Мы устроили им красочную зарубу в финале, или итоги IV Международного киберчемпионата по информационной безопасности
Всем привет! В этом материале мы подводим итоги IV Международного киберчемпионата по информационной безопасности. Он стал рекордным по количеству участников: мы собрали 190 заявок из 26 стран мира, из них отобрали 117 команд (40 команд было в 2024 году). За победу сражались около 500...
DevOps в 2025 году: отдельные дисциплины, машинное обучение и прогноз на будущее
Привет! Меня зовут Константин Полуэктов, я solution architect в Yandex Cloud и технический эксперт в онлайн-магистратуре от Яндекса и ИТМО «DevOps-инженер облачных сервисов». В этой статье я расскажу о сфере DevOps: что изменилось за последние годы и чего ждать в будущем. Читать далее...
Инструмент оценки рисков безопасности: что нужно учесть при выборе
Привет, Хабр! Меня зовут Ирина Созинова, я эксперт по информационной безопасности в Авито. Моя прошлая публикация была о том, как мы выстраиваем в Авито процесс оценки рисков безопасности. В этой же статье рассказываю, на какой функционал стоит обратить внимание при выборе инструмента в целом и что...
Практический опыт построения надежной защиты российских веб-приложений
Современные веб-приложения требуют не только высокой производительности, но и надёжной защиты — от классических SQL-инъекций до сложных атак, включая перегрузку API. В условиях растущих киберугроз и ограничений на использование западного программного обеспечения особенно важно выбрать эффективную...
[Перевод] Риски безопасности в цепочках поставок ИИ
Даннаяпубликация является переводом статьи Matt Maloney — «Security risks in AI supply chains». Компании всё чаще вынуждены внедрять передовые технологии ИИ, чтобы не отставать от конкурентов. Однако спешка в этом деле может привести к ошибкам и угрозам безопасности. Новый отчёт Коалиции...
No-code-разработка и ML-помощники – инструменты аналитиков SOC нового поколения
Давайте представим, как могло бы выглядеть рабочее место SOC-аналитика будущего. В том числе рассмотрим, какие были бы полезны в реагировании и расследовании ML-помощники: некоторые из упомянутых в статье мы уже внедрили в наши продукты, а некоторые – еще в планах или могут послужить в качестве...
HackTheBox Labs (Starting Point) — Redeemer
Доброго времени суток! Продолжаем цикл статей по Starting Point платформы HTB Labs. Тут мы поговорим про такую базу данных, как Redis. Внимание!!! Я настоятельно рекомендую сначала попробовать решить задачу самостоятельно, а в случае затруднений обратиться к подробному пошаговому руководству. Это...
Топ самых интересных CVE за июнь 2025 года
Всем привет! Время для разбора ключевых CVE июня. В прошлом месяце прогремела уязвимость в Linux на получение root-прав через UDisks. Также засветилась критическая уязвимость под RCE в Secure Boot. Критическими CVE отметились Cisco ISE, HPE StoreOnce Software, драйверы GPU Adreno от Qualcomm и...
OpenBao: немного enterprise'ных возможностей при управлении секретами
С момента смены лицензирования Hashicorp Vault утекло много времени и с момента появления проекта OpenBao, мы регулярно следили за его судьбой. Несколько дней назад завезли enterprise-функционал, который доступен безвозмездно. И хотелось бы поделиться этой информацией с сообществом Съесть еще этих...
Открытый и опасный: как снизить риски open-source в приложениях
Всем привет! Опен-сорс и почему в российских ПО появляется код из библиотек, расположенных на серверах из недружественных юрисдикций - самая модная тема сезона. Поэтому Владимир Высоцкий, руководитель по развитию бизнеса продукта Solar appScreener, в этом материале решил напомнить об основных...
Загадка от Жака Фреско: как построить свой Rate Limiter и не утонуть в море компромиссов
Построить Rate Limiter — легко. Сделать его быстрым, отказоустойчивым и работающим в нескольких дата-центрах — сложнее. Делюсь опытом реализации нашего облачного Rate Limiter в DDoS-Guard: принцип работы, анализ правил и реальные примеры из практики. Читать далее...
Невыдуманные истории, когда владельцы бизнеса решили пренебречь информационной безопасностью
Мечта собственника — сильная команда и высокая производительность. Но риски для компании мало кто осознает. Рассказываем, как предпринимателю понять мотивы сотрудников, есть ли угроза мошеннических схем, подделок документов, утечек информации и финансов. Читать далее...
Не разработчик, а кулинар: почему приложение ― это салат, в который нельзя складывать испорченные ингредиенты
На первый взгляд может показаться, что между разработкой и кулинарией нет ничего общего, но на самом деле сегодня создание приложений похоже на приготовление салата: берутся овощи, мясо, масла и приправы, все смешивается ― и получается блюдо. Если хоть один ингредиент окажется плохим, то весь салат...
Цифровые раскопки
Как мы провели расследование спустя полгода после атаки и что удалось найти на уцелевших Windows‑хостах. С августа по ноябрь 2024 года группировка ELPACO-team ransomware провела серию атак с использованием вымогательского ПО Elpaco (семейство Mimic). Злоумышленники получали доступ к сети жертвы...
[Перевод] Нарушение контроля доступа (IDOR) в функционале «Забыли пароль» позволяет атакующему менять пароли всех пользователей
В этом посте я расскажу, как обнаружил уязвимость, которая позволяет злоумышленнику менять пароли других пользователей, что может привести к захвату аккаунтов. Также я обнаружил, что токен восстановления пароля не аннулируется после использования. Читать далее...
Письмо на публичный ключ: переизобретаем систему адресов в электронной почте
Привет, Хабр! Это команда Eppie. Мы разрабатываем p2p почту, в которой пользователи владеют своими адресами и данными. Про данные мы уже говорили, сегодня остановимся на адресах. Читать далее...
За кулисами атак: социальная инженерия
Атаки социальной инженерии являются одной из самых опасных форм кибератак, поскольку они эксплуатируют человеческий фактор, а не технические уязвимости. В прошлом году стратегии злоумышленников усложнились и стали еще хитроумнее. В этой статье мы рассмотрим основные текущие тренды социальной...
Как отправлять документы с грифом ДСП по электронной почте: законы, шифрование, автоматизация
Документы с грифом «Для служебного пользования» (ДСП) содержат сведения ограниченного распространения. Это информация, не подпадающая под государственную тайну, но доступ к которой ограничен по служебной необходимости или в соответствии с законами. На бумаге такие документы пересылают в плотных...