Как оценить безопасность компании с точки зрения злоумышленника? Одно дело — знать теорию защиты, другое — понимать логику взлома.
27 марта состоялся очный бизнес-интенсив, реализуемый в рамках курса повышения квалификации «Анализ типовых сценариев компьютерных атак на организации и их последствия» МГТУ им. Н.Э. Баумана совместно с компанией Бастион!
Программа построена на исследовании сценариев реальных компьютерных атак и включает три ключевых блока:
1️⃣ Разведка: как хакер выбирает жертву 2️⃣ Внутренний взгляд: как атака развивается внутри компании 3️⃣ Вас взломали: что делать в первые 24 часа
Спикеры:
Дмитрий Калинин, директор департамента по работе с уязвимостями и инцидентами ИБ, Бастион
Иван Глинкин, руководитель группы аппаратного тестирования департамента по работе с уязвимостями и инцидентами ИБ, Бастион
Для тех, кто по тем или иным причинам не мог присутствовать очно, представляю полную запись интесива во 📺 ВКонтакте (3 часа 5 минут).
🧠 Обязательно поделись с теми, кому это может быть полезно: 💬 Телеграм | 💬 Max | 📝 Хабр | 💙 ВКонтакте
Рег.облако и DDoS-Guard договорились о сотрудничестве
В рамках партнерства Рег.облако интегрировал в облачную среду расширенную защиту от DDoS-атак (L3–L4 и L7) на базе технологий DDoS-Guard. За 2025 год DDoS-атаки на облачный сегмент выросли почти в полтора раза, сделав встроенную защиту от киберугроз важным элементом любой инфраструктуры, и теперь клиенты провайдера смогут ей воспользоваться.
Облачный и Bare metal провайдер Рег.облако объявил о запуске партнерского решения DDoS-Guard для защиты облачной инфраструктуры и веб-ресурсов от DDoS-атак. Сервис интегрирован в облачную платформу и позволяет клиентам подключать защиту через единый интерфейс панели управления, не вынося настройку безопасности в отдельный контур.
Рост зависимости бизнеса от облачных сред усиливает требования к устойчивости цифровой инфраструктуры. По данным DDoS-Guard, в 2025 году увеличился масштаб ботнетов: атаки происходят с участием более 2 млн уникальных IP-адресов. Подавляющее большинство атак, около 80%, приходится на уровень L7, то есть на приложения и веб-сервисы, где сбои напрямую отражаются на доступности сайтов, личных кабинетов, API и онлайн-платформ.
На этом фоне защита от DDoS-атак становится для облачных заказчиков не дополнительной опцией, а базовым элементом отказоустойчивости. Решение DDoS-Guard в Рег.облаке обеспечивает многоуровневую защиту на уровнях L3–L4 и L7, автоматическое обнаружение атак и запуск фильтрации в течение нескольких секунд, а также поведенческий мультивекторный анализ для противодействия ботам и другим видам вредоносной активности. Фильтрация трафика опирается на глобальную сеть очистки суммарной мощностью более 3,2 Тбит/с.
«Для компаний с публичной инфраструктурой DDoS-атаки остаются системным риском — от интернет-магазинов и игровых платформ до финансовых сервисов. Решение DDoS-Guard в Рег.облаке позволяет управлять инфраструктурой и защитой в одном интерфейсе, что упрощает запуск, снижает вероятность ошибок в настройке и делает инструменты сетевой безопасности доступнее для бизнеса любого масштаба», — комментирует Егор Сапун,руководитель направления сертификации инфраструктуры Рег.облака.
«Сотрудничество с Рег.облако позволит защитить гораздо большее количество отечественных сайтов от DDoS-атак и повысить уровень их отказоустойчивости. Это решение для очень актуальной сегодня проблемы бесперебойной работы бизнеса в условиях роста как числа, так и мощности DDoS-атак, особенно на облачный сектор», — заявил Дмитрий Никонов, директор по продуктам DDoS-Guard.
Запуск партнерского решения расширяет набор встроенных сервисов безопасности в Рег.облаке и отвечает запросу компаний, для которых критичны непрерывная работа онлайн-сервисов, предсказуемость затрат и быстрое развертывание защиты без сложной интеграции. Наиболее востребованным такой сценарий может быть для интернет-магазинов, игровых проектов, корпоративных систем с публичным доступом, а также финансовых и финтех-сервисов, где цена даже кратковременного простоя остается крайне высокой.
Представлен открытый ИИ-проект METATRON для проведения исследований, пентестов и поиска информации:
модель metatron‑qwen или дообученная Qwen 3.5;
ИИ автоматически пробивает и собирает все данные: сканирует порты, ищет уязвимости веб‑серверов и сведения о доменах и заголовках, профилях социальных сетей;
ищет уязвимости через DuckDuckGo;
сервис самостоятельно запускает дополнительные инструменты и даже API, если ему не хватает данных;
хранит полную историю сканирований, найденные уязвимости и фиксы;
Автоматизация облачных сценариев в эпоху искусственного интеллекта — одна из тем доклада на GoCloud 2026 ☁️
Облако дает множество сервисов, но собрать полный путь от идеи до запуска все еще непросто: неподготовленные команды теряются, решения требуют архитекторов и ручной склейки. В докладе расскажу про инструмент, который превращает облачные задачи в готовые сценарии с шаблонами и маркетплейсом функций.
Также покажу, как одни и те же блоки выполняются в разных окружениях и как ИИ-ассистент ускоряет сборку полного цикла: от архитектуры и непрерывной интеграции до бизнес-логики приложений.
Спикер: Антон Щеколдин — менеджер продукта, Cloud.ru
Представлен открытый OSINT-инструмент, который за несколько секунд собирает цифровой след по всему интернету. Проект Sherlock по одному нику пробивает аккаунты сразу на сотнях сайтов. Решение параллельно проверяет 400+ платформ: от соцсетей до форумов и цифровых площадок. На выходе получается список всех найденных профилей, можно выгрузить в файл или открыть прямо в браузере. Работает на любой системе, есть поддержка прокси и Tor.
Помните в своих постах я периодически указывал на 📺 Matt Brown и его реверс-инжиниринг IoT-устройств, которые нас окружают? Так вот, буквально 8 дней назад Matt совместно с Andrew Bellini анонсировали абсолютно бесплатный курс по аппаратному хакингу под названием All about UART (Все про UART).
В соответствии с описанием,
Этот вводный курс познакомит вас со всем, что касается UART, одного из старейших и до сих пор наиболее распространенных протоколов связи для встроенных систем. Вы изучите основы взаимодействия устройств с помощью электронных сигналов, принципы работы UART вплоть до уровня напряжения на проводе, научитесь распознавать сигналы UART и, что наиболее важно, взаимодействовать с ними. Помимо изучения UART, этот курс также научит вас основным навыкам работы с аппаратным обеспечением, таким как использование мультиметра, логического анализатора, адаптера UART и даже, при желании, пайка.
Курс состоит из 6 секций и суммарно 17 уроков общей продолжительностью 2 часа 35 минут. Авторами, как я упомянул выше, являются Andrew Bellini и Matt Brown. К сожалению, язык повествования только английский, но отечественный «однобуквенный» браузер имеет встроенный функционал по переводу его на русский.
Ребята «защитились» и не дают возможность просматривать видео с российских IP‑адресов. Какие наивные). Мало того, что у нас хорошие учителя в лице главного регулятора, и даже бабушки знают, как обойти это ограничение, так они решили защититься от главных хакеров таким детским способом. Ладно, не будем над ними шутить, возможно они руководствуются требованиями своего регулятора… В любом случае, для вашего удобства я скачал все уроки, смонтрировал в одно видео и разместил во 📺 ВКонтакте.
Поэтому устраивайтесь по-удобнее и в путь - грызть гранит науки!
🧠 Обязательно поделись с теми, кому это может быть полезно: 💬 Телеграм | 💬 Max | 📝 Хабр | 💙 ВКонтакте
Перенаправления — это механизм, с помощью которого сервер указывает клиенту (например, веб-браузеру) необходимость перейти на другой URL. Они являются стандартной частью протокола HTTP и используются для управления трафиком между веб-сайтами.
Чем опасно открытое перенаправление:
Позволяет проводить фишинговые атаки;
Используется для эксплуатации уязвимостей браузеров и плагинов;
Способствует распространению вредоносного контента и дезинформации.
➡️ В этом видео Денис Данилов, инженер по безопасности приложений Swordfish Security, рассказывает, как защититься от этой уязвимости. Эксперт объясняет, какие подходы использовать на сервере, чтобы исключить риск, а также показывает реальный пример эксплуатации, когда злоумышленник может обмануть пользователя, даже если сайт выглядит безопасным.
Опрос об ИТ-стандартах: создавайте правила, по которым завтра будет работать вся индустрия
До 17 апреля у вас есть возможность пройти опрос и действительно повлиять на то, как развивается российская стандартизация в области информационных технологий.
Сегодня в разработке стандартов участвует менее 1% российских ИТ-организаций. И напрасно: национальные стандарты — это не «скучные документы», а реальных рабочий инструмент, который позволяет:
· осознанно выбирать необходимые для проекта технологии или их совокупность;
· заимствовать апробированные мировые практики, а не «изобретать велосипед» заново;
· влиять на государственное регулирование ИТ-отрасли, поскольку по ряду стандартов уже проводят проверки надзорные органы — и их количество будет расти.
В конце концов, лучше создавать собственные правила работы, а не работать по чужим. Сегодня у вас есть такая возможность.
По поручению Росстандарта при поддержке Информационной сети «Техэксперт» проводится опрос, который выявит востребованность российскими предприятиями стандартов в сфере ИТ. Ваши ответы помогут сформировать Программу национальной стандартизации (ПНС) на 2027–2030 годы на основе реальных запросов ИТ-индустрии и напрямую определят, какие международные технологии (ISO/IEC) станут национальными стандартами в ближайшие годы, и какие ГОСТ Р будут актуализированы и пересмотрены. Исследование продлится до 17 апреля 2026 года.
Исходный код агента Claude Code оказался в открытом доступе из-за технической ошибки. При публикации пакета разработчики не исключили .map-файл, что фактически позволило восстановить значительную часть внутренней логики проекта.
Скриншот GitHub
Репозиторий быстро разошёлся по сообществу: за короткое время он собрал тысячи звёзд на GitHub и был многократно скопирован. Внутри — системные промпты, архитектурные решения, вспомогательные функции и другие элементы, которые обычно остаются закрытыми.
Ситуация наглядно показывает, насколько критичной может быть даже незначительная ошибка в конфигурации сборки — особенно для проектов с закрытой архитектурой.
Мой блог в Телеграм:Хак Так ⬅ поддержите подпиской!
В новой версии Firefox 149.0 появился встроенный Mozilla VPN с бесплатным трафиком 50ГБ в месяц. Сообщается, что функция раскатывается сначала для США, Великобритании, Германии и Франции. Видимо, так как я сидел на французском VPN, мне тоже прилетело обновление с этой функцией (или доступно уже всем?).
В настройках можно добавить адреса сайтов-исключений, которые будут открываться без VPN (например, gosuslugi.ru, vk.com и т.д.). Возможности вписать регулярное выражение не нашел (для всех ru/su/рф доменов).
Так же, в новой версии появилась функция раздельного экрана: в одной вкладке можно добавить две вкладки и менять ширину.
Все началось с того, что 26 марта в реестре проекта Zero Day Initiative (одной из наиболее авторитетных независимых платформ по раскрытию уязвимостей) появилась запись о новом критически опасном недостатке безопасности в мессенджере Telegram. Его обнаружил исследователь Майкл Деплант (aka izobashi).
Пока что детали не раскрываются: по правилам площадки после появления информации об уязвимости у Telegram есть 120 дней на ее исправление. Поэтому все подробности станут известны лишь 24 июля. Но сделать некоторые предположения можно уже сейчас.
🗣 Что известно об уязвимости
Ее посчитали критически опасной — 9,8 по шкале CVSS 3.1. Такую оценку можно объяснить указанным вектором атаки: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Это расшифровывается так: атака сетевая, воспроизводится легко, без дополнительных условий, получения привилегий (прав в системе или учетной записи) и взаимодействия с жертвой. При этом возможна полная утечка данных или критически важной информации, а киберпреступник может получить к ним максимальный доступ и нарушить целостность (например, модифицировать).
👾 Чем она может быть опасна
Основываясь на векторе ошибки, Александр Леонов, ведущий эксперт по управлению уязвимостями PT ESC, предложил два возможных варианта ее эксплуатации.
В обоих случаях злоумышленник в начале атаки может отправить жертве специально подготовленный зараженный медиафайл (стикер). После того как пользователь просмотрит сообщение со стикером, киберпреступник может:
✅ получить полный доступ к пользовательскому аккаунту Telegram, включая переписку;
✅ выполнить вредоносный код на устройстве, на котором установлено приложение Telegram, и полностью его скомпрометировать.
🛡 Как защититься
Наши эксперты советуют отключить автозагрузку всех медиафайлов в мессенджере и, по возможности, пользоваться веб-версией вместо мобильного или десктопного приложения.
Если вы опасаетесь стать жертвой злоумышленников, можно включить режимы для безопасной работы мобильных приложений — iOS Lockdown Mode и Android Advanced Protection Mode. Кроме того, не забывайте своевременно обновляться. А в случаях, когда подозреваете, что устройство уже скомпрометировано, сбросьте его до заводских настроек.
🤔 Что говорят в Telegram
В самом Telegram наличие уязвимости отрицают, заявив, что ее эксплуатация через зловредный стикер невозможна, так как все стикеры проходят проверку безопасности на стороне сервера.
Так что ждем июля и полного раскрытия информации, а пока на всякий случай соблюдаем правила кибербезопасности.
В этом видео инженер по безопасности приложений Swordfish Security Оксана Сурвилло рассказала, какие данные можно и нельзя хранить в куки и как защитить их с помощью флагов Secure, HttpOnly, Domain, Path и SameSite.
Куки — это текстовые файлы, хранящиеся на устройствах пользователей. Они содержат небольшие фрагменты данных, например, идентификатор сессии. С их помощью сайты запоминают информацию о пользователях.
Сегодня украденные куки зачастую дают больше возможностей для хакеров, чем логин и пароль. Например, компрометация сессионного куки позволяет злоумышленнику войти в почту, CRM и облачные хранилища без пароля и дополнительной верификации.
🔒 При неправильной настройке куки также могут стать объектом атак злоумышленников, поэтому важно обеспечить их безопасность.
🔼Также в видео эксперт показывает реальный сценарий эксплуатации уязвимости в куки, в результате которой злоумышленник может получить доступ к аккаунту администратора сайта.
Вышли новости, что в России по требованию РКН Apple удалили десяток VPN сервисов из App Store. И у меня снова всплыл вопрос: если Телеграм технически сложно заблокировать, но все же нужно, то почему просто не отправить такой запрос на удаление Эплу? Это сложно сделать? Или есть другие преграды? Почему не сделали 8 лет назад? (пост про блокировку).
Разберемся, как все работает:
1️⃣ У Apple есть App Store Transparency Report (pdf), последний за 2024-й год. Согласно нему по запросу властей за год удалили 1730 приложений, вот топ:
🇨🇳 Китай (1307)
🇷🇺 Россия (171)
🇰🇷 Южная Корея (79)
🇺🇦 Украина (55)
🇯🇴 Иордания (50)
🇮🇳 Индия (34)
2️⃣ То есть Роскомнадзор УМЕЕТ писать письма в Apple. Более того, в csv с деталями (zip) видно, что все запросы направил именно РКН, из них:
170 запросов по ФЗ 149 (про запрещённое, блокировки и т.д.)
1 запрос по ФЗ 86 (что-то по запросу ЦБ)
То есть система работает как часы, Россия — почти лидер по отправке запросов.
Открытый сетевой инструмент Deep Eye может автономно искать уязвимости и проводить тесты на проникновение в исследовательских целях. Проект использует нейросети, которые коллективно ищут уязвимости на выбранном ресурсе и пытаются проводить различные тесты. Решение поддерживает 45 методов и атак. Алгоритмы системы собирают всю информацию о сайте, включая поддомены и DNS.
По предварительной оценке, баг получил 9,8 из 10 по шкале CVSS, что соответствует уровню критической опасности. По данным специалистов, уязвимость может затронуть безопасность аккаунтов пользователей.
Публичное раскрытие проблемы запланировано на 24 июля. До этого момента у команды Telegram есть время на выпуск исправления.
Telegram пока официально не комментировал ситуацию.
Месяц назад мы приобрели новую машину прямиком из салона: японец, но крупноузловая сборка в Китае. И в соответствии со всеми современными практиками в авто установлено передающее устройство на случай аварии. Только родной «СОС» настроен на Китайский рынок и его перепрошить нельзя. Или можно, но в салоне объявили «150 000 рублей за русификацию мультимедии и, возможно, GSM-модуля СОСа».
Соответственно, чтобы машина соответствовала требованиям Российского законодательства в части обязательной установки кнопки SOS («ЭРА‑ГЛОНАСС»), в автомобиль можно сказать варварским методом было установлено вышеназванное устройство. «Мастера» разобрали потолочный плафон‑светильник, срезали заводскую тряпичную оплетку и изоляцию с проводов, и простой СКРУТКОЙ врезались в линию. Потом замотали изолентой (даже не синей) и каким‑то тряпичным скотчем завершили композицию. В общем, комментировать — только портить.
Что самое интересное, СОС устанавливает соединение тремя проводами. Кроме логичных плюс и минус я в настоящее время не знаю для чего нужен третий. Есть предположения, что это салонный микрофон hands‑free, чтобы в случае необходимости обеспечить двухстороннюю связь с оператором. Ряд моих коллег высказывают мысль, что это может быть датчик подушек безопасности: они срабатывают и сигнал автоматом отправляется в экстренные службы. Потенциально возможно, если не одно НО: зачем в потолочный светильник выводить датчик подушек?
В любом случае будем разбирать этого красавца и смотреть как он устроен внутри. Заодно поймем, что это за таинственный третий провод (делайте ваши ставки, господа). Если у вас есть наработки по аналогичной теме или уже существующий разбор/обзор кнопки SOS («ЭРА‑ГЛОНАСС»), буду рад изучить и применить в текущем исследовании!
🧠 Обязательно поделись с теми, кому это может быть полезно: 💬 Телеграм | 💬 Max | 📝 Хабр | 💙 ВКонтакте
Столько получили исследователи за найденные уязвимости
Проверять безопасность наших сервисов и ресурсов помогают независимые эксперты — багхантеры на платформе BI.ZONE. Мы постоянно расширяем области тестирования и, конечно, увеличиваем награды. Вот немного цифр:
🔸 3 года работает программа 🔸 В 2025 году сделали её публичной — каждый может найти уязвимость и получить награду 🔸 340 отчётов об уязвимостях приняли 🔸 До 1 000 000 ₽ можно получить за нахождение критической уязвимости
🔸 Сколько заработали топ-3 исследователя:
1 место — 1 940 500 ₽ 2 место — 1 898 000 ₽ 3 место — 1 594 400 ₽
🔸 30+ сервисов и ресурсов Альфа-Банка открыты для тестирования. Присоединяйтесь к программе охоты за уязвимостями по ссылке и получайте вознаграждения.
Большинство ИИ-агентов работают так: сгенерировал — опубликовал. Что получилось — то и вышло.
Наш агент Фроня (Фронезис) устроен иначе. Прежде чем что-то опубликовать, он устраивает совет внутри себя — и только при согласии двух из трёх действует. Byzantine consensus: если один ошибается или галлюцинирует, остальные блокируют.
Но этого мало. Каждое решение запечатывается криптографической подписью до выполнения — не после. Это Leibniz Layer™, наш протокол верификации. Любое действие агента можно проверить по хэшу в любой момент.
Скриншот ниже — реальный пример: агент заблокировал свой собственный пост и рефлексирует по этому поводу.
Тусовка ИИ-агентов, где людям дозволено лишь наблюдать
Не побоимся этого слова — первый в мире агент который подписывает свои решения до действия и позволяет любому их проверить. leibniz.fronesislabs.com
Программа состоит из 40 академических часов, курс проводится дистанционно и включает работу с продуктами InfoWatch, которые входят в Центр расследований: Data Discovery, Vision, Activity Monitor, Prediction, Data Access Tracker и Device Control.
