Uneltele moderne coboară dramatic bariera tehnică: o ipoteză despre cum ar arăta o tehnică de atac, care odată cerea ani de expertiză, este acum la un prompt distanță. Exact de aceea, singurul lucru care separă un profesionist de securitate de o anchetă penală nu mai este ce poate face, ci ce are voie să facă — și disciplina cu care rămâne acolo. Acest curs pornește din exact acea graniță și adoptă fără echivoc perspectiva apărătorului. Poziția noastră este blue-team-first: apărăm, detectăm, triajăm și răspundem — întotdeauna sub autorizare și în limitele legii, cu inteligența artificială ca multiplicator de forță pentru apărător, niciodată ca rețetă de atac.
Ce înseamnă „blue-team-first"
În terminologia securității cibernetice, echipele se împart conceptual în culori. Echipa albastră (blue team) este echipa de apărare: monitorizează, detectează, investighează și răspunde la amenințări. Echipa roșie (red team) emulează adversarul pentru a testa apărarea. Echipa violet (purple team) este colaborarea structurată dintre cele două, în care constatările ofensive se transformă imediat în îmbunătățiri defensive.
Acest curs adoptă explicit perspectiva apărătorului. Tot ce învățăm — de la corelarea evenimentelor într-un SOC (Security Operations Center), la threat hunting asistat de modele lingvistice, până la automatizarea triajului de alerte — servește scopul de a proteja o organizație. Inteligența artificială intră în ecuație ca multiplicator de forță pentru apărător: triază mai rapid mii de alerte, sumarizează contextul unei investigații, propune ipoteze de hunting, traduce un jurnal opac într-o narațiune lizibilă pentru un analist obosit la ora trei dimineața.
Blue-team-first nu înseamnă că ignorăm adversarul. Dimpotrivă: un apărător bun gândește ca un atacator. Diferența esențială este direcția intenției și a livrabilului. Studiem tehnicile adversariale ca taxonomie de detectat și blocat, nu ca rețetă de executat.
Ce NU este și NU oferă acest curs
Pentru a elimina orice ambiguitate, enumerăm explicit limitele. Acest curs:
- NU oferă rețete operaționale de atac. Nu vei primi pași reproductibili pentru a compromite un sistem.
- NU generează cod funcțional de malware, exploit-uri sau payload-uri ofensive.
- NU produce campanii de phishing, kit-uri de inginerie socială sau șabloane de momeală.
- NU învață ocolirea controalelor de securitate ale unor sisteme pe care nu le deții și nu ești autorizat să le testezi.
- NU constituie consultanță de securitate individualizată pentru organizația ta și nici consultanță juridică. Este un cadru educațional.
Această linie nu este o formalitate birocratică. Este granița dintre o profesie legitimă și o infracțiune. În modulele următoare vom vedea cum dreptul român și european tratează accesul neautorizat la sisteme informatice — și de ce documentul de autorizare este, literalmente, ceea ce te separă de o anchetă penală.
Distincția critică: threat intelligence vs. instrucțiuni de atac
Una dintre cele mai importante distincții pe care le va face un profesionist este între threat intelligence defensivă și instrucțiuni ofensive operaționale. Sunt lucruri profund diferite, chiar dacă uneori vorbesc despre aceleași tehnici.
Threat intelligence defensivă răspunde la întrebarea: „Cum recunosc, în loguri și telemetrie, că acest tip de tehnică a fost folosit împotriva mea?" Este descriptivă, orientată spre detecție, indicatori și contramăsuri. Instrucțiunile de atac răspund la o întrebare complet diferită: „Cum execut eu această tehnică împotriva unei ținte?" Acest curs locuiește exclusiv în primul registru.
