Привет, Хабр! На связи Дмитрий Неверов, руководитель направления тестирования внутренней инфраструктуры в Бастионе. Недавно я выпустил книгу «Идём по киберследу», представляющую собой практическое руководство по BloodHound — инструменту для разведки и анализа Active Directory, который очень любят хакеры, пентестеры и сисадмины. 

В статье расскажу о том, как работает это приложение и за что его так любят вышеупомянутые специалисты. Мы выясним, почему мониторинг Active Directory является ключевым элементом в построении безопасной сетевой инфраструктуры, и разберемся, как теория графов помогает защищать корпоративные сети. Напоследок поделюсь парой практических советов, которые помогут вам максимизировать пользу от этого инструмента при проведении пентестов.

В августе 2023 года ФСТЭК опубликовал проект документа, который может серьезно изменить подход к защите государственных информационных систем. Речь идет о новой версии печально известного 17-го приказа.

Новая версия этого акта существенно расширяет требования к защите информации и затрагивает не только ГИСы, но и другие информационные системы госорганов.

Что конкретно изменится, если проект примут? Станет ли сложнее соблюдать требования? Придется ли переделывать существующие системы защиты? В этой статье мы детально разберем ключевые изменения в требованиях ФСТЭК и попробуем понять, как они могут повлиять на работу ИБ-специалистов в государственных организациях. Об изменениях расскажет Анастасия Кузенкова, специалист по защите персональных данных Бастиона.

Спойлер: изменений действительно много, и они затрагивают практически все аспекты защиты информации — от определения целей до конкретных технических мер. Некоторые нововведения могут показаться избыточными, но если вы узнаете о них заранее, то у вас будет время подготовиться.

Помните, как в детстве нас учили не разговаривать с незнакомцами? В 2024 году эта мудрость обрела новый смысл: теперь нельзя быть уверенным даже в том, что разговариваешь со знакомым человеком, а не его нейросетевым двойником.

По данным The Wall Street Journal, за 2023 год количество «разводов» с использованием дипфейков в финтехе выросло на 700% по сравнению с 2022-м. Одновременно мошенники наращивают применение чат-ботов, увеличивая свои охваты. 

Мы позвали редактора рубрики «Финбезопасность» Т—Ж, автора и ведущего подкаста «Схема» Алексея Малахова, чтобы обсудить, как арсенал кибермошенников меняется под влиянием ИИ. 

Эксперт расскажет про новые схемы обмана, масштабные нейросетевые аферы и будущее в духе Cyberpunk 2077. Также поговорим о перспективах технологий верификации личности в мире, где «доверяй, но проверяй» превратилось в «не доверяй и перепроверяй дважды».

Вы прикладываете ключ-карту к считывателю, и дверь офиса открывается. Но что, если такой пропуск может взломать и скопировать любой желающий?

В 2020 году Shanghai Fudan Microelectronics выпустила новые смарт-карты FM11RF08S. Производитель заявил об их полной защищенности от всех известных методов взлома. Группа исследователей проверила эти заявления и обнаружила встроенный бэкдор, позволяющий получить полный доступ к данным карты.

В этой статье я расскажу захватывающую историю о том, как нашли этот бэкдор, и разберу катастрофические последствия его внедрения. Этот случай наглядно демонстрирует рискованность слепого доверия маркетинговым заявлениям о безопасности и важность независимого аудита критических систем.

ИБ-энтузиаст «теряет» на разных публичных площадках ключи AWS API, чтобы выяснить, как быстро до них доберутся злоумышленники, — и приходит к неутешительным результатам.

DevSecOps — это не просто модное словечко, а целая философия, объединяющая разработку, безопасность и операции. Но как применить эту философию на практике? Здесь на помощь приходят международные стандарты.

В этой статье мы рассмотрим пять основных международных DevSecOps-стандартов: DSOMM, BSIMM, OWASP SAMM, Microsoft SDL и NIST SP 800-64. Мы разберем их особенности, сильные и слабые стороны, а также поговорим о том, как адаптировать эти стандарты к российским реалиям.

Неважно, работаете ли вы в крупной корпорации или небольшом стартапе, — понимание этих стандартов поможет вам выстроить более безопасный и эффективный процесс разработки. 

Удаленная работа — не просто тренд, но и вечная головная боль для безопасников и специалистов по персоналу. Многие сотрудники Бастиона работают удаленно, и мы на собственном опыте убедились, что защита информации в таких условиях — это комплексная задача, охватывающая технологии, корпоративную культуру и психологию сотрудников. 

Сегодня расскажем, как в Бастионе подходят к созданию безопасной и продуктивной рабочей среды для удаленщиков. Выясним, почему чрезмерный контроль может быть неэффективным, зачем безопасникам поддерживать командный дух, и почему важно защищать корпоративные данные без ущерба для удобства работы. В общем, посмотрим на проблему удаленки и с позиций HR, и с точки зрения ИБ.

Представьте, что вы разрабатываете модель компьютерного зрения для распознавания кошек на фотографиях. Чем больше разных фото кошек вы покажете модели, тем лучше она будет справляться с задачей. Но что делать, если у вас не хватает фотографий? Вы же не пойдете делать 10000 фотографий вашего питомца? На такой случай существует решение — метод аугментации данных.

Сегодня подробно разберемся в том, как работает аугментация: рассмотрим ее влияние на точность моделей, разберем основные методы и инструменты для ее реализации, обсудим лучшие практики и типичные ошибки при работе с этим методом. Надеемся, что наш материал будет полезен как начинающим специалистам, так и опытным практикам машинного обучения и компьютерного зрения.

Ирландский full-time багхантер Monke делится советами по осознанному хакингу и подборкой инструментов, упрощающих поиск уязвимостей. Бонусом — список полезных ресурсов для тех, кто интересуется темой баг-баунти.

Мы продолжаем изучать, как ускоряют обучение нейросетей. В прошлой статье мы погрузились в теоретические аспекты этой проблемы. Сегодня перейдем к практике. 

Мы разберем несколько интересных исследований, которые демонстрируют эффективность различных подходов к ускорению нейросетей на разнообразных задачах и датасетах. Затем обсудим практические рекомендации по выбору и комбинированию методов оптимизации и расскажем, какие инструменты лучше использовать для профилирования и мониторинга процесса обучения. В довершение рассмотрим полезные библиотеки для быстрой и эффективной разработки.

Разбираемся в политике конфиденциальности Open AI и выясняем, почему эксперты окрестили GPT-4o «турбопылесосом данных».

Публикация открытых данных — благородное занятие, которое стимулирует исследования, инновации и прозрачность. В то же время заниматься этим бывает утомительно, а пользователи могут делать с вашими данными все, что им угодно. Такая утеря контроля над данными может быть нежелательной, но в некоторых случаях закон обязывает публиковать их именно под открытой лицензией. 

Лучший выход из подобной ситуации — опубликовать формально открытые данные, но сделать так, чтобы они никому не были интересны. Специально для таких сценариев я составил перечень стратегий, которые помогут избежать нежеланного внимания пользователей, заинтересованных в работе с вашими данными. 

Продажи в кибербезе имеют свою специфику: даже этапы сделки в этой сфере отличаются от классической последовательности, которая описана в маркетинговой литературе. А еще продажнику в ИБ сложно обойтись без использования OSINT. Да, сбор информации о цели в открытых источниках пригождается не только в пентестах и хакинге. 

Если вы не ждете, что бог торговли Гермес прилетит в своих крылатых сандалиях и поможет выполнить годовой план на 110%, предлагаем ознакомиться с best practices в продажах ИБ-услуг, которыми поделился наш BDM Иван Куракин. Передаем ему слово. 

Современные нейросетевые архитектуры достигают впечатляющих результатов в сложных задачах ИИ благодаря росту объемов данных и вычислительных мощностей. Однако обратной стороной медали стала высокая ресурсоемкость обучения.

Например, последняя версия GPT-4 от OpenAI обучалась на большом GPU-кластере. По некоторым данным, она содержит около 1,8 триллиона параметров, а ее обучение обошлось более чем в 100 млн долларов. А модель Llama 3.1 405B, вроде бы оптимизированная под ограниченные ресурсы, все равно требовала более 15 триллионов токенов и свыше 16 тысяч GPU NVIDIA H100.

И хотя нынешнее качество работы LLM уже можно действительно назвать выдающимся, на практике они подкидывают разработчикам широкий ряд проблем производительности: от запредельных объемов данных до оптимизации гиперпараметров. Все это приводит к потребности в ускорении обучения.

Мы подготовили серию материалов, которые помогут разобраться в ускорении обучения нейросетей. В этой статье рассмотрим различные теоретические аспекты от аппаратного ускорения до правильной организации самого обучения, в следующей — поговорим о практике. В общем, нас ждет глубокое погружение в тему. Приятного прочтения! 

Игры успешно конкурируют за внимание пользователей с соцсетями, новостями и кино. Борьба жесткая — лучшие проекты зарабатывают больше, чем фильмы-блокбастеры. Еще в 2018 году интернет взорвала новость о том, что GTA V заработала более $6 млрд. Для сравнения: фильм «Аватар», самый кассовый за всю историю кино, собрал $2,8 млрд. Сегодня рост игровой индустрии сместился в мобильный гейминг, а смартфоны в период с 2021 по 2026 год станут самой быстрорастущей категорией устройств.

Среди мобильных игр конкуренция не менее жесткая: в одном только Google Play доступно около 370 тысяч проектов. И даже очень талантливо сделанные игры могут легко остаться без внимания, если не увлекут пользователя с первых минут. Этот показатель — удержание игроков — оказывает значительное воздействие на рентабельность инвестиций в разработку и напрямую влияет на успех проекта. Но как удержать пользователей в мобильной игре? И можно ли здесь переборщить? Чтобы получить ответы на эти вопросы, мы расспросили наших партнеров, разработчиков из компании PRISMA.

Когда хакерские группировки из даркнета приходят за выкупом, большинство компаний впадает в панику. Этот человек обводит злоумышленников вокруг пальца.

В этой статье я расскажу об уроках, которые вынес при работе с многотерабайтными датасетами. Объясню, с какими сложностями столкнулся при увеличении масштабов датасета и как их удалось решить.

Я разделил статью на две части: первая посвящена масштабированию на отдельной машине, вторая — масштабированию на множестве машин. Наша цель — максимизировать доступные ресурсы и как можно быстрее выполнить поставленные задачи.