PIN-коду чи на додачу до них.

• threatіменникзагроза, джерело загрози

  Будь-що, що може завдати шкоди системі чи даним: зловмисник, шкідливе ПЗ, необережний працівник або навіть затоплення серверної.

• vulnerabilityіменниквразливість, уразливість

  Слабке місце в програмному чи апаратному забезпеченні, конфігурації або процесі, яким зловмисник може скористатися, щоб завдати шкоди чи отримати недозволений доступ.

• malwareіменникшкідливе програмне забезпечення, зловмисне ПЗ

  Скорочено від malicious software: будь-яка програма, створена для пошкодження систем, викрадення даних, стеження за користувачами чи захоплення пристрою без дозволу.

• phishingіменникфішинг, виманювання даних

  Обман, коли зловмисники надсилають підроблені листи, повідомлення чи сайти, що здаються надійними, сподіваючись змусити людей перейти за посиланням, відкрити файл або розкрити пароль.

• ransomwareіменникпрограма-вимагач, шифрувальник-вимагач

  Шкідливе ПЗ, що шифрує файли чи системи жертви й вимагає оплату, зазвичай у криптовалюті, за ключ для їх розблокування.

• passwordіменникпароль, пароль доступу

  Таємний рядок символів, який людина вводить, щоб підтвердити особу й увійти в обліковий запис, пристрій чи систему.

• multi-factor authenticationіменникбагатофакторна автентифікація, багатофакторний вхід

  Спосіб входу, що вимагає два або більше різних підтверджень, наприклад пароль і код із телефона, перш ніж надати доступ.

• firewallіменникбрандмауер, мережевий екран

  Апаратний пристрій або програма, що перевіряє мережевий трафік і дозволяє чи блокує його за набором правил безпеки.

• data breachіменниквитік даних, порушення безпеки даних

  Інцидент безпеки, під час якого персональні чи конфіденційні дані без дозволу переглянули, викрали, розкрили або втратили.

• riskіменникризик, рівень ризику

  Імовірність того, що загроза скористається слабким місцем і завдасть шкоди, разом із серйозністю можливих наслідків для організації.

• exploitіменникексплойт, використовувати вразливість

  Фрагмент коду або прийом, що використовує вразливість і змушує систему виконати незаплановану дію.

• compromiseдієсловоскомпрометувати, компрометація

  Отримати несанкціонований доступ до системи, облікового запису чи мережі або контроль над ними, через що їм більше не можна довіряти.

• VPNскороченняVPN, віртуальна приватна мережа

  Virtual private network — технологія, що створює зашифроване з’єднання через інтернет, щоб віддалені користувачі чи офіси безпечно отримували доступ до приватної мережі.

• penetration testіменниктест на проникнення, пентест

  Дозволена імітація атаки на систему, застосунок або мережу, яку фахівці з безпеки проводять, щоб знайти слабкі місця раніше за зловмисників.

• complianceіменниквідповідність вимогам, комплаєнс

  Дотримання законів, нормативів, стандартів і внутрішніх політик, що стосуються організації, та здатність це довести.

• access controlіменникконтроль доступу, керування доступом

  Правила й технічні засоби, що визначають, хто може користуватися системою, переглядати дані чи входити до приміщення і що дозволено робити.

• social engineeringіменниксоціальна інженерія, маніпулювання людьми

  Маніпулювання людьми замість зламу технологій, щоб змусити їх розкрити інформацію, надати доступ чи виконати корисну нападнику дію.

• DDoSскороченняDDoS, розподілена атака на відмову в обслуговуванні

  Атака, що одночасно засипає сайт або мережу трафіком із багатьох машин, не даючи справжнім користувачам отримати доступ.

• trojanіменниктроян, троянська програма

  Шкідливе ПЗ, замасковане під корисну програму чи документ, яке після запуску таємно виконує шкідливі дії.

• wormіменникмережевий хробак, хробак

  Шкідливе ПЗ, що самостійно копіюється й поширюється мережею з комп’ютера на комп’ютер без дій користувача.

• spywareіменникшпигунське ПЗ, шпигунська програма

  Шкідливе ПЗ, яке таємно стежить за діями користувача й збирає дані: історію перегляду, повідомлення, паролі чи місце перебування.

• decryptдієсловорозшифрувати, дешифрувати

  Перетворити зашифровані дані назад на початковий читабельний вигляд, зазвичай за допомогою правильного ключа.

• encryption keyіменникключ шифрування, криптографічний ключ

  Таємне значення, зазвичай довгий бітовий рядок, яке алгоритм шифрування використовує для блокування й розблокування даних. Без нього зашифроване прочитати не можна.

• digital certificateіменникцифровий сертифікат, сертифікат відкритого ключа

  Електронний документ, що пов’язує відкритий ключ з особою чи сайтом і підписаний довіреним центром сертифікації.

• TLSскороченняTLS, протокол TLS

  Transport Layer Security — стандартний протокол, що шифрує дані між системами, наприклад браузером і сайтом, та перевіряє особу сервера.

• intrusion detection systemіменниксистема виявлення вторгнень, IDS

  Засіб, що відстежує мережевий трафік або дії системи, шукає ознаки атак чи порушень правил і сповіщає про них.

• zero-dayіменниквразливість нульового дня, zero-day

  Вразливість, невідома постачальнику або ще не виправлена, тож під час першої експлуатації захисники мали «нуль днів» на її усунення.

• CVEскороченняCVE, ідентифікатор CVE

  Common Vulnerabilities and Exposures — відкритий каталог, що присвоює кожній публічно відомій вразливості унікальний ID, наприклад CVE-2021-44228.

• vulnerability scanіменниксканування вразливостей, перевірка на вразливості

  Автоматизована перевірка систем, мереж чи застосунків на відомі слабкі місця, відсутні патчі й небезпечні налаштування з підсумковим звітом.

• SIEMскороченняSIEM, система керування подіями безпеки

  Security information and event management — платформа, що збирає журнали з багатьох систем, зіставляє їх і сповіщає про можливі атаки.

• false positiveіменникхибнопозитивне спрацювання, хибнопозитивний результат

  Сповіщення або результат тесту, що помилково вказує на загрозу чи вразливість, хоча нічого шкідливого насправді немає.

• containmentіменниклокалізація інциденту, стримування інциденту

  Етап реагування, коли команда зупиняє поширення атаки чи подальшу шкоду, наприклад ізолюючи заражені машини.

• remediationіменникусунення проблеми, виправлення вразливості

  Робота з усунення першопричини проблеми безпеки: встановлення патча, зміна конфігурації чи переписування вразливого коду.

• mitigateдієсловопом’якшити, зменшити ризик

  Знизити ймовірність або вплив ризику чи атаки, якщо повністю усунути її не можна, наприклад обхідним рішенням або додатковим контролем.

• security policyіменникполітика безпеки, політика інформаційної безпеки

  Офіційний документ, затверджений керівництвом, який установлює правила захисту інформації, систем і людей в організації.

• attack surfaceіменникповерхня атаки, зона потенційної атаки

  Усі точки, через які нападник може проникнути в систему чи організацію або вивести дані: порти, вебзастосунки, акаунти й постачальники.

• brute-force attackіменникатака перебором, атака грубої сили

  Атака, що автоматично перебирає багато паролів або ключів один за одним, доки не знайде правильний.

• credentialsіменникоблікові дані, дані для входу

  Відомості, що підтверджують особу й дають змогу ввійти: найчастіше ім’я користувача та пароль, а також ключі, токени й сертифікати.

• single sign-onіменникєдиний вхід, SSO

  Система входу, яка дає змогу користувачеві один раз автентифікуватися одним набором облікових даних і користуватися багатьма застосунками без повторного входу.

• role-based access controlіменникрольове керування доступом, RBAC

  Спосіб керування дозволами, за якого права призначають ролям, наприклад бухгалтеру чи адміністратору, а доступ користувач отримує через роль.

• public-key cryptographyіменниккриптографія з відкритим ключем, асиметрична криптографія

  Тип криптографії з парою пов’язаних ключів: відкритий можна передавати будь-кому, а приватний власник зберігає в таємниці.

• end-to-end encryptionіменникнаскрізне шифрування, шифрування від кінця до кінця

  Шифрування, за якого повідомлення можуть прочитати лише відправник і призначений одержувач; навіть посередник-провайдер не бачить вмісту.

• network segmentationіменниксегментація мережі, поділ мережі на сегменти

  Поділ мережі на окремі зони з контрольованим трафіком між ними, щоб проблема в одній частині не поширилася легко на решту.

• zero trustіменникнульова довіра, модель нульової довіри

  Модель безпеки, яка за замовчуванням не довіряє жодному користувачеві чи пристрою, навіть у корпоративній мережі, і перевіряє особу та контекст кожного запиту.

• EDRскороченняEDR, виявлення загроз і реагування на кінцевих пристроях

  Виявлення та реагування на кінцевих пристроях (Endpoint Detection and Response, EDR) — захисне ПЗ на ноутбуках і серверах, що записує активність, виявляє підозрілу поведінку й дає аналітикам змогу віддалено розслідувати та реагувати.

• threat intelligenceіменникрозвіддані про загрози, кіберрозвідка щодо загроз

  Зібрана й проаналізована інформація про зловмисників, їхні методи та інструменти, що допомагає організації готуватися до атак і виявляти їх.

• indicator of compromiseіменникіндикатор компрометації, IOC

  Технічний доказ, що може свідчити про атаку на систему, наприклад шкідлива IP-адреса, хеш файла чи доменне ім’я.

• digital forensicsіменникцифрова криміналістика, цифрова експертиза

  Збирання й аналіз цифрових доказів — образів дисків, пам’яті та журналів, — щоб з’ясувати перебіг інциденту й отримати дані, придатні для суду.

• playbookіменникплан реагування, плейбук

  Письмова покрокова інструкція для команди безпеки щодо певного сповіщення чи інциденту, наприклад фішингу або програми-вимагача.

• escalateдієсловопередати на вищий рівень, ескалювати

  Передати сповіщення, інцидент або проблему старшій особі чи іншій команді, бо справа серйозна або виходить за межі повноважень чи знань виконавця.

• patch managementіменниккерування патчами, керування оновленнями безпеки

  Постійний процес виявлення, тестування, затвердження й установлення оновлень на всіх системах із відстеженням тих, де оновлень бракує.

• CVSSскороченняCVSS, загальна система оцінювання вразливостей

  Common Vulnerability Scoring System — стандартний спосіб оцінювання серйозності вразливості за шкалою від 0,0 до 10,0.

• misconfigurationіменникнеправильне налаштування, помилкова конфігурація

  Слабке місце безпеки через неправильні, небезпечні або стандартні налаштування, а не через помилку в самому програмному забезпеченні.

• auditіменникаудит, перевірка відповідності

  Формальна незалежна перевірка того, чи відповідають засоби й процеси безпеки організації стандарту, закону або її власним політикам.

• risk assessmentіменникоцінювання ризиків, аналіз ризиків

  Структурований процес виявлення ризиків, оцінювання їхньої ймовірності й серйозності та визначення пріоритетів дій.

• rules of engagementсловосполученняправила проведення тесту, узгоджені умови тестування

  Погоджені умови перевірки безпеки: що, коли й якими методами дозволено тестувати та до кого звертатися в разі проблеми.

• findingіменниквиявлена проблема, знахідка аудиту

  Проблема безпеки або слабке місце, виявлене й описане під час аудиту, оцінювання чи пентесту, зазвичай із рівнем критичності.

• reconnaissanceіменникрозвідка, збір розвідувальної інформації

  Початковий етап атаки чи перевірки безпеки, коли збирають відомості про ціль: домени, працівників, технології та доступні служби.

• privilege escalationіменникпідвищення привілеїв, ескалація привілеїв

  Отримання вищих прав доступу, ніж було надано, наприклад перехід від звичайного користувача до адміністратора через ваду чи неправильне налаштування.

• lateral movementіменникгоризонтальне переміщення мережею, латеральне переміщення

  Перехід нападників із першої скомпрометованої машини до інших систем тієї самої мережі в пошуках цінних даних або вищих привілеїв.

• man-in-the-middle attackіменникатака посередника, атака man-in-the-middle

  Атака, за якої зловмисник таємно стає між сторонами зв’язку, щоб читати або змінювати трафік між ними.

• keyloggerіменниккейлогер, реєстратор натискань клавіш

  Програма чи невеликий пристрій, що таємно записує кожне натискання клавіші, часто для викрадення паролів і приватних повідомлень.

• botnetіменникботнет, мережа заражених пристроїв

  Мережа заражених комп’ютерів або пристроїв — ботів, — якою нападник дистанційно керує для спаму, DDoS-атак та інших дій.

• backdoorіменникбекдор, потаємний вхід

  Прихований спосіб доступу до системи в обхід звичайної автентифікації; його могли залишити розробники або встановити нападники для повторного проникнення.

• sandboxіменникізольоване середовище, пісочниця

  Ізольоване контрольоване середовище, де безпечно запускають підозрілі файли чи програми й спостерігають за ними, не наражаючи реальні системи на ризик.

• web application firewallіменникбрандмауер вебзастосунків, WAF

  Брандмауер перед вебзастосунком, який фільтрує HTTP-трафік і блокує поширені вебатаки, як-от SQL-ін’єкції та міжсайтовий скриптинг.

• open portіменниквідкритий порт, порт, що приймає з’єднання

  Мережевий порт пристрою, який приймає з’єднання; це означає, що служба прослуховує його й доступна іншим.

• digital signatureіменникцифровий підпис, електронний підпис

  Криптографічне значення, додане до повідомлення, документа чи файла, яке підтверджує автора й показує, що підписаний вміст не змінювали.

• ciphertextіменникшифротекст, зашифрований текст

  Дані після шифрування: вони виглядають як випадкові символи й незрозумілі без правильного ключа. Читабельний оригінал називають відкритим текстом.

• threat huntingіменникактивний пошук загроз, полювання на загрози

  Цілеспрямований пошук у системах і журналах ознак нападників, яких автоматичні сповіщення ще не виявили; часто починають із гіпотези.

• security controlіменникзасіб контролю безпеки, захисний контроль

  Будь-який технічний, адміністративний чи фізичний захід для зниження ризику: брандмауер, політика, навчання або замкнені двері.

• GDPRскороченняGDPR, Загальний регламент про захист даних

  General Data Protection Regulation — закон Європейського Союзу, чинний із травня 2018 року, який визначає правила збирання, використання й захисту персональних даних.

• hardeningіменникпосилення захисту, захищене налаштування системи

  Процес підвищення безпеки системи через вилучення непотрібного ПЗ і служб, зміну стандартних параметрів та застосування безпечних конфігурацій.

• responsible disclosureіменниквідповідальне розкриття вразливості, узгоджене повідомлення про вразливість

  Повідомлення постачальника чи власника про вразливість приватним каналом і надання розумного строку на виправлення до оприлюднення деталей.

• bug bountyіменникпрограма винагород за вразливості, bug bounty

  Програма, у якій організація запрошує зовнішніх дослідників знаходити й повідомляти про вразливості та платить за підтверджені знахідки.