Alfabet
Filtr
Szukaj hasła
ARK. 1Wiedza · Baza wiedzy · Słownik473 z 473 haseł
Słownik pojęć: po angielsku, po polsku i której formy używać.
TAB. 1A25 haseł
| Nazwa | Definicja |
|---|---|
| administrator danych osobowych +W | Podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych i odpowiada za zgodność tego przetwarzania z RODO (zasada rozliczalności). |
| data controller | |
| adware +W | Oprogramowanie wyświetlające lub podmieniające reklamy bez świadomej zgody użytkownika, zwykle profilujące przy okazji jego zachowanie. |
| adware | |
| AI Act (rozporządzenie UE w sprawie sztucznej inteligencji) +W | Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji, które dzieli systemy AI według poziomu ryzyka i wiąże z każdą klasą inne obowiązki dostawców i podmiotów stosujących. |
| EU AI Act | |
| AI red teaming +W | Testowanie systemu AI (chatbota, agenta, modelu) przez symulowanie działań napastnika: próby jailbreaku, prompt injection, wydobycia danych lub wywołania szkodliwych odpowiedzi — zanim zrobią to prawdziwi atakujący. |
| AI red teaming | |
| air gap +W | Całkowite fizyczne odseparowanie systemu od sieci zewnętrznych, przy którym dane można przenieść wyłącznie nośnikiem, a nie połączeniem sieciowym; skrajny przypadek separacji fizycznej. |
| air gap | |
| akt o cyberodporności +W | Rozporządzenie UE 2024/2847 z 23 października 2024 r. wymagające, by produkty z elementami cyfrowymi były projektowane bezpiecznie i otrzymywały aktualizacje przez zadeklarowany okres wsparcia, wraz z obowiązkiem zgłaszania aktywnie wykorzystywanych podatności. |
| Cyber Resilience Act | |
| aktualizacja firmware +W | Wgranie nowej wersji wbudowanego oprogramowania urządzenia — routera, kamery, drukarki, zamka czy innego sprzętu IoT. Łata luki pozwalające przejąć urządzenie zdalnie; wiele domowych routerów nigdy jej nie dostaje, bo nikt jej nie uruchamia. |
| firmware update (IoT, routers) | |
| aktualizacja oprogramowania +W | Wydana przez producenta nowa wersja systemu lub aplikacji, która obok zmian funkcjonalnych zawiera poprawki zamykające znane podatności — dlatego jej szybka instalacja jest najprostszym sposobem odcięcia napastnikom masowo wykorzystywanych luk. |
| software update | |
| aktualizacja rdzenia WordPressa +W | Aktualizacja samego oprogramowania WordPress — a nie wtyczek czy motywów — która w wydaniach bezpieczeństwa usuwa konkretne podatności i jest najtańszym elementem ochrony strony. |
| core update | |
| Alert RCB +W | Oficjalny SMS ostrzegawczy Rządowego Centrum Bezpieczeństwa rozsyłany do telefonów w obszarze zagrożenia (np. pożar, gwałtowne burze, zagrożenie atakiem z powietrza), który nigdy nie zawiera odnośników. |
| Alert RCB | |
| algorytm generowania domen +W | Algorytm wbudowany w malware, generujący w sposób deterministyczny (zwykle z bieżącej daty i sekretnego ziarna) wiele zmiennych nazw domen, wśród których bot szuka aktywnego serwera C2 — dzięki czemu zablokowanie lub przejęcie pojedynczej domeny nie odcina botnetu. |
| domain generation algorithm (DGA) | |
| amplifikacja +W | Technika ataku odmowy usługi, w której napastnik wysyła niewielkie zapytania ze sfałszowanym adresem źródłowym ofiary do usług odpowiadających wielokrotnie większym pakietem, dzięki czemu na cel spada ruch wielokrotnie większy od wysłanego. |
| amplification attack | |
| analiza wpływu na działalność +W | Analiza ustalająca, które procesy są krytyczne i jakie straty finansowe, prawne oraz wizerunkowe przynosi ich przerwa w czasie — podstawa wyznaczenia RTO i RPO. |
| business impact analysis (BIA) | |
| apetyt na ryzyko +W | Poziom i rodzaj ryzyka, jaki organizacja jest gotowa podejmować w dążeniu do swoich celów, wyznaczany i zatwierdzany na szczeblu zarządu lub rady nadzorczej. |
| risk appetite | |
| APT +W | Dobrze finansowana grupa, często powiązana z państwem, prowadząca długotrwałe i ukierunkowane włamanie oraz utrzymująca niewykryty dostęp w sieci ofiary przez miesiące. |
| advanced persistent threat (APT) | |
| atak bocznym kanałem +W | Atak, który wydobywa tajne dane (np. klucze kryptograficzne) nie przez błąd w algorytmie, lecz z ubocznych skutków działania systemu: czasu wykonania, poboru prądu, promieniowania, dźwięku, stanu pamięci podręcznej procesora (Spectre, Meltdown). Dla stron WWW praktyczny przypadek to timing attack — porównywanie haseł czy tokenów w czasie zależnym od danych, stąd w WordPressie hash_equals() zamiast ==. |
| side-channel attack | |
| atak homograficzny +W | Podszycie się pod znaną domenę lub nazwę przy użyciu znaków łudząco podobnych do liter oryginału — najczęściej liter z innych alfabetów (cyrylica, greka) w domenach IDN, ale też podobieństw wewnątrz alfabetu łacińskiego (rn zamiast m, l/I/1, O/0). |
| homograph attack | |
| atak na łańcuch dostaw +W | Atak na organizację przeprowadzony przez jej dostawcę — podmieniony komponent, zatruta aktualizacja oprogramowania, zainfekowana biblioteka z publicznego repozytorium pakietów albo konto partnera mającego dostęp do jej systemów. |
| supply chain attack | |
| atak na potok CI/CD +W | Przejęcie zautomatyzowanego procesu budowania i wdrażania oprogramowania (np. GitHub Actions), by wstrzyknąć złośliwy kod do wydawanej wersji albo wykraść sekrety — klucze do chmury, tokeny, hasła do baz. Dotyczy też stron WordPress wdrażanych automatycznie z repozytorium. |
| CI/CD pipeline compromise | |
| atak NFC relay +W | Atak, w którym złośliwa aplikacja na telefonie ofiary odczytuje przez NFC jej kartę płatniczą i w czasie rzeczywistym przekazuje odpowiedzi karty do urządzenia przestępcy stojącego przy bankomacie lub terminalu, dzięki czemu wypłata wygląda tam jak zwykłe zbliżeniowe użycie karty. |
| NFC relay attack (przekazywanie transakcji NFC, np. NGate) | |
| atak odmowy usługi +W | Atak doprowadzający usługę do niedostępności przez wyczerpanie jej zasobów lub wykorzystanie błędu w oprogramowaniu, prowadzony zwykle z jednego źródła. |
| denial of service (DoS) | |
| atak siłowy (brute-force) +W | Systematyczne sprawdzanie kolejnych kombinacji hasła, klucza lub kodu aż do trafienia poprawnej wartości. |
| brute force attack | |
| audyt bezpieczeństwa +W | Niezależna, oparta na dowodach ocena, czy zabezpieczenia i procesy organizacji spełniają przyjęte kryteria — normę, przepis prawa lub politykę wewnętrzną. |
| security audit | |
| automatyczna aktualizacja +W | Mechanizm samoczynnej instalacji aktualizacji: dla mniejszych wydań rdzenia włączony domyślnie od WordPressa 3.7, a dla wtyczek i motywów dostępny opcjonalnie od wersji 5.5. |
| auto-update | |
| autoryzacja +W | Rozstrzygnięcie, do czego uwierzytelniony już podmiot ma prawo — odpowiedź na pytanie „co mu wolno”, następująca po uwierzytelnieniu i często z nim mylona. |
| authorization |
TAB. 2B30 haseł
| Nazwa | Definicja |
|---|---|
| badacz bezpieczeństwa +W | Specjalista, który wyszukuje i opisuje podatności oraz techniki ataku, publikując wyniki po to, by dało się je naprawić — zwykle po zgłoszeniu producentowi i odczekaniu na poprawkę. |
| security researcher | |
| baiting +W | Atak wykorzystujący ciekawość lub chęć zysku ofiary — podrzucony nośnik USB, darmowy plik czy obietnica nagrody — by skłoniła ją do samodzielnego uruchomienia złośliwego kodu. |
| baiting | |
| bastion host +W | Mocno utwardzony host wystawiony na styku sieci niezaufanej, stanowiący jedyny dozwolony punkt wejścia do zasobów sieci chronionej; wszystko, co zbędne, jest na nim wyłączone, a ruch przez niego przechodzący jest rejestrowany. |
| bastion host | |
| BEC +W | Oszustwo finansowe polegające na przejęciu firmowego konta e-mail lub podszyciu się pod nie, by skłonić pracownika do przelewu albo do zmiany numeru rachunku kontrahenta. Rozwinięcie skrótu: business email compromise. |
| business email compromise (BEC) | |
| bezpieczeństwo infrastruktury jako kodu (IaC) +W | Dbanie o to, by pliki opisujące serwery i usługi chmurowe (Terraform, Ansible, CloudFormation) nie tworzyły dziur: otwartych portów i bucketów, zbyt szerokich uprawnień czy haseł wpisanych w kod. Szablony skanuje się pod kątem błędów konfiguracji, zanim trafią na produkcję. |
| infrastructure as code (IaC) security | |
| bezpieczeństwo IoT (internetu rzeczy) +W | Ochrona urządzeń sieciowych codziennego użytku — kamer, routerów, sprzętu smart home i czujników — które trafiają do sieci z domyślnym hasłem i bez ścieżki aktualizacji, przez co zasilają botnety. |
| IoT security / smart home security | |
| bezpieczeństwo systemów przemysłowych (OT/ICS) +W | Ochrona systemów sterujących procesami fizycznymi w przemyśle i infrastrukturze — sterowników, paneli operatorskich i sieci przemysłowych — gdzie priorytetem jest ciągłość działania, a nie poufność danych. |
| operational technology (OT) security / ICS / SCADA | |
| bezpieczne hasła +W | Zestaw nawyków chroniących konta: długie i unikalne hasło do każdej usługi, przechowywane w menedżerze haseł i zmieniane nie okresowo, lecz natychmiast po podejrzeniu ujawnienia. |
| password hygiene | |
| bezpieczny rozruch +W | Funkcja firmware UEFI, która przy starcie komputera lub serwera uruchamia tylko program rozruchowy i sterowniki podpisane zaufanymi kluczami, blokując bootkity ładujące się przed systemem. Dotyczy sprzętu i maszyn wirtualnych, na których działa serwer strony, a nie samego WordPressa; w 2026 r. wygasają pierwsze certyfikaty Microsoft używane przez Secure Boot. |
| secure boot | |
| BGP hijacking +W | Rozgłoszenie w internecie fałszywych tras do cudzych zakresów adresów IP, przez co ruch kierowany do ofiary przechodzi przez infrastrukturę napastnika. |
| BGP hijacking | |
| biała lista adresów IP +W | Dopuszczenie do wybranego zasobu (np. wp-login.php, wp-admin, panelu serwera) wyłącznie z wymienionych adresów lub sieci IP; resztę serwer odrzuca. Skuteczne przy stałym IP biura, kłopotliwe przy pracy mobilnej i zmiennym IP. |
| IP allowlisting (whitelisting) | |
| biuletyn bezpieczeństwa +W | Oficjalny komunikat producenta (rzadziej badacza) opisujący podatność: wersje podatne, możliwe skutki, warunki wykorzystania i sposób usunięcia. |
| security advisory | |
| black hat +W | Haker działający bez zgody właściciela systemu, dla własnej korzyści lub na szkodę ofiary. |
| black hat | |
| blind SQL injection +W | Odmiana SQL injection, w której aplikacja nie pokazuje wyników zapytania ani błędów bazy, więc atakujący wydobywa dane pośrednio — z różnic w odpowiedzi (boolean-based) lub z czasu odpowiedzi (time-based, np. SLEEP). W WordPressie przykładem była wtyczka WordPress SEO by Yoast 1.7.3.3, gdzie parametr orderby trafiał do klauzuli ORDER BY mimo użycia esc_sql(). |
| blind SQL injection | |
| blokada ekranu +W | Wymóg podania PIN-u, hasła lub biometrii przy każdym wybudzeniu urządzenia — podstawowy warunek, by szyfrowanie danych na sprzęcie miało sens. |
| screen lock | |
| blokada wykonywania PHP w katalogu uploads +W | Reguła serwera (plik .htaccess w wp-content/uploads albo wpis w konfiguracji nginx), która zabrania uruchamiania plików .php w katalogu na media. Nawet jeśli atakujący wgra przez lukę webshell do uploads, serwer go nie wykona. |
| disabling PHP execution in uploads directory | |
| blue team +W | Zespół odpowiedzialny za obronę organizacji: monitoruje infrastrukturę, wykrywa i obsługuje incydenty oraz na bieżąco utrzymuje i stroi zabezpieczenia. |
| blue team | |
| błąd logiki biznesowej +W | Luka wynikająca z tego, że aplikacja poprawnie technicznie, ale bez sprawdzenia reguł biznesowych wykonuje działania, których projektant nie przewidział — np. ujemna ilość w koszyku, wielokrotne użycie kuponu, pominięcie kroku płatności. W sklepie WooCommerce typowym przykładem są rozszerzenia rabatów lub bramek płatności, które ufają cenie albo statusowi zamówienia przesłanemu przez przeglądarkę. |
| business logic vulnerability | |
| błędna konfiguracja chmury +W | Pozostawienie zasobu chmurowego — bucketu na pliki, bazy danych czy uprawnień IAM — w ustawieniach udostępniających go publicznie lub szerzej, niż wymaga tego działanie usługi. |
| cloud misconfiguration | |
| błędna konfiguracja zabezpieczeń +W | Kategoria OWASP Top 10 (A02:2025) obejmująca podatności wynikające z ustawień, a nie z kodu: domyślne hasła, włączony tryb debugowania, listowanie katalogów, zbędne usługi, brak nagłówków bezpieczeństwa. W WordPressie to m.in. WP_DEBUG_DISPLAY włączone na produkcji, publicznie dostępny plik wp-config.php.bak, otwarte listowanie katalogu /wp-content/uploads/ czy pozostawiony instalator. |
| security misconfiguration | |
| bomba logiczna +W | Fragment kodu celowo umieszczony w systemie i uśpiony do chwili spełnienia warunku — daty, liczby uruchomień czy zniknięcia konta z listy płac — po czym wykonuje szkodliwe działanie. Typowo narzędzie sprawcy wewnętrznego, nie element kampanii zewnętrznej. |
| logic bomb | |
| bootkit +W | Odmiana rootkita infekująca proces rozruchu — bootloader lub firmware UEFI — dzięki czemu ładuje się przed systemem operacyjnym i jego zabezpieczeniami. |
| bootkit | |
| botnet +W | Sieć zainfekowanych urządzeń sterowanych zdalnie przez jednego operatora i używanych zbiorowo, m.in. do ataków DDoS, rozsyłania spamu czy kradzieży danych. |
| botnet | |
| brak kontroli uprawnień (missing authorization) +W | Błąd polegający na tym, że funkcja lub punkt końcowy w ogóle nie sprawdza, czy wywołujący ma prawo wykonać daną operację — jedna z najczęstszych klas luk zgłaszanych we wtyczkach WordPressa. |
| missing authorization | |
| Broken Access Control +W | Kategoria-parasol z pierwszego miejsca listy OWASP Top 10, obejmująca wszystkie sytuacje, w których egzekwowanie uprawnień zawodzi — od całkowitego braku sprawdzenia (missing authorization, CWE-862), przez odwołania do cudzych obiektów (IDOR), po obejście istniejącej reguły. Skutkiem jest dostęp do danych lub funkcji zastrzeżonych dla innych. |
| broken access control | |
| broker początkowego dostępu +W | Przestępca wyspecjalizowany w zdobywaniu i odsprzedaży dostępu do już skompromitowanych sieci — sam zwykle nie prowadzi ataku końcowego, tylko sprzedaje wejście, najczęściej grupom ransomware. |
| initial access broker | |
| bug bounty +W | Program, w którym właściciel oprogramowania płaci badaczom za zgłaszanie podatności zgodnie z określonym zakresem i regulaminem. |
| bug bounty | |
| bug bounty hunter +W | Program, w którym firma zaprasza zewnętrznych badaczy do zgłaszania podatności, i rola osoby, która w takim programie uczestniczy: nagroda (finansowa albo punkty reputacji) przysługuje za zgłoszenie uznane za ważne i mieszczące się w zakresie — duplikaty i zgłoszenia spoza zakresu nie są opłacane. |
| bug bounty hunter | |
| bulletproof hosting +W | Hosting świadczony przestępcom, który ignoruje zgłoszenia nadużyć i nakazy usunięcia treści; stoją na nim panele phishingowe, serwery C2 i strony z malware. Dla właściciela strony to źródło ataków i miejsce, gdzie trafiają dane wykradzione z przejętych witryn — zgłoszenia abuse do takiego dostawcy zwykle nic nie dają. |
| bulletproof hosting | |
| BYOD +W | Praca na prywatnych laptopach i telefonach pracowników podłączonych do firmowej poczty, plików czy panelu administracyjnego strony. Wymaga polityki BYOD: minimalnych zabezpieczeń urządzenia, zasad dostępu (często przez MDM) i procedury na wypadek zgubienia lub kradzieży sprzętu. |
| BYOD (bring your own device) |
TAB. 3C30 haseł
| Nazwa | Definicja |
|---|---|
| C2 (command and control) +W | Kanał łączności i serwery, przez które atakujący wydaje polecenia zainfekowanym maszynom i odbiera od nich wykradzione dane. |
| command and control (C2) | |
| canary token +W | Fałszywy zasób-pułapka (plik, link, klucz API, konto, rekord w bazie), którego nikt uprawniony nie powinien dotykać — każde użycie wysyła alarm, więc sygnalizuje włamanie lub wyciek. W WordPressie może to być nieużywane konto „admin” z hasłem-pułapką albo fałszywy klucz w wp-config.php podłączony do serwisu Canarytokens. |
| honeytoken / canary token | |
| CAPTCHA +W | Test odróżniający człowieka od bota, stosowany w formularzach kontaktowych, logowaniu, rejestracji i zamówieniu. W WordPressie dodaje się go wtyczką lub w ustawieniach wtyczki formularzy; popularne warianty to Google reCAPTCHA (v2 z polem „Nie jestem robotem”, v3 niewidoczna), hCaptcha i Cloudflare Turnstile. |
| CAPTCHA (reCAPTCHA, Turnstile) | |
| CDN +W | Rozproszona sieć serwerów brzegowych serwujących kopie treści blisko użytkownika; wykorzystywana także w obronie — do absorbowania i filtrowania wolumetrycznego ruchu DDoS oraz ukrywania adresu serwera źródłowego. |
| content delivery network (CDN) | |
| CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON +W | Nazwy własne zespołów reagowania na incydenty komputerowe: CERT Polska to działający w NASK zespół realizujący ustawowe zadania CSIRT NASK, a obok niego funkcjonują CSIRT GOV (prowadzony przez Szefa ABW) i CSIRT MON — trzy krajowe zespoły przewidziane w ustawie o krajowym systemie cyberbezpieczeństwa. |
| CERT Polska / CSIRT NASK (CSIRT GOV, CSIRT MON) | |
| certyfikat cyfrowy +W | Podpisany przez zaufanego wystawcę (urząd certyfikacji) dokument elektroniczny w formacie X.509, który wiąże klucz publiczny z tożsamością (domeną, firmą, osobą), obowiązuje przez określony termin ważności i może zostać wcześniej unieważniony (CRL, OCSP). |
| digital certificate | |
| certyfikat SSL/TLS +W | Podpisane przez urząd certyfikacji poświadczenie wiążące klucz publiczny z domeną, umożliwiające szyfrowane połączenie HTTPS; chroni dane w drodze między przeglądarką a serwerem, ale w żaden sposób nie zabezpiecza samej strony przed włamaniem. |
| SSL/TLS certificate | |
| chain of custody +W | Udokumentowana, nieprzerwana historia tego, kto, kiedy i w jakim celu miał dostęp do zabezpieczonego materiału dowodowego. |
| chain of custody | |
| CISO +W | Osoba na poziomie kierownictwa odpowiadająca za strategię bezpieczeństwa informacji, zarządzanie ryzykiem i zgodność w całej organizacji; w reżimie NIS2/KSC formalną odpowiedzialność ponosi kierownik podmiotu, a CISO pełni rolę wykonawczą i doradczą. |
| CISO (Chief Information Security Officer) | |
| clickjacking +W | Atak, w którym docelowa witryna (ta, na której ofiara jest zalogowana) zostaje załadowana w przezroczystej ramce IFRAME nałożonej NA widoczną stronę-przynętę. Użytkownik jest przekonany, że klika przynętę, a kliknięcie trafia w ukrytą ramkę i uruchamia niezamierzoną akcję na jego koncie. |
| clickjacking | |
| CNA +W | Organizacja upoważniona przez Program CVE do nadawania identyfikatorów CVE podatnościom w określonym zakresie. Dla WordPressa to przede wszystkim Wordfence, Patchstack i WPScan — nadają numery CVE podatnościom we wtyczkach, motywach i rdzeniu; w Polsce status CNA ma CERT Polska. |
| CVE Numbering Authority (CNA) | |
| combolista +W | Plik tekstowy z parami „login:hasło” (zwykle e-mail i hasło) zebranymi z wielu wycieków, phishingu i infostealerów, sprzedawany lub rozdawany na forach i kanałach Telegram. Służy do credential stuffingu — także na formularze logowania WordPressa, gdy administrator używa hasła z innego serwisu. |
| combolist | |
| CORS misconfiguration +W | Zbyt liberalna konfiguracja nagłówków CORS (Access-Control-Allow-Origin), np. odbijanie dowolnego Origin z żądania razem z Access-Control-Allow-Credentials: true — obca strona może wtedy w imieniu zalogowanego użytkownika odczytać dane z API. W WordPressie dotyczy wtyczek lub reguł serwera, które dla REST API (/wp-json/) ustawiają nagłówki CORS na „*” albo kopiują Origin bez listy dozwolonych domen. |
| CORS misconfiguration | |
| credential stuffing +W | Zautomatyzowane testowanie w wielu serwisach par login-hasło pochodzących z wcześniejszych wycieków, w oczekiwaniu, że użytkownik użył tego samego hasła ponownie. |
| credential stuffing | |
| cross-site contamination +W | Rozprzestrzenienie się infekcji z jednej witryny na pozostałe strony w tym samym koncie hostingowym — przez wspólny katalog nadrzędny, wspólnego użytkownika systemowego albo współdzieloną bazę — przez co wyczyszczenie pojedynczej strony nie kończy problemu. |
| cross-site contamination | |
| cryptojacking +W | Nieautoryzowane wykorzystanie cudzego sprzętu lub przeglądarki do kopania kryptowalut na rzecz atakującego. |
| cryptojacking | |
| CSIRT +W | Zespół powołany do przyjmowania zgłoszeń i obsługi incydentów bezpieczeństwa w obrębie określonej społeczności; w Polsce poziom krajowy tworzą CSIRT NASK, CSIRT GOV i CSIRT MON. |
| computer security incident response team (CSIRT) | |
| CSP (Content Security Policy) +W | Nagłówek określający, z jakich źródeł przeglądarka może wczytywać skrypty, style i inne zasoby, przez co ogranicza SKUTKI wstrzyknięcia obcego kodu (XSS) — jest warstwą ograniczającą szkody, a nie naprawą podatności po stronie serwera. |
| Content Security Policy (CSP) | |
| CSPM +W | Klasa narzędzi, które stale sprawdzają konfigurację kont chmurowych (AWS, Azure, GCP) i wskazują błędy: publiczne zasoby, brak szyfrowania, zbyt szerokie uprawnienia, niezgodność z normami. Dla małej firmy z jedną stroną to zwykle przesada; ma sens przy wielu usługach w chmurze. |
| cloud security posture management (CSPM) | |
| CSRF (Cross-Site Request Forgery) +W | Atak zmuszający zalogowanego użytkownika do nieświadomego wysłania żądania zmieniającego stan konta lub witryny, gdy aplikacja nie weryfikuje pochodzenia żądania. |
| cross-site request forgery (CSRF) | |
| CSV injection +W | Wstrzyknięcie do eksportowanego pliku CSV wartości zaczynającej się od =, +, - lub @, którą Excel lub LibreOffice potraktuje jako formułę — może ona wysłać dane na zewnątrz lub nakłonić użytkownika do uruchomienia polecenia. W WordPressie dotyczy wtyczek eksportujących dane wpisane przez odwiedzających: formularzy kontaktowych (np. WPForms Pro do 1.7.6), list użytkowników, recenzji WooCommerce. |
| CSV injection (formula injection) | |
| CVE +W | Publiczny identyfikator konkretnej ujawnionej podatności w formacie CVE-rok-numer, pozwalający jednoznacznie odwoływać się do niej w różnych systemach i biuletynach. |
| CVE | |
| CVSS +W | Standard punktowej oceny powagi podatności w skali 0–10, wyliczanej z metryk sposobu wykorzystania (m.in. wektor ataku, złożoność, wymagane uprawnienia) i skutków dla poufności, integralności i dostępności; służy do porównywania i priorytetyzacji luk. |
| CVSS | |
| CWE +W | Prowadzony przez MITRE katalog typów (klas) błędów w oprogramowaniu — np. CWE-79 dla XSS — nazywający PRZYCZYNĘ podatności, w odróżnieniu od CVE, który identyfikuje pojedynczy jej przypadek w konkretnym produkcie. |
| CWE | |
| Cyber Kill Chain +W | Model Lockheed Martin dzielący atak na siedem następujących po sobie etapów — od rozpoznania po działania na celu — wskazujący, w którym miejscu obrońca może atak przerwać. |
| cyber kill chain | |
| cyberhigiena +W | Zestaw codziennych nawyków — aktualizacje, unikalne hasła, kopie zapasowe, ostrożność wobec linków — które obniżają ryzyko incydentu bez potrzeby wiedzy technicznej. |
| digital hygiene | |
| cyberprzemoc +W | Uporczywe nękanie, ośmieszanie lub wykluczanie osoby za pośrednictwem internetu i telefonu, najczęściej w grupie rówieśniczej lub zawodowej. |
| cyberbullying | |
| cyberprzestępca +W | Sprawca przestępstwa popełnianego z użyciem systemów teleinformatycznych — najczęściej dla zysku, ale w polskim uzusie także wtedy, gdy działa na zlecenie państwa lub z innych pobudek. |
| cybercriminal | |
| czas przebywania atakującego w sieci +W | Liczba dni, jakie upływają od kompromitacji środowiska do wykrycia obecności napastnika (liczona do wykrycia, nie do usunięcia napastnika). |
| dwell time | |
| czyszczenie przejętej strony +W | Usunięcie ze strony złośliwego kodu, backdoorów i kont napastnika oraz przywrócenie pierwotnej treści, zakończone zamknięciem drogi, którą doszło do włamania — bez tego infekcja wraca. |
| site cleanup |
TAB. 4D25 haseł
| Nazwa | Definicja |
|---|---|
| dane uwierzytelniające +W | Dana lub obiekt służący do potwierdzenia tożsamości — hasło, klucz, certyfikat lub token — będący głównym łupem w większości ataków na konta. |
| credential | |
| DBIR | Coroczny raport Verizon o naruszeniach bezpieczeństwa, oparty na tysiącach przeanalizowanych incydentów zapisanych w słowniku VERIS. Najczęściej cytowane źródło statystyk o tym, jak dochodzi do włamań, kto za nimi stoi i ile trwa ich wykrycie. |
| Data Breach Investigations Report (DBIR) | |
| DDoS +W | Odmiana ataku odmowy usługi prowadzona równocześnie z wielu rozproszonych źródeł, najczęściej z botnetu, co utrudnia odfiltrowanie ruchu i wymusza obronę o dużej przepustowości. |
| distributed denial of service (DDoS) | |
| default_role +W | Opcja WordPressa określająca rolę, którą dostaje każdy nowy użytkownik — zarejestrowany sam albo dodany przez administratora (Ustawienia → Ogólne → Domyślna rola nowych użytkowników). Razem z opcją users_can_register („Każdy może się zarejestrować”) tworzy jedno ryzyko: otwarta rejestracja z rolą domyślną wyższą niż Subskrybent pozwala każdemu założyć konto z uprawnieniami. |
| default_role | |
| dependency confusion (podmiana zależności) +W | Atak polegający na opublikowaniu w publicznym repozytorium pakietu o nazwie identycznej z wewnętrzną biblioteką firmy i wyższym numerze wersji, przez co system budowania pobiera i uruchamia kod atakującego zamiast własnego. |
| dependency confusion | |
| deserializacja niezaufanych danych (insecure deserialization) +W | Podatność polegająca na odtwarzaniu obiektów z niezaufanych danych wejściowych, co pozwala wymusić nieprzewidziane działania aplikacji, aż do wykonania kodu. |
| insecure deserialization | |
| detection engineering +W | Dyscyplina projektowania, testowania i utrzymywania reguł wykrywania jak kodu — z wersjonowaniem, pomiarem skuteczności i mapowaniem pokrycia na MITRE ATT&CK. |
| detection engineering | |
| dezinformacja +W | Celowe rozpowszechnianie fałszywych lub wprowadzających w błąd treści, prowadzone jako zorganizowana kampania (fałszywe konta, podszywanie się pod instytucje, przejęte serwisy), a gdy stoi za nim obce państwo — opisywane w nomenklaturze unijnej skrótem FIMI. |
| disinformation / FIMI (zagraniczne manipulacje informacyjne) | |
| disaster recovery (DR) +W | Część planowania ciągłości działania skupiona na technicznym przywróceniu systemów, danych i infrastruktury po awarii lub katastrofie — węższa niż plan ciągłości działania, który obejmuje procesy całej organizacji. |
| disaster recovery | |
| discovery method | Kto albo co jako pierwsze zauważyło incydent: własny monitoring, partner (dostawca usługi, hosting), klient, wyszukiwarka, policja, a nawet sam sprawca. W VERIS pole discovery_method z gałęziami internal, partner i external; mówi wiele o tym, czy organizacja umie wykrywać ataki sama. |
| discovery method | |
| DLP (ochrona przed wyciekiem danych) +W | Klasa rozwiązań monitorujących i blokujących nieautoryzowane wyprowadzenie wrażliwych danych z organizacji — pocztą, przez nośniki USB, chmurę czy wklejenie do zewnętrznej usługi. |
| data loss prevention (DLP) | |
| DMZ +W | Wydzielona podsieć-bufor między internetem a siecią wewnętrzną, w której umieszcza się usługi publiczne, aby ich przejęcie nie dawało napastnikowi bezpośredniego dostępu do zasobów wewnętrznych. |
| demilitarized zone (DMZ) | |
| DNS cache poisoning +W | Wstrzyknięcie sfałszowanych rekordów do pamięci podręcznej rekurencyjnego serwera DNS, przez co kolejni użytkownicy pytający o daną nazwę trafiają pod adres wskazany przez napastnika. |
| DNS cache poisoning | |
| DNSSEC +W | Rozszerzenie DNS dodające do rekordów podpisy kryptograficzne, które pozwalają odbiorcy zweryfikować autentyczność i integralność odpowiedzi, lecz nie szyfrują samych zapytań. |
| DNSSEC | |
| DOM-based XSS +W | Odmiana XSS, w której złośliwy kod nie przechodzi przez odpowiedź serwera, tylko wykonuje go skrypt strony w przeglądarce, przepisując niezaufane dane (np. fragment adresu URL) do DOM przez innerHTML lub eval(). W WordPressie dotyczy głównie skryptów JS wtyczek i kreatorów stron — np. Elementor miał podatność DOM-based XSS w obsłudze parametru lightboxa w adresie. |
| DOM-based XSS | |
| domyślne hasło +W | Fabryczny login i hasło (np. admin/admin), z którym urządzenie, panel lub oprogramowanie wychodzi z pudełka; bywa wspólne dla wszystkich egzemplarzy i opisane w instrukcji, więc atakujący próbują go w pierwszej kolejności. Dotyczy routerów, kamer, paneli hostingu i instalatorów — w WordPressie odpowiednikiem jest konto „admin” ze słabym hasłem ustawionym przy instalacji. |
| default credentials | |
| DORA +W | Rozporządzenie UE 2022/2554 (Digital Operational Resilience Act), stosowane od 17 stycznia 2025 r., które nakłada na sektor finansowy i jego zewnętrznych dostawców ICT wymogi zarządzania ryzykiem cyfrowym, testowania odporności operacyjnej i zgłaszania poważnych incydentów. |
| DORA | |
| dostęp just-in-time +W | Nadawanie uprawnień (np. administratora serwera, konta w chmurze, dostępu do portu SSH/RDP) tylko na czas konkretnego zadania, z automatycznym odebraniem po upływie limitu, zamiast stałych kont uprzywilejowanych. W WordPressie odpowiada temu tymczasowe konto administratora dla serwisanta, które samo wygasa. |
| just-in-time access (JIT) | |
| dostęp warunkowy +W | Zasady, które przy każdym logowaniu oceniają kontekst — kto, skąd, z jakiego urządzenia, z jakim ryzykiem — i na tej podstawie wpuszczają, żądają MFA albo blokują. Najbardziej znane jako Conditional Access w Microsoft Entra ID (Microsoft 365); podobną logikę dla panelu WordPressa dają reguły WAF i wtyczki ograniczające logowanie np. do krajów lub adresów IP. |
| conditional access | |
| doxing +W | Celowe upublicznienie prywatnych informacji o konkretnej osobie — adresu, telefonu, miejsca pracy — po to, by narazić ją na nękanie lub przemoc. |
| doxxing | |
| DPI (deep packet inspection) +W | Analiza nie tylko nagłówków, ale i zawartości (ładunku) pakietów — zwykle po złożeniu strumienia — pozwalająca rozpoznać rzeczywisty protokół lub aplikację niezależnie od numeru portu oraz wykryć szkodliwe albo zakazane treści w ruchu. |
| deep packet inspection (DPI) | |
| drainer (wallet drainer) +W | Skrypt lub strona phishingowa, która nie wykrada klucza prywatnego, tylko nakłania właściciela portfela kryptowalutowego do podpisania uprawnienia (approval/permit) pozwalającego atakującemu wydawać jego tokeny, po czym opróżnia portfel jedną transakcją. |
| wallet drainer (approval/permit phishing) | |
| drive-by download +W | Pobranie i uruchomienie złośliwego oprogramowania wywołane samym wejściem na spreparowaną lub zainfekowaną stronę, bez świadomej zgody i bez żadnego działania użytkownika poza otwarciem witryny. |
| drive-by download | |
| dropper +W | Komponent, którego jedynym zadaniem jest umieszczenie w systemie właściwego złośliwego kodu — klasycznie przenoszonego wewnątrz siebie, choć w polskim uzusie nazwą tą obejmuje się też komponent, który ten kod dopiero pobiera z sieci. |
| dropper | |
| due diligence +W | Staranne sprawdzenie stanu bezpieczeństwa i zgodności drugiej strony — dostawcy, partnera lub przejmowanej spółki — przed zawarciem umowy albo transakcji. |
| due diligence |
TAB. 5E12 haseł
| Nazwa | Definicja |
|---|---|
| EDR (Endpoint Detection and Response) +W | Oprogramowanie agentowe instalowane na stacjach roboczych i serwerach (punktach końcowych), które rejestruje szczegółową telemetrię systemu, wykrywa działania napastnika i pozwala zdalnie zareagować, np. odciąć host od sieci. |
| endpoint detection and response (EDR) | |
| edytor plików motywów i wtyczek +W | Wbudowany w panel WordPressa edytor kodu (Wygląd → Edytor plików motywu, Wtyczki → Edytor plików wtyczek), który pozwala administratorowi zmieniać pliki PHP prosto z przeglądarki. Stała define('DISALLOW_FILE_EDIT', true); w wp-config.php wyłącza go, żeby przejęte konto administratora nie dawało od ręki możliwości wykonania kodu na serwerze. |
| theme/plugin file editor (DISALLOW_FILE_EDIT) | |
| eksfiltracja danych +W | Wyprowadzenie wykradzionych danych z zaatakowanego systemu na serwer atakującego — pocztą, przez FTP, API usług (Telegram, Discord, GitHub) czy ukryte kanały. Na stronie WordPress to np. skrypt wysyłający dane z formularzy lub zamówień WooCommerce na obcy adres. |
| data exfiltration | |
| enumeracja użytkowników +W | Pozyskiwanie listy istniejących loginów aplikacji — w WordPressie m.in. przez archiwa autorów, adres /?author=1 i endpoint /wp-json/wp/v2/users, gdzie indziej przez różnicę w odpowiedziach dla konta istniejącego i nieistniejącego — jako przygotowanie do ataku na hasła. |
| user enumeration | |
| EPSS +W | Utrzymywany przez FIRST.org model punktowy szacujący prawdopodobieństwo (0–1, podawane też w procentach, przeliczane codziennie), że dana podatność zostanie wykorzystana w atakach w ciągu najbliższych 30 dni — uzupełnienie CVSS, które ocenia wagę skutków udanej eksploatacji, a nie szansę, że do niej dojdzie. |
| EPSS | |
| escapowanie +W | Zakodowanie danych tuż przed wypisaniem ich na stronę, zależnie od kontekstu wyjścia (HTML, atrybut, URL, JavaScript), tak by przeglądarka potraktowała je jako tekst, a nie kod — podstawowa obrona przed XSS, wykonywana na wyjściu, a nie na wejściu. |
| escaping | |
| eskalacja uprawnień +W | Uzyskanie wyższego poziomu uprawnień niż przysługujący — pionowo (subskrybent → administrator witryny, użytkownik → SYSTEM/root) albo poziomo, czyli sięgnięcie po zasoby innego użytkownika o tych samych uprawnieniach. |
| privilege escalation | |
| EUVD +W | Europejska baza danych o podatnościach prowadzona przez ENISA na podstawie dyrektywy NIS2, działająca od 13 maja 2025 r. Każdy wpis ma własny identyfikator EUVD-RRRR-NNNNN i wskazuje odpowiadający mu numer CVE, a dane zbiera z wielu źródeł: CSIRT-ów, komunikatów producentów i istniejących baz. |
| European Vulnerability Database (EUVD) | |
| evil twin (podstawiona sieć Wi-Fi) +W | Podstawiona sieć Wi-Fi o nazwie identycznej z siecią zaufaną — hotelu, lotniska, kawiarni — do której urządzenie ofiary łączy się automatycznie, przez co atakujący widzi jej ruch i może podsunąć fałszywy ekran logowania. |
| evil twin / rogue access point (podstawiona sieć Wi-Fi) | |
| excessive agency +W | Ryzyko, że model lub agent AI ma więcej narzędzi, uprawnień albo swobody działania, niż potrzebuje — i po pomyłce lub manipulacji wykona szkodliwą akcję, np. usunie dane czy wyśle e-maile. Kategoria z listy OWASP Top 10 dla aplikacji LLM. |
| excessive agency (OWASP LLM) | |
| exploit +W | Kod, żądanie lub sekwencja kroków, które praktycznie wykorzystują konkretną podatność, aby osiągnąć zamierzony przez atakującego efekt — najczęściej wykonanie kodu, obejście uwierzytelnienia lub podniesienie uprawnień. |
| exploit | |
| exploit kit +W | Gotowe narzędzie przestępcze — zwykle aplikacja webowa — które rozpoznaje przeglądarkę i wtyczki odwiedzającego, dobiera do nich pasujący exploit z własnego zestawu i instaluje malware bez udziału ofiary (atak drive-by); sprzedawane na licencję lub w abonamencie. |
| exploit kit |
TAB. 6F10 haseł
| Nazwa | Definicja |
|---|---|
| fail2ban +W | Narzędzie na serwery Linux, które czyta logi (SSH, poczty, serwera WWW) i po serii nieudanych prób logowania lub innych podejrzanych zdarzeń blokuje adres IP w zaporze na określony czas. Na VPS z WordPressem można dodać regułę dla wp-login.php i xmlrpc.php; na hostingu współdzielonym odpowiednik działa po stronie dostawcy. |
| fail2ban | |
| fałszywa bramka płatności +W | Podrobiona strona udająca operatora płatności (PayU, Przelewy24, BLIK) albo logowanie do banku, do której prowadzi link ze smishingu, e-maila lub ogłoszenia na portalu sprzedażowym, a której jedynym celem jest przejęcie danych karty i danych logowania do bankowości. |
| fake payment gateway (fałszywa bramka płatnicza) | |
| fałszywa CAPTCHA +W | Metoda socjotechniczna, w której fałszywy komunikat „potwierdź, że jesteś człowiekiem” lub „napraw błąd wyświetlania” instruuje ofiarę, by skopiowała gotową komendę i wkleiła ją w okno Uruchom (Win+R), Terminal Windows albo konsolę systemu — w efekcie ofiara własnoręcznie uruchamia złośliwe oprogramowanie, omijając zabezpieczenia przeglądarki. |
| ClickFix (fake CAPTCHA / paste-and-run attack) | |
| fałszywa wtyczka +W | Wtyczka WordPressa stworzona lub przerobiona w złym zamiarze — często podszywająca się pod znaną nazwę (np. Wordfence) albo obiecująca „optymalizację SEO” — która po instalacji tworzy konta administratorów, instaluje backdoor lub wstrzykuje złośliwy kod. Trafia na stronę przez przejęty panel admina, fałszywe maile „od zespołu WordPressa” albo z nieoficjalnych źródeł. |
| fake plugin / malicious plugin | |
| fałszywy alarm +W | Zdarzenie oznaczone przez system detekcji jako złośliwe, które po weryfikacji okazuje się legalną aktywnością. |
| false positive | |
| FIDO2 / WebAuthn +W | Standardy FIDO Alliance i W3C opisujące logowanie kluczem kryptograficznym trwale powiązanym z konkretną domeną, stanowiące podstawę działania passkeyów i kluczy sprzętowych. |
| WebAuthn / FIDO2 | |
| fingerprinting przeglądarki +W | Rozpoznawanie użytkownika po unikalnej kombinacji cech przeglądarki i urządzenia (czcionki, rozdzielczość, karta graficzna, ustawienia), bez zapisywania czegokolwiek na jego sprzęcie. |
| browser fingerprinting | |
| flagi ciasteczek +W | Atrybuty nagłówka Set-Cookie ograniczające nadużycia ciasteczek: HttpOnly blokuje odczyt przez JavaScript (utrudnia kradzież sesji przez XSS), Secure pozwala wysyłać ciasteczko tylko po HTTPS, SameSite ogranicza wysyłanie przy żądaniach z innych witryn (ochrona przed CSRF). WordPress ustawia ciasteczka logowania z HttpOnly, a z Secure na stronach działających po HTTPS. |
| cookie security attributes (HttpOnly, Secure, SameSite) | |
| forward secrecy +W | Właściwość protokołu uzgadniania kluczy, w której każda sesja korzysta z klucza wyprowadzonego z efemerycznej wymiany (ECDHE/DHE), więc późniejszy wyciek długoterminowego klucza serwera nie pozwala odszyfrować wcześniej przechwyconego ruchu. „Perfect forward secrecy” (PFS) to w praktyce ten sam termin. Nie chroni przed wyciekiem klucza samej sesji ani przed aktywnym atakiem MITM w czasie rzeczywistym; w TLS 1.3 jest obowiązkowe w pełnym uzgodnieniu (handshake), a wyjątkiem pozostaje wznawianie sesji w trybie PSK bez wymiany (EC)DHE. |
| forward secrecy | |
| funkcja skrótu (hashowanie) +W | Jednokierunkowe przekształcenie dowolnych danych w skrót o stałej długości, którego nie da się odwrócić i który zmienia się całkowicie przy najmniejszej zmianie wejścia, dzięki czemu służy do kontroli integralności i do przechowywania haseł. |
| hashing |
TAB. 7G6 haseł
| Nazwa | Definicja |
|---|---|
| geoblokowanie +W | Blokowanie lub dopuszczanie ruchu na podstawie kraju, do którego baza GeoIP przypisuje adres IP odwiedzającego — np. wpuszczanie do wp-admin tylko z Polski albo odcięcie krajów, z których idą ataki. Filtr jest nieprecyzyjny i łatwy do obejścia przez VPN, więc ogranicza szum, a nie zastępuje innych zabezpieczeń. |
| geoblocking | |
| GRC +W | Zintegrowane podejście łączące ład korporacyjny, zarządzanie ryzykiem i zapewnianie zgodności w jeden spójny proces zamiast trzech niezależnych silosów organizacyjnych. |
| governance, risk and compliance (GRC) | |
| grey hat +W | Haker, który szuka luk bez zgody właściciela, ale zamiast je wykorzystywać — zgłasza je lub ujawnia, działając poza prawem, choć bez zamiaru szkody. |
| grey hat | |
| grooming (uwodzenie dziecka w sieci) +W | Celowe budowanie przez dorosłego więzi i zaufania z dzieckiem w internecie po to, by doprowadzić do kontaktu o charakterze seksualnym albo uzyskać od niego materiały intymne. |
| grooming (uwodzenie dziecka w sieci) | |
| grupa sponsorowana przez państwo (APT) +W | Grupa napastników finansowana lub kierowana przez służby państwowe, prowadząca długotrwałe operacje szpiegowskie, dywersyjne lub sabotażowe wobec innych państw, firm i infrastruktury. |
| state-sponsored actor | |
| guardrails +W | Warstwa zabezpieczeń wokół modelu językowego: filtry i dodatkowe modele sprawdzające pytania i odpowiedzi chatbota, blokujące szkodliwe treści, wyciek danych czy próby jailbreaku. Pomagają, ale da się je obejść — nie zastępują ograniczenia uprawnień. |
| guardrails (LLM) |
TAB. 8H10 haseł
| Nazwa | Definicja |
|---|---|
| haker +W | Osoba dogłębnie rozumiejąca działanie systemów informatycznych i potrafiąca zmusić je do zachowań nieprzewidzianych przez twórców — samo słowo nie przesądza, czy robi to legalnie. |
| hacker | |
| haktywista +W | Napastnik działający z pobudek ideologicznych lub politycznych, dla nagłośnienia sprawy, a nie dla pieniędzy. |
| hacktivist | |
| hasła aplikacji +W | Mechanizm WordPressa (od wersji 5.6), w którym w profilu użytkownika generuje się osobne hasło dla każdej zewnętrznej aplikacji łączącej się przez REST API lub XML-RPC. Każde można odwołać niezależnie, ale daje ono aplikacji pełne uprawnienia roli tego użytkownika i omija logowanie z 2FA. |
| application passwords (WordPress) | |
| honeypot +W | Celowo wystawiony pozorny zasób bez wartości produkcyjnej, którego zadaniem jest zwabienie napastnika i zarejestrowanie jego działań; ponieważ nie obsługuje żadnego legalnego ruchu, każde odwołanie do niego jest z definicji podejrzane, co daje bardzo niski poziom fałszywych alarmów. |
| honeypot | |
| host header injection +W | Wykorzystanie tego, że aplikacja ufa nagłówkowi Host z żądania HTTP — np. buduje z niego link resetu hasła; atakujący podmienia Host na własną domenę i przechwytuje token z maila ofiary (password reset poisoning). W WordPressie (luka opisana w 2017 r.) z nagłówka Host, przez zmienną SERVER_NAME, powstawał adres nadawcy (From/Return-Path) maila resetu — odpowiedź lub zwrotka z linkiem resetu mogła więc trafić do atakującego. |
| host header injection / password reset poisoning | |
| hosting współdzielony +W | Hosting, w którym wiele kont klientów działa na jednym serwerze i dzieli jego zasoby (CPU, RAM, adres IP). Bezpieczeństwo zależy od izolacji kont (np. CloudLinux/CageFS, osobni użytkownicy systemowi): przy słabej izolacji infekcja jednej strony może przejść na sąsiednie, a zasobożerny sąsiad spowalnia pozostałe. |
| shared hosting | |
| HSM +W | Dedykowane, odporne na manipulacje urządzenie (karta, appliance sieciowy lub usługa chmurowa), które generuje i przechowuje klucze oraz wykonuje na nich operacje kryptograficzne tak, by klucz nigdy nie opuścił sprzętu w jawnej postaci. To nie to samo co TPM (układ przylutowany do płyty, chroniący konkretny komputer) ani co klucz U2F/FIDO2 (token uwierzytelniający użytkownika). |
| hardware security module (HSM) | |
| HSTS (HTTP Strict Transport Security) +W | Nagłówek nakazujący przeglądarce łączyć się z domeną przez zadany czas wyłącznie po HTTPS, dzięki czemu kolejne próby wejścia po HTTP przeglądarka zamienia na szyfrowane jeszcze przed wysłaniem żądania; pierwszego wejścia nie chroni — od tego jest lista preload wbudowana w przeglądarki. |
| HTTP Strict Transport Security (HSTS) | |
| HTTP flood +W | Atak DDoS w warstwie aplikacji (L7): botnet wysyła masę poprawnych żądań HTTP GET/POST, które wyglądają jak zwykły ruch, ale wyczerpują procesor, PHP i bazę danych. WordPress jest szczególnie wrażliwy, bo każde niezbuforowane żądanie (wyszukiwarka ?s=, koszyk WooCommerce, wp-login.php, xmlrpc.php) uruchamia PHP i zapytania do bazy. |
| HTTP flood (layer 7 DDoS) | |
| HTTP request smuggling +W | Atak wykorzystujący to, że serwer pośredniczący (proxy, CDN, load balancer) i serwer docelowy różnie ustalają granice żądań (Content-Length vs Transfer-Encoding) — atakujący „przemyca” fragment własnego żądania, który dokleja się do żądania innego użytkownika. Dotyczy infrastruktury przed aplikacją, np. WordPressa za Cloudflare lub nginx. |
| HTTP request smuggling |
TAB. 9I11 haseł
| Nazwa | Definicja |
|---|---|
| identity provider (IdP) +W | System, który uwierzytelnia użytkowników i wystawia aplikacjom potwierdzenia tożsamości (tokeny lub asercje) w protokołach takich jak SAML czy OpenID Connect. |
| identity provider (IdP) | |
| IDOR (Insecure Direct Object Reference) +W | Odmiana błędu kontroli dostępu, w której zmiana identyfikatora w żądaniu (np. numeru zamówienia albo parametru member_id) daje dostęp do cudzego rekordu, bo serwer nie sprawdza jego właściciela. |
| insecure direct object reference (IDOR) | |
| IDS +W | System monitorujący ruch sieciowy lub aktywność hosta i generujący alert po rozpoznaniu podejrzanych wzorców, sam jednak nieingerujący w przepływ ruchu. |
| intrusion detection system (IDS) | |
| informatyka śledcza +W | Zabezpieczanie i analiza cyfrowych śladów — dysków, pamięci operacyjnej, logów — w sposób pozwalający odtworzyć przebieg zdarzenia i zachować wartość dowodową ustaleń. |
| digital forensics | |
| infostealer +W | Złośliwe oprogramowanie wyspecjalizowane w masowym wykradaniu haseł, ciasteczek sesji, danych kart i portfeli kryptowalut z zainfekowanego urządzenia — zwykle jednym zrzutem, choć część rodzin zostaje w systemie i wysyła dane na bieżąco. |
| infostealer | |
| infrastruktura klucza publicznego +W | Zestaw standardów, ról, procedur i narzędzi (urzędy certyfikacji, certyfikaty, listy unieważnień CRL/OCSP, polityki certyfikacji) służący do WYSTAWIANIA CERTYFIKATÓW wiążących klucze publiczne z tożsamościami i do zarządzania zaufaniem do nich w skali organizacji lub internetu. |
| public key infrastructure (PKI) | |
| infrastruktura krytyczna +W | Systemy i obiekty kluczowe dla bezpieczeństwa państwa i minimalnego funkcjonowania gospodarki — energetyka, wodociągi, transport, łączność, ochrona zdrowia — których zniszczenie lub zakłócenie uderza bezpośrednio w obywateli. |
| critical infrastructure | |
| insider +W | Zagrożenie ze strony osoby mającej legalny dostęp do zasobów organizacji, która nadużywa go świadomie (kradzież danych, sabotaż, sprzedaż dostępu przestępcom) albo szkodzi nieumyślnie przez nieostrożność. |
| insider threat | |
| inspektor ochrony danych +W | Niezależna osoba wyznaczona na podstawie RODO do nadzorowania zgodności przetwarzania danych osobowych, doradzania organizacji i utrzymywania kontaktu z organem nadzorczym. |
| data protection officer (DPO) | |
| IPS +W | System umieszczony w torze ruchu (inline), który poza wykryciem ataku samodzielnie odrzuca lub zrywa szkodliwe pakiety i połączenia. |
| intrusion prevention system (IPS) | |
| ISO/IEC 27001 +W | Międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI), na zgodność z którą organizacja może uzyskać certyfikat wydawany przez akredytowaną jednostkę certyfikującą; obowiązujące wydanie to ISO/IEC 27001:2022. |
| ISO/IEC 27001 |
TAB. 10J3 haseł
| Nazwa | Definicja |
|---|---|
| jailbreak +W | Nakłonienie modelu językowego — przez spreparowaną rozmowę, rolę lub scenariusz — do złamania własnych reguł bezpieczeństwa i wygenerowania treści, których normalnie odmawia, na przykład działającego skryptu phishingowego albo instrukcji budowy złośliwego oprogramowania. |
| jailbreak (LLM) | |
| juice jacking +W | Atak przez publiczną ładowarkę lub port USB (lotnisko, dworzec, hotel), który oprócz prądu przesyła dane — kradnie pliki z telefonu albo instaluje złośliwe oprogramowanie. W praktyce rzadki i częściej opisywany jako zagrożenie teoretyczne; chroni ładowarka sieciowa, kabel tylko do ładowania lub przejściówka blokująca linie danych. |
| juice jacking | |
| JWT (JSON Web Token) +W | Format tokenu w postaci podpisanego (opcjonalnie zaszyfrowanego) obiektu JSON, który przenosi twierdzenia o użytkowniku i może zostać zweryfikowany bez odpytywania bazy danych. |
| JSON Web Token (JWT) |
TAB. 11K15 haseł
| Nazwa | Definicja |
|---|---|
| KDF +W | Funkcja wyprowadzająca klucz kryptograficzny z hasła lub innego sekretu (np. z wyniku uzgodnienia klucza). W wariantach hasłowych (PBKDF2, scrypt, Argon2) celowo kosztowna obliczeniowo i pamięciowo, by spowolnić masowe zgadywanie haseł; bcrypt bywa wymieniany w tym samym szeregu, choć formalnie jest funkcją haszowania haseł, a nie KDF-em. KDF-y niehasłowe (HKDF) są z założenia szybkie — ich celem jest jakość materiału klucza, nie spowalnianie ataku. |
| key derivation function (KDF) | |
| KEV +W | Prowadzony przez amerykańską agencję CISA katalog podatności z potwierdzonymi przypadkami wykorzystania w realnych atakach. Dla amerykańskiej administracji federalnej wpis do KEV oznacza prawny obowiązek załatania w wyznaczonym terminie (dyrektywa BOD 22-01); dla wszystkich pozostałych to bardzo silna przesłanka priorytetu, a nie obowiązek. |
| KEV (known exploited vulnerabilities) | |
| keylogger +W | Program LUB urządzenie zapisujące naciśnięcia klawiszy, żeby przechwycić hasła, numery kart i inne wpisywane dane; wariant sprzętowy to najczęściej przejściówka albo spreparowany kabel między klawiaturą a komputerem. |
| keylogger | |
| klucz kryptograficzny +W | Ciąg bitów sterujący działaniem algorytmu kryptograficznego, od którego tajności i losowości zależy bezpieczeństwo systemu — nie od utrzymywania samego algorytmu w sekrecie. |
| cryptographic key | |
| klucze bezpieczeństwa i sole +W | Osiem losowych ciągów w pliku wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY i odpowiadające im *_SALT), którymi WordPress podpisuje ciasteczka logowania i tokeny nonce. Po włamaniu trzeba je wygenerować na nowo — to wylogowuje wszystkie sesje, także sesje atakującego. |
| WordPress security keys and salts | |
| kod jednorazowy +W | Kod ważny tylko raz i zwykle przez około 30 sekund, generowany z sekretu współdzielonego z serwerem (TOTP — z czasu, HOTP — z licznika) albo przesyłany SMS-em; mocniejszy niż samo hasło, ale nadal możliwy do wyłudzenia phishingiem. |
| one-time password (OTP/TOTP) | |
| koniec wsparcia dla wersji PHP +W | Moment, w którym dana wersja PHP przestaje otrzymywać poprawki bezpieczeństwa od twórców języka — po nim środowisko hostingowe strony pozostaje podatne niezależnie od tego, jak aktualny jest sam WordPress. Każde wydanie PHP ma dwie fazy: 2 lata aktywnego wsparcia (poprawki błędów i bezpieczeństwa) i kolejne 2 lata wyłącznie poprawek krytycznych podatności; łącznie ok. 4 lata od premiery. |
| PHP end-of-life | |
| kontrola rodzicielska +W | Ustawienia systemu, routera lub osobnej aplikacji ograniczające dziecku dostęp do treści, aplikacji, zakupów i czasu ekranowego oraz informujące opiekuna o aktywności urządzenia. |
| parental control | |
| koń trojański +W | Program podszywający się pod użyteczne oprogramowanie, który po uruchomieniu przez użytkownika wykonuje ukryte, szkodliwe funkcje. Nie replikuje się samodzielnie — tym różni się od wirusa i robaka. |
| trojan | |
| kopia niezmienna (immutable backup) +W | Kopia zapasowa zapisana tak, że przez zadany czas nie da się jej nadpisać ani skasować — nawet z konta administratora — dzięki czemu przetrwa atak ransomware, który celowo niszczy zwykłe backupy. |
| immutable backup (kopia niezmienna, reguła 3-2-1) | |
| kopia zapasowa +W | Regularnie tworzona kopia plików i bazy danych, przechowywana poza serwerem strony i odizolowana od reszty infrastruktury, wraz z przetestowaną procedurą odtworzenia. |
| backup | |
| kradzież tożsamości +W | Bezprawne posłużenie się cudzymi danymi osobowymi, na przykład do wzięcia kredytu, założenia konta lub zawarcia umowy na cudze nazwisko. |
| identity theft | |
| kryptografia asymetryczna +W | Kryptografia oparta na parze powiązanych kluczy — jawnym publicznym i tajnym prywatnym — w której operację wykonaną jednym kluczem odwraca lub weryfikuje wyłącznie drugi, co umożliwia bezpieczną wymianę kluczy i podpisy cyfrowe. |
| public-key cryptography | |
| kryptografia postkwantowa +W | Algorytmy zaprojektowane tak, by opierały się atakom komputera kwantowego (m.in. standardy NIST ML-KEM i ML-DSA), wdrażane już dziś, bo ruch przechwycony obecnie może zostać odszyfrowany w przyszłości (model „harvest now, decrypt later”). |
| post-quantum cryptography | |
| kwarantanna +W | Odizolowanie pliku uznanego przez skaner za zainfekowany: plik zostaje przeniesiony lub zablokowany tak, by nie mógł się wykonać, ale da się go przywrócić, jeśli okaże się fałszywym alarmem. Na hostingu robi to np. Imunify360 lub ImunifyAV; w WordPressie część wtyczek bezpieczeństwa oferuje kwarantannę zamiast natychmiastowego usunięcia. |
| quarantine (malware) |
TAB. 12L8 haseł
| Nazwa | Definicja |
|---|---|
| lateral movement +W | Przemieszczanie się atakującego między systemami i kontami wewnątrz już naruszonej sieci w celu dotarcia do cenniejszych zasobów i wyższych uprawnień. |
| lateral movement | |
| LFI (Local File Inclusion) +W | Podatność pozwalająca wskazać aplikacji plik JUŻ OBECNY na serwerze, który zostanie wczytany lub wykonany przez interpreter, co prowadzi do ujawnienia konfiguracji, a często do wykonania kodu. |
| local file inclusion (LFI) | |
| limit prób logowania +W | Ochrona przed zgadywaniem haseł polegająca na ograniczeniu liczby (i częstotliwości) błędnych prób logowania. Dwa różne mechanizmy: (a) blokada konta — czasowe zamknięcie konkretnego konta po przekroczeniu progu, (b) ograniczanie tempa żądań po stronie adresu IP / sesji / hasła (rate limiting), często uzupełniane CAPTCHA. Wariant (a) jest skuteczny przeciw klasycznemu brute-force, ale sam bywa wektorem DoS na ofiarę i nie chroni przed password spraying (jedno hasło do wielu kont). |
| login lockout | |
| lista ostrzeżeń przed niebezpiecznymi stronami +W | Prowadzony przez CSIRT NASK publiczny wykaz domen, których podstawowym celem jest wprowadzenie użytkowników w błąd i wyłudzenie ich danych, wykorzystywany do blokowania dostępu do tych stron. |
| CERT Polska warning list | |
| listowanie katalogów +W | Funkcja serwera WWW, która przy braku pliku index w katalogu wyświetla listę wszystkich znajdujących się w nim plików. Na stronie WordPress ujawnia np. zawartość wp-content/uploads, kopie zapasowe czy logi; wyłącza się ją dyrektywą Options -Indexes w .htaccess lub w konfiguracji serwera. |
| directory listing (directory indexing) | |
| living off the land (LotL) +W | Prowadzenie ataku wyłącznie przy użyciu legalnych narzędzi obecnych już w systemie (np. PowerShell, certutil, WMIC), tak by aktywność atakującego nie odróżniała się od normalnej pracy administratora i nie wymagała wgrania własnego pliku. |
| living off the land (LOTL) | |
| loader +W | Moduł, który po zdobyciu przyczółka pobiera i uruchamia kolejne etapy złośliwego oprogramowania, często wprost w pamięci, bez zapisu na dysk. |
| loader | |
| logowanie kluczem SSH +W | Logowanie do serwera przez SSH/SFTP parą kluczy zamiast hasła: klucz publiczny trafia na serwer (authorized_keys lub panel hostingu), prywatny zostaje na komputerze administratora. Odporne na zgadywanie haseł; po wdrożeniu warto wyłączyć logowanie hasłem. |
| SSH key authentication |
TAB. 13Ł3 haseł
| Nazwa | Definicja |
|---|---|
| ładunek +W | Ta część kodu ataku, która realizuje jego faktyczny cel — np. szyfruje pliki, kradnie dane albo otwiera powłokę — w odróżnieniu od mechanizmów jej dostarczenia i uruchomienia (exploit, dropper, loader). |
| payload | |
| łamanie haseł +W | Odzyskiwanie haseł z ich skrótów (hashy) offline — np. po wycieku bazy użytkowników — przez masowe sprawdzanie kandydatów narzędziami typu Hashcat na kartach graficznych. W WordPressie dotyczy skrótów z tabeli wp_users: od WP 6.8 hasła są zapisywane algorytmem bcrypt, który spowalnia łamanie. |
| password cracking | |
| łatka (patch) +W | Poprawka kodu wydana przez producenta, która usuwa konkretną podatność lub błąd w oprogramowaniu. |
| patch |
TAB. 14M21 haseł
| Nazwa | Definicja |
|---|---|
| malvertising +W | Rozpowszechnianie złośliwego oprogramowania lub fałszywych stron przez reklamy wykupione w legalnych sieciach reklamowych i w płatnych wynikach wyszukiwania. |
| malvertising | |
| malware polimorficzny +W | Złośliwe oprogramowanie, które przy każdej infekcji zmienia swoją postać — zwykle przez ponowne zaszyfrowanie właściwego kodu i wygenerowanie nowego, inaczej wyglądającego dekryptora — zachowując przy tym niezmienioną funkcję, aby wymknąć się wykrywaniu opartemu na sygnaturach. |
| polymorphic malware | |
| malware-as-a-service (MaaS) +W | Model biznesowy, w którym autor złośliwego oprogramowania (najczęściej infostealera lub loadera) wynajmuje je innym przestępcom w abonamencie, z panelem, aktualizacjami i wsparciem. Obniża próg wejścia: kampanię kradnącą hasła i ciasteczka do paneli WordPressa może prowadzić ktoś bez umiejętności programistycznych. |
| malware-as-a-service (MaaS) | |
| man-in-the-middle (MITM) +W | Atak, w którym napastnik wpina się w komunikację dwóch stron i może ją podsłuchiwać lub modyfikować, podczas gdy obie strony sądzą, że łączą się bezpośrednio. |
| man-in-the-middle attack | |
| mass assignment +W | Podatność, w której aplikacja automatycznie przepisuje wszystkie pola z żądania (np. JSON do API) na obiekt lub rekord w bazie, więc atakujący może dopisać pole, którego nie powinien zmieniać — np. rolę administratora. W WordPressie analogiem jest endpoint REST lub AJAX wtyczki, który bez listy dozwolonych kluczy przekazuje całe $_POST do update_user_meta() lub wp_update_user(). |
| mass assignment | |
| MDM (zarządzanie urządzeniami mobilnymi) +W | System centralnego zarządzania firmowymi i prywatnymi telefonami oraz laptopami pracowników, wymuszający polityki bezpieczeństwa i pozwalający zdalnie zablokować lub wyczyścić urządzenie. |
| mobile device management (MDM/UEM) | |
| MDR (Managed Detection and Response) +W | Usługa zewnętrznego dostawcy, który w imieniu klienta prowadzi całodobowe monitorowanie i reagowanie na incydenty, opierając się na własnych analitykach i narzędziach klasy EDR/XDR. |
| managed detection and response (MDR) | |
| menedżer haseł +W | Aplikacja przechowująca hasła i inne poświadczenia w zaszyfrowanym sejfie otwieranym jednym hasłem głównym, dzięki czemu do każdej usługi można używać innego, długiego hasła. |
| password manager | |
| MFA fatigue +W | Zalewanie ofiary powtarzanymi prośbami o zatwierdzenie logowania (powiadomieniami push w aplikacji uwierzytelniającej), aż zmęczona lub zdezorientowana zatwierdzi jedną z nich; atak nie łamie drugiego składnika, tylko nakłania użytkownika do jego użycia. |
| MFA fatigue attack | |
| mikrosegmentacja +W | Segmentacja sieci doprowadzona do poziomu pojedynczej maszyny, kontenera lub usługi, w której polityki dopuszczają wyłącznie jawnie zdefiniowaną komunikację między konkretnymi zasobami. |
| microsegmentation | |
| MITRE ATT&CK +W | Publiczna baza wiedzy organizacji MITRE, katalogująca zaobserwowane w praktyce taktyki i techniki napastników; służy jako wspólny język opisu ich zachowań i miara pokrycia detekcji. |
| MITRE ATT&CK | |
| mixed content +W | Sytuacja, gdy strona ładowana przez HTTPS pobiera część zasobów (obrazy, skrypty, style, iframe) przez nieszyfrowane HTTP. Przeglądarka pokazuje wtedy przekreśloną lub ostrzegawczą kłódkę, a aktywne elementy blokuje. W WordPressie typowa przyczyna to stare adresy http:// w bazie po przejściu na SSL — naprawia się je wyszukaj-zamień w bazie. |
| mixed content | |
| mObywatel / Profil Zaufany (mDowód) +W | Dwa polskie narzędzia tożsamości cyfrowej: mObywatel to rządowa aplikacja mobilna z dokumentami elektronicznymi (m.in. mDowodem), a Profil Zaufany to bezpłatny środek identyfikacji elektronicznej służący do potwierdzania tożsamości w e-administracji i podpisywania dokumentów. |
| mObywatel / Profil Zaufany (Polish digital identity) | |
| model współdzielonej odpowiedzialności +W | Podział obowiązków bezpieczeństwa między dostawcę chmury lub hostingu a klienta: dostawca odpowiada za bezpieczeństwo samej infrastruktury, klient za to, co w niej umieszcza — dane, konta, uprawnienia i konfigurację. Na hostingu WordPressa oznacza to, że firma hostingowa dba o serwer, a aktualizacje wtyczek, hasła i kopie zapasowe strony zwykle pozostają po stronie właściciela. |
| shared responsibility model | |
| modelowanie zagrożeń +W | Systematyczne ustalanie, co w systemie chronimy, kto i jak może to zaatakować oraz jakie zabezpieczenia to ograniczą — najlepiej na etapie projektowania (metody np. STRIDE, narzędzie OWASP Threat Dragon). Dla strony WordPress to np. rozpisanie, kto ma dostęp do panelu, skąd przychodzą wtyczki i co się stanie po wycieku hasła administratora. |
| threat modeling | |
| ModSecurity +W | Otwartoźródłowy WAF działający jako moduł serwera WWW (Apache, Nginx, LiteSpeed), który filtruje żądania HTTP według reguł (np. OWASP Core Rule Set lub reguł hostingu). Na hostingu współdzielonym to on najczęściej stoi za nagłym błędem 403 przy zapisie wpisu w WordPressie — rozwiązaniem jest wyjątek dla konkretnej reguły (ID z logu), a nie wyłączenie ochrony. |
| ModSecurity | |
| monitoring dark webu +W | Śledzenie forów przestępczych, rynków i witryn wycieków w celu wczesnego wykrycia wykradzionych danych, dostępów lub przygotowań do ataku na organizację. |
| dark web monitoring | |
| monitorowanie integralności plików +W | Porównywanie plików strony z wzorcem — na przykład sumami kontrolnymi oficjalnego wydania WordPressa — w celu wykrycia plików zmodyfikowanych lub dodanych przez napastnika. |
| file integrity monitoring | |
| MTTD +W | Uśredniony czas od wystąpienia złośliwej aktywności do jej wykrycia, stosowany jako miara skuteczności detekcji SOC. |
| mean time to detect (MTTD) | |
| MTTR +W | Uśredniony czas od wykrycia incydentu do jego opanowania lub zamknięcia, stosowany jako miara sprawności zespołu reagowania. |
| mean time to respond (MTTR) | |
| mu-plugins +W | Katalog wp-content/mu-plugins, z którego WordPress automatycznie ładuje każdy plik PHP bez aktywacji i bez pokazywania go na zwykłej liście wtyczek. Atakujący umieszczają tam tylne furtki, przekierowania i kod odtwarzający konta administratorów, bo właściciel strony rzadko tam zagląda. |
| must-use plugins (mu-plugins) as malware hideout |
TAB. 15N11 haseł
| Nazwa | Definicja |
|---|---|
| n-day +W | Podatność już publicznie znana i naprawiona przez producenta, wciąż skutecznie wykorzystywana na systemach, na których nie zainstalowano aktualizacji; exploity tej klasy są tanie lub darmowe, bo są publicznie dostępne. |
| n-day | |
| NAC (network access control) +W | Klasa rozwiązań dopuszczających urządzenie do sieci dopiero po jego uwierzytelnieniu (np. przez 802.1X) i sprawdzeniu zgodności z polityką (stan aktualizacji, ochrona antywirusowa, konfiguracja), z przypisaniem urządzeń niespełniających wymagań do sieci kwarantanny lub odmową dostępu. |
| network access control (NAC) | |
| nagłówki bezpieczeństwa HTTP +W | Nagłówki odpowiedzi serwera (m.in. Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy), którymi strona instruuje przeglądarkę, jak ma ograniczyć ryzykowne zachowania. |
| HTTP security headers | |
| nakładka (overlay) na aplikację bankową +W | Technika trojanów bankowych na Androida: złośliwa aplikacja wyświetla nad prawdziwą aplikacją banku własny, łudząco podobny ekran logowania i przechwytuje dane, a przyznane jej usługi ułatwień dostępu pozwalają dodatkowo czytać wpisywany tekst i samodzielnie klikać w interfejsie telefonu. |
| overlay attack / accessibility service abuse (nakładka na aplikację bankową) | |
| naruszenie ochrony danych osobowych +W | Naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Administrator zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia — chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. |
| personal data breach | |
| nieautoryzowane konto administratora +W | Konto z rolą Administrator dodane do WordPressa przez atakującego (przez lukę we wtyczce, przejęte hasło lub bezpośrednio w bazie), żeby zachować dostęp także po załataniu luki. Typowy objaw włamania: nowy, nieznany administrator na liście Użytkownicy — czasem ukryty przed widokiem w panelu. |
| rogue admin account | |
| niezabezpieczony endpoint REST API +W | Wykorzystanie publicznie wystawionego endpointu REST API WordPressa lub wtyczki do pobrania danych albo wywołania akcji bez wymaganego uwierzytelnienia i autoryzacji — typowo dlatego, że kod rejestrujący trasę nie sprawdza uprawnień w permission_callback (albo zwraca w nim stałe true). |
| REST API abuse | |
| NIS2 +W | Dyrektywa UE 2022/2555 podnosząca wymagania cyberbezpieczeństwa dla podmiotów kluczowych i ważnych w 18 sektorach gospodarki (11 sektorów kluczowych z zał. I i 7 pozostałych sektorów krytycznych z zał. II): nakłada obowiązkowe zarządzanie ryzykiem, zgłaszanie incydentów i osobistą odpowiedzialność kierownictwa. |
| NIS2 | |
| NIST Cybersecurity Framework +W | Dobrowolne amerykańskie ramy zarządzania cyberryzykiem opracowane przez NIST; w wydaniu 2.0 (2024) porządkują działania organizacji w sześć funkcji — nadzór, identyfikacja, ochrona, wykrywanie, reagowanie i odtwarzanie (Govern, Identify, Protect, Detect, Respond, Recover) — używane na świecie jako wspólny język oceny dojrzałości bezpieczeństwa. |
| NIST Cybersecurity Framework | |
| nonce +W | Dwa różne znaczenia pod jedną nazwą. (1) Kryptograficzne: wartość użyta tylko raz w danym kontekście (klucz/sesja); jej ponowne użycie łamie bezpieczeństwo szyfru — na tym polegały ataki KRACK i Kr00k. (2) WordPressowe: token powiązany z użytkownikiem, konkretną akcją i ograniczonym czasem życia (domyślnie ważny do ok. 24 godzin), chroniący przed CSRF — mimo nazwy NIE jest jednorazowy, działa wielokrotnie w swoim oknie czasowym i nie zastępuje weryfikacji uprawnień (current_user_can). |
| nonce | |
| NVD +W | Amerykańska baza podatności prowadzona przez NIST, która uzupełnia rekordy CVE o analizę: ocenę CVSS, klasę CWE i listę dotkniętych produktów w formacie CPE. Sama nie nadaje numerów CVE — opisuje te, które nadały CNA, i robi to z opóźnieniem, więc świeży wpis często nie ma jeszcze oceny NVD. |
| National Vulnerability Database (NVD) |
TAB. 16O21 haseł
| Nazwa | Definicja |
|---|---|
| OAuth 2.0 +W | Otwarty standard (formalnie: framework) autoryzacji, w którym właściciel zasobu pozwala aplikacji uzyskać ograniczony zakresem i czasem token dostępu do swoich danych w innej usłudze, bez ujawniania jej hasła. Służy do autoryzacji (delegowania dostępu), a nie do uwierzytelniania — od tego jest nadbudowa OpenID Connect. |
| OAuth 2.0 | |
| obejście uwierzytelniania +W | Podatność pozwalająca zalogować się lub działać jako inny użytkownik bez znajomości jego hasła ani drugiego składnika — np. przez alternatywną ścieżkę omijającą mechanizm logowania (CWE-288). |
| authentication bypass | |
| obowiązek zgłaszania incydentów +W | Prawny wymóg powiadomienia właściwego organu o incydencie w ściśle określonym terminie. Dwa różne reżimy: NIS2 / ustawa o krajowym systemie cyberbezpieczeństwa — wczesne ostrzeżenie w 24 h, pełne zgłoszenie w 72 h, raport końcowy w miesiąc (do CSIRT / organu właściwego); RODO — zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu w 72 h. |
| incident reporting obligation | |
| ocena skutków dla ochrony danych +W | Analiza wymagana przed rozpoczęciem przetwarzania, gdy jego rodzaj (zwłaszcza z użyciem nowych technologii) może powodować wysokie ryzyko naruszenia praw i wolności osób — opisuje planowane operacje, ocenia ryzyko i wskazuje środki zaradcze; przy utrzymującym się wysokim ryzyku prowadzi do uprzednich konsultacji z organem nadzorczym (art. 35–36 RODO). |
| data protection impact assessment (DPIA) | |
| ochrona przed atakami brute force +W | Zestaw mechanizmów utrudniających zgadywanie haseł do panelu — limity prób liczone zarówno per konto, jak i per źródło żądania, CAPTCHA, narastające opóźnienia, blokady czasowe oraz drugi składnik logowania. |
| brute force protection | |
| opanowanie incydentu +W | Etap reagowania polegający na powstrzymaniu rozprzestrzeniania się incydentu — izolacji hostów, zablokowaniu kont, odcięciu komunikacji — zanim zagrożenie zostanie trwale usunięte. |
| containment | |
| open redirect +W | Błąd (CWE-601) pozwalający zbudować link w zaufanej domenie, który przenosi użytkownika na dowolną stronę atakującego, bo aplikacja przyjmuje adres docelowy z parametru i nie sprawdza, czy prowadzi do własnego serwisu — chętnie wykorzystywany w phishingu. |
| open redirect | |
| oprogramowanie szpiegowskie +W | Oprogramowanie potajemnie zbierające informacje o użytkowniku i jego aktywności oraz przekazujące je osobie trzeciej. |
| spyware | |
| organ nadzorczy +W | Niezależny organ publiczny powołany przez państwo członkowskie do monitorowania stosowania RODO — w Polsce Prezes Urzędu Ochrony Danych Osobowych — wyposażony w uprawnienia naprawcze: kontrolę, nakazy, ograniczenie przetwarzania i administracyjne kary pieniężne. |
| supervisory authority | |
| OSINT +W | Zbieranie i analiza informacji z ogólnodostępnych źródeł — stron, rejestrów, mediów społecznościowych, wycieków — w celu rozpoznania osoby, firmy lub infrastruktury. |
| OSINT | |
| OSV +W | Otwarty format opisu podatności w pakietach open source (schemat OSV) i zbudowana na nim baza OSV.dev prowadzona przez Google. Rekord OSV wskazuje dotknięte wersje pakietu albo zakres commitów, więc dopasowanie „czy moja wersja jest podatna” da się wykonać maszynowo, bez czytania opisu. |
| Open Source Vulnerabilities (OSV) | |
| oszustwo +W | Ogólne określenie oszustwa prowadzonego zdalnie, którego celem jest wyłudzenie pieniędzy lub danych, niezależnie od użytego kanału i scenariusza. |
| scam | |
| oszustwo deepfake +W | Oszustwo, w którym wygenerowany przez sztuczną inteligencję głos lub wizerunek prawdziwej osoby uwiarygodnia polecenie przelewu, prośbę o dane albo fałszywą inwestycję. |
| deepfake fraud | |
| oszustwo inwestycyjne +W | Wyłudzenie pieniędzy obietnicą wysokiego i pewnego zysku, zwykle przez fałszywą platformę inwestycyjną, reklamy z wizerunkiem znanych osób i telefonicznego „doradcę”. |
| investment scam | |
| oszustwo na BLIK-a +W | Oszustwo, w którym przestępca po przejęciu konta na Facebooku lub Messengerze pisze do znajomych ofiary z prośbą o pilną pożyczkę i podanie kodu BLIK albo o zatwierdzenie w aplikacji bankowej transakcji, której odbiorca nie inicjował. |
| BLIK scam (oszustwo „na BLIK-a”) | |
| oszustwo na OLX / Vinted (fałszywy sklep internetowy) +W | Oszustwo handlowe w internecie, w którym sprawca podszywa się pod kupującego lub sprzedającego na platformie ogłoszeniowej albo prowadzi sklep-widmo, by pod pretekstem „odbioru pieniędzy” lub okazyjnego zakupu przejąć dane karty i środki ofiary. |
| marketplace / fake online shop scam | |
| oszustwo na policjanta / na pracownika banku +W | Oszustwo telefoniczne, w którym rozmówca podszywa się pod pracownika banku, policjanta lub funkcjonariusza CBŚP, twierdzi że konto ofiary zostało zaatakowane albo że trwa tajna akcja, i pod presją czasu nakłania ją do przelania pieniędzy na tak zwane konto techniczne lub do podania danych logowania i kodów autoryzacyjnych. |
| bank/police impersonation phone scam (oszustwo „na policjanta”, „na pracownika banku”) | |
| oszustwo na pomoc techniczną +W | Oszustwo, w którym sprawca podszywa się pod pomoc techniczną znanej firmy (najczęściej Microsoftu) lub firmowy helpdesk, wywołuje panikę rzekomą infekcją albo awarią i nakłania ofiarę do zainstalowania programu zdalnego dostępu (AnyDesk, TeamViewer, Quick Assist), a następnie do zapłaty za „naprawę” lub przejmuje kontrolę nad komputerem. |
| tech support scam | |
| oszustwo na wnuczka +W | Oszustwo telefoniczne, w którym sprawca podaje się za wnuka, syna lub inną bliską osobę w nagłej potrzebie — po wypadku, przed poręczeniem, z policją w tle — i prosi o pilne przekazanie gotówki kurierowi lub przelew, a w wariancie z ostatnich lat podszywa się dodatkowo pod głos tej osoby wygenerowany przez sztuczną inteligencję. |
| grandparent scam (oszustwo „na wnuczka”) z klonowaniem głosu | |
| oszustwo z kodem QR +W | Oszustwo polegające na podstawieniu kodu QR prowadzącego do fałszywej strony płatności lub logowania, na przykład przez naklejkę na parkomacie, fałszywy mandat za wycieraczką albo kod w wiadomości e-mail. |
| QR code fraud | |
| OWASP Top 10 +W | Aktualizowane co kilka lat zestawienie dziesięciu najpoważniejszych kategorii ryzyk w aplikacjach webowych, publikowane przez fundację OWASP i traktowane jako branżowy punkt odniesienia. Kategorie oznacza się kodami A01–A10 z rokiem edycji (np. A01:2025 Broken Access Control). |
| OWASP Top 10 |
TAB. 17P44 haseł
| Nazwa | Definicja |
|---|---|
| packer +W | Narzędzie kompresujące lub szyfrujące plik wykonywalny tak, by właściwy kod ujawnił się dopiero w pamięci po uruchomieniu, co utrudnia wykrycie sygnaturowe i analizę statyczną. |
| packer | |
| pass-the-hash +W | Technika, w której atakujący loguje się do innych systemów (zwykle Windows w domenie Active Directory) samym skrótem NTLM hasła, bez znajomości hasła i bez jego łamania. Skrót zdobywa z pamięci lub bazy przejętej maszyny; dotyczy sieci firmowych, nie samej strony WordPress. |
| pass-the-hash | |
| passkey +W | Poświadczenie oparte na parze kluczy, w którym klucz prywatny nigdy nie trafia do serwisu — pozostaje w urządzeniu lub w menedżerze haseł (przy passkeyach synchronizowanych: w zaszyfrowanej kopii u dostawcy) — a logowanie potwierdza się odblokowaniem urządzenia; zastępuje hasło i jest odporne na phishing. |
| passkey | |
| password spraying +W | Atak na wiele kont naraz z użyciem kilku najpopularniejszych haseł, prowadzony na tyle wolno, by nie wywołać blokady konta po serii nieudanych prób. |
| password spraying | |
| path traversal +W | Podatność pozwalająca ciągami typu „../" wyjść poza katalog przewidziany przez aplikację i sięgnąć po dowolne pliki na serwerze. |
| path traversal | |
| PCI DSS +W | Branżowy standard bezpieczeństwa danych kart płatniczych (Payment Card Industry Data Security Standard), utrzymywany przez PCI Security Standards Council, obowiązujący każdy podmiot, który przetwarza, przechowuje lub przesyła dane posiadaczy kart; aktualna jest linia 4.x. |
| PCI DSS | |
| pharma hack +W | Odmiany infekcji SEO spam: napastnik wstrzykuje w stronę reklamy leków (pharma hack — Viagra, Cialis) albo tysiące podstron z japońskim tekstem i linkami do sklepów z podróbkami (Japanese keyword hack). Treść bywa pokazywana tylko robotom Google, więc właściciel widzi normalną stronę, a w wynikach wyszukiwania — spam. |
| pharma hack / Japanese keyword hack | |
| pharming +W | Skierowanie ofiary na podstawioną witrynę mimo wpisania przez nią poprawnego adresu — przez zatrucie pamięci podręcznej DNS, podmianę serwerów DNS na routerze albo modyfikację pliku hosts na urządzeniu. |
| pharming | |
| phishing +W | Atak polegający na podszyciu się pod zaufanego nadawcę, najczęściej w wiadomości e-mail, by nakłonić odbiorcę do podania danych logowania, wykonania płatności lub otwarcia złośliwego załącznika. |
| phishing | |
| phishing AiTM (adversary-in-the-middle) +W | Phishing prowadzony przez serwer pośredniczący (odwrotne proxy), który w czasie rzeczywistym przekazuje ruch do prawdziwej witryny i przechwytuje ciasteczko sesji już po poprawnym zalogowaniu ofiary — dzięki czemu omija uwierzytelnianie wieloskładnikowe zamiast je łamać. |
| adversary-in-the-middle phishing (AiTM) | |
| PHP object injection +W | Podatność polegająca na przekazaniu do funkcji unserialize() danych kontrolowanych przez atakującego, dzięki czemu może on stworzyć obiekt dowolnej klasy i — łącząc istniejące w kodzie metody magiczne w tzw. łańcuch POP — doprowadzić do wykonania kodu, usunięcia pliku albo zapytania SQL. |
| PHP object injection | |
| piaskownica +W | Mechanizm izolacji ograniczający uprawnienia i zasięg działania uruchamianego kodu do wydzielonego środowiska. Występuje w dwóch rolach: jako wbudowana ochrona zaufanej aplikacji przed skutkami jej przejęcia (piaskownica przeglądarki, czytnika PDF, aplikacji mobilnej) oraz jako środowisko detonacyjne, w którym celowo uruchamia się podejrzany plik i obserwuje jego zachowanie bez narażania systemu produkcyjnego. Ucieczka z tego środowiska to osobna klasa podatności (sandbox escape). |
| sandbox | |
| pieprz +W | Tajna wartość wspólna dla całego systemu, dokładana do hasła przed haszowaniem (albo używana jako klucz HMAC nad hasłem) i przechowywana POZA bazą danych — w konfiguracji aplikacji, zmiennej środowiskowej lub w HSM — tak by sam wyciek bazy nie wystarczył do łamania haseł. W odróżnieniu od soli nie jest unikalna dla użytkownika i nie jest jawna; sól chroni przed tablicami tęczowymi i porównywaniem hashy, pieprz chroni przed łamaniem po wycieku samej bazy. Pieprz NIE zastępuje soli ani wolnej funkcji haszującej. |
| pepper | |
| pig butchering +W | Długotrwałe oszustwo, w którym sprawca najpierw buduje z ofiarą relację towarzyską lub romantyczną, a następnie nakłania ją do coraz większych wpłat na fałszywą platformę inwestycyjną. |
| pig butchering scam | |
| piracka wtyczka (nulled plugin) +W | Płatna wtyczka lub motyw rozpowszechniany za darmo z usuniętą kontrolą licencji, często z celowo doklejonym backdoorem, który daje napastnikowi dostęp do strony od pierwszego dnia. |
| nulled plugin | |
| plan ciągłości działania +W | Dokument opisujący, jak organizacja utrzyma lub szybko wznowi krytyczne procesy podczas poważnego zakłócenia — awarii, katastrofy albo ataku ransomware. |
| business continuity plan | |
| playbook +W | Spisany scenariusz obsługi konkretnego typu incydentu, określający kolejne kroki, punkty decyzyjne i osoby odpowiedzialne. |
| playbook | |
| PoC (proof of concept) +W | Minimalny, demonstracyjny przykład wykorzystania podatności, publikowany po to, by dowieść, że luka jest realna — bez pełnego uzbrojenia w złośliwy ładunek, który miałby ją zamienić w gotowe narzędzie ataku. |
| proof of concept (PoC) | |
| podatność +W | Błąd lub słabość w kodzie, konfiguracji albo projekcie systemu, którą atakujący może wykorzystać do działania niezgodnego z zamierzeniem twórcy — na przykład odczytu cudzych danych, podniesienia uprawnień lub przejęcia kontroli nad systemem. |
| vulnerability | |
| podatność w motywie +W | Błąd bezpieczeństwa w kodzie motywu (szablonu) WordPressa lub w bibliotece dołączonej do motywu, wykorzystywany do przejęcia strony — groźny zwłaszcza w motywach kupowanych na giełdach szablonów, rzadko aktualizowanych, oraz w motywach nieaktywnych, które pozostają na serwerze i nadal zawierają podatny kod. |
| theme vulnerability | |
| podatność we wtyczce +W | Błąd bezpieczeństwa w kodzie wtyczki WordPressa, pozwalający napastnikowi na działania niedostępne dla zwykłego użytkownika (wgranie pliku, zmianę treści, przejęcie konta). Wtyczki odpowiadają za zdecydowaną większość publikowanych podatności ekosystemu WordPressa i są — obok słabych i wykradzionych haseł — jednym z głównych wektorów przejmowania stron. |
| plugin vulnerability | |
| podatność wykorzystywana bez uwierzytelnienia +W | Luka, którą można wykorzystać bez posiadania konta i bez zalogowania się, przez co jest znacznie groźniejsza od luk wymagających uprawnień (opisywanych w skali Wordfence jako subscriber+ czy admin+). |
| unauthenticated vulnerability | |
| podmiana treści strony (defacement) +W | Atak polegający na jawnym zastąpieniu wyglądu lub treści strony komunikatem napastnika, nastawiony na rozgłos i kompromitację właściciela, a nie na pozostanie w ukryciu. |
| defacement | |
| podmiot kluczowy +W | Kategoria podmiotu według NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa: duży podmiot z sektora o wysokiej krytyczności (energetyka, transport, bankowość, zdrowie, woda, infrastruktura cyfrowa, administracja publiczna, przestrzeń kosmiczna), objęty najsurowszym reżimem obowiązków i nadzorem wyprzedzającym — w odróżnieniu od podmiotu ważnego, kontrolowanego następczo, po sygnale o nieprawidłowościach. |
| essential entity | |
| podmiot przetwarzający +W | Podmiot, który przetwarza dane osobowe w imieniu administratora i wyłącznie na jego udokumentowane polecenie — na przykład firma hostingowa, dostawca systemu kadrowego albo usługi chmurowej. Jeśli sam zaczyna decydować o celach przetwarzania, staje się administratorem. |
| data processor | |
| podpis cyfrowy +W | Kryptograficzne potwierdzenie utworzone kluczem prywatnym (praktycznie zawsze nad skrótem danych, nie nad całymi danymi) i weryfikowalne odpowiadającym kluczem publicznym, dowodzące, kto podpisał, i tego, że dane nie zostały zmienione po podpisaniu. Zaufanie do podpisu jest tylko tak dobre, jak zaufanie do certyfikatu wiążącego klucz publiczny z tożsamością. |
| digital signature | |
| podpisywanie kodu +W | Opatrywanie programu, sterownika, aktualizacji lub paczki podpisem cyfrowym wydawcy, żeby system i użytkownik mogli sprawdzić, kto go wydał i czy nie został zmieniony. Kradzież klucza do podpisywania kodu pozwala napastnikom podpisywać malware tak, jakby pochodził od zaufanej firmy. |
| code signing | |
| podwójne wymuszenie +W | Taktyka ransomware polegająca na wykradzeniu danych przed ich zaszyfrowaniem i grożeniu publikacją, żeby wymusić okup także na ofierze, która ma kopie zapasowe. |
| double extortion | |
| polityka bezpieczeństwa +W | Zatwierdzony przez kierownictwo dokument (lub zbiór dokumentów) określający zasady, obowiązki i granice korzystania z zasobów informacyjnych i IT, stanowiący podstawę egzekwowania wymagań bezpieczeństwa wobec pracowników i dostawców. |
| security policy | |
| porzucona wtyczka +W | Wtyczka, której autor przestał rozwijać i łatać, przez co znane w niej podatności pozostają nienaprawione, mimo że wtyczka nadal działa na stronie. |
| abandoned plugin | |
| post-incident review +W | Podsumowanie przeprowadzane po zamknięciu incydentu, którego celem jest ustalenie przyczyn i luk w obronie oraz przekucie ich w konkretne zmiany, a nie wskazanie winnych. |
| post-incident review | |
| powierzchnia ataku +W | Zbiór wszystkich punktów systemu lub organizacji, przez które napastnik może próbować wejść albo wyprowadzić dane: usług, interfejsów, kont, integracji i zależności zewnętrznych. Wielkość powierzchni ataku jest miarą ekspozycji, a nie samą podatnością. |
| attack surface | |
| prefiks tabel +W | Przedrostek nazw tabel bazy danych WordPressa ustawiany w wp-config.php zmienną $table_prefix (domyślnie wp_, np. wp_users). Zmiana na nietypowy utrudnia gotowym exploitom SQL injection zgadywanie nazw tabel, ale nie usuwa samej luki; na działającej stronie wymaga zmiany nazw tabel i wpisów w wp_options oraz wp_usermeta. |
| database table prefix (changing wp_) | |
| pretexting +W | Technika socjotechniczna polegająca na zbudowaniu wiarygodnego scenariusza i fałszywej tożsamości, które uzasadniają prośbę o dane, dostęp lub wykonanie czynności. |
| pretexting | |
| process injection +W | Technika uruchamiania własnego kodu w przestrzeni adresowej innego, zaufanego procesu — wstrzyknięty kod dziedziczy uprawnienia i tożsamość gospodarza, dzięki czemu omija reguły oparte na nazwie procesu i utrudnia wykrycie. |
| process injection | |
| prompt injection +W | Atak polegający na umieszczeniu w treści przetwarzanej przez model językowy ukrytych instrukcji, które model wykonuje tak, jakby pochodziły od użytkownika lub twórcy systemu; w wariancie pośrednim (indirect) instrukcje są schowane w danych zewnętrznych — na stronie WWW, w PDF-ie, e-mailu czy komentarzu — które asystent lub agent AI pobiera samodzielnie. |
| prompt injection (w tym indirect prompt injection) | |
| prototype pollution +W | Podatność specyficzna dla JavaScriptu: atakujący dopisuje właściwości do wspólnego prototypu obiektów (np. przez klucz __proto__ w scalanym JSON-ie), przez co zmienia zachowanie całej aplikacji — po stronie przeglądarki zwykle prowadzi do DOM XSS, w Node.js nawet do RCE. W WordPressie dotyczyła dołączanego jQuery: jQuery.extend() przed wersją 3.4.0 był podatny (CVE-2019-11358). |
| prototype pollution | |
| prywatność +W | Kontrola nad tym, jakie informacje o nas są zbierane, komu udostępniane i do jakich celów wykorzystywane. |
| privacy | |
| przejęcie DNS +W | Przekierowanie rozwiązywania nazw na serwery napastnika przez przejęcie konta w rejestrze/u rejestratora domen, włamanie na serwer DNS i zmianę strefy albo podmianę ustawień resolvera na urządzeniu klienta. |
| DNS hijacking | |
| przejęcie konta +W | Uzyskanie przez atakującego pełnej kontroli nad cudzym kontem, zwykle połączone z odcięciem właściciela przez zmianę hasła, adresu e-mail i metod odzyskiwania. |
| account takeover (ATO) | |
| przejęcie sesji +W | Przejęcie trwającej sesji zalogowanego użytkownika przez kradzież, podsłuchanie lub odgadnięcie jej identyfikatora (najczęściej ciasteczka sesyjnego), co daje dostęp do konta bez znajomości hasła i bez przechodzenia uwierzytelniania. |
| session hijacking | |
| przywrócenie działania +W | Etap reagowania polegający na przywróceniu systemów do normalnej pracy i potwierdzeniu — pod wzmożonym monitoringiem — że napastnik nie odzyskał dostępu. |
| recovery | |
| publicznie dostępne pliki wrażliwe +W | Pliki, które nie powinny być osiągalne z przeglądarki, a leżą w katalogu strony: zrzuty bazy (.sql), archiwa kopii (backup.zip), pliki konfiguracyjne (.env, wp-config.php.bak), katalog .git. Boty skanują takie ścieżki masowo, a jedno pobranie daje hasła do bazy lub cały kod źródłowy. |
| sensitive file exposure (.sql dumps, .env, .git) | |
| purple team +W | Tryb pracy, w którym zespół atakujący i broniący działają razem i na bieżąco przekładają wykonane techniki ataku na nowe reguły detekcji; rzadziej — stały zespół pełniący tę rolę. |
| purple team |
TAB. 18Q1 haseł
TAB. 19R24 haseł
| Nazwa | Definicja |
|---|---|
| race condition +W | Błąd wynikający z nieprawidłowej synchronizacji operacji wykonywanych równocześnie na współdzielonym zasobie — wynik zależy wtedy od kolejności zdarzeń. Szczególnym, najczęściej wykorzystywanym w atakach przypadkiem jest TOCTOU, gdy stan jest sprawdzany w innym momencie niż używany, co pozwala np. wielokrotnie zrealizować jednorazowy kupon. |
| race condition | |
| ransomware +W | Złośliwe oprogramowanie, które szyfruje lub blokuje dostęp do danych ofiary i żąda okupu za ich odzyskanie. Dzisiejsze kampanie stosują zwykle podwójne wymuszenie: przed zaszyfrowaniem dane są kradzione, a okupu żąda się także za ich nieopublikowanie. |
| ransomware | |
| ransomware-as-a-service (RaaS) +W | Model przestępczy, w którym twórcy ransomware udostępniają partnerom gotowe narzędzia, panel i infrastrukturę do przeprowadzania ataków w zamian za udział w okupie. |
| ransomware-as-a-service (RaaS) | |
| RAT (remote access trojan) +W | Trojan dający atakującemu interaktywną, zdalną kontrolę nad zainfekowanym urządzeniem — od podglądu ekranu i kamery po uruchamianie dowolnych poleceń. |
| remote access trojan (RAT) | |
| rate limiting +W | Mechanizm ograniczający liczbę żądań, jakie klient lub adres IP może wykonać w danym oknie czasu, stosowany przeciw nadużyciom, atakom siłowym i przeciążeniu usługi. |
| rate limiting | |
| RBAC +W | Model kontroli dostępu, w którym uprawnienia przypisuje się rolom, a użytkownikom nadaje role, zamiast konfigurować dostęp osobno dla każdej osoby. |
| role-based access control (RBAC) | |
| reagowanie na incydenty +W | Zorganizowany proces obsługi incydentu bezpieczeństwa: od wykrycia i analizy, przez opanowanie i usunięcie zagrożenia, po przywrócenie działania i wyciągnięcie wniosków. |
| incident response | |
| red team +W | Zespół prowadzący skrytą, wielowektorową symulację działań realnego przeciwnika w szerokim zakresie celów, aby sprawdzić zdolność organizacji do wykrycia i powstrzymania ataku — mierzony jest tu poziom detekcji i reakcji obrony, a nie sama liczba znalezionych podatności. |
| red team | |
| Reflected XSS +W | Odmiana XSS, w której skrypt przekazany w żądaniu (najczęściej w adresie URL) jest natychmiast odsyłany w odpowiedzi i wykonuje się tylko u ofiary, która kliknęła spreparowany link. |
| reflected XSS | |
| rejestr ryzyk +W | Prowadzony na bieżąco wykaz zidentyfikowanych ryzyk wraz z ich oceną, przypisanym właścicielem, planowanym sposobem postępowania i statusem realizacji. |
| risk register | |
| retencja logów +W | Polityka określająca, jak długo i w jakiej postaci przechowywane są logi — od niej zależy, czy incydent sprzed miesięcy da się jeszcze odtworzyć. |
| log retention | |
| reverse proxy +W | Serwer ustawiony przed serwerami aplikacyjnymi, który przyjmuje ruch z internetu w ich imieniu, rozkłada obciążenie oraz pozwala terminować TLS i filtrować żądania. |
| reverse proxy | |
| RFI (Remote File Inclusion) +W | Podatność, w której aplikacja PHP dołącza przez include/require plik wskazany przez atakującego z zewnętrznego serwera i wykonuje go jak własny kod. Wymaga zwykle włączonej dyrektywy allow_url_include; w WordPressie zdarza się w porzuconych wtyczkach — np. Canto < 3.0.5 przez parametr wp_abspath. |
| remote file inclusion (RFI) | |
| robak komputerowy +W | Złośliwe oprogramowanie rozprzestrzeniające się samodzielnie po sieci, bez nosiciela i bez udziału użytkownika. |
| worm | |
| RODO +W | Unijne rozporządzenie 2016/679 regulujące przetwarzanie danych osobowych, które nakłada obowiązek zapewnienia im bezpieczeństwa i zgłaszania naruszeń, a za najcięższe naruszenia przewiduje kary do 20 mln euro lub 4% całkowitego rocznego światowego obrotu — w zależności od tego, która kwota jest wyższa (art. 83 ust. 5). |
| GDPR | |
| role i uprawnienia użytkowników +W | System WordPressa przypisujący każdemu kontu rolę (Administrator, Redaktor, Autor, Współpracownik, Subskrybent; w sieci witryn także Super administrator), a roli zestaw uprawnień (capabilities), np. edit_posts, install_plugins. Z punktu widzenia bezpieczeństwa: jak najmniej kont z rolą Administrator, a luki we wtyczkach dostępne „dla subskrybenta” są groźne, gdy rejestracja jest otwarta. |
| user roles and capabilities (WordPress) | |
| romance scam +W | Wyłudzenie, w którym sprawca przez tygodnie lub miesiące buduje relację uczuciową online, by w kluczowym momencie poprosić o pieniądze pod pretekstem nagłej potrzeby lub wspólnej inwestycji. |
| romance scam | |
| rootkit +W | Zestaw narzędzi ukrywających obecność atakującego i jego kodu w systemie przez ingerencję w jądro lub w podstawowe funkcje i mechanizmy systemowe. |
| rootkit | |
| rootowanie / jailbreak telefonu +W | Zdjęcie fabrycznych ograniczeń systemu telefonu, by uzyskać uprawnienia administratora: na Androidzie „root”, na iPhonie „jailbreak”. Otwiera drogę do instalowania czegokolwiek, ale osłabia izolację aplikacji — banki często blokują swoje aplikacje na takich urządzeniach. |
| rooting / jailbreaking (mobile device) | |
| rotacja kluczy +W | Planowa wymiana kluczy kryptograficznych (albo sekretów: tokenów, haseł serwisowych) na nowe, ograniczająca ilość danych chronionych jednym kluczem i czas, w którym jego wyciek pozostaje groźny. Odrębną sytuacją jest rotacja awaryjna — natychmiastowa wymiana po incydencie, zwykle połączona z unieważnieniem starego klucza. |
| key rotation | |
| RPO +W | Maksymalny akceptowalny zakres utraty danych wyrażony w czasie, czyli jak stara może być ostatnia użyteczna kopia zapasowa. |
| recovery point objective (RPO) | |
| RTO +W | Maksymalny akceptowalny czas od wystąpienia awarii do przywrócenia działania procesu lub systemu. |
| recovery time objective (RTO) | |
| ryzyko szczątkowe +W | Ryzyko pozostające po wdrożeniu zabezpieczeń, które trzeba świadomie zaakceptować, przenieść (np. ubezpieczyć) albo ograniczać dalej. |
| residual risk | |
| rządowy trojan (komercyjne oprogramowanie szpiegujące) +W | Oprogramowanie szpiegujące budowane i sprzedawane komercyjnie służbom państwowym, które przejmuje telefon konkretnej, wskazanej osoby — zwykle przez niezałatane luki 0-day i bez żadnej akcji ofiary — i daje operatorowi dostęp do wiadomości, rozmów, mikrofonu i kamery. |
| mercenary spyware (komercyjne oprogramowanie szpiegujące, np. Pegasus) |
TAB. 20S54 haseł
| Nazwa | Definicja |
|---|---|
| Safe Browsing +W | Usługa Google, z której korzysta większość przeglądarek, ostrzegająca użytkownika przed stronami i plikami rozpoznanymi jako wyłudzające dane lub roznoszące złośliwe oprogramowanie. |
| safe browsing | |
| sanityzacja danych wejściowych +W | Oczyszczanie i filtrowanie danych przyjmowanych od użytkownika do dopuszczalnej postaci w momencie ich wczytania, zanim trafią do bazy lub logiki aplikacji. |
| sanitization | |
| SBOM (wykaz komponentów oprogramowania) +W | Maszynowo czytelny wykaz wszystkich komponentów, bibliotek i zależności wchodzących w skład oprogramowania wraz z ich wersjami, pozwalający sprawdzić, czy produkt zawiera podatny element. |
| software bill of materials (SBOM) | |
| scareware +W | Program lub strona wyświetlająca fałszywy alarm o infekcji, blokadzie albo awarii, żeby wywołanym strachem nakłonić użytkownika do zapłaty za bezużyteczny produkt, do zainstalowania malware lub do kontaktu z fałszywym wsparciem technicznym. Zagrożenie jest pozorowane — realnej szkody na urządzeniu zwykle nie ma. |
| scareware | |
| scraping +W | Automatyczne pobieranie treści lub danych ze strony (artykułów, opisów produktów, cen, danych osobowych) przez boty, zwykle bez zgody właściciela — w celu kopiowania, porównywania cen albo trenowania modeli AI. Na stronie WordPress widać to jako masowe żądania do wpisów, kanału RSS lub REST API. |
| content scraping | |
| script kiddie +W | Napastnik bez pogłębionej wiedzy technicznej, który atakuje wyłącznie gotowymi narzędziami, skryptami i exploitami napisanymi przez kogoś innego — często nie rozumiejąc, jak one działają. |
| script kiddie | |
| security through obscurity +W | Opieranie ochrony na tym, że napastnik nie zna szczegółów systemu (ukryty adres logowania, zmieniony prefiks tabel, ukryta wersja WordPressa). Jako jedyna warstwa jest zawodne; jako dodatek do aktualizacji i silnego uwierzytelniania odsiewa część automatycznych ataków. |
| security through obscurity | |
| security.txt +W | Plik tekstowy /.well-known/security.txt (standard RFC 9116) z danymi kontaktowymi do zgłaszania podatności: adres e-mail lub formularz, klucz PGP, polityka ujawniania i data ważności (pole Expires). Na WordPressie można go dodać ręcznie w katalogu strony albo wtyczką. |
| security.txt | |
| seed phrase (fraza odzyskiwania) +W | Ciąg 12 lub 24 losowych słów, z którego odtwarzane są wszystkie klucze prywatne portfela kryptowalutowego — kto go zna, ten ma środki, dlatego przy samodzielnym przechowywaniu (self-custody) nie podaje się go nikomu i nie trzyma w telefonie ani w chmurze. |
| seed phrase (fraza odzyskiwania) i self-custody | |
| segmentacja sieci +W | Podział sieci na odseparowane strefy z kontrolowanym ruchem między nimi, co ogranicza możliwość swobodnego poruszania się napastnika po infrastrukturze. |
| network segmentation | |
| SEO spam +W | Nadużycie już przejętej strony polegające na ukrytym dodaniu do niej treści i linków pozycjonujących cudze serwisy — najczęściej hazardowe, farmaceutyczne lub pirackie — zwykle widocznych dla robota wyszukiwarki, a nie dla właściciela. |
| SEO spam | |
| serwer proxy +W | Serwer pośredniczący w połączeniach klientów z zasobami zewnętrznymi, dzięki czemu ruch można filtrować i rejestrować, a adresy klientów pozostają ukryte przed serwerem docelowym. |
| proxy server | |
| session fixation +W | Atak, w którym napastnik narzuca ofierze znany sobie identyfikator sesji (np. w linku), a gdy ofiara się zaloguje, przejmuje jej uwierzytelnioną sesję. Ochroną jest wydawanie nowego identyfikatora po zalogowaniu (w PHP session_regenerate_id(true)); rdzeń WordPressa nie opiera logowania na sesji PHP, więc ryzyko dotyczy głównie wtyczek, które same używają $_SESSION. |
| session fixation | |
| sextortion +W | Wymuszenie okupu pod groźbą ujawnienia intymnych nagrań lub zdjęć ofiary. W polskiej praktyce dominuje odmiana masowa („sextortion scam”): mail, w którym nadawca kłamliwie twierdzi, że przejął kontrolę nad urządzeniem i nagrał ofiarę kamerką — materiały zwykle w ogóle nie istnieją. Odrębny, cięższy przypadek to szantaż materiałami realnie posiadanymi (często wobec nieletnich). |
| sextortion | |
| SFTP +W | SSH File Transfer Protocol — protokół przesyłania plików działający jako podsystem SSH (na tym samym połączeniu i porcie co SSH, domyślnie 22), który w odróżnieniu od klasycznego FTP nie wysyła loginu, hasła ani zawartości plików tekstem jawnym. |
| SFTP | |
| shadow AI +W | Korzystanie przez pracowników z publicznych narzędzi AI bez wiedzy i zgody działu IT, przez co dane firmowe — kod, umowy, dane klientów — trafiają do zewnętrznych modeli poza jakąkolwiek kontrolą organizacji. |
| shadow AI | |
| shadow IT +W | Programy, usługi chmurowe i urządzenia używane w firmie bez wiedzy i zgody działu IT — prywatny dysk w chmurze, darmowy komunikator, własnoręcznie postawiona strona WordPress na zewnętrznym hostingu. Nikt ich nie aktualizuje ani nie obejmuje kopią zapasową, więc łatwo o wyciek. |
| shadow IT | |
| shellcode +W | Krótki, samodzielny (pozbawiony zależności i zwykle bezadresowy) kod maszynowy dostarczany przez exploita, którego zadaniem jest przejęcie sterowania w zaatakowanym procesie i uruchomienie lub pobranie dalszego etapu ataku. |
| shellcode | |
| sideloading +W | Instalowanie aplikacji (lub rozszerzenia przeglądarki) z pominięciem oficjalnego sklepu, np. z pliku APK pobranego z linku w SMS-ie. Omija weryfikację sklepu i jest częstą drogą infekcji telefonów malware bankowym. |
| sideloading | |
| SIEM (Security Information and Event Management) +W | System, który zbiera i normalizuje logi oraz zdarzenia z wielu źródeł, koreluje je regułami i generuje z nich alerty dla analityków. |
| security information and event management (SIEM) | |
| sinkhole +W | Przejęcie złośliwej domeny (np. serwera C2 botnetu lub strony phishingowej) i skierowanie jej ruchu na serwer obrońców, który nic nie szkodzi, a zbiera statystyki zainfekowanych maszyn. W Polsce CERT Polska kieruje domeny z Listy Ostrzeżeń na hole-sinkhole.cert.pl, więc wejście na nie kończy się planszą ostrzegawczą. |
| sinkhole (sinkholing) | |
| skaner złośliwego oprogramowania (malware scanner) +W | Narzędzie przeszukujące pliki i bazę danych strony pod kątem sygnatur złośliwego kodu, backdoorów i podejrzanych wzorców; wykrywa infekcję i zwykle potrafi wyleczyć zmienione pliki rdzenia, ale nie zamyka drogi, którą napastnik wszedł — to zostaje po stronie operatora. |
| malware scanner | |
| skanowanie obrazów kontenerów +W | Sprawdzanie obrazów Dockera (i innych kontenerów) pod kątem znanych podatności, przestarzałych pakietów, sekretów i malware, zanim zostaną uruchomione. Robi się to narzędziami typu Trivy czy Grype, najlepiej automatycznie w procesie budowania. |
| container image scanning | |
| skanowanie podatności +W | Zautomatyzowane badanie systemów i aplikacji pod kątem znanych podatności (identyfikowanych zwykle numerem CVE) oraz błędów konfiguracji, zakończone raportem z oceną istotności znalezisk. Skan może być nieuwierzytelniony (widok „z zewnątrz") albo uwierzytelniony — ten drugi jest dokładniejszy, bo czyta wersje zainstalowanego oprogramowania zamiast je zgadywać. Wyniki wymagają weryfikacji: skanery generują fałszywe alarmy i pomijają podatności logiczne. |
| vulnerability scanning | |
| skanowanie portów +W | Systematyczne odpytywanie portów TCP/UDP hosta lub całego zakresu adresów w celu ustalenia, które porty są otwarte, zamknięte albo filtrowane i jakie usługi za nimi nasłuchują — stosowane zarówno w rozpoznaniu poprzedzającym atak, jak i w inwentaryzacji własnej infrastruktury. |
| port scanning | |
| skoordynowane ujawnianie podatności +W | Praktyka, w której badacz najpierw zgłasza podatność producentowi (lub zespołowi CERT jako stronie zaufanej), a szczegóły publikuje dopiero po wydaniu poprawki lub po upływie ustalonego terminu — CERT Polska publikuje wpisy CVE po 90 dniach od przekazania szczegółów producentowi. |
| coordinated vulnerability disclosure (CVD) | |
| slopsquatting +W | Atak na łańcuch dostaw oprogramowania: przestępcy rejestrują w repozytoriach (npm, PyPI) pakiety o nazwach, które modele AI „wymyślają” w generowanym kodzie. Programista lub agent AI instaluje zmyśloną zależność i dostaje złośliwy kod. |
| slopsquatting | |
| słup +W | Osoba, która udostępnia własne konto bankowe, portfel kryptowalutowy lub tożsamość do przyjęcia i dalszego przekazania pieniędzy albo towarów pochodzących z przestępstwa — często nieświadoma swojej roli, zwerbowana ogłoszeniem o „łatwej pracy zdalnej”. |
| money mule | |
| smishing +W | Phishing prowadzony wiadomościami SMS, zwykle z linkiem do fałszywej bramki płatności, kurierskiej lub bankowej. |
| smishing | |
| SOAR (Security Orchestration, Automation and Response) +W | Warstwa automatyzacji pracy SOC, która wykonuje powtarzalne kroki obsługi alertu według zdefiniowanego playbooka i spina ze sobą pozostałe narzędzia bezpieczeństwa. |
| security orchestration, automation and response (SOAR) | |
| SOC (Security Operations Center) +W | Wydzielony zespół wraz z narzędziami i procedurami, który w trybie ciągłym monitoruje zdarzenia bezpieczeństwa w infrastrukturze organizacji, wykrywa incydenty i uruchamia reakcję. |
| security operations center (SOC) | |
| SOC 2 +W | Amerykański standard raportowania AICPA (System and Organization Controls 2), w którym niezależny biegły rewident w ramach usługi atestacyjnej ocenia u dostawcy usług projekt i skuteczność zabezpieczeń według kryteriów zaufania (Trust Services Criteria): bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność. |
| SOC 2 | |
| socjotechnika +W | Manipulowanie człowiekiem tak, by sam wykonał działanie lub ujawnił informacje dające atakującemu dostęp, zamiast łamania zabezpieczeń technicznych. |
| social engineering | |
| sól +W | Losowa, unikalna dla każdego hasła wartość dodawana przed obliczeniem skrótu i przechowywana razem z nim, dzięki której identyczne hasła dają różne skróty, a gotowe tablice do łamania haseł (tęczowe) stają się bezużyteczne. |
| salt | |
| spam w komentarzach +W | Masowo dodawane komentarze (a w WordPressie także fałszywe pingbacki i trackbacki) z odnośnikami do obcych stron, obciążające witrynę i szkodzące jej ocenie w wyszukiwarce; ograniczany moderacją, filtrami antyspamowymi i wyłączaniem komentarzy tam, gdzie są zbędne. |
| comment spam | |
| spear phishing +W | Phishing wymierzony w konkretną osobę lub organizację, z treścią dopasowaną do jej roli, projektów i kontaktów na podstawie wcześniejszego rozpoznania. |
| spear phishing | |
| SPF / DKIM / DMARC (uwierzytelnianie poczty) +W | Trzy uzupełniające się mechanizmy uwierzytelniania poczty oparte na rekordach DNS: SPF wskazuje serwery uprawnione do wysyłania poczty z danej domeny, DKIM opatruje wiadomość podpisem kryptograficznym, a DMARC określa politykę postępowania i raportowania dla wiadomości, które nie przejdą tej weryfikacji. |
| SPF / DKIM / DMARC | |
| spoofing +W | Fałszowanie identyfikatora nadawcy — numeru telefonu, adresu e-mail, adresu IP lub nazwy domeny — tak aby komunikacja wyglądała na pochodzącą z zaufanego źródła. |
| spoofing | |
| SQL injection +W | Podatność pozwalająca wpleść własne polecenia w zapytanie do bazy danych i odczytać, zmienić lub usunąć dane, do których atakujący nie ma prawa. |
| SQL injection | |
| SSO +W | Mechanizm, w którym jedno uwierzytelnienie u dostawcy tożsamości otwiera dostęp do wielu aplikacji, co upraszcza logowanie, ale czyni z tego konta punkt krytyczny. |
| single sign-on (SSO) | |
| SSRF (Server-Side Request Forgery) +W | Podatność, w której atakujący zmusza serwer aplikacji do wysłania żądania pod wskazany przez siebie adres, sięgając do zasobów wewnętrznych niedostępnych z internetu. |
| server-side request forgery (SSRF) | |
| SSTI +W | Podatność, w której dane od użytkownika trafiają do szablonu renderowanego po stronie serwera (Twig, Jinja2, Smarty) jako kod szablonu, a nie jako tekst — zwykle kończy się wykonaniem kodu na serwerze (RCE). W WordPressie przykładem jest WPML (CVE-2024-6386): shortcode renderowany przez Twig pozwalał autorowi z rolą Contributor wykonać kod na serwerze. |
| server-side template injection (SSTI) | |
| stalkerware +W | Komercyjna aplikacja monitorująca instalowana potajemnie na cudzym telefonie — zwykle przez osobę mającą fizyczny dostęp do urządzenia (partner, rodzic, pracodawca) — w celu śledzenia lokalizacji, wiadomości i aktywności właściciela bez jego wiedzy. |
| stalkerware | |
| STIX/TAXII +W | Para standardów OASIS do wymiany informacji o zagrożeniach: STIX definiuje ustrukturyzowany format opisu zagrożeń (obiekty, relacje, wskaźniki), a TAXII — protokół warstwy aplikacji (nad HTTPS) do przesyłania takich danych między organizacjami. |
| STIX/TAXII | |
| Stored XSS +W | Odmiana XSS, w której złośliwy skrypt zostaje zapisany po stronie serwera (np. w komentarzu, nazwie pliku lub polu profilu) i uruchamia się u każdego, kto otworzy zainfekowaną stronę. |
| stored XSS | |
| subdomain takeover +W | Przejęcie subdomeny, której rekord DNS (zwykle CNAME) wskazuje na usługę już niewykorzystywaną — skasowaną stronę w chmurze, GitHub Pages, stary hosting — przez zarejestrowanie tej usługi na siebie. Typowy scenariusz przy WordPressie: po likwidacji środowiska testowego (staging.firma.pl) zostaje wpis DNS, a ktoś podpina pod niego własną stronę z phishingiem. |
| subdomain takeover | |
| SYN flood +W | Atak odmowy usługi zasypujący serwer żądaniami nawiązania połączenia TCP (pakietami z flagą SYN), które nigdy nie są dokańczane, przez co wyczerpuje się pula połączeń na wpół otwartych. |
| SYN flood | |
| system prompt leakage +W | Ujawnienie instrukcji systemowych, którymi operator steruje chatbotem lub agentem AI — np. gdy użytkownik podstępem skłoni model do wypisania promptu. Groźne, gdy w prompcie zaszyto hasła, klucze API albo reguły dostępu; prompt systemowy nie powinien zawierać sekretów. |
| system prompt leakage | |
| system zarządzania bezpieczeństwem informacji (SZBI) +W | Udokumentowany i cyklicznie doskonalony zbiór polityk, ról, procesów i zabezpieczeń, przez który organizacja świadomie zarządza ryzykiem dla poufności, integralności i dostępności informacji. |
| information security management system (ISMS) | |
| szacowanie ryzyka +W | Proces identyfikacji zagrożeń, oszacowania prawdopodobieństwa i skutków ich wystąpienia oraz uszeregowania ryzyk, aby świadomie zdecydować, które z nich ograniczać w pierwszej kolejności. |
| risk assessment | |
| szkolenia z cyberbezpieczeństwa dla pracowników +W | Regularne szkolenia uczące pracowników rozpoznawać phishing i socjotechnikę oraz stosować bezpieczne procedury, często łączone z kontrolowanymi testami phishingowymi; obowiązek szkoleń nakładają m.in. NIS2/ustawa o KSC (w tym udokumentowane szkolenie kierownictwa) i DORA. |
| security awareness training | |
| szyfrowanie +W | Przekształcenie danych za pomocą algorytmu i klucza w postać nieczytelną dla osób postronnych, odwracalne wyłącznie przez posiadacza właściwego klucza. |
| encryption | |
| szyfrowanie end-to-end (E2EE) +W | Szyfrowanie, w którym klucze do odczytu mają wyłącznie urządzenia nadawcy i odbiorcy, więc pośrednik (serwer, operator usługi) przenosi treść, ale nie potrafi jej odczytać. Przeciwieństwem nie jest „brak szyfrowania", tylko szyfrowanie w transporcie (TLS), gdzie serwer usługi widzi treść. |
| end-to-end encryption | |
| szyfrowanie urządzenia +W | Szyfrowanie całej pamięci telefonu lub komputera, dzięki któremu dane pozostają nieczytelne dla osoby, która przejmie sprzęt bez znajomości PIN-u lub hasła. |
| device encryption |
TAB. 21Ś3 haseł
| Nazwa | Definicja |
|---|---|
| ślad cyfrowy +W | Całość danych, które człowiek zostawia w sieci świadomie (wpisy, zdjęcia, komentarze) i mimowolnie (logi, lokalizacja, historia zakupów i wyszukiwań). |
| digital footprint | |
| śledzenie w internecie +W | Zbieranie danych o zachowaniu użytkownika w internecie przez skrypty, piksele i pliki cookie, służące budowaniu profilu na potrzeby reklamy lub analityki. |
| online tracking | |
| środowisko testowe +W | Odrębna kopia strony (staging) postawiona obok produkcji i służąca do testowania zmian przed ich wdrożeniem, która z punktu widzenia bezpieczeństwa nie może być publicznie dostępna, indeksowana ani porzucona bez aktualizacji. |
| staging |
TAB. 22T20 haseł
| Nazwa | Definicja |
|---|---|
| Ta witryna mogła paść ofiarą ataku hakerów +W | Oznaczenie, które Google dodaje do wyniku wyszukiwania witryny, gdy uzna, że haker zmienił jej strony lub dodał spam — po polsku „Ta witryna mogła paść ofiarą ataku hakerów”. Właściciel dostaje powiadomienie w Search Console (raport „Problemy dotyczące bezpieczeństwa”); po wyczyszczeniu strony zgłasza tam prośbę o ponowne sprawdzenie. |
| hacked site warning | |
| tabletop exercise +W | Ćwiczenie prowadzone „przy stole", podczas którego zespół omawia krok po kroku reakcję na hipotetyczny scenariusz incydentu — testuje decyzje, role i procedury, a nie systemy; nie wykonuje się przy nim żadnych działań na żywej infrastrukturze. |
| tabletop exercise | |
| tailgating +W | Fizyczna socjotechnika polegająca na wejściu do strefy chronionej tuż za osobą uprawnioną, bez okazania własnych uprawnień i bez jej wiedzy. |
| tailgating | |
| taktyki, techniki i procedury (TTP) +W | Trójwarstwowy opis zachowania napastnika: taktyka to jego cel na danym etapie ataku, technika — sposób osiągnięcia tego celu, a procedura — konkretna implementacja stosowana przez daną grupę. |
| tactics, techniques and procedures (TTP) | |
| technika wodopoju +W | Atak pośredni polegający na zainfekowaniu legalnej witryny regularnie odwiedzanej przez wybraną grupę ofiar, aby dotrzeć do nich bez kontaktu bezpośredniego. |
| watering hole attack | |
| test penetracyjny +W | Autoryzowany, ograniczony zakresem i czasem test polegający na kontrolowanym wykorzystaniu podatności, aby wykazać ich rzeczywisty wpływ na organizację; kończy się raportem z opisem ścieżek ataku i rekomendacjami. |
| penetration test | |
| testowanie kart +W | Nadużycie, w którym przestępcy (zwykle botami) wykonują w sklepie serię drobnych płatności lub autoryzacji skradzionymi albo wygenerowanymi numerami kart, aby sprawdzić, które karty są aktywne. W WooCommerce objawia się lawiną nieudanych zamówień i odrzuconych płatności, często przez Store API z pominięciem formularza zamówienia. |
| card testing attack | |
| testy phishingowe +W | Kontrolowana, nieszkodliwa kampania fałszywych wiadomości wysyłana własnym pracownikom, aby zmierzyć realną podatność organizacji i wskazać, kto potrzebuje szkolenia. |
| phishing simulation | |
| tęczowe tablice +W | Wcześniej przygotowane tablice łańcuchów skrótów pozwalające szybko odwrócić niesolone skróty haseł (np. MD5, NTLM). Chroni przed nimi sól — losowa wartość dodawana do każdego hasła; WordPress zawsze soli hasła, więc tęczowe tablice są wobec jego skrótów bezużyteczne. |
| rainbow table | |
| threat actor +W | Osoba, grupa lub organizacja stojąca za wrogim działaniem wobec systemów — od pojedynczego przestępcy po strukturę sponsorowaną przez państwo; termin parasolowy z modeli threat intelligence, obejmujący także sprawców nieatakujących bezpośrednio (np. brokerów dostępu, dostawców infrastruktury). |
| threat actor | |
| threat hunting (polowanie na zagrożenia) +W | Aktywne, prowadzone przez analityka poszukiwanie śladów napastnika w danych telemetrycznych, wychodzące od hipotezy, a nie od alertu wygenerowanego przez system. |
| threat hunting | |
| threat intelligence +W | Przetworzona i osadzona w kontekście wiedza o napastnikach, ich metodach i infrastrukturze, służąca do podejmowania decyzji obronnych. |
| threat intelligence | |
| TLS +W | Protokół, który szyfruje połączenie sieciowe, chroni jego integralność i uwierzytelnia serwer za pomocą certyfikatu (opcjonalnie także klienta) — podstawa HTTPS. Aktualne wersje to TLS 1.2 i 1.3; starsza nazwa SSL oznacza wersje (SSL 2.0, SSL 3.0) dawno wycofane jako niebezpieczne, choć w polszczyźnie potocznej „SSL” bywa używane jako nazwa całej rodziny protokołów. |
| TLS (SSL) | |
| token sesyjny +W | Wartość wydana po zalogowaniu i dołączana do kolejnych żądań zamiast hasła, dlatego jej kradzież pozwala przejąć sesję bez znajomości hasła i z pominięciem MFA. |
| session token | |
| triaż +W | Wstępna ocena napływających alertów rozstrzygająca, które z nich są fałszywe, a które wymagają pogłębionej analizy i z jakim priorytetem. |
| triage | |
| trojan bankowy +W | Trojan wyspecjalizowany w atakach na bankowość: wykrada dane logowania i kody autoryzacyjne, nakłada fałszywe ekrany logowania na aplikację banku (overlay) lub podmienia dane transakcji, np. numer rachunku odbiorcy. |
| banking trojan | |
| tryb debugowania na produkcji +W | Pozostawienie włączonego WP_DEBUG (i WP_DEBUG_DISPLAY/WP_DEBUG_LOG) na działającej stronie. Błędy PHP pokazują wtedy odwiedzającym ścieżki serwera i fragmenty zapytań, a plik wp-content/debug.log bywa dostępny z przeglądarki — zdarzało się, że wtyczki zapisywały w nim tokeny pozwalające przejąć konto. |
| debug mode in production (WP_DEBUG, publicly exposed debug.log) | |
| tryb incognito +W | Tryb przeglądarki, który po zamknięciu okna nie zostawia na urządzeniu historii ani ciasteczek, ale nie ukrywa aktywności przed odwiedzaną stroną, pracodawcą ani dostawcą internetu. |
| incognito mode | |
| tylna furtka +W | Ukryte wejście do systemu lub urządzenia omijające normalne uwierzytelnianie — zostawione przez atakującego, by wracać bez ponownego włamania, albo celowo zaszyte przez producenta lub dostawcę oprogramowania. |
| backdoor | |
| typosquatting +W | Rejestrowanie domen będących literówkami popularnych adresów, aby przejmować ruch pomyłkowo wpisujących użytkowników i podsuwać im fałszywe strony. |
| typosquatting |
TAB. 23U22 haseł
| Nazwa | Definicja |
|---|---|
| ubezpieczenie od ryzyk cybernetycznych +W | Polisa pokrywająca finansowe skutki incydentu cyberbezpieczeństwa — koszty reakcji i odtworzenia systemów, obsługi prawnej i roszczeń osób trzecich, a w części ofert także koszty cyberwymuszenia. |
| cyber insurance (ubezpieczenie cyber) | |
| ucieczka z kontenera +W | Wykorzystanie podatności lub błędnej konfiguracji do wyjścia z izolacji kontenera i uzyskania dostępu do systemu operacyjnego hosta, a przez niego do pozostałych kontenerów i całego klastra. |
| container escape | |
| UEBA +W | Analityka wykrywająca zagrożenia przez wychwytywanie odstępstw od wyuczonego wzorca zachowania użytkownika lub innego podmiotu (konta serwisowego, hosta, urządzenia), zamiast dopasowania do znanej sygnatury. |
| user and entity behavior analytics (UEBA) | |
| ujawnianie wersji +W | Zdradzanie przez stronę, jakiej wersji WordPressa, wtyczek i motywu używa: plik readme.html, metatag generator, kanały RSS, parametr ?ver= przy plikach CSS i JS. Ułatwia to botom dobranie exploita do znanej luki; ukrycie wersji jest tylko dodatkiem do aktualizacji. |
| version disclosure / version fingerprinting | |
| ujawnienie informacji +W | Podatność, przez którą aplikacja udostępnia nieuprawnionym dane, których ujawniać nie powinna: dane osobowe, hasła i klucze API, ścieżki systemowe czy treść komunikatów błędów. Nazwa dotyczy BŁĘDU w aplikacji, a nie zdarzenia, w którym dane faktycznie wypłynęły. |
| information disclosure | |
| ujawnienie informacji wrażliwych +W | Sytuacja, w której chatbot lub asystent AI zdradza w odpowiedzi dane, których nie powinien: dane osobowe klientów, hasła, fragmenty dokumentów firmy lub cudzych rozmów. Kategoria z listy OWASP Top 10 dla aplikacji LLM (w edycjach 2025–2026 na 2. miejscu). |
| sensitive information disclosure (LLM) | |
| umowa powierzenia przetwarzania danych osobowych +W | Umowa — lub inny instrument prawny — wymagana przez art. 28 ust. 3 RODO, wiążąca podmiot przetwarzający z administratorem i określająca przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, obowiązki i prawa stron oraz środki bezpieczeństwa; obowiązkowa forma pisemna, w tym elektroniczna. |
| data processing agreement (DPA) | |
| unfiltered_html +W | Uprawnienie WordPressa pozwalające publikować dowolny HTML i JavaScript we wpisach, stronach, komentarzach i widżetach bez filtrowania. Domyślnie mają je tylko Administrator i Redaktor (w multisite wyłącznie Super Admin); przyznane niższej roli albo niezaufanemu kontu oznacza w praktyce stored XSS. |
| unfiltered_html | |
| uprawnienia plików +W | Ustawienia praw odczytu, zapisu i wykonania plików oraz katalogów na serwerze (typowo 644 dla plików i 755 dla katalogów), ograniczające możliwość podmiany kodu strony przez proces serwera WWW. |
| file permissions | |
| urząd certyfikacji +W | Zaufany podmiot, który weryfikuje tożsamość wnioskodawcy, wystawia certyfikaty i może je unieważnić; jego kompromitacja podważa zaufanie do wszystkich wydanych przez niego certyfikatów. |
| certificate authority (CA) | |
| ustawa o krajowym systemie cyberbezpieczeństwa (KSC) +W | Polska ustawa z 5 lipca 2018 r. (Dz.U. 2018 poz. 1560) wdrażająca unijne przepisy o cyberbezpieczeństwie do prawa krajowego, wyznaczająca obowiązki operatorów usług kluczowych i dostawców usług cyfrowych oraz rolę krajowych zespołów CSIRT; znowelizowana w 2026 r. („KSC2") w celu wdrożenia dyrektywy NIS2, z rozszerzeniem kręgu podmiotów do ok. 40 tys. organizacji. |
| National Cybersecurity System Act | |
| ustawa o zwalczaniu nadużyć w komunikacji elektronicznej +W | Polska ustawa z 28 lipca 2023 r., która nakłada na operatorów obowiązek blokowania SMS-ów zgodnych ze wzorcami smishingu i połączeń z podszytym numerem, na dostawców poczty — stosowania mechanizmów SPF, DKIM i DMARC, a na CSIRT NASK — prowadzenia listy ostrzeżeń i wykazów nadpisów nadawcy. |
| Act on Combating Abuse in Electronic Communications | |
| usunięcie dowolnego pliku +W | Podatność pozwalająca skasować wskazany przez atakującego plik na serwerze, co bywa drogą do przejęcia witryny (np. przez usunięcie pliku konfiguracyjnego). |
| arbitrary file deletion | |
| usunięcie zagrożenia +W | Etap reagowania polegający na trwałym usunięciu zagrożenia ze środowiska: narzędzi napastnika, jego kont i mechanizmów utrzymania dostępu oraz wykorzystanej podatności. |
| eradication | |
| utwardzanie +W | Zmniejszanie powierzchni ataku systemu przez wyłączenie zbędnych usług i kont, zmianę ustawień domyślnych, ograniczenie uprawnień i zastosowanie restrykcyjnej konfiguracji — zwykle według gotowych zestawów zaleceń (CIS Benchmarks, DISA STIG, rekomendacje producenta). |
| hardening | |
| utwardzanie pliku wp-config.php +W | Zabezpieczenie głównego pliku konfiguracyjnego WordPressa, zawierającego dane dostępowe do bazy: ustawienie unikalnych kluczy i soli, wyłączenie edytora plików w panelu (DISALLOW_FILE_EDIT) oraz zablokowanie dostępu do pliku z zewnątrz. |
| wp-config hardening | |
| uwierzytelnianie +W | Potwierdzenie, że użytkownik, urządzenie lub usługa są tym, za kogo się podają — odpowiedź na pytanie „kto to jest”. Poprzedza je identyfikacja (podanie tożsamości, np. loginu), a następuje po nim autoryzacja (sprawdzenie uprawnień). Składniki uwierzytelniania dzielą się na to, co wiesz (hasło), co masz (token, telefon) i czym jesteś (biometria); 2FA to dokładnie DWA RÓŻNE składniki, a MFA to dwa lub więcej — dwa hasła nie są 2FA. |
| authentication | |
| uwierzytelnianie bez hasła +W | Logowanie bez wpisywania hasła — kluczem sprzętowym, passkey, biometrią na urządzeniu albo linkiem/kodem jednorazowym — zwykle oparte na standardach FIDO2/WebAuthn. W WordPressie wdraża się je wtyczkami (passkeys, logowanie linkiem e-mail); usuwa ryzyko wycieku i zgadywania haseł. |
| passwordless authentication | |
| uwierzytelnianie biometryczne +W | Potwierdzanie tożsamości cechą fizyczną lub behawioralną (odcisk palca, twarz), zwykle porównywaną lokalnie na urządzeniu; w odróżnieniu od hasła cechy biometrycznej nie da się zmienić po wycieku. |
| biometric authentication | |
| uwierzytelnianie dwuskładnikowe +W | Najczęstszy wariant uwierzytelniania wieloskładnikowego, w którym do hasła dokłada się dokładnie jeden drugi składnik z innej kategorii: kod jednorazowy, klucz sprzętowy lub potwierdzenie w aplikacji. |
| two-factor authentication (2FA) | |
| uwierzytelnianie wieloskładnikowe +W | Logowanie wymagające co najmniej dwóch niezależnych składników z różnych kategorii — coś, co wiesz, coś, co masz, i coś, czym jesteś — dzięki czemu kradzież samego hasła nie wystarcza do przejęcia konta. |
| multi-factor authentication (MFA) | |
| uwzględnianie ochrony danych w fazie projektowania +W | Zasada z art. 25 RODO: administrator już na etapie określania sposobów przetwarzania (a więc przy projektowaniu systemu) wdraża odpowiednie środki techniczne i organizacyjne realizujące zasady ochrony danych, a domyślne ustawienia mają przetwarzać tylko dane niezbędne do celu (domyślna ochrona danych). |
| privacy by design |
TAB. 24V6 haseł
| Nazwa | Definicja |
|---|---|
| VCDB | Otwarta baza publicznie ujawnionych naruszeń bezpieczeństwa zapisanych w słowniku VERIS, prowadzona przez zespół Verizon z udziałem ochotników. Służy do badań i porównań: pokazuje, jak często dany rodzaj ataku, sprawcy czy sposobu wykrycia występuje w znanych incydentach. |
| VERIS Community Database (VCDB) | |
| VERIS | Otwarty słownik Verizon do opisywania incydentów bezpieczeństwa w jednolity, policzalny sposób: kto był sprawcą, jakim działaniem wszedł, co naruszył, kto i jak incydent wykrył. Na nim stoi coroczny raport Verizon DBIR i baza VCDB. |
| Vocabulary for Event Recording and Incident Sharing (VERIS) | |
| vibe coding +W | Tworzenie aplikacji lub stron przez opisywanie ich modelowi AI i przyjmowanie wygenerowanego kodu bez jego rozumienia i przeglądu. Ryzyka: brak kontroli dostępu, klucze API w kodzie frontendu, otwarte bazy danych, zmyślone lub złośliwe biblioteki. |
| vibe coding (security risks of AI-generated code) | |
| vishing +W | Socjotechnika prowadzona w rozmowie telefonicznej, w której sprawca podszywa się np. pod pracownika banku, policji lub działu IT, by wymusić przelew albo podanie kodu. |
| vishing | |
| VPN +W | Szyfrowany tunel zestawiany przez sieć publiczną: ruch urządzenia trafia najpierw do bramy VPN, dzięki czemu zdalny pracownik lub oddział korzysta z zasobów tak, jakby był w sieci lokalnej (zastosowanie firmowe), albo wychodzi do internetu z adresu dostawcy usługi (zastosowanie konsumenckie). |
| virtual private network (VPN) | |
| Vulnerable and Outdated Components +W | Kategoria OWASP Top 10 (A06:2021): używanie bibliotek, frameworków, wtyczek i innych komponentów ze znanymi podatnościami, niewspieranych albo nieaktualizowanych. Dla WordPressa to główna przyczyna włamań — przestarzałe wtyczki, motywy, rdzeń i wersja PHP. W OWASP Top 10:2025 kategoria została rozszerzona do „Software Supply Chain Failures” (A03:2025). |
| vulnerable and outdated components (OWASP) |
TAB. 25W19 haseł
| Nazwa | Definicja |
|---|---|
| WAF +W | Zapora działająca na warstwie aplikacji (HTTP/HTTPS), która analizuje żądania kierowane do aplikacji webowej i blokuje te odpowiadające wzorcom ataków, takich jak wstrzyknięcie SQL czy XSS. |
| web application firewall (WAF) | |
| web cache poisoning +W | Atak, w którym napastnik zmusza pamięć podręczną (CDN, reverse proxy, wtyczkę cache) do zapisania spreparowanej odpowiedzi, a ta jest potem serwowana wszystkim odwiedzającym. W WordPressie ryzyko rośnie, gdy wtyczka cache lub CDN nie uwzględnia w kluczu nagłówków, od których zależy treść strony (np. X-Forwarded-Host). |
| web cache poisoning | |
| web skimming +W | Wstrzyknięcie złośliwego JavaScriptu do strony zamówienia sklepu internetowego, który w tle przechwytuje wpisywane dane kart płatniczych i wysyła je przestępcom. W WooCommerce skimmer trafia zwykle przez podatną wtyczkę, przejęte konto administratora albo zmodyfikowany skrypt zewnętrzny i często podmienia formularz płatności fałszywą nakładką. |
| web skimming / Magecart | |
| webshell +W | Skrypt wgrany na serwer strony, który przez zwykłe żądanie HTTP pozwala napastnikowi wykonywać polecenia i operacje na plikach — najczęstsza postać backdoora na WordPressie. |
| web shell | |
| weryfikacja uprawnień +W | Sprawdzenie po stronie serwera — w WordPressie funkcją current_user_can() — czy uwierzytelniony użytkownik ma prawo wykonać daną operację, czyli właściwa kontrola autoryzacji, odrębna od nonce'a i przez niego niezastępowalna. |
| capability check | |
| wgranie dowolnego pliku (arbitrary file upload) +W | Podatność, w której aplikacja przyjmuje plik bez poprawnej weryfikacji typu i zawartości, pozwalając umieścić na serwerze skrypt wykonywalny. |
| arbitrary file upload | |
| whaling +W | Odmiana phishingu ukierunkowanego (spear phishingu), w której OFIARĄ jest osoba decyzyjna w organizacji — członek zarządu, dyrektor finansowy — dysponująca uprawnieniami do dużych przelewów i dostępem do kluczowych danych. |
| whaling | |
| white hat +W | Haker testujący zabezpieczenia za zgodą i w interesie właściciela systemu, zwykle na podstawie umowy określającej zakres testu albo w ramach programu nagród za błędy (bug bounty). |
| white hat | |
| wiper +W | Złośliwe oprogramowanie, którego celem jest trwałe zniszczenie danych lub systemu, a nie zysk — nawet jeśli udaje ransomware i żąda okupu. |
| wiper | |
| wirtualne patchowanie (virtual patching) +W | Blokowanie prób wykorzystania znanej podatności regułą zapory aplikacyjnej (WAF), zanim powstanie poprawka w kodzie wtyczki czy motywu — albo gdy nie powstanie w ogóle. |
| virtual patching | |
| wirus komputerowy +W | Złośliwy kod doklejający się do innego pliku lub programu i powielający się dopiero wtedy, gdy nosiciel zostanie uruchomiony. |
| virus | |
| WPCS +W | Zestaw reguł PHP_CodeSniffer sprawdzających, czy kod wtyczki lub motywu trzyma się oficjalnych standardów kodowania WordPressa. Poza stylem zawiera reguły bezpieczeństwa: weryfikację nonce, sanityzację i escapowanie danych oraz przygotowane zapytania SQL — to na nich opiera się automatyczna kontrola kodu przed wdrożeniem. |
| WordPress Coding Standards (WPCS) | |
| wpis na czarną listę (blacklisting) +W | Oznaczenie domeny jako niebezpiecznej przez Google Safe Browsing, przeglądarki lub filtry pocztowe, skutkujące ostrzeżeniem dla odwiedzających i gwałtowną utratą ruchu. |
| blacklisting | |
| wskaźnik kompromitacji (IoC) +W | Techniczny ślad świadczący o naruszeniu — np. skrót kryptograficzny (hash) pliku, adres IP, nazwa domeny czy klucz rejestru — używany do wykrywania włamania i przeszukiwania środowiska. |
| indicator of compromise (IoC) | |
| wstrzyknięcie poleceń (command injection) +W | Podatność, w której dane od użytkownika trafiają do polecenia powłoki systemu operacyjnego, pozwalając uruchomić na serwerze komendy atakującego. |
| command injection | |
| wtyczka bezpieczeństwa +W | Wtyczka łącząca funkcje ochrony i wykrywania (zapora aplikacyjna, skaner plików, blokada prób logowania, powiadomienia, rejestr zdarzeń) — uzupełnienie, a nie zamiennik aktualizacji, kopii zapasowych i poprawnie napisanego kodu. |
| security plugin | |
| wyciek danych +W | Zdarzenie, w którym dane — zwłaszcza osobowe — trafiają do osób nieuprawnionych wskutek ataku, błędu konfiguracji lub zaniedbania. |
| data breach | |
| wykrywanie sygnaturowe i heurystyczne +W | Dwa podejścia skanerów malware: sygnaturowe porównuje pliki z bazą znanych wzorców (szybkie, pewne, ale ślepe na nowy lub zaciemniony kod), heurystyczne ocenia podejrzane cechy i zachowanie (wykrywa nowe warianty, ale daje więcej fałszywych alarmów). Skanery WordPressa, np. Wordfence czy Imunify, łączą oba i dodatkowo porównują pliki z oryginałami z repozytorium. |
| signature-based detection vs heuristic detection | |
| wyłudzenie duplikatu karty SIM +W | Przeniesienie numeru telefonu ofiary na kartę SIM atakującego przez oszukanie obsługi operatora (socjotechnika, czasem z udziałem nieuczciwego pracownika), co daje sprawcy kody jednorazowe i możliwość resetowania haseł. |
| SIM swap |
TAB. 26X4 haseł
| Nazwa | Definicja |
|---|---|
| XDR (Extended Detection and Response) +W | Rozwinięcie EDR, które łączy i koreluje sygnały z wielu warstw naraz — punktów końcowych, sieci, chmury i tożsamości — w jeden obraz incydentu. |
| extended detection and response (XDR) | |
| XML-RPC +W | Protokół zdalnego wywoływania procedur, przesyłający wywołania zakodowane w XML przez HTTP. W WordPressie wystawiony plikiem xmlrpc.php (starszy kanał zdalnego zarządzania, dziś w większości zastąpiony przez REST API) i nadużywany do dwóch rzeczy: wzmacniania ataków brute-force (metoda system.multicall pozwala sprawdzić wiele haseł w jednym żądaniu, omijając liczniki nieudanych logowań) oraz do rozproszonych ataków DDoS, w których podatne witryny WordPress służą jako reflektory wysyłające ruch do ofiary (pingback). |
| XML-RPC | |
| XSS (Cross-Site Scripting) +W | Podatność pozwalająca umieścić w stronie skrypt wykonywany w przeglądarce innego użytkownika w kontekście zaufanej witryny, np. w celu kradzieży sesji. |
| cross-site scripting (XSS) | |
| XXE +W | Podatność parsera XML, który przetwarza zewnętrzne encje zadeklarowane w dokumencie — atakujący może w ten sposób odczytać pliki z serwera (np. wp-config.php) albo wykonać SSRF. W WordPressie 5.6–5.7 na PHP 8 autor mógł przez spreparowany plik .wav w Bibliotece mediów wywołać XXE (CVE-2021-29447, poprawione w 5.7.1). |
| XML external entity (XXE) |
TAB. 27Z35 haseł
| Nazwa | Definicja |
|---|---|
| zabezpieczenia w .htaccess +W | Reguły dopisane do pliku .htaccess (serwer Apache/LiteSpeed), które ograniczają dostęp do wrażliwych plików i katalogów WordPressa: blokują wp-config.php i xmlrpc.php, wyłączają listowanie katalogów (Options -Indexes), zabraniają uruchamiania PHP w uploads, zawężają wp-admin do wybranych adresów IP. Reguły wpisuje się poza blokiem # BEGIN WordPress, który WordPress sam nadpisuje. |
| .htaccess hardening | |
| zabezpieczenie +W | Pojedynczy środek techniczny, organizacyjny lub fizyczny wdrożony po to, by obniżyć konkretne ryzyko — na przykład uwierzytelnianie wieloskładnikowe, kopie zapasowe albo szkolenie personelu. |
| security control | |
| zabezpieczenie katalogu hasłem +W | Dodatkowe hasło wymagane przez sam serwer WWW (okienko logowania przeglądarki, pliki .htaccess i .htpasswd) zanim w ogóle załaduje się wp-login.php lub wp-admin. Zatrzymuje boty zgadujące hasła WordPressa; trzeba wyłączyć z ochrony admin-ajax.php, bo korzystają z niego wtyczki na froncie strony. |
| HTTP basic authentication (password-protecting wp-admin) | |
| zaciemnianie kodu +W | Celowe przekształcanie kodu lub skryptu tak, by zachował działanie, ale stał się trudny do odczytania i analizy przez analityków i narzędzia bezpieczeństwa. |
| obfuscation | |
| zagrożenia publicznych sieci Wi-Fi +W | Zagrożenia korzystania z otwartych hotspotów: podszycie się pod znaną sieć, podsuwanie fałszywych stron logowania i podsłuch nieszyfrowanego ruchu — przy poprawnym HTTPS napastnik widzi jednak głównie metadane, a nie treść. |
| public Wi-Fi risk | |
| zapora nowej generacji +W | Zapora łącząca filtrowanie stanowe z rozpoznawaniem konkretnych aplikacji i tożsamości użytkownika oraz z wbudowanym systemem zapobiegania włamaniom (IPS), często też z inspekcją ruchu szyfrowanego. |
| next-generation firewall (NGFW) | |
| zapora sieciowa +W | Urządzenie lub oprogramowanie kontrolujące ruch na granicy sieci (lub na hoście), które przepuszcza albo blokuje pakiety i połączenia zgodnie ze zdefiniowanym zestawem reguł. |
| firewall | |
| zapytanie parametryzowane +W | Zapytanie SQL, w którym dane przekazuje się osobno od jego treści, dzięki czemu wartość od użytkownika nie może zmienić struktury zapytania — zalecana, niezależna od języka programowania ochrona przed SQL injection (w PHP: PDO/mysqli z bindowaniem parametrów). WAŻNE: WordPressowe $wpdb->prepare() NIE jest prawdziwym prepared statement — to własna funkcja działająca, jak pisze sekurak, „na zasadzie match & replace”, która podstawia wartości w miejsce %s/%d z escapowaniem po stronie PHP. Skutek praktyczny: sam szablon zapytania (pierwszy argument prepare) nigdy nie może pochodzić od użytkownika, bo wtedy parametryzacja niczego nie chroni. |
| prepared statement | |
| zarządzanie dostępem uprzywilejowanym (PAM) +W | Dyscyplina i klasa narzędzi kontrolujących konta o podwyższonych uprawnieniach — przechowywanie i rotacja haseł administracyjnych, przyznawanie dostępu tylko na czas zadania oraz nagrywanie sesji uprzywilejowanych. |
| privileged access management (PAM) | |
| zarządzanie podatnościami +W | Ciągły proces wykrywania, oceny, priorytetyzacji i usuwania podatności w używanym oprogramowaniu i infrastrukturze, z kontrolą, czy poprawka zadziałała. Dla strony WordPress to: spis wtyczek i motywów z wersjami, śledzenie baz podatności (Wordfence, Patchstack, WPScan), szybkie aktualizacje lub wirtualne łatki i usuwanie nieużywanych komponentów. |
| vulnerability management | |
| zarządzanie poprawkami +W | Uporządkowany proces obejmujący inwentaryzację zasobów, śledzenie wydawanych aktualizacji, priorytetyzację według ryzyka, testowanie, wdrożenie w kontrolowanych i rozliczalnych terminach oraz weryfikację skuteczności — wraz z procedurą wycofania i obsługą wyjątków tam, gdzie łatki nie da się nałożyć. |
| patch management | |
| zarządzanie powierzchnią ataku +W | Ciągłe wyszukiwanie i monitorowanie wszystkiego, co organizacja wystawia do internetu (domeny, subdomeny, adresy IP, panele logowania, zapomniane instalacje WordPressa, certyfikaty), ocena ryzyka i usuwanie zbędnych punktów wejścia. Zwykle realizowane narzędziami skanującymi z zewnątrz, z perspektywy atakującego. |
| attack surface management (ASM) | |
| zarządzanie ryzykiem dostawców (TPRM) +W | Systematyczne ocenianie i nadzorowanie ryzyka wnoszonego przez dostawców, podwykonawców i partnerów mających dostęp do danych lub systemów organizacji. |
| third-party risk management (TPRM) | |
| zarządzanie sekretami +W | Kontrolowane przechowywanie, wydawanie, audytowanie i rotacja sekretów aplikacji (kluczy API, tokenów, haseł do baz, certyfikatów) w dedykowanym systemie zamiast w kodzie, plikach konfiguracyjnych czy repozytorium. |
| secrets management | |
| zarządzanie tożsamością i dostępem +W | Procesy i narzędzia obejmujące cały cykl życia tożsamości cyfrowych i ich uprawnień — od założenia konta, przez uwierzytelnianie i zmiany ról, po odebranie dostępu przy odejściu. |
| identity and access management (IAM) | |
| zasada najmniejszych uprawnień +W | Reguła nadawania każdemu użytkownikowi, procesowi i usłudze tylko tych uprawnień, które są niezbędne do wykonania zadania, i tylko na czas jego trwania. |
| principle of least privilege | |
| zastrzeżenie numeru PESEL +W | Bezpłatny wpis w państwowym rejestrze, który blokuje możliwość użycia numeru PESEL do zawarcia umowy kredytu, pożyczki czy umowy telekomunikacyjnej — instytucje finansowe mają obowiązek sprawdzić zastrzeżenie przed zawarciem takiej umowy. |
| PESEL number lock | |
| zaszyte w kodzie hasło +W | Hasła, klucze lub tokeny umieszczone na stałe w kodzie albo konfiguracji produktu, przez co są identyczne u wszystkich użytkowników i nie da się ich zmienić. |
| hardcoded credentials | |
| zatruwanie danych / zatruwanie modelu +W | Celowe wprowadzenie spreparowanych treści do danych, na których model się uczy lub które pobiera w trakcie działania (na przykład do bazy RAG), tak aby trwale generował błędne, stronnicze lub szkodliwe odpowiedzi albo reagował ukrytą furtką na umówiony sygnał. |
| data poisoning / model poisoning | |
| zatruwanie narzędzi +W | Atak na agenta AI przez podłączone narzędzia: złośliwy lub przejęty serwer MCP ukrywa w opisie narzędzia albo w jego odpowiedzi instrukcje, które model traktuje jak polecenia — np. wysyła napastnikowi pliki lub historię rozmów. Dotyczy każdego, kto podpina asystentowi AI zewnętrzne serwery MCP. |
| tool poisoning / MCP server risks | |
| zdalne wykonanie kodu (RCE) +W | Podatność pozwalająca atakującemu uruchomić własny kod na zdalnym systemie — na serwerze albo na komputerze użytkownika (np. przez spreparowany plik otwarty w podatnej aplikacji) — bez wcześniejszego dostępu do tej maszyny. Najcięższy skutek, zwykle równoznaczny z przejęciem systemu. |
| remote code execution (RCE) | |
| Zero Trust +W | Model bezpieczeństwa, w którym żadne żądanie nie jest uznawane za zaufane z powodu lokalizacji w sieci, a każdy dostęp jest osobno uwierzytelniany, autoryzowany i oceniany kontekstowo. |
| zero trust | |
| zero-click +W | Exploit, który przejmuje urządzenie lub aplikację bez żadnego działania ofiary — wystarczy, że program automatycznie przetworzy odebraną wiadomość, plik czy połączenie (np. iMessage, WhatsApp, AirPlay). Dla właściciela strony WWW analogiem jest podatność wtyczki wykorzystywana bez logowania i bez interakcji administratora, np. nieuwierzytelnione RCE. |
| zero-click exploit | |
| zero-day +W | Podatność wykorzystywana lub ujawniona, zanim producent wydał poprawkę — w chwili ataku nie istnieje oficjalna łatka, więc obrona musi opierać się na obejściach i detekcji. Potocznie także sam exploit na taką lukę. |
| zero-day | |
| zgłoszenie naruszenia ochrony danych +W | Prawny obowiązek powiadomienia o naruszeniu. W RODO są to dwa odrębne obowiązki: zgłoszenie naruszenia ochrony danych osobowych Prezesowi UODO w ciągu 72 godzin (art. 33) oraz — gdy ryzyko dla osób jest wysokie — zawiadomienie samych osób, których dane dotyczą, bez zbędnej zwłoki (art. 34). W reżimie NIS2 i ustawy o KSC odpowiednikiem jest zgłoszenie incydentu poważnego do właściwego CSIRT. |
| breach notification | |
| zgłoszenie podejrzanego SMS-a na numer 8080 / zgłoszenie incydentu (incydent.cert.pl) +W | Dwie ścieżki zgłoszenia zagrożenia do CERT Polska: przekazanie (przesłanie dalej) podejrzanego SMS-a na numer 8080 albo wypełnienie formularza „Zgłoś incydent” na incydent.cert.pl. |
| reporting a suspicious SMS / security incident in Poland | |
| zgoda na pliki cookie +W | Wymagana prawem zgoda użytkownika na zapisywanie i odczyt plików cookie innych niż niezbędne, odbierana zwykle przez baner na stronie i możliwa do wycofania. |
| cookie consent | |
| zgodność regulacyjna +W | Stan, w którym organizacja spełnia wymogi prawa, umów, norm i regulacji wewnętrznych oraz potrafi to udowodnić dowodami — co nie jest tożsame z faktycznym bezpieczeństwem. |
| compliance | |
| złośliwe boty +W | Zautomatyzowany ruch, który nie służy użytkownikom ani wyszukiwarkom: boty skanujące podatności, zgadujące hasła, kopiujące treści i ceny, spamujące formularze, testujące karty. Na stronie WordPress obciążają serwer i zaśmiecają statystyki; ogranicza się je WAF-em, rate limitingiem, regułami na poziomie serwera lub CDN. |
| bad bots / bot traffic | |
| złośliwe oprogramowanie +W | Zbiorcza nazwa oprogramowania tworzonego po to, by bez zgody użytkownika szkodzić systemowi, danym lub ich właścicielowi. Kategoria nadrzędna wobec ransomware, trojanów, stealerów, backdoorów i robaków. |
| malware | |
| złośliwe oprogramowanie bezplikowe +W | Złośliwy kod działający wyłącznie w pamięci lub w mechanizmach systemu (rejestr, WMI, zaplanowane zadania, skrypty), który nie zostawia na dysku własnego pliku wykonywalnego możliwego do wykrycia skanerem plikowym. |
| fileless malware | |
| złośliwe przekierowanie +W | Przekierowanie odwiedzających zainfekowaną stronę na obcą witrynę (fałszywe loterie, powiadomienia push, oszukańcze sklepy, strony z malware), wstrzyknięte w pliki, bazę lub .htaccess. Często działa tylko przy pierwszej wizycie, tylko na telefonach albo tylko dla ruchu z Google, więc właściciel strony go nie widzi. |
| malicious redirect | |
| zmęczenie alertami +W | Spadek czujności analityków wywołany nadmiarem alertów, w większości fałszywych, prowadzący do przeoczenia zdarzeń naprawdę istotnych. |
| alert fatigue | |
| zmiana adresu logowania +W | Zastąpienie domyślnego adresu logowania WordPressa (/wp-login.php, /wp-admin) własnym, np. wtyczką WPS Hide Login lub opcją wtyczki bezpieczeństwa. Odcina masowe boty zgadujące hasła i zmniejsza obciążenie serwera, ale nie zastępuje silnych haseł ani 2FA. |
| custom login URL / hiding wp-login.php | |
| ZTNA +W | Zdalny dostęp oparty na zasadzie Zero Trust: użytkownik po weryfikacji tożsamości i stanu urządzenia dostaje dostęp tylko do konkretnych aplikacji, a nie do całej sieci jak w klasycznym VPN. Dla małej firmy to np. wystawienie panelu administracyjnego czy phpMyAdmin wyłącznie przez bramkę ZTNA zamiast publicznie. |
| zero trust network access (ZTNA) |
- po polsku
- nazwa polska w kolorze. Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie.
- obie formy
- obie nazwy w kolorze. Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski.
- po angielsku
- nazwa angielska w kolorze. Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
- bez tłumaczenia
- nazwa angielska w kolorze. Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
- Nazwa
- Pierwszy wiersz — polska nazwa (link do strony hasła), drugi — angielska. Szara nazwa istnieje, ale nie jest formą, której używamy.
- Definicja
- Skrócona do dwóch wierszy. Pełna — razem z odmianą, synonimami i cytatami ze źródeł — jest na stronie hasła.
- Alfabet
- Litera pokazuje tylko hasła na tę literę; „Wsz.” wraca do całości. Wyszarzone litery nie mają haseł w bieżącym filtrze.
- Szukaj hasła
- Szuka w nazwie polskiej i angielskiej, w synonimach i w definicji. Najpierw hasła, których nazwa pasuje, potem te, w których słowo pada tylko w definicji. Ta sama wyszukiwarka stoi w Bazie wiedzy i w Rozszerzeniach.