Кто как, а я просто в восхищении! Обе мои субличности, юридическая и черно-бело-шляпная рукоплещут ходу Трампа и Маска, по поиску и захвату существующего скрытого бэкдора в системе госуправления США - United States Digital Service (USDS) .
В чем суть и кто его создал?
Опять какие‑то философы из V века до н.э. зашифровали ваше сообщение? Разберемся, что с этим делать, в этой статье.
В современном мире разработки программного обеспечения и работы с большими объемами текстовых данных поиск нужной информации становится критически важной задачей. Разработчики, аналитики и технические писатели часто сталкиваются с необходимостью быстро находить фрагменты кода, строки конфигурации или упоминания определенных терминов в огромных репозиториях. В таких случаях на помощь приходят специализированные инструменты. Об одном из таких инструментов и пойдет речь в данной статье.
Приветствую, Хабр!
В своей предыдущей статье (посвященной оценке необходимости срочного перехода на постквантовые криптоалгоритмы) я упомянул о принятых в США стандартах на постквантовые алгоритмы электронной подписи и обмена ключами. Данные стандарты были приняты в августе прошлого года (а перед этим они в течение года проходили оценку криптологическим сообществом в виде драфтов), при этом Институт стандартов и технологий США NIST анонсировал принятие дополнительных (альтернативных) постквантовых криптостандартов в будущем.
Поскольку принятие стандартов на постквантовые криптоалгоритмы можно считать весьма значительным событием в сфере асимметричной криптографии, а также принимая во внимание предполагаемый переход с традиционных на вышеупомянутые стандарты на горизонте в несколько лет (причем не только в США, но и в той значительной части мира, которая ориентируется на стандарты США), предлагаю вашему вниманию в данной статье описание (помимо описаний, я попытался схематично изобразить основные преобразования – под катом много схем с пояснениями) алгоритмов, на которых основаны постквантовые криптостандарты США, а также краткое обсуждение ближайших перспектив выхода новых стандартов на постквантовые криптоалгоритмы и рекомендаций по переходу с традиционных криптографических алгоритмов на постквантовые. Перечень текущих стандартов и рекомендаций NIST в части асимметричной криптографии со ссылками на их официальные публикации приведен в списке литературы к данной статье.
Всем привет! Недавно несколько российских компаний (и Positive Technologies в их числе) провели исследование, которое было посвящено перспективам развития рынка автоматизированных систем управления технологическим процессом в России. Как безопасники, мы, конечно же, сосредоточились на вопросах защиты автоматизированных систем управления с учетом современных вызовов и киберугроз. Особенностями отечественного рынка АСУ ТП и нашими рекомендациями по безопасной разработке делимся с вами в этой статье.
В TLS 1.3 постквантовые криптосистемы используются в составе гибридных схем, совместно с обычными, классическими, криптосистемами. Посмотрим на дампы TLS-сообщений и, на примере дампов, попробуем разобраться с основами практического использования ML-KEM - пока что единственного постквантового варианта для распространённых браузеров.
Сейчас направление Application Security (AppSec) переживает бурный рост. Всё больше компаний выделяют AppSec в отдельное подразделение или начинают строить его с нуля. В крупных корпорациях появляются AppSec бизнес-партнеры, в стартапах лиды разработки всё чаще берут на себя задачи по обеспечению безопасности продуктов. Но с чего начать, если вы — первый AppSec-инженер или руководитель такого направления? Какие задачи поставить в первые полгода, чтобы заложить прочный фундамент?
Меня зовут Алексей Волков, я эксперт в области продуктовой безопасности. Здесь я поделюсь опытом построения AppSec-процессов с нуля в первые полгода: как разобраться в ИТ-ландшафте, настроить процессы и расставить приоритеты, чтобы сразу дать бизнесу ощутимую пользу. Чеклист и советы основаны на моём опыте — без абстракций и нереалистичных ожиданий. При этом важно оговориться, что ваша работа может затянуться — в каждой компании свой ландшафт и у всех проблем бывают разные сроки решения.
Привет, Хабр. На связи снова Avanpost. В этой статье мы решили поговорить про управление рисками доступа в привязке к решениям класса Identity Management/Identity Governance. Сам класс решений на Хабре освещен достаточно хорошо, в том числе, стараниями уважаемых конкурентов, но данная тема затронута слабо. И, как нам кажется, зря. Развитие западных решений и повторный виток интереса на западном рынке к классу обеспечены, в том числе, выходом этого функционала из статуса экспериментального на продуктивное плато.
Привет, Хабр! Меня зовут Натиг Нагиев, я Devops-инженер в МТС Диджитал.
На нашем проекте мы обеспечиваем авторизацию внешних клиентов в продуктах МТС. Это Mission Critical система, где мы оптимизировали и гарантировали доставку секретов в контейнеры с микросервисом, избавлялись от дополнительных рабочих нагрузок и исключали внешние зависимости. В прошлом материале я сравнил разные инструменты, которые мы перебрали, а в этом расскажу про наше итоговое решение — связку Bank-Vaults и Vault Secrets Operator.
Привет! Это Яна Ильина, HRBP CrossTech Solutions Group, и Вероника Каблучко, HR менеджер, HR-отдела. Мы решили поделиться нашим опытом запуска подкаста и рассказать, как этот проект помог нам в развитии HR-бренда и повысил вовлеченность сотрудников.
Текст создан как рекомендация для команд, которые хотят реализовать подкаст для сотрудников и избежать многих ошибок.
Привет, Хаброжители!
Привет, Хабр! Меня зовут Елена Петренко, я бизнес-аналитик по информационной безопасности в компании R-Vision. Сегодня хочу поделиться историей о том, как мы разработали интеграцию между SOAR-системой и АСОИ ФинЦЕРТ для автоматизации взаимодействия с регулятором. Вы узнаете, какие задачи она решает и какие технологии лежат в её основе.
Привет Хабр! Меня зовут Иван Костыря, и я работаю в команде VK SOC, а точнее — в группе реагирования, куда стекаются все подозрения на инциденты информационной безопасности в компании. Сегодня хочу рассказать немного о том, как мы ищем угрозы в периметре компании, какие средства и техники для этого используем. Если коротко, то этот процесс можно описать так — мы задаем себе очень много вопросов и постоянно ищем на них ответы. Статья будет интересна начинающим специалистам: здесь я обобщил основные практики и рекомендации, которые выработаны в индустрии и проверены опытом нашей команды.
Безопасность мобильных приложений — один из ключевых аспектов разработки, который нельзя оставлять без внимания. Уязвимости в коде могут привести к утечке данных, компрометации системы и другим серьёзным последствиям. Чтобы обнаружить и устранить риски ещё на этапе написания кода, разработчики используют SAST (Static Application Security Testing) — метод статического анализа безопасности.
В этой статье мы разберём, как работает SAST, какие инструменты помогут автоматизировать проверку кода Android-приложений и как их интегрировать в процесс разработки.
Когда я копался в документе Internal People API (Staging) Google, то вдруг заметил кое-что интересное...
Всем привет! Возникла задача - штатными средствами Windows (то есть через PowerShell) отслеживать дату оставшейся валидности сертификата безопасности (TLS\КСКПЭП) и выводить уведомление, если дата подходит к концу (мы сделаем ботом в telegram чтобы быть в курсе, даже находясь на больничном или в отъезде). Мы не используем сторонние языки программирования, сторонние сервисы для отслеживания (хоть платные, хоть бесплатные), не полагаемся на уведомления от удостоверяющих центров на почту, а попробуем сами поупражняться с PowerShell. Нам не нужно будет разворачивать под это отдельный сервер, грузить куда-то кучу своих сертификатов, изучать Python. Только штатный PowerShell, только хардкор.
Привет! Меня зовут Екатерина Пухарева, работаю в Авито руководителем продуктовой безопасности. Эта статья будет полезна тем, кто размышляет, стоит ли внедрять роль бизнес-партнёра по безопасности. В ней мы разберём, какую ценность эта роль приносит компании и чем она отличается от security champions.
Как прошёл год у нас в T.Hunter? Одним словом, продуктивно.
Ушедший 2024-й год наделал немало шума в сфере кибербезопасности, и мы не остались в стороне: проведя множество пентестов и выявив сотни уязвимостей, по нашему скромному мнению, мы внесли значительный вклад в укрепление безопасности наших клиентов, помогая им защититься от актуальных угроз.
Анализ запросов клиентов позволил выделить несколько ключевых трендов и интересов, которые были выявлены в ходе пентеста. В этой статье мы подведём итоги нашего года, поделимся результатами, а также подсветим наиболее актуальные угрозы в сфере кибербезопасности, с которыми мы столкнулись в процессе нашей работы.
Сейчас в любой организации есть принтеры. Несмотря на тренд последнего десятилетия на сохранение окружающей среды и перехода на электронный документооборот, печатные копии документов по‑прежнему требуются для работы. Соответственно, без корпоративной системы печати обойтись довольно сложно, а если есть система, то значит, это ещё один вектор для возможной атаки.
В этой статье мы начнём рассмотрение основ систем печати и проведения разведки этих систем при пентесте. В следующей статье мы подробнее рассмотрим возможные векторы атак. А начнём с основных принципов работы систем печати.
