Читать о безопасности полезно, но по-настоящему ей учатся на практике. Проблема в том, что практика на чужих системах — это преступление. Домашняя лаборатория решает её: это небольшая сеть виртуальных машин на вашем собственном компьютере, где можно спокойно атаковать, ломать, наблюдать и чинить. Расскажу, как я бы собрал её с нуля.
Главное правило: разрешение
Проверяйте только свои системы или те, на которые у вас есть письменное разрешение. Сканировать соседский Wi-Fi, сайт школы или случайный сервер «просто посмотреть» незаконно почти в любой стране, включая Узбекистан, какими бы ни были ваши намерения. Всё, о чём идёт речь ниже, происходит внутри вашего компьютера.
Не подключайте уязвимые машины к домашней сети и к интернету. Они созданы для взлома, и взломать их сможет любой, кто до них дотянется, а не только вы.
Что понадобится
- Компьютер с аппаратной виртуализацией (Intel VT-x или AMD-V), включённой в настройках BIOS или UEFI. Она есть почти у всех машин последних десяти лет.
- Оперативная память: 16 ГБ хватит с запасом. Kali занимает 2–4 ГБ, небольшая цель около 1 ГБ, машина с Windows от 4 ГБ. Если памяти 8 ГБ, запускайте одновременно одну атакующую машину и одну лёгкую цель.
- Диск: 80–100 ГБ свободного места, лучше на SSD.
Ни отдельного роутера, ни особого железа, ничего покупать не нужно.
Выбираем гипервизор
Гипервизор — это программа, которая запускает виртуальные машины. На ноутбуке или обычном компьютере проще всего начать с VirtualBox (бесплатный, с открытым кодом) или VMware Workstation Pro, который теперь тоже бесплатен. Оба работают в Windows и Linux. Если есть лишний ПК, Proxmox VE превратит его в отдельный сервер для лаборатории с управлением через браузер. Выберите один и не распыляйтесь: принципы везде одинаковые.
Изолируем лабораторию
Подключите все машины лаборатории к сети host-only или к внутренней сети (internal network). В VirtualBox для этого переключите сетевой адаптер в режим «Host-only Adapter» или «Internal Network»: машины видят друг друга (а в режиме host-only ещё и ваш компьютер), но не видят роутер и интернет. Если атакующую машину нужно обновить, ненадолго переключите её адаптер в NAT, а потом верните обратно. Уязвимым машинам интернет не нужен вообще.
Сделайте снимок (snapshot) каждой машины, пока она чистая, и ещё один перед каждым экспериментом. Если что-то сломалось, откат занимает секунды. Снимки позволяют спокойно пробовать то, что вы ещё не до конца понимаете, а ради этого лаборатория и нужна.
Атакующая машина и цели
Kali Linux
Kali Linux — ваша атакующая машина: система на основе Debian с сотнями предустановленных инструментов безопасности. На сайте Kali есть готовые образы для VirtualBox и VMware, так что вручную ничего устанавливать не придётся.
Уязвимые цели
Их создали специально для взлома, поэтому для практики они идеальны:
- Metasploitable 2 — старый Linux-сервер, полный устаревших сервисов. Никогда не подключайте его к настоящей сети.
- DVWA (Damn Vulnerable Web Application) — сайт на PHP с уровнями сложности для SQL-инъекций, XSS и других классических веб-уязвимостей.
- OWASP Juice Shop — современный интернет-магазин с более чем сотней заданий. С Docker он запускается одной командой и доступен только с вашего компьютера:
docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shop
Затем откройте в браузере http://localhost:3000. Часть 127.0.0.1 важна: без неё магазин будет доступен и другим устройствам в вашей сети Wi-Fi.
Наблюдаем за трафиком
Wireshark показывает каждый пакет, проходящий через сетевой интерфейс. Burp Suite Community Edition встаёт между браузером и веб-приложением и позволяет читать и изменять каждый запрос. Оба инструмента бесплатны и объясняют, как на самом деле устроен веб, лучше многих курсов.
Первое упражнение
Запустите Kali и Metasploitable 2 в одной сети host-only, а затем выполните на Kali:
# Какой у меня адрес и в какой я сети?
ip -brief address
# Находим машины в своей лабораторной сети
# (192.168.56.0/24 — стандартный диапазон host-only в VirtualBox, подставьте свой)
nmap -sn 192.168.56.0/24
# Открытые порты цели и версии сервисов
nmap -sV 192.168.56.101
Читайте вывод не спеша. Поищите информацию о каждом сервисе и его версии: какие из них устарели на годы и что о них известно? Выберите один и разберитесь, как атакующий мог бы им воспользоваться и, что не менее важно, как администратор должен это исправить. Потом повторите сканирование с открытым Wireshark и посмотрите, как сканирование портов выглядит со стороны защитника.
Площадки для практики
Когда домашней лаборатории станет мало, эти сайты дадут законные цели на своей инфраструктуре:
- TryHackMe — пошаговые комнаты прямо в браузере, самый дружелюбный старт.
- Hack The Box — машины посложнее и курсы HTB Academy.
- OverTheWire — бесплатные варгеймы; Bandit учит основам Linux через SSH.
- PortSwigger Web Security Academy — бесплатные и очень качественные лаборатории по веб-безопасности.
- VulnHub — уязвимые машины, которые можно скачать в свою лабораторию.
Ведите заметки
Записывайте каждую команду, что она вернула, как вы это поняли и чему научились. Хватит папки с Markdown-файлами или приложения вроде Obsidian. Заметки превращают хаотичные попытки в настоящую учёбу, а аккуратные разборы машин, которые уже ушли в архив, становятся портфолио. Только не публикуйте решения для активных машин: Hack The Box, например, это запрещает, к тому же так вы испортите удовольствие другим.
