«Да не робот я!»: CAPTCHA исчезнет или станет ёщё более раздражающей?
Интернет-мем про роботов и капчу. Источник: Лаборатория Касперского. Вместе с ростом числа интернет-пользователей развивались боты для спам-рассылок и создания фейковых учетных записей. В 2000 году исследователями из Университета Карнеги-Меллона была разработана CAPTCHA, Completely Automated Public...
Б значит не Безумие, а Безопасность: часть 2 — перезагрузка
Что-то было модно, что-то вышло из моды, а что-то вечно и вечность в нашей статье — это кибербезопасность. В рамках серии статей хотелось бы поговорить об этом и поделиться нашим опытом. Во второй части я продолжу рассказ про проект, с которым мы уже познакомились ранее. 1. Напомню про требования:...
People-Centric Security, или Человекоцентричная безопасность — забытая концепция или ключ к защите современных компаний?
В последние два года мы видим много новостей про утечки данных, в том числе из популярных сервисов: СДЭК, Яндекс.Еда, Delivery Club, Литрес и других. В результате таких утечек стали доступны более 660 миллионов записей персональных данных в России и до 15 миллиардов в мире. Кажется, что утечки сами...
Старый софт: как мы обошли запрос пароля в Shadow Defender и зачем пользоваться приложением, которое не обновляется
Привет, Хабр! Меня зовут Илья Буймистров, я занимаюсь исследованиями в области инфобеза для сервиса централизованного управления уязвимостями CICADA8. Это один из проектов блока инноваций FC компании МТС RED. Чтобы защищать пользователей, надо понимать, где слабые места в их ИТ-системах. Сегодня я...
Наука в топе атакуемых отраслей, утечки в промышленности и возврат к бумажным носителям
Привет! В эфир снова врывается департамент аналитики Positive Technologies. Расскажем, какие отрасли чаще всего атаковали злоумышленники в 2023 году, а еще затронем неприятности, произошедшие с фондом «Сколково», курортом «Роза Хутор» и другими компаниями. Подробности...
Как мы искали понятный термин для учеток и доступов, но так и не нашли
В удивительном мире информационных технологий, где айтишники и клиенты встречаются регулярно, царствует терминологический Хаос! Казалось бы, все говорят на одном языке, но когда речь заходит про «данные для авторизации», клиенты впадают в ступор. Бизнес говорит «учетки», «логины», «доступы» — как...
Погружение в Smali. До и После. Decompile-Change-Build
В этой статье я позволю себе немного отклониться от темы, непосредственно касающейся Smali. Сегодня немного о том, откуда приходит Smali и куда возвращается. Поговорим о разборке и сборке файлов APK. Статья предназначена для людей, которые знают основы разработки приложений под OS Android. Кто...
Как обнаружить хакера на этапе дампа учетных данных в Windows?
Одна из самых часто используемых техник при атаках — получение учетных данных из операционной системы. В этом можно убедиться, читая аналитические отчеты различных компаний: техника T1003 OS Credential Dumping в подавляющем большинстве случаев входит в ТОП-5. После проникновения в систему...
The Hive. Разбор open source решения
В свете быстрого развития информационных систем и увеличения угроз кибербезопасности поиск надежных решений, позволяющих минимизировать вред от нарушения информационной безопасности (ИБ), становится важной задачей для различных организаций. Когда инфраструктура организации начинает настолько...
Кибер-соревнования для начинающих этичных хакеров
Привет, Хабр, Давно не виделись! Я - Никита, студент Бонча и инженер в «Газинформсервис» (подробнее обо мне в этой статье). Предлагаю немного ближе познакомиться c миром ИБ, а именно кибер-соревнованиями. Хочу также рассказать начинающим специалистам (или просто интересующимся) о том, как можно к...
Кто проживает на дне океана: неуязвимости среди находок в VM-отчетах
В прошлой статье о VM (от англ. - vulnerability management) мы рассказали, с какими проблемами можно столкнуться при анализе и управлении рисками Сегодня спустимся на уровень ниже и поговорим об интересных находках, скрывающихся в глубинах готовых VM-отчетов. Одна из задач контроля уязвимостей –...
Тиражируемое решение IDM корпоративного уровня. Часть 2: справочные разделы
В прошлой статье мы дали общее описание разработанной нами и используемой в крупной транспортной организации системы управления идентификационными данными и правами доступа пользователей. Сегодня расскажем о функциональных возможностях нашего IDM-решения. В частности, опишем, что представляют из...
Как оценить эффективность WAF и зачем вообще это все нужно? Часть 2
Привет! Меня зовут Лев Палей, и я собаку съел на всяких сравнениях, технико-экономических обоснованиях и всей этой истории с выбором каких-либо решений. Теперь я работаю по другую сторону сделки. Поэтому, после некоторого времени, проведенного в компании-производителе, решил рассказать о тяготах...
«Импортозамещение» в видеонаблюдении. Часть пятая: Випакс АйТек Про
Что если компания просто покупает камеры у известного китайского ОЕМ-производителя, даже не пытается это скрыть, и все равно, каким-то невероятным образом попадает в реестр РЭП, получая все сертификаты как отечественный производитель? Неужели в 2023 году, когда о локализации производства прожужжали...
Безопасность API веб-приложений
Привет, Хабр! Это инженерный отдел по динамическому анализу Swordfish Security. В предыдущих статьях мы описывали плагин для OWASP ZAP, рассказывали, как сканировать приложения с помощью инструмента Burp Suite Pro и настроить автоматическую авторизацию в DAST-сканере. Сегодня мы обсудим, на что...
V2X. Система безопасности
V2X расшифровывается как Vehicle-to-Everything. Это когда ваш автомобиль общается с окружающим миром, минуя вас. Есть множество статей о том, что такое V2X и зачем это нужно. Есть описания работы системы разной степени подробности и достоверности, описания стандартов, кликбейтные новости, обзоры и...
Настройки безопасности контейнеров и Kubernetes
В этой статье представлен список инструментов Linux и функционала Kubernetes, регулирующих безопасность контейнеров. Статья имеет описательный характер для базового понимания настроек безопасности, а также для систематизации полезных инструментов и полей спецификации k8s для этих целей. Статья...
Зыбучие пески или установка песочницы CAPE
Привет, Хабр, на связи лаборатория кибербезопасности AP Security. В данной статье предлагаем разобрать процесс установки и первоначальной настройки такой песочницы, как CAPE. Читать далее...