Математическое моделирование рисков: шаманство или кибернетика?
Максим Анненков, Борис Захир, Security Vision Введение В эпоху цифровизации и постоянно растущего количества киберугроз каждая компания стремится понять, сколько она вкладывает в кибербезопасность и какую отдачу это приносит. Кибербезопасность — небесплатное предприятие, и для эффективного...
За грань netflow: что получается, если отказаться от ограничений
Здравствуй, Хабр! Уже как 4 года я веду свой небольшой pet-проект в области netflow и его практического применения, и вот сейчас решил поделиться своими результатами. Эта история началась снежным московским днём, когда один уважаемый коллега поделился следующий новостью: ребята прочитали научную...
Волшебные ссылки теперь в Spring Security
Концепция волшебных ссылок (magic link) далеко не нова, однако долгое время у разработчиков не было надежного решения с полноценным комьюнити, которое позволяло бы быстро и просто реализовывать волшебные ссылки в своих приложениях. И вот, наконец, такая фича появилась в spring security. Давайте...
[Перевод] 5 способов получить RCE на практике
Для специалистов в области offensive security обнаружение уязвимостей удалённого выполнения кода (RCE) является настоящей жемчужиной как для black-box проектов, так и для white-box. Такие уязвимости могут проявляться по-разному, но также существуют общие подходы для их обнаружения. В этой статье мы...
Оживляем eToken NG-OTP: USB-ключ для SSH и аппаратный генератор одноразовых паролей
К 2025 году сложился достаточно насыщенный вторичный рынок USB-ключей eToken. Встретить их по ценам от нуля до весьма символических можно как на просторах барахолок, так и из рук в руки, как штучно, так и коробками. В то же время eToken NG-OTP является гостем редким и весьма интересным. В данной...
Как организовать безопасное хранение секретов в Docker: лучшие практики
Хей, Хабр! Секреты — это такая щекотливая тема, из‑за которой у безопасников начинаются нервные подёргивания глаза. Вроде бы «просто пароль» или «просто токен», но в 2025 году мы уже знаем, что просто в безопасности — это верная дорога к утечкам и ночным обкаткам плана B. В этой статье поговорим,...
Cовмещаем Haproxy, Vless, WebSocket, VPN и сайт на одном порту
Cовмещаем Vless, WebSocket, VPN и сайт на одном порту средствами Haproxy, создаем альтернативу VPN на основе WebSocket. Читать далее...
Detection is easy. Устанавливаем Elastiflow для поиска угроз в сети
Начнем серию статей под названием Detection is easy, посвященных Detection engineering (DE), о чем я пишу в одноименном Telegram-канале. Один из этапов DE - определение источников событий и организация их сбора. В этой статье мы рассмотрим установку Elastiflow — это мощное решение для обработки и...
Уязвимости ПО и «железа» в 2025-м: больше брешей в российских продуктах и меньше аппаратных атак
В ушедшем году наши исследователи выявили уязвимостей в российских продуктах почти в три раза больше, чем в 2023-м. В новом году количество таких брешей продолжит увеличиваться. Нас ждет больше новостей о трендовых уязвимостях в отечественном ПО: именно на такие набрасываются хакеры в первую...
[Перевод] Делаем macOS безопаснее
Это руководство о безопасности, а не конфиденциальности. Кроме того, в него не включены те меры безопасности, которые сильно снижают удобство использования. Это руководство предназначено для создания систем с уровнем безопасности выше среднего, без отказа от функциональных возможностей. Статья...
Хакерские утилиты Дидье Стивенса
Дидье Стивенс — бельгийский разработчик и авторитетный специалист по информационной безопасности. Наиболее известен своими инструментами по взлому паролей Windows, анализу документов PDF и внедрению туда вредоносных файлов, в также как автор опенсорсных утилит Didier Stevens Suite: это 140 программ...
Кибербезопасность по-умному: LLM-агенты без лишнего пафоса
Всем привет, меня зовут Артём Семенов, я являюсь автором Телеграм канала PWN AI. С момента релиза GPT 3.5 прошло больше 2ух лет. Это явление, я про распространение LLM, стало революционным во всех сферах, включая кибербезопасность. Модели стали применять для разных вещей. Например, использовать как...
Как настроить свой первый сервер: инструкция от фронтендера
Часто на первом проекте кажется, что самое сложное позади: приложение готово, осталось только показать его миру. Но что, если сервер под угрозой? В этой статье — простая и проверенная инструкция по настройке безопасного сервера для вашего первого fullstack-приложения. От SSH до SSL и двухфакторной...
Я б в ИБшники пошёл, пусть меня научат
Говорят, что наше время человеку в течение жизни придётся сменить несколько карьер. В то же время дальше постулирования данной проблемы дело, как правило, не заходит. Не претендуя на то, чтобы сделать этот материал всеобъемлющим, на примере своей сферы деятельности хочется поразмышлять как это...
Безопасная авторизация в современных мобильных приложениях: миф или реальность?
Мы привыкли доверять приложениям, которые установили на свои гаджеты. Порой обоснованно, порой не очень. Если посмотреть документацию на API авторизации какого-нибудь крупного российского банка или соцсети, то можно увидеть Oauth 2.0, OIDC, authorization code flow и т.д. К сожалению, в большинстве...
Реализация шифра «Кузнечик» на языке RUST
Привет! Сегодня мы рассмотрим, заключительный в цикле материалов, Российский шифр "Кузнечик". "Кузнечик" — это современный стандарт шифрования в России и за рубежом. Опубликован был в 19 июня 2015 года. В наступающем 2025 году будем отмечать его юбилей. Читать далее...
ЕЩЕ РАЗ О ВЕЛИКОЙ ГРАНИЦЕ между материей и сознанием
По древней традиции, корни которой уже и старожилы с запущенной амнезией не упомнят, перед Новым Годом хочется сказать что-нибудь значительное и ободряющее, тем более, что в этом году ханука совпала с католическим рождеством и кроет Новый Год как бык овцу. Это символичное совпадение разных...
ИБ на пальцах или вредные советы по ИБ
Коллеги, к вопросу о внимательности. В последнее время увеличилось количество угонов аккаунтов ТГ, а социальная инженерия продолжает быть неискоренимым бичом в сфере ИБ. Мы обвешиваемся миллионами разных СЗИ и никак не можем понять, доколе пользователи будут везде тыкать. Как говорил мой...