Как стать автором
Обновить
149.45
Инфосистемы Джет
российская ИТ-компания
Сначала показывать

Вкатиться в ИБ в 30: три истории

Уровень сложности Простой
Время на прочтение 8 мин
Количество просмотров 12K

Если загуглить «работа в ИТ», то статей с заголовком «Как войти в айти» и курсов, обещающих быстрый старт в новой профессии, выпадет столько, что начнет казаться, что все вокруг только и делают, что учатся (или учат) на айтишников. ИБ-профессии дополнительно окутаны флером хакерской тематики, но в целом процесс «вкатывания» в них для человека не из индустрии от этого сильно не меняется.

Мы собрали три истории ребят, которые смогли которые работают в центре информационной безопасности: всем нашим героям около 30 лет, и до того, как перейти в новую профессию, они уже строили карьеру в других сферах, но решили всё изменить, став специалистами в сфере информационной безопасности с нуля. Чей путь был проще — решайте сами. Пост будет полезен тем, кто думает о работе в айтишной сфере, но пока сомневается (или считает, что поезд ушел вместе с перроном).

Читать далее
Всего голосов 11: ↑8 и ↓3 +5
Комментарии 7

Используем Vault в связке с HAProxy и HA Zabbix

Время на прочтение 5 мин
Количество просмотров 4.4K

Недавно на одном из проектов для телекоммуникационной компании нам пришлось дополнительно (не без помощи коллег из ИБ J) проработать вопрос безопасного использования паролей для подключении к базе данных PostgreSQL кластера Zabbix.

Прописывать пароль для доступа к базе данных в явном виде в конфигурационном файле небезопасно. В таких случаях обычно ограничиваются возможностями разграничения прав к конфигурационным файлам Zabbix на уровне операционных систем.

Но вернемся к нашей задаче. Изучив входные данные об инфраструктуре заказчика, мы сразу обратили внимание, что коллеги в сегменте ИБ уже используют решение от HashiCorp — Vault, что и стало для нас отправной точкой:

— во-первых, Zabbix отлично интегрируется с решениями от HashiCorp;

— во-вторых, у нас есть опыт работы с HashiCorp Vault.

Основной целью было обезопасить конфигурацию HA Zabbix, убрав указываемые в явном виде логины и пароли для подключения к базе данных PostgreSQL. Сделать это нужно было так, чтобы наше решение было совместимо с уже применяемым стеком на стороне заказчика.

Итак, в этом посте пройдемся по нескольким шагам:

1. Рассмотрим нашу схему работы HA Zabbix и дадим краткую характеристику данному стеку.

2. Рассмотрим предполагаемый вариант использования Vault в связке с HA Zabbix.

3. Предложим конфигурацию для данного решения.

Читать далее
Всего голосов 3: ↑3 и ↓0 +3
Комментарии 9

Видеозаписи докладов CyberCamp. DevSecOps

Уровень сложности Средний
Время на прочтение 3 мин
Количество просмотров 1.6K

Привет, Хабр! В конце апреля команда CyberCamp провела митап, посвященный DevSecOps. Наше путешествие началось у острова композиционного анализа, потом мы прошли между Сциллой и Харибдой защиты контейнеров и мобильных приложений, а затем отправились исследовать другие направления DevSecOps.

В этом посте собрали полный плейлист выступлений.

Читать далее
Рейтинг 0
Комментарии 0

Как подружиться с СЗИ? Межсетевые экраны

Время на прочтение 12 мин
Количество просмотров 4.9K

На написание статьи меня сподвигли воспоминания о трудоустройстве на первую работу и сопутствующие трудности, с которыми мне пришлось столкнуться. Собеседования напоминали «день сурка» — технические специалисты бубнили, что им нужны только работники с большим конкретным опытом, а не студенты-теоретики, и им некогда заниматься «глубоким обучением». В конечном итоге мне удалось устроиться в «Инфосистемы Джет» благодаря моей хорошей подготовке к собеседованию. Чтобы облегчить жизнь будущим поколениям и дать возможность выпускникам на практике ознакомиться с доступными для студента средствами защиты информации (СЗИ), я решил написать этот пост. Рассмотрим самое базовое средство защиты компьютерной сети — межсетевой экран (МЭ.)

Читать далее
Всего голосов 10: ↑9 и ↓1 +8
Комментарии 2

Что делать после ухода Red Hat OpenShift?

Время на прочтение 8 мин
Количество просмотров 5.6K

До событий прошлого года одной из основных платформ управления контейнерами была Red Hat OpenShift Container Platfrom. Ей пользовались компании сегмента Enterprise с высокими требованиями к функциональности и стабильности продукта, а также к уровню поддержки решения. Теперь продажи Red Hat, как и других западных решений, невозможны. Поэтому встает вопрос о выборе альтернатив.

Меня зовут Юрий Семенюков, я директор центра проектирования вычислительных комплексов «Инфосистемы Джет». С 2018 года занимаюсь развитием направления DevOps в части инфраструктуры под контейнерное окружение, руковожу проектными командами по внедрению платформ контейнеризации в Enterprise на разных дистрибутивах. В этом посте я расскажу, как крупные компании справляются с уходом западных коммерческих дистрибутивов Kubernetes.

Читать далее
Всего голосов 12: ↑9 и ↓3 +6
Комментарии 1

Сдать Астру. Что нужно знать об экзамене ALCSA-1.7

Время на прочтение 8 мин
Количество просмотров 11K

Приветствую всех! В этой статье я бы хотел поделиться опытом подготовки и сдачи экзамена ALCSA-1.7: Сертифицированный системный администратор Astra Linux Special Edition 1.7. Вопросов от коллег (и не только) по нему было много, а информации в открытом доступе до обидного мало. Итак, пойдем по порядку.

Читать далее
Всего голосов 8: ↑6 и ↓2 +4
Комментарии 9

Безопасный Wi-Fi в отеле для всей семьи на Raspberry Pi

Уровень сложности Средний
Время на прочтение 7 мин
Количество просмотров 12K

Всем привет! Сегодня хочу рассказать о своем «семейном» проекте на Raspberry Pi. Путешествуя по миру, я постоянно сталкиваюсь с потребностью подключаться к быстрому и, что не менее важно, безопасному интернету.

Читать далее
Всего голосов 12: ↑12 и ↓0 +12
Комментарии 19

Как мы проксировали OpenLDAP на AD через cn=config

Уровень сложности Средний
Время на прочтение 8 мин
Количество просмотров 4K

Этот пост я хочу посвятить кейсу с крупного ИТ-проекта, который делала наша компания. В рамках проекта внедрялось большое количество сервисов, и для них нужно было обеспечить LDAP-аутентификацию при следующих операциях:

 Доступ в GUI-интерфейсы сервисов.

 Доступ по SSH на серверы, где функционируют сервисы, с ограничением доступа на основании членства пользователей в группах LDAP-каталога.

У заказчика уже была развернута служба каталогов Microsoft Active Directory. Требованием проекта было отсутствие прямого доступа между внедряемыми сервисами и AD. На стороне сервисов не должны были прописываться параметры сервисных учетных записей AD. Кроме того, сетевой доступ к контроллеру MS AD был разрешен только для одного хоста.

Под катом — подробности о том, как мы решили эту задачу.

Читать далее
Всего голосов 9: ↑9 и ↓0 +9
Комментарии 5

Исторический момент: ChatGPT обрёл «суперсилу Wolfram»

Уровень сложности Средний
Время на прочтение 18 мин
Количество просмотров 31K

Четвёртая версия ChatGPT одних заставила пищать от восторга, а других повергла в уныние. Кто-то уже нашёл этой системе множество творческих применений, а кто-то пророчит, что эта нейросеть лишит работы кучу людей. Теперь возможности ChatGPT стали ещё шире: систему интегрировали с Wolfram | Alpha, легендарным движком для вычисления ответов в самых разных областях знания. Мы перевели для вас огромную подробную статью об этом от одного из разработчиков Wolfram | Alpha.

Читать далее
Всего голосов 62: ↑57 и ↓5 +52
Комментарии 35

Непрямое управление чужой командой, которая должна работать с вашей

Уровень сложности Простой
Время на прочтение 10 мин
Количество просмотров 3.1K


Нас часто зовут внедрить железо, смигрировать систему, построить резервный ЦОД или сделать что-то ещё, что компания не хочет или не может делать сама своими силами по разным причинам. Теперь представьте эмоции людей в банке, которые 15 лет работали на своей системе, установленной на физическом сервере, и тут появляются люди, которые просят их дать время на даунтайм и согласовать план работ для остановки системы и вообще дать возможность миграции в какое-то там облако в какой-то там контейнер.

Эмоции могут быть любыми: от желания отмахнуться, откровенного страха (за себя, за систему или из-за непонимания), нелюбви или восприятия нас как помехи (потому что горят другие задачи).

В этот момент начинается управление командами заказчика. Не в том плане, что мы приходим и говорим им, что делать, а в том плане, что можно сделать какие-то вещи заранее и тогда процесс пойдёт легче и безболезненнее. А можно не делать, и тогда всем будет плохо.

Вот это и называется управлением чужой командой — когда вы со своей стороны делаете всё, чтобы они шли вам навстречу.

В обычной практике это тоже нужно, потому что вам даже в продуктовой команде всё равно надо хоть немного, но управлять инфраструктурой или своим руководителем подразделения. Но у нас это вообще принцип выживания. На недавнем проекте мы переносили несколько сотен систем и, соответственно, общались с несколькими десятками команд заказчика.
Читать дальше →
Всего голосов 19: ↑18 и ↓1 +17
Комментарии 1

В начале был принтер. Как получить привилегии администратора домена, начав с принтера

Уровень сложности Средний
Время на прочтение 11 мин
Количество просмотров 14K

Еще в прошлом году мы c командой решили поделиться несколькими интересными векторами получения привилегий администратора домена. По отзывам, первая статья оказалась полезной и интересной. Настало время продолжить. В этом посте я расскажу о том, как получение доступа к панели администрирования принтера может привести к компрометации всего домена Active Directory с помощью эксплуатации уязвимости PrintNightmare и использования неограниченного делегирования. А коллеги из Jet CSIRT дополнили пост рекомендациями по мониторингу на каждом этапе на случай, если вы хотите мониторить такие атаки в вашем SIEM. Краткое описание — на схеме.

Подробнее — под катом.

Читать далее
Всего голосов 33: ↑33 и ↓0 +33
Комментарии 15

Делать Data Vault руками? НЕТ! Подходы к автоматической генерации при построении Data Vault

Время на прочтение 8 мин
Количество просмотров 3.1K

Привет, меня зовут Виктор Езерский, я работаю в центре управления данными «Инфосистемы Джет». Мы занимаемся построением хранилищ, Data Lake, платформ данных, ETL/EL-T и BI-систем. Последние 5–7 лет при построении хранилищ данных у наших заказчиков одна из часто встречаемых архитектур — Data Vault. Мы участвовали в доработке готовых хранилищ на базе Data Vault и делали Data Vault «с нуля».

Из опыта борьбы я вынес одно правило: Data Vault без фреймворка и автоматической генерации — большая беда. В этом посте расскажу, почему, а также поделюсь нашими подходами к созданию генератора. Сразу предупреждаю, что не дам готовых рецептов, но расскажу о наших основных подходах и что они нам дали.

Узнать всё!
Всего голосов 13: ↑12 и ↓1 +11
Комментарии 0

«Ветхий завет» речевых технологий. Говорящая голова, металлические языки и безумные синтезаторы

Время на прочтение 7 мин
Количество просмотров 3.1K

Привет. Меня зовут Александр Родченков, я занимаюсь речевыми технологиями в компании «Инфосистемы Джет». Как-то я задался вопросом — когда люди стали пытаться синтезировать или распознавать речь? Изучив вопрос, раскопал много криповых любопытных историй и решил с вами поделиться.

Узнать больше
Всего голосов 30: ↑28 и ↓2 +26
Комментарии 4

Видеозаписи докладов CyberCamp. Разбираем вопросы сетевой безопасности

Время на прочтение 3 мин
Количество просмотров 1.9K

Привет, Хабр! В конце февраля команда CyberCamp провела митап, посвященный сетевой безопасности. На митапе разобрали, что не так с сетями и как этим пользуются хакеры, что можно использовать для защиты — от фреймворков до технологий — и как обеспечить баланс между безопасностью сети и удобством для бизнеса.

В этом посте собрали полный плейлист выступлений:

● Колосс на глиняных ногах, или Почему сети несовершенны и как этим пользуются злоумышленники / Сергей Павленко, руководитель департамента проектирования и внедрения центра информационной безопасности, «Инфосистемы Джет»

● Про пентест: сетевые атаки, которые никто не согласует / Евгений Артемьев, специалист по тестированию на проникновение, «Инфосистемы Джет»

● От плоских сетей к нулевому доверию. Безопасная сетевая архитектура: концепции и фреймворки / Станислав Калабин, руководитель группы сетевой безопасности, «Инфосистемы Джет»

● Профит анализа сетевого трафика для SOC / Алексей Леднев, руководитель отдела обнаружения атак экспертного центра безопасности, Positive Technologies (PT ESC)

● Проблема передачи пароля при веб-аутентификации / Александр Жердев, вирусный аналитик, Group-IB

● Как правильно выстроить защиту от DDoS-атак для своей Enterprise-сети с множеством публичных сервисов / Глеб Хохлов, директор по продукту, MITIGATOR

Чтобы посмотреть эти выступления, крути вниз.

Читать далее
Всего голосов 1: ↑1 и ↓0 +1
Комментарии 0

Нагреваем ЦОД и экономим. Прием реально работает, но есть нюансы

Время на прочтение 4 мин
Количество просмотров 3.1K

Недавно один из крупнейших колокейшн-провайдеров Equinix заявил, что будет повышать температуру в машинных залах ЦОД. Это позволит снизить затраты на охлаждение и сэкономить на электричестве.

Оптимизация расходов электроэнергии в дата-центре — тема вполне злободневная, с учетом того, что многие энергоэффективные решения стали недоступны на российском рынке. Мы строим ЦОД уже много лет и по опыту можем сказать, что зачастую компании заранее закладывают в бюджет внедрение энергоэффективных систем. А в этом случае можно ничего дополнительно не устанавливать — просто немного повысить температуру в машинном зале и сразу начать экономить. Рискованная ли это затея — разбираем в этом посте.

Читать далее
Всего голосов 4: ↑4 и ↓0 +4
Комментарии 15

«Пароль неверный». Парольные менеджеры глазами хакера

Время на прочтение 11 мин
Количество просмотров 29K

Привет, Хабр! На проектах по пентестам нам часто удается получить доступ к корпоративному компьютеру «жертвы», а затем и добыть из него плохо защищенные пароли. К чему это приводит, все понимают. А как происходит такая компрометация — сегодня попробуем раскрыть.

Подробности под катом

Читать далее
Всего голосов 61: ↑61 и ↓0 +61
Комментарии 91

Видеозаписи докладов CyberCamp. Разбираем вопросы безопасности Linux

Время на прочтение 4 мин
Количество просмотров 4.8K

Привет, Хабр! В конце декабря мы командой CyberCamp провели митап, посвященный безопасности Linux. Прошлись по всей ОС — от ядра до логов. Плюсы в виде открытого кода, надежности, быстродействия и, казалось бы, повышенный уровень защищенности от киберугроз увеличивает пул активных пользователей. Но среди этих качеств нет неуязвимости. На митапе были разобраны вопросы, какие угрозы актуальны для Linux и как от них защититься.

Под катом мы собрали полный плейлист выступлений:

  Безопасность ядра Linux: в теории и на практике / Александр Попов, Positive Technologies

 Повышение привилегий на Linux / Владимир Ротанов, «Инфосистемы Джет»

 Анализ взлома общедоступных экземпляров баз данных / Александр Матвиенко, «Инфосистемы Джет»

 Особенности вредоносного ПО под Linux-системы / Ярослав Шмелёв, «Лаборатория Касперского»

 Анализ логов в Unix-системах / Артём Крикунов, «Инфосистемы Джет»

Харденинг Linux / Антон Велижанинов, «Инфосистемы Джет»

Читать далее
Всего голосов 9: ↑9 и ↓0 +9
Комментарии 0

Твоя работа в ИБ по мемасикам

Время на прочтение 3 мин
Количество просмотров 5.3K

· Ты уважаемый CISO крупной нефтяной компании, но твой ребенок — блогер и зарабатывает больше тебя?
· Ты нашел уязвимость по программе Bug Bounty у мясомолочного завода, а у них нет денег, и они выплачивают тебе молочкой и мясом?
· Регулятор выдал новую порцию требований, а у тебя бюджет — три рубля и жвачка «Турбо»?

Эти и многие другие злободневные ситуации мы объединили в игре Jet Security Memes.

Переходи по кат и скачивай карточки!

Читать далее
Всего голосов 25: ↑20 и ↓5 +15
Комментарии 5

Записки молодого МП: как менеджеру спастись от лучей ненависти инженеров

Время на прочтение 9 мин
Количество просмотров 4.4K

Я недавно начала заниматься администрированием проектов в ИТ-инфраструктуре. Здесь много постов менеджеров проектов о том, как ставить задачи технической команде, контролировать статусы и общаться так, чтобы тебя не ненавидели. Однако оказалось, что с инженерами универсальные способы часто не работают, или работают, но не со всеми.

Короче, взять придуманную другими волшебную таблетку и использовать ее для всех случаев у меня не получилось. Но получилось всё же организовать нашу работу так, чтобы инженерам было проще, а в меня пореже летели лучи их ненависти. О тех инсайтах и соображениях, которые мне в этом помогли, и собираюсь рассказать.

Читать далее
Всего голосов 21: ↑17 и ↓4 +13
Комментарии 6

Биграммы и триграммы. Кейс сбора и анализа информации из аудио с непонятными словами

Время на прочтение 4 мин
Количество просмотров 2.7K

Привет. Меня зовут Александр Родченков, я занимаюсь речевой аналитикой в центре машинного обучения «Инфосистемы Джет». Тут я расскажу о биграммах и триграммах на примере реального, хоть и довольно скромного, кейса. Что же это за «граммы» такие, с чем их «едят» и зачем они нам? Кейс решал задачу сбора и обработки данных одной из продовольственных компаний. Сложность задачи заключалась в том, что в речи было очень много специфических терминов и аббревиатур. Как мы с этим справились, и с какими неожиданностями столкнулись после, читай под катом.

Жми, не пожалеешь!
Всего голосов 10: ↑10 и ↓0 +10
Комментарии 1

Информация

Сайт
jet.su
Дата регистрации
Дата основания
1991
Численность
1 001–5 000 человек
Местоположение
Россия