Информационная безопасность

В ближайшее время почти четверть всех утечек данных будет связана с внедрением искусственного интеллекта. Этот вывод из исследования Б1 как нельзя лучше иллюстрирует новую реальность, в которой ИИ становится рабочим инструментом злоумышленников.

По данным совместного опроса VK и агентства Prognosis, семь из десяти российских компаний уже внедрили в своей работе те или иные ИИ-инструменты. Они используются в клиентской поддержке, продуктовом маркетинге, работе с внутренними базами данных и вопросах кибербезопасности. В этом случае ИИ-технологии разгружают персонал, берут на себя рутинные задачи и становятся инструментом защиты.

Полина Сокол, менеджер продукта группы развития ML-технологий ГК «Солар», рассказывает, как ИИ усложняет атаки и затрудняет их распознавание, как проявляется влияние ИИ в сфере фишинга, и как нейронные сети используются для обхода антивирусных баз. И главное — что противопоставляет этим технологическим вызовам рынок кибербезопасности.

ИИ в кибератаке: модификация кода в реальном времени для обхода антивирусов

В топе атак с использованием ИИ — АРТ-атаки (усовершенствованная постоянная угроза), вредоносное ПО с внедренным ИИ, дипфейки на базе генерации ИИ, DDoS-атаки и фишинг. Также искусственный интеллект уже используется для создания полиморфных вирусов. Они в реальном времени модифицируют свой код и обходят антивирусные базы. Так, специалистам по кибербезопасности уже хорошо известен вредонос BlackMamba. Он интегрирует языковые модели для изменения своего кода и уклонения от обнаружения. Вредонос подробно описали его создатели, исследователи из компании Hyas. BlackMamba использует безопасный исполняемый файл, который обращается к высокоуровневому API (например, к API ChatGPT от OpenAI). Он возвращает синтезированный вредоносный код для исполнения на зараженном устройстве пользователя с использованием функции Python exec(). Важно, что вредоносная полиморфная часть при этом полностью остается в памяти и не обнаруживается антивирусными решениями. При каждом запуске вредонос повторно синтезирует возможности кейлогинга, при этом основной вредоносный компонент так и не удается обнаружить. Этот вредонос опасен тем, что может собирать конфиденциальную информацию с устройств пользователя. Имена пользователей, номера кредитных карт, пароли и другие чувствительные данные через веб-перехватчик Microsoft Teams отправляется на вредоносный канал, где попадают в распоряжение злоумышленников.

Несмотря на признание важности фреймворка MITRE ATT&CK, существует проблема, связанная с процессом его изучения. Главная сложность кроется в самой структуре фреймворка: таблица объемна и многослойна. Пользователи неизбежно вынуждены постоянно переключаться между подразделами для получения полной картины. Такой способ подачи информации сильно затрудняет линейное последовательное прочтение. Помимо этого, табличная форма изложения материала мешает сосредоточиться на общем понимании концепции, вынуждая фокусироваться лишь на отдельных элементах.

Еще одним серьезным препятствием становится языковой барьер: документация доступна на английском языке. Конечно, современному IT‑специалисту важно владеть английским, однако это не отменяет факта, что восприятие и усвоение материалов на родном языке проходит намного легче и эффективнее. Даже при хорошем уровне владения иностранным языком скорость обработки информации заметно снижается, что усугубляет трудности при попытке овладеть таким большим объемом сложных данных.

Данная статья представляет собой конспект переведенной информации, содержащейся в MITRE ATT&CK. Ее цель состоит не в детализированном описании каждой отдельной техники вместе с методами противодействия, а в создании целостной системы представлений, позволяющей эффективно ориентироваться в многообразии техник. В рамках текущего обзора сосредоточимся исключительно на тактике Reconnaissance.

Доступ к грамотному выстраиванию процессов в сфере информационной безопасности должен быть у каждой компании, даже со скромным бюджетом — именно такой подход исповедуют в компании SECURITM. В рамках этой концепции, пять лет назад специалисты компании запустили бесплатную Community-версию ресурса — SECURITM Community.

Её философия проста: дать специалистам по ИБ возможность обмениваться опытом, пользоваться готовыми инструментами и строить эффективную систему безопасности с нуля. И один из свежих примеров того, как это работает на практике, — кейс Пятигорского завода «Импульс». На нём объясним, как работает сообщество.

Неверные настройки не всегда выглядят как критические уязвимости, но именно они часто становятся причиной сбоев и потери данных, а также точкой входа для злоумышленников. ФСТЭК России в рекомендациях по безопасной настройке Linux подчеркивает важность исправления мисконфигураций, однако наш анализ показал: около 90% компаний нарушают хотя бы одно требование из методики, а почти половина — четыре и больше. В этой статье разберем процесс исправления мисконфигов в разрезе требований ФСТЭК и покажем, как это реализовать на практике.

Часто при просмотре видеозаписей кажется, что всё на своих местах: события, люди, действия. Всё выглядит логично — до тех пор, пока не обращаешь внимания на время. Когда дата на видео не совпадает с реальностью, это меняет всё. В этой статье Андрей Кравцов, специалист Лаборатории цифровой криминалистики F6, расскажет о случае из практики, когда именно нестыковка во времени стала ключом решения. Истину помогли установить не кадры, а скрытые от глаз журналы событий, которые хранят больше, чем кажется на первый взгляд.

Изначально задача казалась тривиальной: провести криминалистический анализ, в рамках которого восстановить видеозаписи с жёсткого диска видеорегистратора. Заказчик сообщил, что самостоятельно найти и просмотреть видеозаписи за определённый период не получилось, это и стало причиной обращения к нам в Лабораторию.

С каждым годом роль DevSecOps в обеспечении безопасной разработки ПО становится всё больше и больше. Масло в огонь подливает стремительное развитие ИИ. Больше не в моде письма от «нигерийских принцев» и многомиллионных выигрышах. На смену им пришли дипфейки, имитирующие голос, внешность и поведение звёзд, директоров
и других ЛПР. В этой и следующих своих статьях я расскажу, какие подходы для обеспечения безопасности мы, как DevSecOps, используем в CUSTIS.

Всем привет. Меня зовут Аня (SavAnna) я работаю AppSec и как хобби занимаюсь багбаунти. Хочу рассказать историю, когда сочетание простых багов, которые может найти каждый приводило к высокому импакту.

В одном сервисе, где можно было создавать и оплачивать заказы были найдены IDOR CRUD счета на оплату (далее инвойс) и особенности связи инвойса с созданным заказом.

Анализ теоретическо-практических векторов атаки при утечке корневых и промежуточных сертификатов в модели угроз направленного взлома.

В практике тестирования на проникновение (penetration testing) традиционно большое внимание уделяется эксплуатации уязвимостей в программном обеспечении, слабостях в конфигурации и социальной инженерии.

Однако существуют сценарии, при которых Red Team получает доступ к активам, ставящим под угрозу не отдельные серверы или учетные записи, а саму основу доверия в информационной системе — инфраструктуру открытых ключей (Public Key Infrastructure, PKI).

Получение злоумышленником цепочек сертификатов, включая корневые (Root CA), промежуточные (Intermediate CA) сертификаты центров сертификации (УЦ), а также сертификаты в форматах .cer и .pem, равносильно вручению ему »ключей от королевства».

В данной статье мы рассмотрим, какие практические угрозы теоретически может реализовать Red Team в такой ситуации, и какие меры защиты должна предусматривать Blue Team.

PKI — построена на модели доверия.

Любая система (браузер, операционная система, клиент VPN) доверяет сертификатам, подписанным корневым УЦ.

Если злоумышленник получает закрытые ключи (private keys) от этих УЦ, он может самостоятельно изготавливать любые сертификаты, которые будут безусловно доверяться во всей инфраструктуре.

Это не просто утечка данных — это кража самого механизма установления «доверительных отношений».

Предположим, что Red Team в ходе проведения тестирования получает в свое распоряжение:

Всем привет! Подводим итоги сентября дайджестом ключевых новостей. В прошлом месяце на npm отметились две крупных компрометации пакетов, включая первого самореплицирующегося червя. Он встряхнул всю экосистему и вынудил GitHub ужесточить правила аутентификации и публикации пакетов.

Кроме того, в Entra ID раскрыли уязвимость, которая могла привести к компрометации любого аккаунта, завязанного на эту систему идентификации. Из-за Великого Китайского Файрвола произошла беспрецедентная утечка, а августовская кража токенов Salesloft заметно выросла в масштабах. Об этом и других интересных ИБ-событиях сентября читайте под катом!

Сегодня предлагаю тебе узнать, как одна уязвимость в веб-приложении может открыть злоумышленникам доступ к секретам всего облака. Не слабо, да!? Мы разберем механизм атаки через SSRF на службу метаданных EC2, покажем реальные примеры из практики и дадим конкретные рекомендации по защите, включая переход на IMDSv2 и принцип наименьших привилегий. Ну, что welcome на стенд!

Хабр, привет!

Вендоры и исследователи по кибербезопасности традиционно не спешат раскрывать технические детали уязвимостей сразу после их обнаружения. Причина в том, что публикация рабочего PoC (proof of concept) резко повышает вероятность массовой эксплуатации. Компании предпочитают выиграть время, чтобы пользователи успели установить обновления, и только после этого публикуют подробные отчёты.

Однако даже без раскрытия PoC можно определить уязвимости, которые представляют реальную опасность и требуют оперативной реакции.

Аналитики R-Vision регулярно отслеживают новые уязвимости, оценивают их критичность и подбирают практические рекомендации по защите. В сентябре мы выделили несколько CVE, которые уже эксплуатируются или могут представлять серьёзную угрозу .

В прошлой статье на эту тему мы разобрали некоторые эффективные меры защиты Active Directory — от включения SMB-подписи до сегментации и минимизации прав — обсудили набор базовых практик по защите AD. В комментариях мне в панамку накидали несколько дельных замечаний: исправляемся и продолжаем развивать тему защиты домена — под катом. 

В материале освещаются несколько направлений, о которых имеет смысл поговорить, если базовые защитные мероприятия уже выполнены: 

— Двухфакторная аутентификация в домене.
— Доработка защиты SMB — подпись против шифрования.
— Процесс выпуска сертификатов (PKI). 
— События Windows для Threat Hunting и корреляции в SIEM.
— Защита процесса LSASS. 

Ранее мы подробно рассмотрели семь методов встраивания информации в видеопоток. Однако не видео единым жива стеганография. В этот раз поговорим о том, какие в принципе существуют типы стегоконтейнеров и какие алгоритмы сокрытия данных к ним применяются. Также коснемся основных видов атак на бизнес с использованием стеганографии, проблем и перспектив в этой области.

Сложных формул и математических «игр разума» на сей раз не ждите: статья носит обзорный характер и адресована, прежде всего, безопасникам, которые могут столкнуться с подобными угрозами. Материал будет полезен и начинающим исследователям, которые пока только зондируют почву и еще не определились с областью для ресерча. Итак, поехали!

Антивирус, EPP, EDR и XDR… Многие слышали эти термины, но далеко не все понимают, чем они различаются и почему одного только антивируса сегодня уже недостаточно. В этой статье эксперты из Positive Technologies — Паша Попов, лидер практики по управлению уязвимостями, Сергей Лебедев, руководитель департамента разработки средств защиты рабочих станций и серверов, и Кирилл Черкинский, руководитель практики защиты конечных устройств, — разбираются с помощью наглядных аналогий в средствах киберзащиты и их роли в управлении уязвимостями.

Мы продолжаем серию обзоров правовых инициатив, проектов законов и постановлений, новых актов регулирования, касающихся вопросов информационной безопасности. В этой серии – о том, что нового в ИБ-регулировании в 3 квартале 2025 года.

Agentic Commerce Protocol (ACP) предлагает новый подход к интеграции AI-агентов в процесс покупок, и его архитектура безопасности заслуживает детального изучения. Сегодня ИИ-агенты могут выбирать, сравнивать и даже оплачивать товары. Но как не дать им выйти за рамки полномочий? ACP отвечает на этот вопрос — не запретами, а архитектурой.

Философия безопасности ACP

ACP следует принципу secure by design: безопасность встроена на всех уровнях, а не добавлена как слой.

Протокол основан на том, что продавец остаётся «системой записи» для всех заказов, платежей и налогов, а ACP обеспечивает безопасный мост между AI-агентами и существующей коммерческой инфраструктурой. Платежи по-прежнему проходят через PSP (провайдеров платёжных услуг) продавца — но с участием ИИ-агентов.

На прошлой неделе были опубликованы сразу два исследования об атаках на механизмы Trusted Execution Environment в процессорах Intel и AMD. Произошла довольно необычная ситуация, когда две команды исследователей из США и Европы независимо друг от друга нашли более-менее одинаковую уязвимость в защитном механизме, используя очень похожий метод атаки. Механизм TEE предполагает создание защищенного «анклава» в оперативной памяти: отдельный аппаратный модуль шифрует и расшифровывает данные на лету, затрудняя доступ к ним, даже в том случае, если система скомпрометирована. Один из вариантов TEE, технология Intel Software Guard Extensions (SGX), использовалась в том числе в пользовательских ПК для воспроизведения видео с дисков Blu-ray Ultra HD. Но наиболее актуальны такие технологии в облачных системах, когда модель угроз предполагает отсутствие доверия даже к поставщику сервиса или железа.

Атака Wiretap.fail, предложенная учеными из двух американских университетов, ломает защиту Intel SGX. Ее особенности дают представление о сложности такой атаки. Она предполагает, что потенциальный атакующий имеет полный контроль над ПО и также вмешивается в работу железа для того, чтобы извлечь секреты из работающей на компьютере и защищенной с помощью Intel SGX программы — виртуальной машины или другого ПО. Общая схема атаки выглядит так: вынимаем один модуль памяти стандарта DDR4 и вставляем его в специальный переходник, который подключен к логическому анализатору и позволяет перехватывать данные. «Вредоносная программа» должна обеспечить запись зашифрованных с помощью TEE данных именно в этот модуль.

В рамках празднования Дня среднего профессионального образования в столице прошел фестиваль «СПОфест». Его провели на ИТ-площадке «Кибердом». Участниками мероприятия стали 400 студентов из столичных колледжей, представители компаний в сфере ИТ и кибербезопасности. Об этом сообщили в пресс-службе столичного Департамента образования и науки.

Центральным событием фестиваля стал финальный этап чемпионат по CTF среди студентов. В отборочном этапе приняли участие 18 команд из 10 московских колледжей. По итогам испытаний в заключительный тур вышли восемь сильнейших. Они решали реальные кейсы по информационной безопасности, проходили испытания по анализу трафика, выполняли задания по криптоанализу и реверс-инжинирингу.

Победителями стали команды трех колледжей: третье место заняла команда OFLN41 колледжа связи № 54 имени П.М. Вострухина, второе — команда «На завод!» политехнического колледжа № 8 имени дважды Героя Советского Союза И.Ф. Павлова, а первое — команда BLVK колледжа современных технологий имени Героя Советского Союза М.Ф. Панова.

«“СПОфест” — это не только площадка для общения и профессиональных проб, но и пространство для соревнований, где студенты колледжей могут проверить свои силы в сложных и актуальных направлениях. Не менее ценно, что ребята проводят мастер-классы, делятся знаниями и опытом, вовлекая в профессию новых участников. Такие проекты вдохновляют студентов и доказывают, что СПО — это уверенный шаг в будущее», — отметила Виктория Кожан, директор колледжа автоматизации и информационных технологий № 20.

Представляемый глоссарий терминов для руководителя информационной безопасности (CISO) создан как рабочий инструмент, обеспечивающий единое понимание ключевых концепций в области управления информационной безопасностью. Унификация терминологии крайне важна для эффективного взаимодействия между техническими специалистами, менеджментом и бизнес-подразделениями, а также для построения прозрачной и соответственной требованиям системы защиты информации.

Для углубленного изучения каждого из терминов и связанных с ними практик рекомендуется обращаться к следующим авторитетным источникам:

Представьте: вы садитесь в такси. У водителя есть права — значит, формально он умеет водить. Но сможете ли вы предсказать, как он поведет себя в экстренной ситуации? Вряд ли. С оценкой сотрудников то же самое: формальная проверка есть, но глубины часто не хватает.

Как понять, что специалист действительно хорош? Как его оценивать и развивать? И можно ли делать это не на глаз? Отвечаем на эти и другие вопросы.