Red Team / Blue Team

О программе

Взрослый профессиональный курс для студентов колледжа и вуза и всех, кто идёт в профессию всерьёз. Устроен как «общий фундамент, затем развилка»: весь первый год (102 занятия) — единый для всех: операционные системы, сети, Python, веб, криптография, основы ИИ и обзор нападения и защиты. В конце первого года ты осознанно выбираешь сторону — Red Team (наступление) или Blue Team (оборона) — и следующие два года углубляешься в неё (по 204 занятия), а на третьем году обе стороны сходятся в совместных purple-team учениях. Занятия по 150 минут три раза в неделю, лаборатория полностью локальная и бесплатная, ИИ встроен во все модули. Цель — довести с нуля до трудоустраиваемого уровня: junior-пентестер или SOC-аналитик.

Как устроен курс

Первый год все проходят вместе — это общий фундамент. В конце первого года ты осознанно выбираешь сторону, попробовав руками и нападение, и защиту. Следующие два года — углубление в выбранное направление, а на третьем году обе стороны сходятся в совместных purple-team учениях.

РАЗВИЛКА · В КОНЦЕ ПЕРВОГО ГОДА

Общий годФУНДАМЕНТ · ЗАНЯТИЯ 1–102

1. C0

   Старт, этика и лаборатория

   занятия 1–6 · 6 шт.

   • Карта профессий ИБ, две вертикали Red и Blue, место ИИ
   • Модель угроз и триада CIA
   • Своя лаборатория: VirtualBox, Kali, Windows-ВМ, изоляция
   • Docker с нуля и учебные стенды
   • Git и рабочий процесс, репозиторий-портфолио
   • Кодекс: подписывается на первом занятии
2. C1

   Linux для безопасника

   занятия 7–20 · 14 шт.

   • Файловая система, права, пользователи и sudo
   • Процессы, службы systemd, пакеты
   • Текстовые потоки: grep, sed, awk, регулярные выражения
   • Bash-скриптинг
   • Сеть в Linux, SSH и туннели
   • Логи и системный аудит
   • Основы hardening
3. C2

   Windows изнутри

   занятия 21–30 · 10 шт.

   • Архитектура: процессы, службы, реестр
   • cmd и PowerShell
   • Учётные записи, группы, UAC, локальные политики
   • Журналы событий и ключевые Event ID
   • Сеть, брандмауэр, SMB
   • NTFS, ACL и эффективные права
4. C3

   Сети и анализ трафика

   занятия 31–45 · 15 шт.

   • Модели OSI и TCP/IP, инкапсуляция
   • IP-адресация, подсети, CIDR, маршрутизация
   • TCP, UDP, DNS, DHCP
   • HTTP/HTTPS и TLS-рукопожатие
   • Wireshark и tcpdump профессионально
   • Сетевые службы и их риски
   • VPN, NAT, прокси
5. C4

   Python для безопасника + ИИ-скриптинг

   занятия 46–60 · 15 шт.

   • Python с нуля: типы, структуры данных, функции
   • Работа с файлами: CSV, JSON
   • ИИ-ассистированный скриптинг: как просить код и проверять его
   • Модуль socket: свой мини-сканер портов
   • requests, парсинг и мини-скрапер для OSINT
   • subprocess и обёртки над инструментами
   • Проект: свой CLI-инструмент
6. C5

   Веб-технологии и как работают приложения

   занятия 61–71 · 11 шт.

   • Клиент, сервер, запрос-ответ, статус-коды
   • HTML, DOM и JavaScript в браузере
   • Cookies, сессии, аутентификация
   • Backend, маршруты, базы данных и SQL
   • Введение в Burp Suite
   • Почему клиентские проверки не защита
   • Практика: карта приложения
7. C6

   Криптография и основы безопасности данных

   занятия 72–80 · 9 шт.

   • Конфиденциальность, целостность, подлинность
   • Кодирование, шифрование, хеширование
   • Симметрия (AES) и асимметрия (RSA)
   • Хеши, соль, медленные хеши (bcrypt, argon2)
   • TLS и цепочка доверия
   • Практические крипто-слабости
8. C7

   ИИ для специалиста по безопасности: основы

   занятия 81–89 · 9 шт.

   • Что такое LLM: токены, контекст, локальный запуск через Ollama
   • ИИ-ассистент в работе: сильные и слабые стороны, галлюцинации
   • Промптинг для технических задач
   • ИИ для разбора кода и логов с проверкой вывода
   • Приватность данных и локальные модели
   • Prompt injection как явление — превью Red/Blue
9. C8

   Наступление и оборона: общий обзор

   занятия 90–99 · 10 шт.

   • Модель атаки: Cyber Kill Chain и MITRE ATT&CK
   • Разведка, сканирование, первая эксплуатация (разобранный пример)
   • Пост-эксплуатация обзорно
   • Взгляд обороны: логи, телеметрия, SIEM, алерты
   • Введение в реагирование и форензику
   • Профессии детально: пентестер, SOC, DFIR, AppSec, AI Security
10. C9

    Скриптинг, автоматизация и развилка

    занятия 100–102 · 3 шт.

    • Автоматизация рутины: пайплайн «скан → парсинг → отчёт»
    • Сквозной мини-проект: разведка и анализ стенда
    • Сравнительный практикум Red vs Blue и выбор стороны

Сторона Red — наступление2–3 ГОД

1. R1

   Разведка и OSINT

   занятия 103–114 · 12 шт.

   • Пассивная разведка: домены, поддомены, DNS, WHOIS
   • OSINT по инфраструктуре, людям и организации
   • ИИ-ассистированная разведка
   • Автоматизация recon на Python
   • Карта поверхности атаки и приоритизация целей
2. R2

   Сканирование и enumeration

   занятия 115–128 · 14 шт.

   • Обнаружение хостов, Nmap глубоко, NSE-скрипты
   • Enumeration SMB, web, служб, баз данных
   • От версий к уязвимостям: searchsploit, CVE
   • Тихое и шумное сканирование, следы
3. R3

   Оценка уязвимостей

   занятия 129–136 · 8 шт.

   • CWE, CVE, CVSS
   • Сканеры уязвимостей и ложные срабатывания
   • Ручная верификация находок
   • Чтение и адаптация публичных PoC с разбором кода
   • Оформление находок и отчёт
4. R4

   Взлом веб-приложений

   занятия 137–160 · 24 шт.

   • OWASP Top 10 вглубь, методология и Burp Suite
   • SQL-инъекции всех видов и sqlmap
   • XSS: reflected, stored, DOM, обход фильтров
   • Command injection, file upload, path traversal → RCE
   • IDOR, CSRF, SSRF, XXE, SSTI, десериализация
   • Безопасность API и атаки на JWT
   • Практикум: веб-стенд «с нуля до RCE» и отчёт
5. R5

   Эксплуатация систем

   занятия 161–176 · 16 шт.

   • Эксплойты, payload, reverse/bind shell
   • Metasploit и msfvenom
   • Эксплуатация уязвимых служб
   • Переполнение буфера: основы и простой эксплойт
   • Современные защиты: ASLR, DEP, canary — обзор
   • Boot-to-root от входа до shell
6. R6

   Атаки на пароли и credential access

   занятия 177–186 · 10 шт.

   • Как хранятся пароли и хеши
   • Онлайн-брутфорс: Hydra, Medusa
   • Оффлайн-взлом: John, Hashcat, правила и маски
   • Словари и их генерация
   • Password spraying против брутфорса, блокировки
7. R7

   Сетевые атаки, MITM и pivoting

   занятия 187–204 · 18 шт.

   • ARP-spoofing и перехват трафика
   • Responder: LLMNR/NBT-NS
   • Port forwarding и туннели: SSH, chisel, proxychains
   • Двойной pivot и маршрутизация
   • Сценарий «внешний web → внутренняя сеть»
   • Скрытность при движении по сети
8. R8

   Атаки на Active Directory

   занятия 205–228 · 24 шт.

   • Устройство AD, NTLM и Kerberos
   • Enumeration и BloodHound, анализ атак-путей
   • Kerberoasting, AS-REP roasting, password spraying
   • NTLM relay, Pass-the-Hash, Pass-the-Ticket
   • Атаки на ACL, GPO, делегирование
   • DCSync, Golden/Silver ticket, ADCS
   • Практикум: захват домена от foothold до Domain Admin
9. R9

   Пост-эксплуатация и повышение привилегий

   занятия 229–244 · 16 шт.

   • Linux privesc: SUID, sudo, cron, capabilities, ядро
   • Windows privesc: службы, токены, привилегии
   • Автоматизация: linpeas, winpeas и ручная проверка
   • Сбор трофеев и извлечение секретов (mimikatz)
   • Персистентность на Linux и Windows
   • Exfiltration и внутренняя разведка
10. R10

    Evasion, C2 и обход защиты

    занятия 245–256 · 12 шт.

    • Как работают AV/EDR
    • Основы обхода и living-off-the-land (LOLBins)
    • C2-фреймворки: архитектура, агенты, каналы
    • Профили C2 и маскировка (HTTP/DNS)
    • Что из evasion всё равно детектируется — мост к Blue
11. R11

    ИИ в наступлении и атаки на ИИ-системы

    занятия 257–270 · 14 шт.

    • ИИ-системы как новая поверхность атаки: LLM, агенты, RAG
    • OWASP Top 10 для LLM
    • Prompt injection: прямые и непрямые, jailbreak
    • Утечка данных и системного промпта
    • Атаки на RAG и векторные хранилища
    • ИИ-ассистированное наступление — границы и риски
    • Этика ИИ-атак
12. R12

    Социальная инженерия и фишинг

    занятия 271–278 · 8 шт.

    • Психология атаки и векторы SE
    • Фишинг: типы, анатомия письма, признаки
    • Претекст и легенды
    • Фишинговая инфраструктура в лабе (GoPhish)
    • Метрики кампании и отчёт
    • Этика и границы SE
13. R13

    Атаки на cloud и контейнеры

    занятия 279–286 · 8 шт.

    • Модель облака и поверхность атаки
    • Атаки на объектные хранилища и IAM
    • Метаданные инстансов и SSRF в облако
    • Docker: побег из контейнера, мисконфиги
    • Kubernetes: поверхность атаки
    • CI/CD и секреты
14. R14

    Наступательный tooling

    занятия 287–294 · 8 шт.

    • Зачем писать свой инструментарий
    • Собственный сканер и enum на Python с пониманием кода
    • Reverse shell и простой агент (учебно)
    • Основы вредоносной логики легально и в изоляции
    • Аудит стороннего кода перед запуском с ИИ
15. R15

    Red Team operations и отчётность

    занятия 295–300 · 6 шт.

    • Пентест против Red Team операции, TTPs
    • Планирование: scope, RoE, коммуникация
    • Ведение операции: журнал, доказательства
    • Профессиональный отчёт: executive summary и находки
    • Рекомендации и презентация заказчику
16. R16

    Capstone: полная имитация атаки

    занятия 301–306 · 6 шт.

    • Постановка: цель, scope, RoE, план
    • Recon и enumeration
    • Первичный доступ и web/сервисы
    • AD, pivot, повышение привилегий
    • Пост-эксплуатация и отчёт
    • Защита capstone и план роста

Сторона Blue — оборона2–3 ГОД

1. BL1

   Основы обороны и SOC

   занятия 103–110 · 8 шт.

   • Роли SOC (L1–L3) и профессии обороны
   • Defense in depth и Zero Trust
   • Активы, инвентаризация, поверхность защиты
   • MITRE ATT&CK как язык обороны
   • Телеметрия и источники данных
   • Пирамида боли: от IOC к поведению
2. BL2

   Логи и SIEM

   занятия 111–128 · 18 шт.

   • Форматы логов и нормализация
   • Централизованный сбор: агенты, коллекторы
   • ELK-стек: Elasticsearch, Logstash, Kibana
   • Wazuh и Security Onion
   • Источники: аутентификация, сеть, web
   • Алерты, пороги, борьба с ложными срабатываниями
   • ИИ-ассистированный разбор логов с проверкой
   • Мини-проект SIEM и практикум
3. BL3

   Network Security Monitoring

   занятия 129–146 · 18 шт.

   • Идея NSM и где ставить сенсор
   • Zeek: логи соединений и протоколов, скрипты
   • Suricata/Snort: IDS/IPS и правила
   • Обнаружение сканирования, brute force, exfiltration
   • Детект C2-трафика и beaconing, JA3
   • Baseline сети и аномалии
   • Практикум: восстановить атаку по трафику
4. BL4

   Endpoint-безопасность и телеметрия

   занятия 147–162 · 16 шт.

   • Endpoint как источник правды
   • Журналы Windows и Sysmon
   • Детекты по Sysmon: процессы, сеть, файлы, реестр
   • PowerShell-логирование и детект вредоносных скриптов
   • Sysinternals и osquery
   • EDR-подход и поведенческие детекты
   • Linux endpoint: auditd
   • Triage скомпрометированного хоста
5. BL5

   Detection engineering

   занятия 163–176 · 14 шт.

   • От идеи к правилу: жизненный цикл детекта
   • Sigma: универсальные правила и конвертация
   • Покрытие ATT&CK-техник
   • Тестирование детектов: Atomic Red Team
   • Качество детекта: FP/FN и устойчивость к обходу
   • ИИ-ассистированное написание детектов с проверкой
   • Detection-as-code в Git
6. BL6

   Incident Response

   занятия 177–188 · 12 шт.

   • Жизненный цикл IR и плейбуки
   • Обнаружение и триаж алерта
   • Построение таймлайна и scoping
   • Сдерживание, устранение, восстановление
   • Сбор доказательств и chain of custody
   • Посмортем без обвинений, настольные учения
7. BL7

   Цифровая форензика

   занятия 189–204 · 16 шт.

   • Основы DFIR и порядок волатильности
   • Образы дисков и целостность
   • Autopsy и Sleuth Kit
   • Windows-артефакты: реестр, prefetch, event logs, USB
   • Форензика памяти: Volatility 3
   • Linux-форензика и супер-таймлайн
   • Форензический отчёт
8. BL8

   Анализ вредоносного ПО

   занятия 205–220 · 16 шт.

   • Безопасная лаба (REMnux, изоляция)
   • Статический анализ: строки, PE-заголовки, импорты
   • Динамический анализ в песочнице
   • Сетевой анализ вредоноса: C2, DNS
   • Деобфускация скриптовых вредоносов с ИИ
   • Введение в Ghidra и реверс базовой логики
   • IOC и правила YARA, переход к детектам
9. BL9

   Threat Intelligence и Threat Hunting

   занятия 221–236 · 16 шт.

   • Уровни и источники threat intelligence
   • IOC и IOA, форматы STIX/TAXII, MISP
   • Профилирование атакующих по ATT&CK
   • Гипотезы и цикл threat hunting
   • Hunting в endpoint- и сетевой телеметрии
   • Аналитика аномалий и ML-детект
   • Из ханта в детект
10. BL10

    Защита Active Directory

    занятия 237–252 · 16 шт.

    • AD глазами защитника, аудит и Event ID
    • Детект enumeration и BloodHound-сбора
    • Детект Kerberoasting, spraying, Pass-the-Hash
    • Детект DCSync и Golden/Silver ticket
    • Hardening: tiering, LAPS, защита DA
    • GPO для безопасности и мониторинг изменений
    • Реагирование на компрометацию домена
11. BL11

    ИИ в обороне и защита ИИ-систем

    занятия 253–266 · 14 шт.

    • Риски ИИ-систем в организации
    • OWASP LLM Top 10 глазами защитника
    • Детект prompt injection и злоупотреблений
    • Guardrails и фильтрация ввода/вывода
    • Защита данных и RAG, безопасность пайплайна
    • Детект ИИ-фишинга и deepfake
    • ИИ-ассистированный SOC с проверкой
12. BL12

    Управление уязвимостями и hardening

    занятия 267–274 · 8 шт.

    • Процесс vulnerability management: цикл, SLA
    • Сканирование глазами защитника
    • Приоритизация: CVSS, контекст, эксплуатируемость
    • Патч-менеджмент и компенсирующие меры
    • Hardening Linux и Windows по CIS-бенчмаркам
13. BL13

    Защита cloud и контейнеров

    занятия 275–282 · 8 шт.

    • Модель облачной безопасности
    • Логирование и мониторинг в облаке
    • IAM-гигиена и обнаружение мисконфигов
    • Docker security: образы, привилегии, секреты
    • Kubernetes security и RBAC
    • Детект атак на контейнеры (Falco)
14. BL14

    Автоматизация обороны и SOAR

    занятия 283–290 · 8 шт.

    • Зачем автоматизировать SOC
    • Python для обороны: обработка логов и алертов
    • Интеграции по API: SIEM, TI, тикеты
    • Автоматическое обогащение алертов
    • Плейбуки SOAR как код
    • Автоотчёты и метрики SOC с ИИ
15. BL15

    Purple Team, GRC и отчётность

    занятия 291–298 · 8 шт.

    • Purple teaming: цикл «атака → детект → улучшение»
    • Совместные учения с Red-группой
    • Gap-анализ покрытия ATT&CK
    • Основы GRC: ISO 27001, NIST
    • Метрики SOC (MTTD/MTTR) и отчётность
16. BL16

    Capstone: полный цикл обороны

    занятия 299–306 · 8 шт.

    • Постановка: инфраструктура и план мониторинга
    • Построение мониторинга: SIEM + NSM + endpoint
    • Набор детектов по ATT&CK
    • «Живая» атака от Red-группы и обнаружение
    • Полный IR по инциденту
    • Форензика, отчёт и посмортем