Информационная безопасность *

История о том, как современный подход к лицензированию вендора поставил нас в тупик, а решение нашлось в самом неожиданном месте.

Привет, Хабр!

Наверняка у многих из вас бывали такие дни. Приезжает новое, блестящее железо. В нашем случае — маршрутизатор Cisco ISR4331/K9. Задача стандартная: поднять на нём Site-to-Site VPN для клиента. Процедура, казалось бы, отработана до мелочей. Но, как говорится, есть один нюанс.

Оборудование было поставлено с предустановленной PLR (Permanent License Reservation) лицензией. Это современный механизм, который пришёл на смену классической активации через Smart Account, ставший недоступным в РФ. Теоретически, PLR — это благо: лицензия вечная, привязана к устройству и даёт право использовать весь функционал. На практике же мы столкнулись с тем, что самый нужный нам инструмент — команда crypto map — в консоли просто отсутствовал.

Привет, Хабр!
Наверняка у многих из вас бывали такие дни. Приезжает новое, блестящее железо. В нашем случае — маршрутизатор Cisco ISR4331/K9. Задача стандартная: поднять на нём Site-to-Site VPN для клиента. Процедура, казалось бы, отработана до мелочей. Но, как говорится, есть один нюанс.

Хабр, привет! На связи Александр Леонов, ведущий эксперт PT Expert Security Center и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies каждый месяц исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.

С прошлого дайджеста мы добавили 3 трендовые уязвимости.

Интернет‑провайдер работает в условиях, где сбой в инфраструктуре или успешная атака могут обернуться не просто потерей клиентов, а остановкой критичных сервисов для целых регионов. Поэтому подход «поставим пару фильтров и сделаем бэкап» давно не работает. На первый план выходит системная работа по обеспечению непрерывности бизнеса (BCM) и киберустойчивости. Это и проектирование сетей, и резервирование каналов до интеграции SOC, и импортонезависимые средства защиты.

В этой статье разберём ключевые стратегии и технологии, которые позволяют провайдерам держать сервис «на плаву».

В этой статье мы узнаем, что такое chains of gadget, и рассмотрим на примерах (с картинками), как неаккуратная десериализация через нативные Java механизмы может привести к удалённому выполнению кода.

Как защитить Kubernetes, если злоумышленник попытается выбраться из контейнера на хост? Рафаэль Натали предлагает многоуровневый подход: настройка Security Context, отказ от лишних прав, запуск контейнеров без root-доступа, а также усиление защиты с помощью AppArmor и seccomp.

Всем привет. Меня зовут Аня (SavAnna) я работаю AppSec и как хобби занимаюсь багбаунти. Багбаунти - отличный способ отдохнуть от своих сервисов и сменить фокус с "защиты" на "нападение". Не всегда баги ищутся целенаправленно - иногда это происходит случайно. Хочу показать, что много странных и простых багов может найти каждый.

Что-то очень много вопросов про согласие и его оформление задают мне в последнее время. Поэтому решил написать много текста в виде максимально развернутого ответа на эту тему. Надеюсь кому-то поможет разобраться в теме. Так что наливаем чай или кофе, и приступаем :-)

Привет, Хабр!

На связи Артемий Новожилов, архитектор систем ИБ и автор ТГ-канала Data Security и Дмитрий Ларин, руководитель продуктового направления по защите баз данных, группа компаний «Гарда». С нами вы могли познакомиться по таким статьям как маскирование и Apache Kafka. И сегодня мы хотим продолжить тему маскирования данных.

Современные компании обрабатывают огромные объемы конфиденциальных данных: персональные данные (как сотрудников, так и партнеров и клиентов), информацию о клиентах и их заказах, финансовые и бухгалтерские сведения, данные, относящиеся к коммерческой тайне и интеллектуальной собственности, а также технические настройки и доступы. В связи с этим возникают повышенные риски утечки данных, сложности с соблюдением требований законодательства (например, ФЗ-152 и GDPR), угроза инсайдерских атак, а для тестов или аналитики приходится создавать отдельные копии баз данных (БД).

Один из эффективных способов защиты данных – динамическое маскирование (Dynamic Data Masking, DDM).

В этой статье мы рассмотрим, как топологические методы меняют или будут менять наше понимание безопасности. Мы увидим, что безопасность не достигается через максимальную случайность, а через специфическую, строго определенную топологическую структуру — тор с максимальной энтропией. Это не просто шаг вперед — это прыжок в новую эпоху, где безопасность перестает быть верой и становится наукой.

Про управление рисками достаточно подробно написано в соответствующих учебниках, стандартах и методологиях, нет смысла пересказывать то же самое еще раз. Но недавно коллега, беседуя по вопросам рисков, поделился одним изящным решением придуманным недавно в ходе мозгового штурма и был удивлен, когда узнал, что в моей библиотеке практик это решение присутствует уже несколько лет. Поэтому хотелось бы поделиться некоторым набором практических подходов, которые, возможно, помогут другим хотя бы сэкономить время.

Однако, прежде чем рассказывать что‑либо о рисках, надо все таки обратиться к основам и определиться с терминами. Нужно сразу оговориться, что на практике иногда используют двойственную природу риска, говоря, что кроме опасностей он несет и возможности, но в данном случае мы будем рассматривать только о негативную сторону рисков.

В дискуссиях и спорах, для обоснования своей точки зрения при разработке стратегий, планировании бюджета и особенно при прохождении проверок и аудитов, участники часто используют термины «высоко‑рисковый», «риск‑ориентированный», «аппетит к риску». Но если спросить, что каждый из них под этим понимает, может выясниться, что понимание у всех разное.

Обычно используют определение из методик COSO (The Committee of Sponsoring Organizations) или стандартов ГОСТ серии 31 000 в виде: «Риск это следствие влияния неопределенности на достижение поставленных целей» либо более коротко, как в стандартах ГОСТ 27 000 или ГОСТ 51897: «Влияние неопределенности на достижение целей». Это определение полезно тем, что привязывает риск к бизнес‑цели и дает возможность отсечь то, что не относится к достижению целей бизнеса. Но, к сожалению, в таком определении отсутствуют четко измеряемые показатели. Поэтому обычно рядом с таким определением есть уточнение или примечание, как в том же стандарте 31000, где говорится, что понятие риска связано с размером потенциального ущерба и вероятностью его наступления. Таким образом у нас появляются два параметра, которые можно измерять.

Данная статья посвящена обзору целого класса способов и техник атак, направленных на маскирование своей активности и обход имеющихся механизмов защиты и обнаружения. Этот класс техник атак достаточно стар и носит название Living Off the Land, он активно используется злоумышленниками на протяжении последних нескольких десятилетий — сейчас практически ни одна APT атака не обходится без использования данных техник. Они завоевали огромную популярность среди злоумышленников в первую очередь ввиду того, что в силу своей природы позволяют им оставаться ниже радара SOC, маскируясь под легитимные системные события. Эти техники подразумевают использование имеющихся механизмов ОС и доверенных, не вызывающих подозрения инструментов, для скрытного выполнения кода, горизонтального перемещения, удаленного контроля, сбора данных, повышения привилегий и т.д. Также в статье будут рассмотрены способы обнаружения и противодействия данному классу техник атак.

В ближайшее время почти четверть всех утечек данных будет связана с внедрением искусственного интеллекта. Этот вывод из исследования Б1 как нельзя лучше иллюстрирует новую реальность, в которой ИИ становится рабочим инструментом злоумышленников.

По данным совместного опроса VK и агентства Prognosis, семь из десяти российских компаний уже внедрили в своей работе те или иные ИИ-инструменты. Они используются в клиентской поддержке, продуктовом маркетинге, работе с внутренними базами данных и вопросах кибербезопасности. В этом случае ИИ-технологии разгружают персонал, берут на себя рутинные задачи и становятся инструментом защиты.

Полина Сокол, менеджер продукта группы развития ML-технологий ГК «Солар», рассказывает, как ИИ усложняет атаки и затрудняет их распознавание, как проявляется влияние ИИ в сфере фишинга, и как нейронные сети используются для обхода антивирусных баз. И главное — что противопоставляет этим технологическим вызовам рынок кибербезопасности.

ИИ в кибератаке: модификация кода в реальном времени для обхода антивирусов

В топе атак с использованием ИИ — АРТ-атаки (усовершенствованная постоянная угроза), вредоносное ПО с внедренным ИИ, дипфейки на базе генерации ИИ, DDoS-атаки и фишинг. Также искусственный интеллект уже используется для создания полиморфных вирусов. Они в реальном времени модифицируют свой код и обходят антивирусные базы. Так, специалистам по кибербезопасности уже хорошо известен вредонос BlackMamba. Он интегрирует языковые модели для изменения своего кода и уклонения от обнаружения. Вредонос подробно описали его создатели, исследователи из компании Hyas. BlackMamba использует безопасный исполняемый файл, который обращается к высокоуровневому API (например, к API ChatGPT от OpenAI). Он возвращает синтезированный вредоносный код для исполнения на зараженном устройстве пользователя с использованием функции Python exec(). Важно, что вредоносная полиморфная часть при этом полностью остается в памяти и не обнаруживается антивирусными решениями. При каждом запуске вредонос повторно синтезирует возможности кейлогинга, при этом основной вредоносный компонент так и не удается обнаружить. Этот вредонос опасен тем, что может собирать конфиденциальную информацию с устройств пользователя. Имена пользователей, номера кредитных карт, пароли и другие чувствительные данные через веб-перехватчик Microsoft Teams отправляется на вредоносный канал, где попадают в распоряжение злоумышленников.

Директор ООО «П» З. был осужден за незаконное использование в работе компании объектов авторского права (нелицензионных программ), принадлежащих потерпевшему ООО «С», в крупном размере с использованием своего служебного положения (п. «г» ч. З ст. 146 УК РФ ). З. назначено наказание в виде лишения свободы с условным сроком. В последующих инстанциях, включая областной и кассационный суд, приговор был оставлен без изменения. 

Суды обосновали наличие умысла у З. тем, что он знал об использовании при осуществлении деятельности в ООО «П» нелицензионных программ, поскольку проигнорировал требования обязательного представления полиции от 30.09.2022, в котором были приведены положения закона, запрещающие использование объектов авторского права и возлагающие на руководителя обязанность по устранению нарушений.

Кроме того, суды указывали, что З. не привлек ИТ-специалиста для проверки компьютерной техники на наличие нелицензионных программ, хотя имел такую возможность.

Рассматривая кассационную жалобу адвоката З., Верховный Суд РФ отменил определения нижестоящих судов и направил дело на новое апелляционное рассмотрение. 

ВС РФ посчитал, что вывод суда о наличии умысла вызывает сомнение, поскольку «непривлечение осужденным специалиста для проверки компьютеров после получения предписания полиции само по себе не свидетельствует о том, что З. знал об использовании... нелицензионных компьютерных программ»» и предвидел наступление крупного ущерба.

 В чем состояла главная ошибка нижестоящих судов?

Несмотря на признание важности фреймворка MITRE ATT&CK, существует проблема, связанная с процессом его изучения. Главная сложность кроется в самой структуре фреймворка: таблица объемна и многослойна. Пользователи неизбежно вынуждены постоянно переключаться между подразделами для получения полной картины. Такой способ подачи информации сильно затрудняет линейное последовательное прочтение. Помимо этого, табличная форма изложения материала мешает сосредоточиться на общем понимании концепции, вынуждая фокусироваться лишь на отдельных элементах.

Еще одним серьезным препятствием становится языковой барьер: документация доступна на английском языке. Конечно, современному IT‑специалисту важно владеть английским, однако это не отменяет факта, что восприятие и усвоение материалов на родном языке проходит намного легче и эффективнее. Даже при хорошем уровне владения иностранным языком скорость обработки информации заметно снижается, что усугубляет трудности при попытке овладеть таким большим объемом сложных данных.

Данная статья представляет собой конспект переведенной информации, содержащейся в MITRE ATT&CK. Ее цель состоит не в детализированном описании каждой отдельной техники вместе с методами противодействия, а в создании целостной системы представлений, позволяющей эффективно ориентироваться в многообразии техник. В рамках текущего обзора сосредоточимся исключительно на тактике Reconnaissance.

Количество кибератак, направленных на облачные и гибридные сервисы в России, за первые 8 месяцев 2025 года превысило суммарный показатель за 2023 и 2024 годы и достигло отметки в 105 млн инцидентов. В условиях подобных вызовов востребованной стратегией для бизнеса становится использование всех доступных мер защиты инфраструктуры и данных, в первую очередь критически значимых, например финансовых отчетов и юридических документов. 

Рассказываем и показываем, как обеспечить максимальный уровень защиты данных в объектном хранилище S3 на примере Object Storage от VK Cloud.

Доступ к грамотному выстраиванию процессов в сфере информационной безопасности должен быть у каждой компании, даже со скромным бюджетом — именно такой подход исповедуют в компании SECURITM. В рамках этой концепции, пять лет назад специалисты компании запустили бесплатную Community-версию ресурса — SECURITM Community.

Её философия проста: дать специалистам по ИБ возможность обмениваться опытом, пользоваться готовыми инструментами и строить эффективную систему безопасности с нуля. И один из свежих примеров того, как это работает на практике, — кейс Пятигорского завода «Импульс». На нём объясним, как работает сообщество.

Инструменты вроде OpenSearch, Elastic или Kibana давно стали стандартом для поиска и визуализации логов благодаря удобству и мощной поисковой системе. Однако, когда речь заходит о сложном анализе — агрегациях, парсинге, выявлении сложных закономерностей — их встроенные средства быстро достигают предела возможностей. Особенно сложно становится, если структура логов далека от идеала: например, как у нас — всё содержимое свалено в одно поле Message в формате JSON.

Меня зовут Игорь Щегловитов, я работаю экспертом по тестированию в QC облачной инфраструктуры и веб-порталов. Раньше наша команда решала такие задачи кастомными утилитами на C#, которые выгружали логи из ELK и анализировали их локально. Однако каждое новое требование превращалось в мини-проект: доработать код, написать новые парсеры, скрипты агрегации и фильтрации. Работа замедлялась, техдолг рос.

Я решил использовать связку AI-агентов с кастомными промптами, собственный сервисный слой (MCP) для доступа к логам и LLM-модель, чтобы превращать пользовательские запросы в автоматический алгоритм анализа. Так, кейсы вроде «Посчитай уникальных пользователей за сутки» или «Проанализируй ошибки за период» решаются без ручного кодинга.

Под катом мой кейс: расскажу, как это сделал, поделюсь ссылкой на гитхаб, так что, если хотите упростить себе анализ логов, — эта статья для вас.

В данной работе мы доказали, что структура параметров в ECDSA является строго детерминированной и не зависит от случайности . Это свойство вытекает из линейного соотношения , которое формирует регулярную сетку параллельных линий на торе. Мы применили методы топологического анализа данных (Mapper, персистентная гомология) для визуализации этой структуры и показали её криптографические последствия.

Часто при просмотре видеозаписей кажется, что всё на своих местах: события, люди, действия. Всё выглядит логично — до тех пор, пока не обращаешь внимания на время. Когда дата на видео не совпадает с реальностью, это меняет всё. В этой статье Андрей Кравцов, специалист Лаборатории цифровой криминалистики F6, расскажет о случае из практики, когда именно нестыковка во времени стала ключом решения. Истину помогли установить не кадры, а скрытые от глаз журналы событий, которые хранят больше, чем кажется на первый взгляд.

Изначально задача казалась тривиальной: провести криминалистический анализ, в рамках которого восстановить видеозаписи с жёсткого диска видеорегистратора. Заказчик сообщил, что самостоятельно найти и просмотреть видеозаписи за определённый период не получилось, это и стало причиной обращения к нам в Лабораторию.

С каждым годом роль DevSecOps в обеспечении безопасной разработки ПО становится всё больше и больше. Масло в огонь подливает стремительное развитие ИИ. Больше не в моде письма от «нигерийских принцев» и многомиллионных выигрышах. На смену им пришли дипфейки, имитирующие голос, внешность и поведение звёзд, директоров
и других ЛПР. В этой и следующих своих статьях я расскажу, какие подходы для обеспечения безопасности мы, как DevSecOps, используем в CUSTIS.