Информационная безопасность *

Подробный чек-лист, чтобы проверить, готова ли ваша инфраструктура к форс-мажорам.

Когда ИТ-инфраструктура даёт сбой, последствия ощущает весь бизнес: клиенты не могут оплатить заказ или воспользоваться услугой, сотрудники — получить доступ к рабочим системам. Причиной может стать высокая нагрузка, кибератака или отказ оборудования. 

Меня зовут Никита Демянчук, я руковожу группой технического взаимодействия с клиентами EdgeCenter. В этой статье разберу семь шагов, которые помогут проверить готовность инфраструктуры: найти слабые места, выбрать подходящие меры защиты и подготовиться к восстановлению после сбоя.

В чём проблема существующих мессенджеров с точки зрения приватности и почему бы на свет не родиться ещё одному? Будет интересно, если тезис «мне нечего скрывать» и компромиссы приватности во имя общего блага вам не нравятся.

Привет, Хабр!

Меня зовут Егор Боровинских, старший аналитик безопасности веб-приложений в компании «Гарда».

Сегодня хочу поговорить о FFmpeg. Для тех, кто не в курсе, эта open-source библиотека является индустриальным стандартом для мобильных приложений с функциями обработки аудио и видео, которая разбирает контейнеры (MP4, MOV, AVI, RTSP и т. п.) на отдельные потоки. А знаете, что бонусом к этому фреймворку идет порядка 543 зарегистрированных CVE? Причем эти уязвимости фигурируют в программах bugbounty.

Под катом разберу, как находить и атрибутировать FFmpeg, как выявлять в нем паттерны, определять версии и, конечно же, эффективно отлавливать уязвимости и баги. А в конце статьи любителей нейросетевого анализа мобильных приложений ждет небольшой бонус.  

Админка Microsoft 365 и Graph не умеют главного — показать, что изменится, до того как изменится. Я делаю открытую утилиту, где любое действие сначала строит план «было → станет» и только потом применяет его, будь то Graph, Exchange PowerShell или LDAP. Вышла версия 2.0.

В статье — не обзор кнопок, а грабли, о которые пришлось споткнуться: Exchange PowerShell, который не работает на Mac, откат Conditional Access и Intune к снимку (где Intune подсовывает маски вместо секретов), и как запускать чужие PowerShell‑скрипты с админским токеном, не отдавая им всё.

Каждый, кто хоть раз пытался выбрать SIEM для своей компании, знает это специфическое чувство: открываешь красивый буклет вендора — а там сплошная магия и обещания ловить 146% атак за три миллисекунды без смс и регистрации. Но стоит дойти до дела, как на сцену врывается реальность: кадровый голод, боль переноса сотен накопленных правил корреляции, сложные облачные сервисы и простые заоблачные цены.

Мы постоянно видим разную мотивацию при выборе SIEM на практике и знаем, какие бывают боли и сомнения. Сейчас хотим проверить наши выводы, опросив хабровчан и перестраховавшись от возможных искажений из‑за собственной насмотренности.

Хотим выяснить, какие критерии действительно важны при выборе SIEM, что сильнее всего мешает внедрению или переходу и какие доказательства состоятельности продукта нужны до покупки, чтобы принять решение. Не пугайтесь: большинство вопросов — это оценки по шкале от 1 до 10. После опроса мы сравним ответы специалистов из компаний разного размера и с разными задачами и обязательно поделимся результатами в статье.

Наверняка вы замечали, что одни багхантеры находят уязвимости одну за другой, а многим это дается с бо́льшим (или даже больши́м) трудом. Хусейн Дахер, известный под ником hussein98d, считает, что дело не в технических навыках. Все решает рекон.

Хусейн Дахер — основатель и CEO компании Web Immunify, родом из Ливана. В багбаунти он больше десяти лет: за это время он нашел и зарепортил более тысячи уязвимостей на разных платформах. Хусейн также входит в топ исследователей на площадке Standoff Bug Bounty.

Один из самых громких результатов — первое место в программе Fidelity National Information Services меньше чем за полгода. Сам Хусейн объясняет это не удачей, а умением находить активы, до которых не добираются другие. С ним можно связаться на webimmunify.com и daherhussein.com.

В этой статье мы расскажем четыре реальные истории из его практики, когда Хусейну удавалось находить уязвимости там, где, казалось бы, уже все исследовано вдоль и поперек. В одной из них «мертвый» IP-адрес, который все обходили стороной, оказался приложением с захватом аккаунта в один клик. В другой старая сборка Android-приложения отдала ключи ко всей инфраструктуре компании. А еще был домен, который находился только через одну поисковую систему, и открыл доступ к базе данных. Чтобы подробнее разобрать каждый кейс, заглядывайте под кат!

Из 6 157 отчётов, которые Anthropic передала мейнтейнерам open source проектов, исправлено 516: это 8,4%, а не 516 из 29 000, как читается заголовок The New Stack. Разбираем что нашли модели Claude и к чему это привело.

В тесте Apollo Gemini 4 Argon передала привет проверяющим прямо в своих рассуждениях. В другом опыте отказалась от плана спрятать бэкдор, рассудив, что станет знаменитым примером обманчивого ИИ. Разбираем, что отчет Google говорит о безопасности модели и почему узнавание испытаний мешает оценить ее поведение.

Двадцать лет ИБ-сообщество учило разработчиков не тащить в проект непроверенные зависимости. А потом мы доверили написание кода LLM, которые с удовольствием выдумывают несуществующие пакеты, — и злоумышленнику остаётся только зарегистрировать их первым. Разбираемся, что такое slopsquatting, насколько часто модели галлюцинируют пакеты и как от этого защититься.

Привет, Хабр! Меня зовут Даниил Лопаткин, я ML-инженер в группе машинного обучения Positive Technologies. Расскажу, как в PT Cloud Application Firewall работает обнаружение аномалий в профиле трафика и зачем мы его сделали.

Межсетевой экран уровня веб-приложений (WAF) записывает каждое срабатывание правила защиты. У крупного клиента за сутки набираются десятки и сотни тысяч таких событий. Большая часть из них — привычный фон: боты, сканеры, перебор типовых путей, превышения лимита запросов. Следит за ними обычно небольшая команда центра мониторинга безопасности (SOC), и отвечает она сразу за много приложений. Просматривать события безопасности каждого вручную она не успевает. Начало целенаправленного сканирования или эксплуатация недавно опубликованной уязвимости теряются среди остальных событий, и их замечают с опозданием.

Сейчас в ИТ-сфере довольно турбулентно и непредсказуемо: экономическая нестабильность, массовые увольнения, сокращение общего числа вакансий, повсеместное внедрение ИИ, который угрожает заменить разработчиков. Все заставляет переживать работников интеллектуальной сферы. 

Совокупность всех описанных факторов распространило на рынке огромное число скам-вакансий. Не удивительно, ведь злоумышленники всегда играли на чувствах и опасениях жертв, а текущая ситуация создает огромные возможности для подобных действий. Сегодня я хочу уделить внимание конкретному виду таких схем, которая напрямую затронула и меня. 

Разбираю сутки телеметрии смен IP в сети мобильных прокси и сопоставляю привычки парсеров с тем, что способен увидеть антифрод маркетплейса. Внутри распределения по операторам и способам ротации, длительность смены адреса, дубли команд и каркас парсера, который привязывает ротацию к сессии. Отдельно и честно о том, чего измерить не удалось.

Осень приносит не только романтичные прогулки под дождем, но и фишинговые письма от «поставщиков», расширения с сюрпризом, подозрительные VPN-входы и устаревшие сервисы на внешнем периметре. Собрали дайджест главных киберугроз сентября для российских компаний.

Когда речь заходит о проверках безопасности в Kubernetes, на ум в первую очередь приходят готовые средства: Pod Security Admission, OPA Gatekeeper, Kyverno. Они хорошо закрывают базовый уровень: привилегированные контейнеры, отсутствие лимитов, запуск от root. Однако реальные требования ИБ редко умещаются в набор из десятка предустановленных проверок.

Здесь кроется ловушка: как только политика перестает быть тривиальной, начинаются две разные проблемы, и обе они инженерные.

Поскольку у нас в ЛК все строится вокруг безопасности, то защита Kubernetes — первостепенная задача, и я решил поделиться в этой статье нашим с коллегами опытом по защите Runtime в K8s.

В предыдущей статье мы воспользовались встроенными в смарт-карту механизмами безопасной персонализации апплета, тем самым нивелировали две проблемы:
1. городить свой ЗОС;
2. самоотверженно отлаживать его.
Но это решение создает еще большую угрозу, т.к. ключи ISD дают полную власть над картой и если они попадут к человеку с горячим сердцем, холодной головой и грязными мыслишками, то наш офис – его офис.
Но долой панику, у нас очередная гениальная идея: создаем Supplementary Security Domain!

Автор: Ильдар Ишкинин, ведущий инженер Innostage

Привет, Хабр!

Когда выбираешь межсетевой экран недостаточно смотреть только на характеристики, заявленные производителем. Важно, при какой нагрузке получен результат, какие функции защиты включены, сколько правил настроено и какой профиль трафика используется.

В лаборатории Innostage мы протестировали PT NGFW версии 1.10.3 в восьми нагрузочных сценариях. Начали со скорости установления TCP-соединений и количества одновременных сессий, а затем перешли к измерению пропускной способности на профиле EMIX при включении разных функций продукта.

Это первая часть материала о тестировании PT NGFW 1.10.3. Разберём, как был устроен стенд, какой трафик подавали на устройство и что получили в каждом сценарии. Отдельно остановимся на результатах, которые нельзя напрямую сравнивать с показателями производителя без учёта методики испытаний.

Каждый, кто хоть раз пытался купить билеты на концерт в первые минуты продаж, знает это чувство, когда ты честно ставишь галочку «Я не робот», выбираешь на картинке все светофоры, потом выбираешь их еще раз, потому что в первый раз ты якобы ошибся, а билеты в это время уже уехали к перекупщикам, у которых никаких светофоров не спрашивали. Галочку эту давно и с удовольствием нажимают те самые роботы, причем делают они это аккуратнее, быстрее и, что обиднее всего, гораздо спокойнее живого человека.

Летом двадцать пятого года по сети разошлась история про ИИ-агента, который посреди задачи наткнулся на проверку Cloudflare, нажал кнопку подтверждения и между делом пояснил своему пользователю, что этот шаг нужен, чтобы доказать, что он не бот. Шутили над этим много, но если отбросить смешную сторону, картинка получилась довольно точная, потому что вопрос «человек ли ты» давно перестал делить трафик на своих и чужих и делит его сейчас скорее по тому, сколько денег и терпения вложил в маскировку тот, кто сидит по ту сторону запроса.

Двадцать лет назад ботнет был толпой зараженных компьютеров, которая умела делать одну вещь, зато очень громко: завалить сайт запросами, разослать миллион писем про чудо-таблетки или перебрать пароли по словарю. Сегодня ботнет по поведению больше похож на огромный колл-центр, где каждый сотрудник ведет себя чуть-чуть по-своему, сидит со своего домашнего интернета, неторопливо листает страницы и иногда даже ошибается в форме логина, потому что живые люди ошибаются, и антибот-системы об этом прекрасно знают.

CTEM - на каждой конференции, но мало кто объясняет просто. Разбираем непрерывное управление экспозицией как “зонтик” над всеми практиками: управлением активами, VM, EASM и автопентестом. Пять этапов, честная оценка знаменитого прогноза Gartner и как небольшой компании начать без дорогих платформ.

В любой экосистеме существуют свои незаметные участники, которые выглядят безобидно и на первый взгляд не сильно важны, но при ближайшем рассмотрении оказывается, что они тут не просто лишний элемент, а вполне серьезная фигура.

В живой природе к таким вот представителям можно отнести многих существ: дождевые черви — на первый взгляд бесполезны, а на самом деле создают плодородную почву; термиты — всегда ассоциируются с разрушением древесины, но для саванны это важный элемент, они перерабатывают органику, насыщают землю кислородом, а их подземные туннели позволяют удерживать влагу в земле. 

В экосистеме антидетект-решений тоже есть свои незаметные (на первый взгляд бесполезные), но важные элементы. Их игнорирование может послужить причиной бана вашего профиля или целой сетки профилей (когда работаешь через антидетект-браузер). А удаление таких элементов из экосистемы невозможно, так как они ее часть.

Я сделал менеджер задач Dela, который ставится на свой сервер. Задачи шифруются на устройстве, сервер хранит и раздаёт только зашифрованный текст, а телефон и компьютер сводят правки сами, по отдельным полям с метками гибридных часов. Весь код написал Claude Code.

Dela работает в браузере, на Windows и на Android, код открыт под лицензией AGPL-3.0. Сервер ставится через Docker. Свой сервер я поднял на VPS, где уже работают другие мои проекты. Регистрация там закрыта, и пользуюсь им только я.