От хаоса к порядку: мой опыт централизованного управления USB over IP
3 года я не писал на Хабр, и вот наконец появился повод вернуться. Давным давно я рассказывал, что компания, в которой я работаю, решила купить USB over IP концентратор. Причина проста — необходимо было обеспечить централизованное подключение всех USB-устройств и удалённый доступ к ним сотрудников...
Как я убил свой сайт: детективный триллер про жадность, nulled-плагин и падение с 9000 до 100
Когда-то у меня был сайт. Не стартап, не интернет-магазин, не проект с инвесторами. Просто блог. Мой личный уголок под названием setiwik.ru — такая цифровая записная книжка, чтобы не забыть важное. Типичный склерозник, где я писал статьи по IT, переводил интересные материалы, собирал мысли в кучу....
Необходимость статического анализа для РБПО на примере 190 багов в TDengine
Одна из важнейших составляющих безопасной разработки программного обеспечения — это статический анализ кода. Он позволяет выявить ошибки и потенциальные уязвимости на ранних этапах разработки ПО, что сокращает стоимость их исправления. Но что ещё важнее, он позволяет выявить те проблемы и дефекты...
Задача трёх тел. Почему B2B-бэклог — это физика, а не математика
В деле управления продуктами приоритизация задач сродни оптимизации сложного алгоритма: нужно учитывать множество переменных, балансировать между краткосрочными и долгосрочными целями, а также постоянно адаптироваться к изменениям и принимать риски. На связи руководитель PT Application Inspector,...
[Перевод] LLM-агенты могут сами взламывать веб-сайты
В последние несколько лет возможности больших языковых моделей (LLM) радикально расширились. Теперь LLM могут содействовать в законотворчестве, решать геометрические задачи на уровне международной олимпиады и даже помогать в научных исследованиях. По мере такого совершенствования больших языковых...
ChatGPT: как искать уязвимости? Набор исследователя
Сегодня мы ничего не ломаем (хотя совсем без этого не обошлось). Просто настраиваем. Хотя я сильно сомневаюсь, что все описанные методы должны работать в продакшене коммерческой модели. Но пока не пофиксили — смотрим. Мы заглянем под капот языковой модели: как она видит твои запросы, где...
Топ новостей инфобеза за апрель 2025 года
Всем привет! Между майскими выходными самое время вспомнить ключевые ИБ-новости апреля. В прошлом месяце RansomHub внезапно отключила инфраструктуру, и пошли слухи о перехвате группировки. CVE-программа MITRE также чуть было не ушла оффлайн из-за проблем с финансированием. В ИИ-моделях раскрыли...
[Перевод] Импортозамещение по-американски: смартфон за 2000$
Недавно я написал статью «Изготовленный в США телефон — это чистая фантазия». Если вкратце, в ней говорится о том, что мечту Трампа о переносе всего высокотехнологического производства в США чрезвычайно сложно реализовать: международные цепочки поставок сложны и запутанны, опыт производства...
Python Day на Positive Hack Days: что будет на вечеринке
В первых статьях про Python Day, который пройдет на Positive Hack Days (раз и два), мы писали о программе конференции. Теперь же поговорим о том, что будет проходить вечером, после мероприятия. В день проведения Python Day, 24 мая, на фестивале состоится Community Day. Сообщество POSIdev,...
Криптография эпохи Ренессанса: шифрование как искусство и рабочий инструмент
Эпоха Ренессанса стала рассветом не только науки и искусства, но также криптографии. Некоторые шифры этого периода для криптографа – все равно что Сикстинская капелла или Мона Лиза для ценителя живописи. При этом именно в эпоху Возрождения шифрование превратилось из магической абракадабры и способа...
Возможности реагирования на инциденты информационной безопасности с помощью KSC Open API
Команда STEP LOGIC разработала новый фреймворк противодействия инцидентам информационной безопасности – адаптивные действия, благодаря которым аналитики центров кибербезопасности (SOC) смогут быстрее принимать меры по сдерживанию и ликвидации последствий инцидентов непосредственно через единый...
[Перевод] Эмулируем iPhone в QEMU
Мы начали наше исследование по эмуляции iOS с изучения уже существующих опенсорсных решений. Ранее мы уже успешно запускали alephsecurity/xnu-qemu-arm64, но нас беспокоило то, что проект имеет статус read-only. Затем мы попробовали TrungNguyen1909/qemu-t8030 и обнаружили в нём довольно много...
FunCaptcha (Arkose Labs): принципы работы, особенности и методы распознавания (автоматические и ручные варианты)
Продолжаем путешествовать по миру капч (Фантастические капчи и где они обитают, а также способы борьбы с ними), и сегодня на очереди очередной “крепкий орешек” во вселенной капч - FunCaptcha (Arkose Labs). FunCaptcha – это тип CAPTCHA от компании Arkose Labs, который предлагает пользователям...
Баланс между скоростью разработки, UX и безопасностью: погружение в трилемму современного IT
Вступление: Трилемма, актуальная для всех Скорость вывода продукта на рынок (Time-to-Market), безупречный пользовательский опыт (UX) и надежная информационная безопасность (Security) – три кита, на которых держится успех современного цифрового продукта. Однако на практике эти три цели часто...
[Перевод] Как защищают фильмы и доставляют их в кинотеатры
У кинематографической индустрии есть собственные стандарты для защищённого создания и распространения фильмов. Всё необходимое, от форматов файлов и шифрования до проекционных систем, определяется в спецификации DCI (Digital Cinema Initiatives). Сама спецификация доступна публично, но связана с...
Современные уязвимости современных LLM-агентов
На первый взгляд, современные ИИ-модели кажутся надёжно защищёнными: строгие ограничения, фильтры и чётко заданные сценарии взаимодействия с пользователем. Однако реальность быстро меняется. Всё чаще исследователи и энтузиасты сталкиваются с атаками, которые позволяют обойти эти защитные меры. В...
Слепые зоны инфраструктуры = мишень для хакера: итоги опроса об управлении активами
Недостатки парольной политики, уязвимости в коде, небезопасные настройки сервисов и бреши из-за устаревшего ПО – частые причины попадания хакеров во внутреннюю сеть компании. При этом инфраструктура компаний постоянно меняется, а значит, нужно защищать новые сервисы, отслеживать их взаимодействие и...
[Перевод] Мастер-класс по обходу WAF: Использование SQLMap с Proxychains и Tamper-скриптами против Cloudflare и…
Практическое руководство по изучению и тестированию техник обхода WAF с помощью продвинутых настроек SQLMap и proxychains. Введение В современном быстро меняющемся мире кибербезопасности веб-фаерволы (WAF) играют важнейшую роль в защите сайтов от вредоносных воздействий, таких как SQL-инъекции....