Касаемо того, что это как будто из прошлого. В 2026 году ру-багбаунти вместе с площадками и вендорами столкнулись с реальной траблой — что в безопасность пришло много людей с ИИ и желанием рубануть денег, но сам по себе ИИ, если ты не объяснишь чё хочешь, — вряд ли найдёт. Часто проблема в том, что у вендора и ИИ вообще разные понимания, что есть баг и секьюрити-риск. Вот про то, как настроить условного Клода, чтоб он искал более полезные штуки, и эта статья. Про память согласен, вообще есть опыт, когда проекты матчил и заново анализил и чёта находилось. Вообще часто экспериментирую с тем, чтоб менять промпт, модель, структуру.
Привет! Спасибо за комментарий. Смари у нас тут 2 проблемы. Цена и цензура. Последние версии больших моделей в жесткой цензуре - я снимать особо не умею ее и пока не хочу. Сlaude opus 4.6 вполне хорошо ищет вулны - но у него приличная стоймость. По хорошему адекватную модель использовать для на подумать, а какие-то более дешевые сделать что-то. Сейчас чаще на подумать беру 4.6 opus который запускает субагентов glm 5.2. Все на базе cursor. Можно попробовать взять какую нибудь подписку условно сursor(плюс в том что лимиты сразу на месяц, можно хоть за 1 выпулить если надо. Ну и доступ к большому количеству моделей чтоб потестить.) или cloude code подписку взять. Далее выбрать какую нить программу, Попробывать на базе ее правил составить какой нить rules для основной неиронки. Че ищем, как ищем, че искать не надо и как проверять. Касаемо пентест методологии можешь попросить тот же claude code hacktricks изучить и какую-то медологию выстроить.
Получить скоуп - найти все субдомены - вытащить че за технологии и пути апи есть - дальше попытаться построить гипотезы, проверять через субагентов.
Ну по больше такое пишите в интернете - регуляторы прочитают и большие штрафы получите;)) "" Помер ли бизнес если утрата данных организации солнышек которые два года назад штрафы по 60 тысяч за утраты ПДн получали? ""
Смешно не смешно про закрытый бизнес после инцев - а такие были, есть и я вам скажу еще больше будет. Не желание искать информацию и говорить мол если я не знаю, значит нет - сыграет вам не лучшую службу.
То, что бизнесу надо восстановиться - это еще у древних греков было. Оправдывать что мы skill issue и не можем найти точку компромитации, так давайте забьем у нас же бизнес - это такое себе. Если такой бизнес, значит надо еще быстрей точку искать:)
Тут уж в трудной ситуации сильный ищет выход, слабый оправдания.
--------------
Кстати вот заметил вы взяли мой комментарий и немного как будто не верно его интерпретировали. Я как раз говорю что пока инвентаризацией всей темой занимаетесь, то где-то просто прошлись позакрывали порты, повключали дефендеры, где-то мб сами посканили файлы. Ну если можете - то антивирусники позапускали. Есть много чего можно сделать для уменьшения вероятности, для усложнения и без дорогих сзи. Я наоборот это и говорил выше.
Про гибкость решений тоже понимаю, согласен. Вообще во многом согласен в целом, просто процесс IR у нас большие расхождения.
Какой смысл восстанавливаться не найдя точку входа. FULL AHUI. Что вам могу сказать - восстанавливайтесь, пока есть чему. Некст раз без нормального респонса к вам прийдут и в 0 все вместе с беками запишут, будете новый бизнес строить:) Расследование это не по приколу придумали ради TI. Но вы делайте как вы хотите, а мы дружно посмотрим на еще один уничтоженный бизнес.
Просто вот ваш комментарий - это боль типичных безопасников в оргах, я даже ее понимаю. Но наша задача говорить как надо бизнесу - потому что все что вы сказали от того что мир у нас не идеальный, но разве должны мы считать нормой все то что вы сказали? Касаемо IR - его главная задача найти точку входа, найти все закрепы, установить некоторые другие факты если возможно и проконсультировать по восстановлению и тому как сделать чтоб этого не было. Устанавливают причастных пожалуй МВД России и Федеральная служба безопасности. Кстати судит тоже Суд, не вендора) А то вдруг вы не знали. А вот против опенсорса в небольшом бизнесе ничего не имею, просто должен быть порядок. Ну и опенсорса потом будут траблы в масштабировании.
Понять возможно* но сьедает время на построение гипотез. Понять конечно чаще всего можно, на то есть соответствующие артефакты и таймлайн. Но это ест куча полезного времени.
Да! Без it нет ИБ. Условно если заказчик не знает че куда у него доступно, кто куда ходит - то во время инцидента практически невозможно понять какая активность нормальная, какие инструменты использует атакующий, а какие админы.
Не знаю, как будто прям вот поверхностная ИИ выжимка. Ну то есть ты читаешь, допуская что человек это сам писал, а оно какое-то вот максимально пресное. Почему условно в рекомендация не написано строить СОК, но заниматься TI надо. Касаемо даже того же сока - ну вот пришел бизнес на эту статью, такой о нифига нам нужен SOC и че и где его строить. Вот даже мониторинг - че мониторить то будем? Все сегменты? А Все - это какие? И вот мы получаем что на самом деле нам бы по хорошему инвентаризировать инфру. Наверное сразу все подрубить мы не сможем - скорее всего у нас сил не хватит. Значит надо определить что для нас важнее. А теперь прикиньте если сети нет? Значит еще и перестроить все надо - а пока перестраиваете получается хакеры не нападают? И вот получается что чета под мониторинг, где-то пройтись повключать дефендоры, где-то поставить антивирусы, проходиться смотреть что юзеры новые не появились, антивирусы не повырубали и попутно строить сеть. К чему я это все? В статье все так расписано будто это вот пальцем щелкни и все. Если они начали строить безопасность - значит они встали на тяжелый и дорогой путь, в котором простых решений не будет. И если писать такую статью - то как будто бы это тоже проговаривать надо. Кстати процесс расследования инцидентов и без СЗИ класа СИЕМ возможен.
Привет, сети в любом случае база. Если нравится - то точно стоит, нет - взять только базу. Тут много зависит от того, в какую сторону ИБ хочется пойти.
Про нет денег ответ простой. Если защита стоит дороже потенциальных потерь - смысла от такой защиты нет. И не надо целиться сразу на SIEM+DLP + soar, для начала мб собирать хоть какие то логи централизовано, потом грепать их с файрвола, анализить сетку, потом edr подрубить и тд. Все нужно строить постепенно.
Слушай - во первых opensource соки спокойно развиваются даже в интерпрайзе. Чтоб раскатать их нужно время и не самые большие мощности как будто. Если вопрос где получить навыки специалисту? - то полигон Standoff дает доступ к инфре и там можно порешать инциденты, набраться опыта.
Ну мой путь был через команду - мы с командой начали играть в ctf, попутно я читал, попутно решал задачки, попутно пошел на стажу. Просто когда у тя стоит какая-то задача - ты быстро пытаешься ее решить, даже не зная как. Вот и у меня было так - пошли на кибербитву, пошли за синих так как там легче, сидели решали. Получилось не очень - на следующий раз лучше. Короче я считаю надо пробовать, надо решаться на сложные задачи и пытаться их решить.
Блин тут сложно сказать. В самом начале мне понравилась- Роджер Граймс. «Как противостоять хакерским атакам. Уроки экспертов по информационной безопасности»
Есть еще :
Идём по киберследу : Анализ защищенности Active Directory c помощью утилиты BloodHound | Неверов Дмитрий Викторович
Шифровальщики : Как реагировать на атаки с использованием программ-вымогателей | Скулкин Олег
Касаемо того, что это как будто из прошлого. В 2026 году ру-багбаунти вместе с площадками и вендорами столкнулись с реальной траблой — что в безопасность пришло много людей с ИИ и желанием рубануть денег, но сам по себе ИИ, если ты не объяснишь чё хочешь, — вряд ли найдёт. Часто проблема в том, что у вендора и ИИ вообще разные понимания, что есть баг и секьюрити-риск. Вот про то, как настроить условного Клода, чтоб он искал более полезные штуки, и эта статья. Про память согласен, вообще есть опыт, когда проекты матчил и заново анализил и чёта находилось. Вообще часто экспериментирую с тем, чтоб менять промпт, модель, структуру.
Ахах
Привет! Спасибо за комментарий.
Смари у нас тут 2 проблемы.
Цена и цензура.
Последние версии больших моделей в жесткой цензуре - я снимать особо не умею ее и пока не хочу.
Сlaude opus 4.6 вполне хорошо ищет вулны - но у него приличная стоймость. По хорошему адекватную модель использовать для на подумать, а какие-то более дешевые сделать что-то.
Сейчас чаще на подумать беру 4.6 opus который запускает субагентов glm 5.2. Все на базе cursor.
Можно попробовать взять какую нибудь подписку условно сursor(плюс в том что лимиты сразу на месяц, можно хоть за 1 выпулить если надо. Ну и доступ к большому количеству моделей чтоб потестить.) или cloude code подписку взять. Далее выбрать какую нить программу, Попробывать на базе ее правил составить какой нить rules для основной неиронки. Че ищем, как ищем, че искать не надо и как проверять. Касаемо пентест методологии можешь попросить тот же claude code hacktricks изучить и какую-то медологию выстроить.
Получить скоуп - найти все субдомены - вытащить че за технологии и пути апи есть - дальше попытаться построить гипотезы, проверять через субагентов.
Прям сейчас ллмка пастревел нашла до /etc/passwd пойду репорт занесу
Ну по больше такое пишите в интернете - регуляторы прочитают и большие штрафы получите;))
""
Помер ли бизнес если утрата данных организации солнышек которые два года назад штрафы по 60 тысяч за утраты ПДн получали? ""
Смешно не смешно про закрытый бизнес после инцев - а такие были, есть и я вам скажу еще больше будет. Не желание искать информацию и говорить мол если я не знаю, значит нет - сыграет вам не лучшую службу.
То, что бизнесу надо восстановиться - это еще у древних греков было. Оправдывать что мы skill issue и не можем найти точку компромитации, так давайте забьем у нас же бизнес - это такое себе. Если такой бизнес, значит надо еще быстрей точку искать:)
так вы в колеса палки и ставите
Тут уж в трудной ситуации сильный ищет выход, слабый оправдания.
--------------
Кстати вот заметил вы взяли мой комментарий и немного как будто не верно его интерпретировали. Я как раз говорю что пока инвентаризацией всей темой занимаетесь, то где-то просто прошлись позакрывали порты, повключали дефендеры, где-то мб сами посканили файлы. Ну если можете - то антивирусники позапускали. Есть много чего можно сделать для уменьшения вероятности, для усложнения и без дорогих сзи.
Я наоборот это и говорил выше.
Про гибкость решений тоже понимаю, согласен. Вообще во многом согласен в целом, просто процесс IR у нас большие расхождения.
Кстати про уничтоженные бизнесы - у Лукацкого точно было пару постов, фактчекинг в студию.
Какой смысл восстанавливаться не найдя точку входа. FULL AHUI. Что вам могу сказать - восстанавливайтесь, пока есть чему. Некст раз без нормального респонса к вам прийдут и в 0 все вместе с беками запишут, будете новый бизнес строить:) Расследование это не по приколу придумали ради TI. Но вы делайте как вы хотите, а мы дружно посмотрим на еще один уничтоженный бизнес.
Просто вот ваш комментарий - это боль типичных безопасников в оргах, я даже ее понимаю. Но наша задача говорить как надо бизнесу - потому что все что вы сказали от того что мир у нас не идеальный, но разве должны мы считать нормой все то что вы сказали? Касаемо IR - его главная задача найти точку входа, найти все закрепы, установить некоторые другие факты если возможно и проконсультировать по восстановлению и тому как сделать чтоб этого не было. Устанавливают причастных пожалуй МВД России и Федеральная служба безопасности. Кстати судит тоже Суд, не вендора) А то вдруг вы не знали. А вот против опенсорса в небольшом бизнесе ничего не имею, просто должен быть порядок. Ну и опенсорса потом будут траблы в масштабировании.
Понять возможно* но сьедает время на построение гипотез. Понять конечно чаще всего можно, на то есть соответствующие артефакты и таймлайн. Но это ест куча полезного времени.
Да! Без it нет ИБ. Условно если заказчик не знает че куда у него доступно, кто куда ходит - то во время инцидента практически невозможно понять какая активность нормальная, какие инструменты использует атакующий, а какие админы.
Не знаю, как будто прям вот поверхностная ИИ выжимка. Ну то есть ты читаешь, допуская что человек это сам писал, а оно какое-то вот максимально пресное. Почему условно в рекомендация не написано строить СОК, но заниматься TI надо. Касаемо даже того же сока - ну вот пришел бизнес на эту статью, такой о нифига нам нужен SOC и че и где его строить. Вот даже мониторинг - че мониторить то будем? Все сегменты? А Все - это какие? И вот мы получаем что на самом деле нам бы по хорошему инвентаризировать инфру. Наверное сразу все подрубить мы не сможем - скорее всего у нас сил не хватит. Значит надо определить что для нас важнее. А теперь прикиньте если сети нет? Значит еще и перестроить все надо - а пока перестраиваете получается хакеры не нападают? И вот получается что чета под мониторинг, где-то пройтись повключать дефендоры, где-то поставить антивирусы, проходиться смотреть что юзеры новые не появились, антивирусы не повырубали и попутно строить сеть. К чему я это все? В статье все так расписано будто это вот пальцем щелкни и все. Если они начали строить безопасность - значит они встали на тяжелый и дорогой путь, в котором простых решений не будет. И если писать такую статью - то как будто бы это тоже проговаривать надо. Кстати процесс расследования инцидентов и без СЗИ класа СИЕМ возможен.
Привет, сети в любом случае база. Если нравится - то точно стоит, нет - взять только базу. Тут много зависит от того, в какую сторону ИБ хочется пойти.
Про нет денег ответ простой. Если защита стоит дороже потенциальных потерь - смысла от такой защиты нет. И не надо целиться сразу на SIEM+DLP + soar, для начала мб собирать хоть какие то логи централизовано, потом грепать их с файрвола, анализить сетку, потом edr подрубить и тд. Все нужно строить постепенно.
Слушай - во первых opensource соки спокойно развиваются даже в интерпрайзе. Чтоб раскатать их нужно время и не самые большие мощности как будто. Если вопрос где получить навыки специалисту? - то полигон Standoff дает доступ к инфре и там можно порешать инциденты, набраться опыта.
Ну мой путь был через команду - мы с командой начали играть в ctf, попутно я читал, попутно решал задачки, попутно пошел на стажу. Просто когда у тя стоит какая-то задача - ты быстро пытаешься ее решить, даже не зная как. Вот и у меня было так - пошли на кибербитву, пошли за синих так как там легче, сидели решали. Получилось не очень - на следующий раз лучше. Короче я считаю надо пробовать, надо решаться на сложные задачи и пытаться их решить.
Курсы как будто априори поверхностные.
Но есть довольно не плохие бесплатные -
https://stepik.org/course/203660/promo
https://stepik.org/course/169003/promo
https://stepik.org/course/208904/promo
Блин тут сложно сказать. В самом начале мне понравилась- Роджер Граймс. «Как противостоять хакерским атакам. Уроки экспертов по информационной безопасности»
Есть еще :
Идём по киберследу : Анализ защищенности Active Directory c помощью утилиты BloodHound | Неверов Дмитрий Викторович
Шифровальщики : Как реагировать на атаки с использованием программ-вымогателей | Скулкин Олег
А так в большинстве своем читаю отчеты от компаний:
https://www.f6.ru/cybercrime-trends-annual-report-2024-2025/?utm_source=pr&utm_medium=press_release&utm_campaign=annual_report_24-25
https://bi.zone/expertise/research/threat-zone-2024/
Ну год уже не проводятся
А что было бы интересно рассказать например?
Там просто если нажать на пункт перебрасывает на гит где расписано чем занимается специалист и какие навыки нужны.