Информационная безопасность *

Привет! Я Чернышов Юрий, к.ф.-м.н., доцент УрФУ, руководитель исследовательского центра UDV Group (компания разработчик ПО для ИБ в Екатеринбурге).

17-19 сентября меня пригласили принять участие в круглом столе “Современные вызовы в безопасности AI и пути их решения”, который являлся частью международного форума “Kazan Digital Week - 2025” в Казани. Совместно с коллегами из фонда «Сколково», «Яндекса», «Телеком Интеграции», Банка ПСБ, компании «Фишман» и компании «Аватек» обсудили актуальные вопросы безопасности инновационных технологий и решений с применением ИИ. Участников было много, по сути я ответил только на пару вопросов ведущего (ниже). Слушая коллег и обсуждая уже после мероприятия эту важную тему — фиксировал мысли и заметки, которые, после незначительного оформления оставлю здесь.

Некоторые уязвимости, связанные с повреждением памяти, невероятно сложны для эксплуатации. Они могут вызывать состояния гонки, приводить к сбоям системы и накладывать разные ограничения, которые усложняют жизнь исследователя. Работа с такими «хрупкими» багами требует значительно больше времени и усилий. CVE-2024-50264 в ядре Linux — как раз одна из таких сложных уязвимостей, которая получила премию Pwnie Award 2025 в категории «Лучшее повышение привилегий» (Best Privilege Escalation). В этой статье я представлю свой проект kernel-hack-drill и покажу, как он помог мне разработать прототип эксплойта для уязвимости CVE-2024-50264.

Всем привет! Разбираем ключевые CVE ушедшего месяца. В сентябре звездой стала раскрытая уязвимость в Azure Entra ID: токены от бэкенда плюс легаси API с отсутствием их валидации позволяли злоумышленнику получить доступ к любому аккаунту с Entra ID.

Конечно, ни месяца без критических уязвимостей от Cisco: в IOS и IOS XE переполнение буфера в протоколе SNMP, а в Cisco ASA и FTD — в веб-сервере VPN; обе под произвольный код. Уязвимостями под RCE также отметились продукты от Broadcom, брандмауэры компании WatchGuard Firebox и устройства от Samsung с версиями Android от 13 по 16. Обо всём этом и других интересных CVE сентября читайте под катом!

Каждый может за 60 минут сделать своё MDM (Mobile Device Management) решение и удалённо управлять мобильным устройством. Такие продукты обычно лицензионные, при этом не всегда отечественные. В статье — инструкция, как его сделать самому.

Продолжаем серию статей о взломах ИИ. В начале 2025 года исследователи Pillar Security обнаружили новый вектор атаки, который переворачивает представление о безопасности AI‑ассистентов вроде GitHub Copilot и Cursor. Под видом безобидных конфигурационных файлов — тех самых, что задают ИИ правила написания кода — хакерам удалось протащить бэкдоры, вызвав цепную реакцию утечек и ошибок. Давайте разберемся, как безобидный файл с «правилами» превратился в оружие против цепочек поставок.

Команда JavaScript for Devs подготовила перевод статьи о том, почему JavaScript-сообщество снова проигнорирует шанс исправить фундаментальные проблемы своей экосистемы после крупнейшей атаки на цепочку поставок. Автор предлагает здравый план — от стандартной библиотеки до новых практик управления зависимостями, — но считает, что индустрия снова ограничится символическими жестами.

Привет Хабр!

Для организации удалённой работы и технической поддержки многие компании продолжают использовать проверенные, но морально устаревшие технологии — RDP и VNC. Несмотря на широкое распространение, эти протоколы несут серьёзные риски для информационной безопасности, особенно критичные в современных условиях.

Ключевые проблемы традиционных решений:

Основной недостаток RDP и VNC — их уязвимость. Стандартные порты (3389 для RDP, 5900 для VNC) легко обнаруживаются при автоматическом сканировании. Смена портов обеспечивает лишь минимальную защиту от массовых атак, но не предотвращает целевое воздействие. Фундаментальные ограничения протоколов усугубляют ситуацию: базовый VNC не поддерживает шифрование трафика, а RDP допускает откат к небезопасным алгоритмам шифрования.

Слабая аутентификация как вектор атаки:

Большинство реализаций VNC и RDP не поддерживают многофакторную аутентификацию, что делает их уязвимыми к перебору паролей и использованию скомпрометированных учётных данных. Исторические уязвимости, такие как CVE-2019-0708 (BlueKeep), демонстрируют катастрофические последствия эксплуатации устаревших протоколов.

Человеческий фактор и сложность администрирования:

Настройка безопасности требует высокой квалификации, а в унаследованных системах часто встречаются ошибки конфигурации. Средства защиты могут отключаться случайно или намеренно, а в крупных инфраструктурах системы безопасности часто развёрнуты фрагментарно.

Современные требования к безопасности:

Актуальные решения должны обеспечивать:

Почему все хотят новых идей и технологий, но только немногие крупные компании готовы к взаимодействию со стартапами? И в чем секрет предпринимателей, которым удалось не только выжить на рынке, но и громко заявить о себе?

За 1,5 года CyberStage собрала более 40 резидентов, сотни инсайтов и уже немало историй успеха. Расскажем вам три из них, написанных за последний квартал.

C# — гибкий язык. На нём можно писать мобильные и десктопные приложения, игры, веб-сайты, сервисы и API. Можно писать на нём, как на Java, со всеми абстракциями и AbstractionFactoryClassProvider. Но, в отличие от Java, на нём также можно писать низкоуровневый и небезопасный код. И когда я говорю о низкоуровневом, то имею в виду отсутствие сборщика мусора и сырые указатели.

Низкоуровневый код обычно требуется для высокой производительности или взаимодействия с библиотеками C/операционной системой. Низкоуровневый код помогает повысить производительность благодаря тому, что с его помощью можно избавиться от проверок доступа к памяти в среде исполнения.

Для безопасности доступ к элементам массивов выполняется в C# с проверкой границ. Но из-за этого страдает производительность, если только, конечно, компилятор не сможет избавиться от операции проверки границ. Логика устранения проверок границ должна гарантировать, что проверка границ индекса массива уже выполнялась раньше или что во время компиляции индекс точно будет находиться в границах. Для примера возьмём простую функцию:

Ситуация: пользователь зашёл на сайт. Фактически его данные уже обрабатываются метрическими программами (файлами cookie), хотя согласия на это он не давал. ��ользователь не хочет, чтобы его данные собирались и обрабатывались, поэтому покидает сайт. Но данные уже получены. Что делать в этой ситуации? На каком  основании можно обрабатывать данные пользователя сразу при входе на сайт? 

Слово «антивирус» сейчас для некоторых звучит как анахронизм, что-то из 90-х. Ну какой же, помилуйте, антивирус, когда тут иногда глубокоэшелонированная защита не спасает?!

На прошедшем в мае PHDays мы обсудили с ведущими вендорами и экспертами, как изменился рынок защиты конечных устройств и какие тренды сейчас определяют развитие антивирусных технологий.

Так вышло, что вести дискуссию доверили мне, Сергею Лебедеву, руководителю департамента разработки средств защиты рабочих станций и серверов Positive Technologies, и в этой статье я решил поделиться с вами основными выводами, которые для себя отметил.

Если вам интересно, жив ли пациент антивирус и как себя чувствует этот класс систем защиты информации — добро пожаловать под кат.

Привет, Хабр!

Сегодня с вами Дмитрий Ларин, руководитель продуктового направления по защите баз данных и Александр Хребтов, аналитик группы компаний «Гарда», и мы поговорим о способах защиты баз данных. После 2022 года многие российские компании оказались в ситуации, когда привычные инструменты управления базами данных стали недоступны. Миграция на отечественные СУБД обострила вопрос: как защитить критические данные в условиях, когда стандартные средства больше не работают?

В этой статье мы покажем, как справляться с основными угрозами безопасности СУБД, почему сертификация не спасает от инсайдеров и каким образом системы класса Database Firewall решают эти задачи.

Увидела провокационную статью на Medium, которая собрала довольно положительный отклик. Считаю, что грех таким не поделиться! Вдруг, кому-то будет полезно. 

Привет! Меня зовут Юрий Гуз, я ведущий разработчик команды IAM в MWS Cloud Platform. Мы продолжаем цикл статей о том, как устроен IAM в нашем облаке. Сегодня поговорим о технологии, которая стирает границы между вашей корпоративной IT-инфраструктурой и MWS, — о федерации доступов или просто федерации.

Мы уже рассказывали в статье, как мы делаем IAM для облака MWS. И описали там один из способов зайти в наше облако — использование MTS ID. Способ надёжный и удобный, если MTS ID у вас, конечно, есть. А что, если ваш провайдер удостоверений — это ваш корпоративный Active Directory, Google Workspace или Keycloak? Вам ведь не хочется заводить каждому сотруднику ещё один аккаунт, плодить лишние пароли и ломать уже выстроенные процессы с двухфакторной аутентификацией и ролевой моделью.

На этот случай у нас есть ответ — наша новая фича «Федерация». Она позволяет сотрудникам заходить в MWS с помощью их привычных рабочих учётных записей. Давайте разберёмся, как это работает и зачем нужно.

Современный цифровой мир полон возможностей, но и угроз. Дети растут в окружении смартфонов и интернета с малых лет, а родители нередко обеспокоены: как защитить их онлайн, не превратив жизнь в тотальный контроль? Дружелюбная безопасность — это новый подход к технологиям защиты, который ставит на первое место комфорт и доверие пользователя. Его цель — оберегать нас в цифровой среде без запугивания, паранойи и чрезмерно сложных правил. Представьте, что системы безопасности работают как заботливый друг, а не строгий охранник у входа в сеть.

Родителям важно не просто «включить фильтр» или «запретить TikTok», а выстроить долгосрочное доверие, навыки и культуру диалога. Именно поэтому в последние годы появляются инициативы, направленные на помощь семьям в этой задаче. Одна из них — образовательный раздел по детской цифровой безопасности на сайте Security Vision. Он предлагает рекомендации, объяснённые понятным языком, и инструменты, которые можно применить в повседневной жизни: от «чек‑листов» до сценариев разговора с ребёнком о рисках в интернете.

Многие люди публикуют свои проекты на github-подобных git-хостингах, для обеспечения общего доступа (это даёт множество преимуществ во многих случаях).

Часто, ввиду неопытности, при публикации, люди сливают чувствительные данные (в частности токены Telegram-ботов).

Так уж вышло, что я сел писать статью о нашем с Саней (@MrKaban4ik) приключении в багбаунти. Сразу предупреждаю: бывалым исследователям наша история покажется не самой захватывающей. Она не о сложных цепных эксплойтах, а о самом начале пути — о том, как ты делаешь первый шаг на площадке и, затаив дыхание, ждешь вердикта по своему первому отчету. Именно эти первые «хваты» вселяют ту самую уверенность, что ты на правильном пути.

{Багбаунти-кидди презенс}

Чуть предыстории. НЕБОЛЬШАЯ ИСТОРИЧЕСКАЯ СПРАВКА НА 5 МИНУТ. Февраль 2025 года.

Мы с Александром часто участвуем в CTF в рамках студенческой команды Capybaras. Недавно закончился Чемпионат России по спорт проге ИБ, мы написали квалы на чемпионат банка РФ и нас зовут в Екатеринбург на Уральский форум. Вуз платит — едем. К этому моменту мы знаем о вебе что он существует и что если нет никаких ограничений на загрузку можно загрузить файлик.php который может быть шелом и как то магически команды на OS исполняет. О багбаунти мы слышали, но не седели особо — потому что просто не знаешь что искать. Мы с Александром собираем вещи, едим в Сочи и оттуда летим в Екатиб. Хотя давайте меньше деталей, вы же тут не до вечера собрались читать. В общем‑то первый наш форум по ИБ, много вендоров и лекций в молодежной программе. Знакомлюсь с ДВФУ‑шниками, до сих пор {heart}. Но вернемся к форуму. Среди вендоров был и BI.ZONE. Интерес конечно же у меня к нему был потому что они недавно выпускают Threat Zone и как только открылась выставка, а у нас шла кибербитва — я решаю незаметно сбежать и сходить залутать заветный журнальчик. Подхожу к стенду, решаю потыкать стендик и подходит какой‑то тип в черном костюме и начинает спрашивать знаком ли я с продуктами компании, я жестко говорю что знаю EDR и какой то прикол с жуками, называемый bugbounty. А этот тип говорит: «Я глава этого продукта». Таким образом мы познакомились с человеком по имени Андрей Левкин — который сыграет на самом деле большую роль в том, чтоб мы начали багхантить. Форум заканчивается и мы едем домой.

Вопрос масштабирования сервисов достаточно часто, и временами больно, встаёт ребром в самый неподходящий момент, ложа при этом за собой бизнес процессы, и вызывая нервный тик у администраторов.

В этой статье, на реальном примере из моего опыта инженерного обслуживания средств антивирусной защиты Kaspersky, мы с вами разберём шаги по недопущению таких трепещущих ситуаций.

За последние пару лет российский рынок пережил несколько крупных инцидентов: пожары в дата-центрах, отказ систем электропитания, сбои в облачных платформах и разрушительные кибератаки. Каждое из них сопровождалось потерями данных и простоями, которые для бизнеса оборачивались серьёзными убытками.

Инфраструктурные сбои всегда были частью реальности, но теперь стали частыми. Масштабы разные, но вывод один: полагаться только на бэкап — всё равно что держать огнетушитель и верить, что им удастся потушить пожар целого здания. И если бэкап — это огнетушитель, то DR (disaster recovery) — это план эвакуации. Бэкап может «сбить пламя в одной комнате», но если «горит весь этаж» — без плана выбраться из здания шансов мало. Сегодня, когда практически любой бизнес завязан на IT, наличие рабочего плана аварийного восстановления перестало быть «опцией для корпораций». Это обязательный элемент выживания. Вопрос только в том, готова ли ваша инфраструктура к сбою?

В недавних обсуждениях одного из вида мошенничества с кредитными картами у меня родился комментарий: «Оптимальный уровень мошенничества больше нуля».

Это утверждение контринтуитивно, и может показаться, что я стараюсь быть слишком умным. Но вам стоит этому поверить.