Информационная безопасность

Мы продолжаем серию публикаций, посвященную своду знаний по кибербезопасности — Cybersecurity Body of Knowledge (CyBOK). В Главе 3 данного свода знаний описываются основные регуляторные нормы и принципы международного права, которые имеют отношение к кибербезопасности и могут применяться при оценке киберрисков, управлении ИБ, расследовании киберинцидентов. Сегодня — пятая часть обзора Главы 3 CyBOK, в которой описываются особенности договорных взаимоотношений, условия заключения договоров и разрешение контрактных споров.

И в мире ИБ есть свои детективы. Они исследуют, наблюдают, собирают информацию и занимаются профилактикой, как и коллеги из юридической сферы, только их деятельность направлена на безопасность информационную. Как они это делают? Как происходит расследование инцидентов? Что нужно знать, чтобы стать кибердетективом? В статье поговорим об этапах киберрасследования, анализе логов, дампов и не только, а также о том, где этому можно научиться.

Хабр, привет! На связи Александр Леонов, ведущий эксперт PT Expert Security Center и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies регулярно исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.

С прошлого дайджеста мы добавили еще 4 трендовые уязвимости.

По традиции начнем с Windows.

Один клик по вредоносной ссылке — и контроль над аккаунтом потерян. Без фишинга, без вредоносного ПО.

Я обнаружил уязвимость в механизме OAuth аутентификации популярного десктоп-приложения, позволяющую похитить учетную запись любого пользователя всего в один клик. Основные причины проблемы: отсутствие проверки состояния (state validation), хранение долгоживущих токенов после перенаправления (loopback redirect) и слепое доверие параметру remote_key. В данном посте я подробно расскажу обо всех этапах атаки, почему она сработала настолько эффективно, и каким образом разработчики могут устранить данную проблему.

Несколько месяцев назад я решил заняться поиском уязвимостей в десктоп-приложениях. Для ясности поясню: говоря о поиске ошибок в десктоп-программах, я имею в виду взаимодействие приложений с веб-сервисами (процесс аутентификации, обмен данными или любые точки интеграции). Целью моего исследования стала известная компания, и я не вправе раскрывать ее название, поэтому на протяжении всей статьи буду использовать redacted.com.

Привет, Хабр! С вами снова Сергей Зыбнев, автор теле... а об этом позже. После нашего глубокого погружения в OWASP AI Testing Guide, пришло время заглянуть в будущее, которое наступит менее чем через месяц. Сегодня мы разберем еще один важнейший документ от OWASP, который смотрит на шаг вперед — OWASP Top 10 for Agentic Applications for 2026.

Если LLM — это мозг, то агентные системы — это полноценный организм с руками и ногами. Это ИИ, которые не просто отвечают на вопросы, а могут самостоятельно ставить цели, планировать и выполнять многошаговые задачи, используя различные инструменты (API, shell, браузер). Они могут управлять вашим календарем, писать код, заказывать товары и многое другое. И, конечно, такая автономия порождает совершенно новый класс угроз.

Этот Top 10 — попытка осмыслить и классифицировать риски, которые несут в себе эти мощные системы. Мы пройдемся по каждому из 10 пунктов, разберем их на реальных примерах и поговорим о том, как от них защищаться.

Привет, Хабр!

Это Павел Еременко, владелец продукта DAG в компании Avanpost.

Как часто я слышал в выступлениях и читал в блогах продуктовых менеджеров фразы о том, что «нужно делать персонажей» или «строить карты пути пользователей»? Наверное, столько же раз, сколько встречался со скепсисом со стороны других менеджеров, которые считают всё это лишь красивыми ритуалами, имеющими мало отношения к практике. С теми же сомнениями мы приступали к новому продукту, пока один такой «ритуал» не привёл нас к ключевой фиче в продукте, которая позволяет повысить эффективность пользователей в основном сценарии на 60%.

Расскажем о том, что прячется в детской платформе Roblox. Приводим статистику и собираем факты.

Первый список OWASP Top Ten был выпущен в 2004 году. И с того момента появилось 7 обновлений, последнее из которых представлено в ноябре 2025 (пока в статусе Release Candidate). Эксперты WMX проанализировали все выпуски, чтобы разобраться, как с каждым годом и даже десятилетием менялась оценка угроз.

Если вы когда-нибудь бывали на ИБ конференциях, то знаете этот ритуал. Бесконечные ряды стендов, много кофе, улыбок, разговоров и... обещаний. Обещания, что новое решение может то-то, что теперь нам что-то не грозит, что теперь оно «производительнее, выше, сильнее…». Да, иногда показывают железо, а чаще только интерфейс, но потом брошюры, каталоги и презентации. Мы тоже так делали, но в этот раз решили сделать по-другому. Если уж мы занимаемся тестированием, то давайте вместо разговоров об этом дадим людям возможность… потестировать тестирование.  

Вы открываете письмо, кликаете по безобидной ссылке, и ваш корпоративный аккаунт теперь принадлежит кому-то другому. И это лишь один из четырех критических багов в коробочном SSO-решении, которые мы обнаружили во время рутинного пентеста.

Мы покажем, как одна логическая ошибка в продукте может привести к полному захвату аккаунтов, и объясним, как действовать, когда находишь подобный «подарок» в своей инфраструктуре.

2025 год уже ознаменовался новой волной кибератак, на которые попадаются даже технически подкованные пользователи. В предпраздничной суете особенно активизируются мошенники, которые играют на нашем желании найти выгодный подарок: имитируют крупные бренды, рассылают фишинговые ссылки в мессенджерах и наживаются на доверчивости покупателей.

В этой статье мы разберем самые свежие схемы обмана, подробно расскажем, как проверять интернет-магазины в новых реалиях, и дадим четкий план действий на случай, если вы все же стали жертвой злоумышленников.

Всем привет!

В сентябре 2025 года мы в Angie Software получили долгожданные лицензии ФСТЭК, которые позволят нам заняться сертификацией продуктов. К этой точке в пространстве и времени мы шли почти год, хотя изначально казалось, что сама по себе процедура представляет довольно простой алгоритм. И не должна отнимать столько времени.

В этом тексте мы попробуем рассказать нормальным русским языком - что такое лицензии ФСТЭК, зачем они вам нужны, как все это связано с сертификацией продуктов, чем это, в теории, будет вам полезно. И укажем, какие ошибки мы допустили по дороге. Возможно, вам это сэкономит кучу времени и спасет тонны нервных клеток. Нам бы такой текст точно пригодился. Но мы его в свое время не нашли...

Информационная безопасность часто ассоциируется с хакерами в худи или с важными людьми в костюмах, которые ходят по офисам с кипой документов. Это близко к правде, но на самом деле информационная безопасность — это целая экосистема, связанная с защитой данных, систем и сервисов.

В Яндекс Практикуме прошёл вебинар «Как новичку найти работу в информационной безопасности» — эксперт в сфере Андрей Шамарин рассказал, чем занимаются специалисты в этой области, как найти в ней своё направление и начать карьеру. Делимся самым важным.

18 ноября 2025 года, на следующий день после того как Microsoft отразили атаку ботнета AISURU в 15 Tbps, по всему миру на несколько часов фактически перестал работать провайдер Cloudflare. За два месяца до этого Cloudflare отчитался об успешном отражении атаки того же AISURU в 22 Tbps (мировой рекорд, который, видимо, этот ботнет решил обновлять каждый месяц). Хотя два инцидента оказались в итоге не связаны, учитывая фантастические темпы роста AISURU, время задуматься — как скоро придет момент, когда мощь этого ботнета превысит все защитные ресурсы провайдеров мирового уровня?

3 декабря разработчики JavaScript-библиотеки для создания веб-приложений React сообщили об обнаружении критической уязвимости в компоненте React Server Components. Уязвимость с наивысшим, десятибалльным рейтингом опасности по шкале CVSS v3 получила идентификатор CVE-2025-55182. Еще один идентификатор CVE-2025-66478 является дублирующим — он относится к интеграции React Server Components во фреймворке Next.js. Уязвимые веб-приложения в худшем случае позволяют злоумышленнику без какой-либо аутентификации получить контроль над сервером, отправив специально подготовленный запрос. Отсюда название уязвимости, точнее два варианта — React4Shell и React2Shell.

Быстрое развитие ситуации вокруг уязвимости можно оценить как «идеальный шторм», максимально сложную ситуацию для администраторов уязвимых систем, происходящую все же достаточно редко. Уже в день публикации бюллетеня React началась эксплуатация уязвимости, предположительно, организованными группировками из Китая. На следующий день, 4 декабря, примеры кода для эксплуатации уязвимости были доступны публично. Потенциально уязвимы сотни тысяч сайтов и веб-приложений, использующих либо React, либо Next.js, хотя реально подвержены атаке не все из них.

С каждым днем искусственный интеллект всё больше интегрируется в нашу жизнь и облегчает многие задачи. Но, к сожалению, он также используется и в арсенале киберпреступников.

Так, в ходе ежедневного мониторинга угроз, 21.11.2025 специалисты F6 Threat Intelligence обнаружили вредоносный архив с именем Изделие-44 ДСП.rar (MD5: d3b6c14b4bbad6fd72881ff6b88a0de4), загруженный на одну из публичных онлайн-песочниц.

Архив содержит в себе файл Изделие-44 ДСП.hta (MD5: e6846e5074ef5e583df74d989a32833f), запуск которого инициирует цепочку заражения: HTA-загрузчик -> EXE загрузчик\инжектор -> полезная нагрузка DarkTrack RAT.

В ходе анализа содержимого указанного файла прослеживается простота кода, подробное его комментирование, форматирование и отсутствие грамматических ошибок. Эти признаки позволяют предположить, что злоумышленники использовали при разработке своего ВПО LLM.

Привет! С вами снова Александр Симоненко, операционный директор Xilant. В первой статье трилогии о бизнес-требованиях мы разобрали, как неточные формулировки в требованиях создают уязвимости, а во второй — методики безопасных требований: INVEST, SMART, What-If и misuse-cases. 

В заключительной статье поговорим о том, как встроить безопасность в процесс разработки, чтобы эти методики работали не на бумаге, а в жизни команды.

Всякий в Рунете ищет себе жизни хорошей, да только одни сервисы живут вольготно и горя не знают, а другие попадаются в сети хитрые, уязвимостями прозванные.

Так и эксперты СайберОК весь ноябрь бродили по цифровым тропинкам и всё пытались понять: кому в Рунете жить хорошо, а кому достаётся участь тревожная. Прошлись по инстансам, сверили телеметрию, посмотрели, где есть PoC’ы, а где только шум, и составили ТОП / АНТИТОП уязвимостей ноября.

В 2025 году покупка сим-карты в салоне связи по моему мнению превратилась в юридическую рулетку. Мы приобрели номер, но при попытке регистрации в Telegram получили сообщение: «Код отправлен на другое устройство».

В статье подробно разбираю, почему предварительная проверка номера через поиск оказалась неэффективной из-за настроек приватности, какие риски несет процедура вторичного использования номеров (Recycling) для старых и новых владельцев, и как ситуация выглядит с точки зрения российского законодательства (ст. 138 и 272 УК РФ).

Влияние информационной безопасности на производственные процессы часто недооценивается. Даже корректно сформулированные требования могут привести к росту времени реакции, усложнению поддержки и увеличению стоимости эксплуатации, если внедрять их без учёта особенностей АСУ ТП.

Эта статья предлагает системный взгляд на взаимодействие ИБ с инженерами: какие решения помогают, какие — создают дополнительные риски, и как выстроить баланс, который реально повышает устойчивость производства, а не снижает её.