Информационная безопасность

Случается, что мы накопили пару вагонов данных по рабочему кейсу, сидим, смотрим на него, гордимся накопленным объемом... Но заказчику ты его в таком виде не предъявишь. 
И что теперь с этим всем счастьем делать? Как его интерпретировать и как на его основе построить "венец творения" осинтера — отчет? 

Вот тут, как раз и наступает самый "веселый" этап работы с большими массивами данных — статистическая обработка. Не так интересно, как исследование, но чтобы собрать внятную цельную картинку, без нее не обойтись. Поясним для почему:
Во-первых, статобработка позволяет трансформировать разрозненные массивы сырых данных в что-то структурированное, сделать выводы, поддающиеся верификации и воспроизведению. Без количественных и качественных методов придется опираться исключительно на субъективные суждения, что сильно снизит достоверность выводов.
Во-вторых, статистика проявляет скрытые закономерности и аномалии, подсвечивает те сигналы, которые теряются в информационном шуме при поверхностном изучении. 
Логично же?
Не благодарите Кэпа.

Теперь разберемся, какие конкретные задачи решаемы статистическим анализом в рамках ОСИНТ-деятельности. Понятно, что для верификации единичных эпизодов статистика - излишня. Говорить будем только о значимом количестве данных.
Будет много перечислений, описаний и, казалось бы, очевидных вещей, но уж такова специфика такого рода гайдов.

Итак, задачи:
1. Профилирование акторов: построение количественных моделей поведения отдельных лиц или организаций.
2. Мониторинг дезинформации: выявление аномальной активности в социальных сетях, обнаружение ботнетов и координированных кампаний влияния путем анализа временных рядов и сетевых графов.
3. Корреляционный анализ публичных финансовых отчетов, реестров юридических лиц и данных о сделках с различными объектами собственности.
4. Геопространственный анализ: статистическая обработка геотегированного контента для верификации местоположения событий (геолокация).
5. Оценка угроз: прогностическое моделирование на основе исторических данных об инцидентах, конфликтах и кризисах.

Я записался на BlueSec1 - соревнование, где надо собрать ИИ-агента, который разбирает тревоги вместо аналитика первой линии SOC. Я продуктовый человек из управления уязвимостями, тревоги по работе не разбираю, и первое мое сообщение напарнику-ИИ было буквально: “я не понимаю смысл этого, объясни мне”. На открытом этапе я все равно взял первое место - а потом оценки погасили…

Добрый день, дорогие читатели!

В прошлой статье мы разбирали, как настраивать сканирование Windows-активов. Сегодня же мы разберемся с Linux-активами. Поговорим о вариантах настройки учетных записей для Аудита, о правах для сканера. И по традиции проведем эксперименты.

Passkeys — это не будущее. Это уже работает в каждом банковском приложении на вашем телефоне. Альфа-Банк, Тинькофф, Сбер — давно. GitHub, Apple, Google — тоже. А ваш веб-сервис до сих пор просит придумать пароль с заглавной буквой, цифрой и спецсимволом. И потом ещё «восстановить пароль» раз в месяц.

Я считаю Identity Security одной из самых недооценённых основ кибербезопасности. За привычной просьбой «дайте человеку доступ» стоит решение компании доверить ему свою информацию и разрешить работу с конкретными документами и системами. Для этого нужно понимать, что человек должен делать, какие сведения ему нужны и когда его полномочия заканчиваются. Можно вложиться в серьёзные средства защиты и при этом оставить уволенному сотруднику доступ к конфиденциальным документам. А новый сотрудник тем временем будет ждать доступа к системе, без которой он не может приступить к работе.

Насколько всё плохо именно в твоём городе?

Я собрал статистику блокировок по городам и провайдерам, и делюсь ей с вами!

Одно посещение веб-страницы с iPhone на iOS 18.4–18.7 — и через несколько секунд в SpringBoard работает имплант, который расшифровывает связку ключей прямо на устройстве, находит seed-фразы и keystore криптокошельков и отправляет их на сервер. Ещё год назад так выглядела операция, доступная единицам заказчиков. По нашей оценке, сегодня эта цепочка работает внутри сервиса доставки эксплойтов с партнёрскими «каналами», а приманками служат сайты китайских онлайн-казино.

8 октября iVerify описала криминальный вариант эксплойт-цепочки DarkSword, который назвала «P7». Мы разобрали его по открытым данным и нашли то, чего в публикации нет: третью сборку P7 с новой приманкой и новым командным сервером, побайтовое сравнение импланта с оригинальным GHOSTBLADE и кластер доставки «qqtime», работающий как минимум с июля 2026 года. Заодно пришлось исправить ошибку атрибуции, которая кочевала по ранним публикациям о мартовской кампании TA446.

Материал для тех, кто занимается iOS-безопасностью, мобильной форензикой и реагированием на инциденты.

Раньше у ONYX был центральный сервер, но бете 2.0 его больше нет: аккаунт — это ключ на вашем устройстве, а сообщения и звонки идут напрямую между устройствами через Tor. Рассказываю, как это устроено, что мы получили и чем пришлось заплатить.

Каждый актив в инфраструктуре проходит свой жизненный цикл: он появляется, функционирует, а со временем выводится из эксплуатации. Новые активы часто создаются как копии существующих, но со временем обрастают уникальными особенностями. Из-за постоянных изменений в инфраструктуре возникают аномалии данных: дубликаты, «склейки» и цифровые призраки — активы, которых уже нет, но они продолжают числиться в системе.

Чтобы справиться с этой проблемой, нужно решить три нетривиальные задачи: сопоставить данные из разных источников с конкретным активом, корректно обработать изменения между предыдущим и новым состоянием, отследить жизненный путь актива и зафиксировать момент его исчезновения.

Привет, Хабр! На связи Евгений Ращупкин, APO UserGate, и Дмитрий Ларин, CPO Hadal Project. Это текстовая версия нашего совместного доклада «Цифровой двойник, или Как контролировать изменения в сложной сетевой инфраструктуре», который мы представили на Saint HighLoad++. Мы расскажем, как связать физическую лабораторию, эмуляцию и симуляцию в единый процесс, чтобы проверять изменения до прода и контролировать их результат в реальной сети.

После одного минорного обновления ПО в компании нарушилась работа IPsec-туннелей до всех филиалов. На бумаге обновление выглядело безопасным. Вендор проверил релиз, инженер выполнил стандартную процедуру, мониторинг после выкладки показывал привычную картину. Связность при этом исчезла — и начался ночной разбор полетов.

Для сетевого инженера в такой ситуации есть отдельный жанр прогноза: «обновил в проде, вроде работает». Иногда к нему добавляются карты Таро. Карты обещают, что сеть будет работать, однако бизнесу нужны более надежные основания.

Цена ошибки при внесении изменений уже давно намного выше, чем просто доставление неудобств отдельному инженеру. Из-за сетевого изменения может остановиться филиальная сеть, платежный контур или медицинский сервис. Поэтому привычное правило «работает, не трогай» перестает действовать. Поток изменений растет, и каждому из них нужен понятный жизненный цикл.

Почему сеть никогда не бывает готова

Сеть представляет собой живую сложную систему. Она постоянно развивается, обрастает новыми узлами и хранит следы решений, которые принимались много лет назад. Мы видим три источника сложности.

Привет, Хабр! 29 сентября в Москве прошла 19-я ежегодная ИБ-конференция BIS Summit 2026. Организатором выступила Ассоциация по защите деловой информации (BISA) при поддержке ГК InfoWatch.

Раз в год в рамках BIS Summit мы собираем большие открытые дискуссии: на одной площадке вопросы, связанные с ИБ (а в этом году и с ИИ), обсуждают представители крупных компаний и предприятий, министерств и регуляторов, а также независимые эксперты.

Главная тема этого года — «Искусственный интеллект: где граница между прогрессом и угрозой». Обсуждали, как вы поняли из названия, различные аспекты обеспечения безопасности применения ИИ и вопросы его регулирования, риски от внедрения и ответственность за последствия, которые возникают в связи с этим внедрением.

В этом году традиционно были две большие пленарные сессии и восемь тематических секций:

1. «Собственный искусственный интеллект: что, если не успеем. Риски безопасности»
2. «Построение защищённой цифровой платформы бизнеса в условиях актуальных угроз»
3. «Киберинциденты в практике судов»
4. «Практическая секция по защите от утечек с использованием ИИ»
5. «Битва трендов ИБ для бизнеса»
6. «Использование ИИ для сетевой защиты»
7. «Образование будущего: от учебников к промптам»
8. «Внедрение технологий искусственного интеллекта в России: вызовы и решения»

Мы собрали 1000 участников офлайн и 2000 онлайн. 

Под катом — много фоток, подробности про каждую пленарку, а также набор общих выводов, для понимания того, как сейчас на высшем уровне относятся к ИИ, что собираются с этим делать и как всё это влияет на бизнес.

Привет, Хабр.

Я Георгий Марков, архитектор сервисных проектов компании Инфосистемы Джет. В сервисе уже более 10 лет в различных ролях. За это время удалось поработать практически со всеми классами СЗИ и различными по величине инфраструктурами — от отдельных решений в небольших офисах до крупных территориально распределенных комплексов площадками по всей России и за ее пределами. В ходе работы я сталкивался с ситуациями, когда неплохо внедренные системы с годами переставали выполнять свои функции. На практике часть этих проблем возникает еще на моменте передачи системы после проекта внедрения во внутреннюю эксплуатацию.

12 мая 2017 года компьютеры по всему миру начали блокировать доступ к файлам и требовать выкуп. Больницы отменяли приёмы, предприятия останавливали производство, а WannaCry продолжал искать новые цели. Ему не нужно было ждать, пока пользователь откроет письмо или запустит заражённый файл: один успешно заражённый компьютер мог стать началом цепочки новых заражений.

Как программа находила другие компьютеры? Почему уязвимость, для которой уже существовало обновление, всё ещё оставалась угрозой? И как регистрация одного домена помогла замедлить глобальную атаку?

Разберёмся, как WannaCry распространялся по сетям, какую роль сыграл EternalBlue и почему даже остановка эпидемии не означала, что её последствия исчезли.

Сегодня Telegram-бот для продажи VPN собирается за вечер: Cursor, пара промптов, и он уже принимает деньги. Только в config.py лежит токен бота, Postgres открыт наружу, а в истории git остался .env, который «потом удалили».

Я написал SAST-сканер для кода, сгенерированного ИИ, и прогнал его по 3 800 публичным репозиториям. Рассказываю, что нашлось, как 16 378 сырых находок превратились примерно в 30 настоящих утечек и почему я не проверил ни одного чужого ключа.

Раз в несколько лет в интернете происходит событие, которое в кругах технических специалистов ждут как парад планет. 11 октября 2026 года корневая зона DNS поменяет ключ подписи. Для корректно настроенных систем ротация пройдет незаметно. А вот если DNS настроен для галочки, в этот день резолвер может начать выдавать ошибки.

Разбираем с аналитиками BI.ZONE Secure DNS, что это значит, почему произойдет в воскресенье и как за 5 минут проверить, что все в порядке.

Публикуем традиционный ежеквартальный дайджест регуляторных инициатив. В этом выпуске – новое за июль-сентябрь: ФСТЭК готовит замену приказу № 21, вводит правила для ИИ в госсистемах и методику оценки ИБ-зрелости, Минтруд утвердил профстандарт для ИБ-специалистов КИИ, а московский суд впервые признал утечкой передачу данных в ИИ-сервис.

Утечка данных может начинаться с обычного действия сотрудника: подключения USB-носителя, сканирования документов, отправки письма на личную почту или загрузки рабочего файла во внешний ИИ-сервис.

Сотрудник при этом уже имеет легитимный доступ. Он знает внутренние процессы, работает под корпоративной учетной записью и может обращаться с документами так же, как делал это раньше. Отдельное действие не всегда выглядит подозрительно, поэтому при расследовании учитывают последовательность событий и их контекст.

DLP-система фиксирует действия с данными: какие документы открывал пользователь, куда их передавал, что записывал на носитель, какие файлы загружал во внешние сервисы и как менялось его обычное поведение.

Эксперт в области защиты данных ГК «Солар» Виталий Петросян разбирает три расследования, в которых использовался Solar Dozor.

Дело первое. Чужая учетная запись

Руководитель крупного подразделения уходил в отпуск и передал пароль от рабочей станции доверенному человеку, чтобы тот мог продолжить работу. В результате под учетной записью руководителя получил возможность работать другой сотрудник.

Действия совершает один человек, а в системах они фиксируются за другим пользователем.

Первый сигнал Solar Dozor был связан с попыткой записать служебный документ на USB-носитель. Документ относился к чувствительным материалам и содержал пометку ДСП. Перед записью цвет пометки изменили так, чтобы она почти сливалась с фоном.

Команда ИБ зафиксировала событие и продолжила наблюдать за действиями учетной записи в рамках внутреннего расследования. Позже попытка переноса сведений повторилась.

Ранее, в доИИшную эпоху, ОСИНТ развивался как преимущественно ручная дисциплина. Нужно было последовательно отрабатывать источники, фиксировать данные и выстраивать логические связи. Вся работа велась в рукопашную.
Такой подход был еще приемлем, пока объем доступной информации еще можно было переварить и обработать. По состоянию на сегодня, ситуация поменялась чуть менее, чем кардинально. По данным IDC, по состоянию на 2024 ежедневно генерировалось около 408 квинтиллиона байт данных; только в социальных сетях публикуются сотни миллионов единиц контента в сутки. Ни один аналитик, ни одна команда аналитиков не способны перелопатить такой объем вручную. Тут не то, что ленивым, тут и трудолюбивым осинтерам становится тяжко. Даже, если отрабатывать какой-то узкий сегмент информации, то все равно, количество информации, которую приходится отрабатывать, — впечатляет.
Учитывая тот факт, что поисковые машины выдают все больше шлака и "белого шума", а так же то, что по данным Pew Research Center и аналогичных организаций, следы ИИ найдены в 10...35% выдаваемого на гора контента, ситуация становится еще сложнее.

Но, "кто нам мешает, тот нам и поможет". Можно и нужно применять ИИ модели для сбора и обработки данных, для их верификации и т.д. и т.п. Конечно, ИИ не заменяет живого человека, но он снимет операционную нагрузку, делегируя машине сбор, первичную фильтрацию и структурирование данных. Тем самым, он берет на себя всю рутину и высвобождает время и внимание для контекстуальной интерпретации, этического суждения и вывода. Нам, все же, еще есть чем заняться.

Новости информационной безопасности за неделю с 30 сентября по 6 октября, в одну строку с ссылками на источник. Темы: ИИ, Уязвимости, Атаки и утечки, Исследования, Рынок, Регулирование, Медиа

Уязвимости, угрозы и инциденты – привычный язык специалистов по информационной безопасности. Совет директоров и инвесторы говорят на другом: потенциальные убытки, длительность простоя, влияние на прибыль. Оцифровка киберрисков переводит одно в другое: технические понятия становятся бизнес-метриками, а киберриски выражаются в тех же единицах, что и другие риски организации. Мы в «Соларе» решили рассказать о методологии, руководствуясь которой в свои проектах, переводим киберриски в вероятности и деньги: что такое оцифровка киберрисков, почему она стала необходимой, из каких этапов состоит и что дает бизнесу.