Słownik pojęć: po angielsku, po polsku i której formy używać.

TAB. 1A3 haseł

Nazwa	Definicja
air gap +W	Całkowite fizyczne odseparowanie systemu od sieci zewnętrznych, przy którym dane można przenieść wyłącznie nośnikiem, a nie połączeniem sieciowym; skrajny przypadek separacji fizycznej.
air gap
amplifikacja +W	Technika ataku odmowy usługi, w której napastnik wysyła niewielkie zapytania ze sfałszowanym adresem źródłowym ofiary do usług odpowiadających wielokrotnie większym pakietem, dzięki czemu na cel spada ruch wielokrotnie większy od wysłanego.
amplification attack
atak odmowy usługi +W	Atak doprowadzający usługę do niedostępności przez wyczerpanie jej zasobów lub wykorzystanie błędu w oprogramowaniu, prowadzony zwykle z jednego źródła.
denial of service (DoS)

TAB. 2B4 haseł

Nazwa	Definicja
bastion host +W	Mocno utwardzony host wystawiony na styku sieci niezaufanej, stanowiący jedyny dozwolony punkt wejścia do zasobów sieci chronionej; wszystko, co zbędne, jest na nim wyłączone, a ruch przez niego przechodzący jest rejestrowany.
bastion host
BGP hijacking +W	Rozgłoszenie w internecie fałszywych tras do cudzych zakresów adresów IP, przez co ruch kierowany do ofiary przechodzi przez infrastrukturę napastnika.
BGP hijacking
biała lista adresów IP +W	Dopuszczenie do wybranego zasobu (np. wp-login.php, wp-admin, panelu serwera) wyłącznie z wymienionych adresów lub sieci IP; resztę serwer odrzuca. Skuteczne przy stałym IP biura, kłopotliwe przy pracy mobilnej i zmiennym IP.
IP allowlisting (whitelisting)
blue team +W	Zespół odpowiedzialny za obronę organizacji: monitoruje infrastrukturę, wykrywa i obsługuje incydenty oraz na bieżąco utrzymuje i stroi zabezpieczenia.
blue team

TAB. 3C1 haseł

Nazwa	Definicja
CDN +W	Rozproszona sieć serwerów brzegowych serwujących kopie treści blisko użytkownika; wykorzystywana także w obronie — do absorbowania i filtrowania wolumetrycznego ruchu DDoS oraz ukrywania adresu serwera źródłowego.
content delivery network (CDN)

TAB. 4D6 haseł

Nazwa	Definicja
DDoS +W	Odmiana ataku odmowy usługi prowadzona równocześnie z wielu rozproszonych źródeł, najczęściej z botnetu, co utrudnia odfiltrowanie ruchu i wymusza obronę o dużej przepustowości.
distributed denial of service (DDoS)
DLP (ochrona przed wyciekiem danych) +W	Klasa rozwiązań monitorujących i blokujących nieautoryzowane wyprowadzenie wrażliwych danych z organizacji — pocztą, przez nośniki USB, chmurę czy wklejenie do zewnętrznej usługi.
data loss prevention (DLP)
DMZ +W	Wydzielona podsieć-bufor między internetem a siecią wewnętrzną, w której umieszcza się usługi publiczne, aby ich przejęcie nie dawało napastnikowi bezpośredniego dostępu do zasobów wewnętrznych.
demilitarized zone (DMZ)
DNS cache poisoning +W	Wstrzyknięcie sfałszowanych rekordów do pamięci podręcznej rekurencyjnego serwera DNS, przez co kolejni użytkownicy pytający o daną nazwę trafiają pod adres wskazany przez napastnika.
DNS cache poisoning
DNSSEC +W	Rozszerzenie DNS dodające do rekordów podpisy kryptograficzne, które pozwalają odbiorcy zweryfikować autentyczność i integralność odpowiedzi, lecz nie szyfrują samych zapytań.
DNSSEC
DPI (deep packet inspection) +W	Analiza nie tylko nagłówków, ale i zawartości (ładunku) pakietów — zwykle po złożeniu strumienia — pozwalająca rozpoznać rzeczywisty protokół lub aplikację niezależnie od numeru portu oraz wykryć szkodliwe albo zakazane treści w ruchu.
deep packet inspection (DPI)

TAB. 5E1 haseł

Nazwa	Definicja
evil twin (podstawiona sieć Wi-Fi) +W	Podstawiona sieć Wi-Fi o nazwie identycznej z siecią zaufaną — hotelu, lotniska, kawiarni — do której urządzenie ofiary łączy się automatycznie, przez co atakujący widzi jej ruch i może podsunąć fałszywy ekran logowania.
evil twin / rogue access point (podstawiona sieć Wi-Fi)

TAB. 6F1 haseł

Nazwa	Definicja
fail2ban +W	Narzędzie na serwery Linux, które czyta logi (SSH, poczty, serwera WWW) i po serii nieudanych prób logowania lub innych podejrzanych zdarzeń blokuje adres IP w zaporze na określony czas. Na VPS z WordPressem można dodać regułę dla wp-login.php i xmlrpc.php; na hostingu współdzielonym odpowiednik działa po stronie dostawcy.
fail2ban

TAB. 7G1 haseł

Nazwa	Definicja
geoblokowanie +W	Blokowanie lub dopuszczanie ruchu na podstawie kraju, do którego baza GeoIP przypisuje adres IP odwiedzającego — np. wpuszczanie do wp-admin tylko z Polski albo odcięcie krajów, z których idą ataki. Filtr jest nieprecyzyjny i łatwy do obejścia przez VPN, więc ogranicza szum, a nie zastępuje innych zabezpieczeń.
geoblocking

TAB. 8H1 haseł

Nazwa	Definicja
honeypot +W	Celowo wystawiony pozorny zasób bez wartości produkcyjnej, którego zadaniem jest zwabienie napastnika i zarejestrowanie jego działań; ponieważ nie obsługuje żadnego legalnego ruchu, każde odwołanie do niego jest z definicji podejrzane, co daje bardzo niski poziom fałszywych alarmów.
honeypot

TAB. 9I2 haseł

Nazwa	Definicja
IDS +W	System monitorujący ruch sieciowy lub aktywność hosta i generujący alert po rozpoznaniu podejrzanych wzorców, sam jednak nieingerujący w przepływ ruchu.
intrusion detection system (IDS)
IPS +W	System umieszczony w torze ruchu (inline), który poza wykryciem ataku samodzielnie odrzuca lub zrywa szkodliwe pakiety i połączenia.
intrusion prevention system (IPS)

TAB. 10L1 haseł

Nazwa	Definicja
logowanie kluczem SSH +W	Logowanie do serwera przez SSH/SFTP parą kluczy zamiast hasła: klucz publiczny trafia na serwer (authorized_keys lub panel hostingu), prywatny zostaje na komputerze administratora. Odporne na zgadywanie haseł; po wdrożeniu warto wyłączyć logowanie hasłem.
SSH key authentication

TAB. 11M1 haseł

Nazwa	Definicja
mikrosegmentacja +W	Segmentacja sieci doprowadzona do poziomu pojedynczej maszyny, kontenera lub usługi, w której polityki dopuszczają wyłącznie jawnie zdefiniowaną komunikację między konkretnymi zasobami.
microsegmentation

TAB. 12N1 haseł

Nazwa	Definicja
NAC (network access control) +W	Klasa rozwiązań dopuszczających urządzenie do sieci dopiero po jego uwierzytelnieniu (np. przez 802.1X) i sprawdzeniu zgodności z polityką (stan aktualizacji, ochrona antywirusowa, konfiguracja), z przypisaniem urządzeń niespełniających wymagań do sieci kwarantanny lub odmową dostępu.
network access control (NAC)

TAB. 13P4 haseł

Nazwa	Definicja
piaskownica +W	Mechanizm izolacji ograniczający uprawnienia i zasięg działania uruchamianego kodu do wydzielonego środowiska. Występuje w dwóch rolach: jako wbudowana ochrona zaufanej aplikacji przed skutkami jej przejęcia (piaskownica przeglądarki, czytnika PDF, aplikacji mobilnej) oraz jako środowisko detonacyjne, w którym celowo uruchamia się podejrzany plik i obserwuje jego zachowanie bez narażania systemu produkcyjnego. Ucieczka z tego środowiska to osobna klasa podatności (sandbox escape).
sandbox
powierzchnia ataku +W	Zbiór wszystkich punktów systemu lub organizacji, przez które napastnik może próbować wejść albo wyprowadzić dane: usług, interfejsów, kont, integracji i zależności zewnętrznych. Wielkość powierzchni ataku jest miarą ekspozycji, a nie samą podatnością.
attack surface
przejęcie DNS +W	Przekierowanie rozwiązywania nazw na serwery napastnika przez przejęcie konta w rejestrze/u rejestratora domen, włamanie na serwer DNS i zmianę strefy albo podmianę ustawień resolvera na urządzeniu klienta.
DNS hijacking
purple team +W	Tryb pracy, w którym zespół atakujący i broniący działają razem i na bieżąco przekładają wykonane techniki ataku na nowe reguły detekcji; rzadziej — stały zespół pełniący tę rolę.
purple team

TAB. 14R3 haseł

Nazwa	Definicja
rate limiting +W	Mechanizm ograniczający liczbę żądań, jakie klient lub adres IP może wykonać w danym oknie czasu, stosowany przeciw nadużyciom, atakom siłowym i przeciążeniu usługi.
rate limiting
red team +W	Zespół prowadzący skrytą, wielowektorową symulację działań realnego przeciwnika w szerokim zakresie celów, aby sprawdzić zdolność organizacji do wykrycia i powstrzymania ataku — mierzony jest tu poziom detekcji i reakcji obrony, a nie sama liczba znalezionych podatności.
red team
reverse proxy +W	Serwer ustawiony przed serwerami aplikacyjnymi, który przyjmuje ruch z internetu w ich imieniu, rozkłada obciążenie oraz pozwala terminować TLS i filtrować żądania.
reverse proxy

TAB. 15S7 haseł

Nazwa	Definicja
segmentacja sieci +W	Podział sieci na odseparowane strefy z kontrolowanym ruchem między nimi, co ogranicza możliwość swobodnego poruszania się napastnika po infrastrukturze.
network segmentation
serwer proxy +W	Serwer pośredniczący w połączeniach klientów z zasobami zewnętrznymi, dzięki czemu ruch można filtrować i rejestrować, a adresy klientów pozostają ukryte przed serwerem docelowym.
proxy server
sinkhole +W	Przejęcie złośliwej domeny (np. serwera C2 botnetu lub strony phishingowej) i skierowanie jej ruchu na serwer obrońców, który nic nie szkodzi, a zbiera statystyki zainfekowanych maszyn. W Polsce CERT Polska kieruje domeny z Listy Ostrzeżeń na hole-sinkhole.cert.pl, więc wejście na nie kończy się planszą ostrzegawczą.
sinkhole (sinkholing)
skanowanie podatności +W	Zautomatyzowane badanie systemów i aplikacji pod kątem znanych podatności (identyfikowanych zwykle numerem CVE) oraz błędów konfiguracji, zakończone raportem z oceną istotności znalezisk. Skan może być nieuwierzytelniony (widok „z zewnątrz") albo uwierzytelniony — ten drugi jest dokładniejszy, bo czyta wersje zainstalowanego oprogramowania zamiast je zgadywać. Wyniki wymagają weryfikacji: skanery generują fałszywe alarmy i pomijają podatności logiczne.
vulnerability scanning
skanowanie portów +W	Systematyczne odpytywanie portów TCP/UDP hosta lub całego zakresu adresów w celu ustalenia, które porty są otwarte, zamknięte albo filtrowane i jakie usługi za nimi nasłuchują — stosowane zarówno w rozpoznaniu poprzedzającym atak, jak i w inwentaryzacji własnej infrastruktury.
port scanning
SPF / DKIM / DMARC (uwierzytelnianie poczty) +W	Trzy uzupełniające się mechanizmy uwierzytelniania poczty oparte na rekordach DNS: SPF wskazuje serwery uprawnione do wysyłania poczty z danej domeny, DKIM opatruje wiadomość podpisem kryptograficznym, a DMARC określa politykę postępowania i raportowania dla wiadomości, które nie przejdą tej weryfikacji.
SPF / DKIM / DMARC
SYN flood +W	Atak odmowy usługi zasypujący serwer żądaniami nawiązania połączenia TCP (pakietami z flagą SYN), które nigdy nie są dokańczane, przez co wyczerpuje się pula połączeń na wpół otwartych.
SYN flood

TAB. 16T1 haseł

Nazwa	Definicja
test penetracyjny +W	Autoryzowany, ograniczony zakresem i czasem test polegający na kontrolowanym wykorzystaniu podatności, aby wykazać ich rzeczywisty wpływ na organizację; kończy się raportem z opisem ścieżek ataku i rekomendacjami.
penetration test

TAB. 17U1 haseł

Nazwa	Definicja
utwardzanie +W	Zmniejszanie powierzchni ataku systemu przez wyłączenie zbędnych usług i kont, zmianę ustawień domyślnych, ograniczenie uprawnień i zastosowanie restrykcyjnej konfiguracji — zwykle według gotowych zestawów zaleceń (CIS Benchmarks, DISA STIG, rekomendacje producenta).
hardening

TAB. 18V1 haseł

Nazwa	Definicja
VPN +W	Szyfrowany tunel zestawiany przez sieć publiczną: ruch urządzenia trafia najpierw do bramy VPN, dzięki czemu zdalny pracownik lub oddział korzysta z zasobów tak, jakby był w sieci lokalnej (zastosowanie firmowe), albo wychodzi do internetu z adresu dostawcy usługi (zastosowanie konsumenckie).
virtual private network (VPN)

TAB. 19W1 haseł

Nazwa	Definicja
WAF +W	Zapora działająca na warstwie aplikacji (HTTP/HTTPS), która analizuje żądania kierowane do aplikacji webowej i blokuje te odpowiadające wzorcom ataków, takich jak wstrzyknięcie SQL czy XSS.
web application firewall (WAF)

TAB. 20Z4 haseł

Nazwa	Definicja
zapora nowej generacji +W	Zapora łącząca filtrowanie stanowe z rozpoznawaniem konkretnych aplikacji i tożsamości użytkownika oraz z wbudowanym systemem zapobiegania włamaniom (IPS), często też z inspekcją ruchu szyfrowanego.
next-generation firewall (NGFW)
zapora sieciowa +W	Urządzenie lub oprogramowanie kontrolujące ruch na granicy sieci (lub na hoście), które przepuszcza albo blokuje pakiety i połączenia zgodnie ze zdefiniowanym zestawem reguł.
firewall
zarządzanie poprawkami +W	Uporządkowany proces obejmujący inwentaryzację zasobów, śledzenie wydawanych aktualizacji, priorytetyzację według ryzyka, testowanie, wdrożenie w kontrolowanych i rozliczalnych terminach oraz weryfikację skuteczności — wraz z procedurą wycofania i obsługą wyjątków tam, gdzie łatki nie da się nałożyć.
patch management
ZTNA +W	Zdalny dostęp oparty na zasadzie Zero Trust: użytkownik po weryfikacji tożsamości i stanu urządzenia dostaje dostęp tylko do konkretnych aplikacji, a nie do całej sieci jak w klasycznym VPN. Dla małej firmy to np. wystawienie panelu administracyjnego czy phpMyAdmin wyłącznie przez bramkę ZTNA zamiast publicznie.
zero trust network access (ZTNA)

po polsku: nazwa polska w kolorze. Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie.
obie formy: obie nazwy w kolorze. Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski.
po angielsku: nazwa angielska w kolorze. Polski odpowiednik istnieje, ale w praktyce nikt tak nie pisze. Zostaw angielski, polski trzymaj jako synonim.
bez tłumaczenia: nazwa angielska w kolorze. Skrót, nazwa własna albo nazwa standardu — nie tłumaczymy w ogóle.
Nazwa: Pierwszy wiersz — polska nazwa (link do strony hasła), drugi — angielska. Szara nazwa istnieje, ale nie jest formą, której używamy.
Definicja: Skrócona do dwóch wierszy. Pełna — razem z odmianą, synonimami i cytatami ze źródeł — jest na stronie hasła.
Alfabet: Litera pokazuje tylko hasła na tę literę; „Wsz.” wraca do całości. Wyszarzone litery nie mają haseł w bieżącym filtrze.
Szukaj hasła: Szuka w nazwie polskiej i angielskiej, w synonimach i w definicji. Najpierw hasła, których nazwa pasuje, potem te, w których słowo pada tylko w definicji. Ta sama wyszukiwarka stoi w Bazie wiedzy i w Rozszerzeniach.