for_each — динамическое создание ресурсов по map/set. В отличие от count, управляет каждым ресурсом по ключу

Пример: создание S3-бакетов:
hcl

variable "buckets" {

  default = {

    logs    = "my-logs-bucket"

    assets  = "my-assets-bucket"

  }

}



resource "aws_s3_bucket" "this" {

  for_each = var.buckets

  bucket   = each.value

  tags     = { Name = each.key }

}

lifecycle — управление поведением ресурсов:


 • create_before_destroy — создание новой версии перед удалением (минимизирует downtime)
 • prevent_destroy — защита от случайного удаления
 • ignore_changes — игнорирование изменений атрибутов


locals — локальные выражения для упрощения кода:

hcl

locals {

  common_tags = {

    Environment = "prod"

    Project     = "my-project"

  }

}

Применяйте продвинутые техники с Riqli

Data Sources и Import существующих ресурсов


Data Sources (источники данных) — позволяют читать информацию о существующих ресурсах, созданных вне Terraform.

Пример: получение ID последнего AMI:

hcl

data "aws_ami" "latest_ubuntu" {

  most_recent = true

  owners      = ["099720109477"]

  filter {

    name   = "name"

    values = ["ubuntu/images/hvm-ssd/ubuntu-22.04-amd64-server-*"]

  }

}



resource "aws_instance" "web" {

  ami           = data.aws_ami.latest_ubuntu.id

  instance_type = "t3.micro"

}

Terraform Import — команда для импорта существующих ресурсов в управление Terraform:

bash

terraform import aws_instance.web i-1234567890abcdef0

После импорта необходимо написать конфигурацию ресурса, чтобы Terraform мог управлять им.

Импортируйте существующую инфраструктуру с Riqli

Рабочие области (Workspaces) и мультиокружения


Workspaces — механизм управления несколькими средами (dev, stage, prod) в рамках одной конфигурации.

Команды:


 • terraform workspace new dev — создание области
 • terraform workspace select dev — переключение
 • terraform workspace list — список


Пример:
hcl

locals {

  environment = terraform.workspace

}



resource "aws_instance" "web" {

  instance_type = local.environment == "prod" ? "t3.large" : "t3.micro"

  tags = {

    Environment = local.environment

  }

}

Альтернативы: отдельные директории (/dev, /prod) или файлы terraform.tfvars.

Важно: Workspaces не изолируют состояние полностью — для Production используйте отдельный бэкенд.

Разделяйте среды эффективно с Riqli

Модули: переиспользование и стандартизация


Модули — ключевой элемент масштабируемой инфраструктуры. Они инкапсулируют набор ресурсов в многократно используемые компоненты.

Преимущества:
 • DRY — минимизация дублирования
 • Стандартизация — единые подходы
 • Упрощение поддержки — изменения в одном месте


Модули публикуют в Terraform Registry или приватных реестрах.

Структура модуля:

text

modules/

  vpc/

    main.tf variables.tf outputs.tf

  ec2/

    main.tf variables.tf outputs.tf

Пример использования:
hcl

module "my_vpc" {

  source  = "terraform-aws-modules/vpc/aws"

  version = "5.0.0"

  name    = "my-vpc"

  cidr    = "10.0.0.0/16"

}

Строите масштабируемую инфраструктуру с Riqli

Управление состоянием (State) и удалённые бэкенды


Файл состояния (state)— ключевой элемент Terraform. Он содержит информацию о созданных ресурсах и их атрибутах.

Для командной работы критически важно использовать удалённый бэкенд(S3, Terraform Cloud, Consul). Это даёт:


 • Блокировку — предотвращает конфликты при одновременных изменениях
 • Централизованное хранение истории
 • Безопасность — данные не хранятся локально


Пример настройки бэкенда S3 с блокировкой через DynamoDB:
hcl

terraform {

  backend "s3" {

    bucket         = "my-terraform-state"

    key            = "prod/terraform.tfstate"

    region         = "us-east-1"

    dynamodb_table = "terraform-locks"

  }

}

Интеграция с GitHub Actions автоматизирует проверки и деплой, следуя принципам GitOps.

Управляйте состоянием профессионально с Riqli

Введение в Terraform и Infrastructure as Code


Terraform — инструмент с открытым исходным кодом от HashiCorp для управления инфраструктурой как кодом (IaC).

Он использует декларативный язык HCL (HashiCorp Configuration Language). В отличие от императивных подходов (Ansible, bash-скрипты), вы описываете желаемое состояние системы, а Terraform сам определяет, какие действия нужны для его достижения.

Установка доступна через менеджеры пакетов (apt, brew, chocolatey) или ручную загрузку бинарных файлов. Поддерживаются все основные ОС.

Провайдеры — это плагины для взаимодействия с API облачных платформ (AWS, Azure, GCP) и внешних сервисов.

Модули — многократно используемые компоненты, инкапсулирующие набор ресурсов.

Автоматизируйте инфраструктуру с Riqli

Безопасность контейнеров и секретов


Безопасность контейнеров — защита от нарушения изоляции (container escape).
Основные векторы атак:


 • Запуск привилегированного контейнера
 • Монтирование хостовой файловой системы
 • Опасные capabilities (CAP_SYS_ADMIN)
 • Уязвимости в ядре


Техники усиления:


 • seccomp — фильтрация системных вызовов
 • AppArmor — ограничение доступа к файлам
 • Security Context — контроль привилегий (запрет повышения)
 • Distroless образы — минимизация инструментов для взлома
 • Запуск от не-root пользователя


Управление секретами:


 • Push-модель — зашифрованные секреты в репозитории (Helm Secrets + sops)
 • Pull-модель— загрузка из HashiCorp Vault через оператор


Vault — стандарт де-факто: динамические секреты, интеграция с LDAP/Kubernetes, шифрование данных.

Защищайте контейнеры и секреты с Riqli

Admission Controllers и Open Policy Agent (OPA)


Admission Controllers — плагины, перехватывающие запросы к API-серверу до создания объекта в кластере. Могут изменять или блокировать запросы.

Open Policy Agent (OPA) и его реализация Gatekeeper позволяют писать сложные политики на языке Rego.

Примеры политик:


 • Запрет на использование образа с тегом latest
 • Запрет на запуск привилегированных контейнеров
 • Требование запуска от непривилегированного пользователя


Режимы работы политик:


 • Валидация — блокировка небезопасных объектов
 • Мутация — автоматическое исправление манифестов
 • Аудит — выявление существующих ресурсов, не соответствующих политикам


Это критично для постепенного ужесточения правил в работающем кластере.

Внедряйте политики безопасности с Riqli

RBAC и принцип наименьших привилегий


Разграничение доступа в Kubernetes:


 • Аутентификация — «кто ты?» (рекомендуется OIDC-провайдеры, например Dex)
 • Авторизация — «что ты можешь делать?» (механизм RBAC)


RBAC (Role-Based Access Control) — основной механизм авторизации. Позволяет назначать права (роли) пользователям и сервис-аккаунтам.

Принцип наименьших привилегий — предоставляйте только те разрешения, которые необходимы для конкретной задачи.

Сервис-аккаунты предназначены для приложений внутри кластера, а не для пользователей. Их токены должны выдаваться с минимальными привилегиями.

Для визуализации RBAC используйте rbac-tool — помогает анализировать и упрощать сложные структуры прав.

Настраивайте доступ безопасно с Riqli

Защита Control Plane и шифрование etcd


Защита Control Plane начинается с API-сервера и базы данных etcd.

Шифрование данных в etcd — критический шаг. По умолчанию секреты хранятся в base64 (открытый вид). Включение шифрования через --encryption-provider-config гарантирует, что даже при доступе к etcd злоумышленник не прочитает секреты.

Рекомендуемый алгоритм — aescbc с надёжным управлением ключами.

Для автоматической проверки настроек используется kube-bench (стандарт CIS Benchmark). Он находит:


 • Неправильные права на файлы
 • Незащищённые порты
 • Выключенный аудит-лог


Аудит-лог — ключевой инструмент для обнаружения аномалий и расследования инцидентов.

Защищайте Control Plane профессионально с Riqli

Эшелонированная оборона (Defense in Depth)


Эшелонированная оборона (Defense in Depth) — стратегия, где механизмы безопасности наслаиваются, создавая множество барьеров.

В Kubernetes защита строится на уровнях:


 1. Безопасность кода и образов — сканирование уязвимостей, подпись образов
 2. Безопасность манифестов — Admission Controllers, Policy Engines (OPA/Gatekeeper)
 3. Безопасность контейнеров — seccomp, AppArmor, Security Context
 4. Безопасность окружения — сетевые политики, RBAC, шифрование etcd


Если один уровень скомпрометирован — другие должны остановить атаку.

Анализ рисков начинается с вопросов к бизнесу: «Какие активы критичны?» и «Какие сценарии приведут к потерям?».

Внедряйте многоуровневую защиту с Riqli

Модели нарушителей и MITRE ATT&CK для Kubernetes


Эффективная защита строится на понимании моделей нарушителей:


 • Внешние атакующие — автоматизированные сканеры, поиск незащищённых компонентов (например, Kubernetes Dashboard)
 • Внутренние нарушители — недовольные сотрудники, знающие архитектуру
 • Переход моделей — атакующий может повышать привилегии внутри кластера


Для систематизации угроз используется матрица MITRE ATT&CK для Kubernetes. Она описывает тактики и техники: от первоначального доступа до воздействия на данные.

Важно: матрица описывает только известные угрозы. Атакующие ищут новые векторы — например, компрометацию цепочки поставок (supply chain).

Анализируйте угрозы системно с Riqli

Почему безопасность Kubernetes — это итеративный процесс


Безопасность в Kubernetes — это бесконечный итеративный процесс, а не конечный результат.

Kubernetes — декларативная платформа. Всё описывается в YAML-манифестах, что позволяет рассматривать инфраструктуру как код. Это меняет подход к защите:


 • Проверка конфигураций на ранних стадиях
 • Автоматизация аудита
 • Применение политик безопасности как код
Каждый кластер уникален («как снежинка») — собирается из разных CNI-плагинов, container runtimes, облачных провайдеров. Нет единого рецепта безопасности.
Понимание этой уникальности — первый шаг к надёжной защите.

Строите защиту Kubernetes-кластеров? Обращайтесь к Riqli

Active Directory и эскалация привилегий


Active Directory — центральный элемент корпоративной инфраструктуры. Атаки на AD — одна из ключевых тем пентеста.

Инструменты и техники:


 • BloodHound — визуализация путей атак в AD
 • Kerberoasting — получение паролей учетных записей служб
 • DCSync — имитация контроллера домена для извлечения хешей
 • dnscat2 — скрытое управление через DNS-туннели
 • Empire — пост-эксплуатация и управление зараженными машинами


Эскалация привилегий в Windows и Linux — после получения начального доступа задача повысить права до максимального уровня.

Это позволяет тестировать внутреннюю защиту компаний и находить критические пути атаки.

Защищайте корпоративные сети с Riqli

Веб-уязвимости: клиентская и серверная части


Веб-пентест охватывает уязвимости как клиентской, так и серверной частей.

Клиентская часть:


 • XSS (хранимые, отраженные, DOM-based) — выполнение кода в браузере жертвы
 • Понимание DOM и JavaScript для поиска уязвимостей


Серверная часть:


 • SQL-инъекции — ручная эксплуатация и автоматизация через sqlmap
 • XXE-инъекции — извлечение файлов через XML-парсеры
 • LFI/RFI — включение локальных и удалённых файлов
 • CSRF — подделка межсайтовых запросов


Для успешного поиска этих уязвимостей необходимо понимание работы веб-приложений: браузера, HTTP-протокола, серверных технологий.

Выявляйте веб-уязвимости профессионально с Riqli

Программирование на Python для пентеста


Python — ключевой язык для пентестера. Он позволяет автоматизировать задачи и создавать собственные инструменты.

Что изучается:


 • Переменные, типы данных, функции
 • Работа с библиотеками (requests, socket, subprocess)
 • Написание директори фаззера — инструмента для перебора каталогов
 • Создание кейлоггера для тестирования безопасности


Пример простого скрипта для отправки HTTP-запроса:

python

import requests

response = requests.get('http://example.com')

print(response.status_code)

Навыки программирования критичны для автоматизации рутинных задач, когда готовые инструменты не подходят.

Автоматизируйте пентест-задачи с Riqli

Разведка (Reconnaissance) и OSINT


Разведка — ключевой этап пентеста. От качества сбора информации зависит успех всей операции.

Что входит в разведку:


 • Сбор данных о системе (IP-адреса, домены, поддомены)
 • Информация о пользователях и сотрудниках
 • Поиск утечек данных в открытых источниках (OSINT)
 • Анализ публичной информации о компании


Инструменты разведки: Nmap (сканирование портов), theHarvester (сбор email), Shodan (поиск устройств), Maltego (визуализация связей).

На этом этапе формируется карта атаки. Без качественной разведки любые дальнейшие действия теряют эффективность.

Проводите профессиональную разведку с Riqli

Виртуальная лаборатория: Kali Linux и уязвимые цели


Практика начинается с разворачивания виртуальной лаборатории.

Инструменты:


 • VirtualBox — платформа для виртуализации
 • Kali Linux — дистрибутив для пентеста со встроенными инструментами
 • Уязвимые виртуальные машины — цели для безопасных атак


Создаётся изолированная сеть, где можно безопасно проводить атаки без риска навредить реальным системам. Это основа для всех последующих практических заданий.

Kali Linux содержит сотни инструментов: Nmap, Metasploit, Burp Suite, sqlmap и другие. Настройка лаборатории — первый шаг к освоению профессии.

Создавайте безопасную среду для обучения с Riqli

Программа обучения: от основ до black box


Программа курса состоит из блоков — от введения в IT до практики тестирования корпоративных сетей.

Ключевые направления:


 • Методология пентеста — этапы, документация, подходы
 • Программирование на Python — автоматизация задач, написание инструментов
 • Основы работы с сетями — TCP/IP, DNS, маршрутизация


Завершает обучение финальная практическая работа в формате black box. Это максимально приближенный к реальности сценарий: студент ничего не знает о защищаемой системе и должен применить все полученные навыки.

Такой подход формирует готовность к реальным проектам, где информация о цели ограничена.

Проходите полный цикл обучения с Riqli

Введение в профессию этичного хакера


Курс «Этичный хакер (пентест)» готовит специалистов по тестированию на проникновение, которые используют навыки для выявления уязвимостей.

Студенты знакомятся с:


 • Методологией пентеста
 • Инструментарием
 • Подходами, применяемыми в реальных проектах


Основная цель — научиться мыслить как злоумышленник, чтобы эффективно защищать информационные системы.

Пентестер — это специалист, который легально атакует системы для поиска слабых мест. В отличие от хакера, он работает с разрешения и строго в рамках закона.

Программа построена от фундаментальных знаний до сложных практических задач: разведка, эксплуатация, эскалация привилегий, составление отчётов.

Осваивайте востребованную профессию с Riqli