[Перевод] Превышение привилегий через манипуляцию с атрибутами аккаунта
Сегодня мы увидим, как параметры могут привести к большим финансовым потерям для компании. Давайте начнем с аккаунтом обычного пользователя на сайте, который представляет собой платформу электронной коммерции, где происходит покупка и продажа товаров. Допустим, сайт называется Example.com. Когда вы...
[Перевод] Все знают, где ты находишься — можешь убедиться сам
Прошло больше двух месяцев после того, как я опубликовал свой первый пост о передаче данных местоположения сторонним приложениям. За это время я пообщался со многими людьми из этой сферы: с членами некоммерческих организаций, сражающихся за права на конфиденциальность данных в разных странах до...
DDoS-атаки: от теории к корпоративной практике защиты
Привет! Меня зовут Максим Рыбалко, я директор по управлению проектами в Т1 Иннотех. В современном цифровом мире DDoS-атаки превратились из теоретической угрозы в ежедневный вызов для бизнеса. В этой статье я не только расскажу о базовых принципах защиты, но и поделюсь реальными случаями из...
«Песочницы» против APT-атак: все еще работают или проигрывают хакерам?
Всем привет! Angara Security снова на связи. Сегодня в нашем эфире еще один новый автор — Георгий Семенов, эксперт по кибербезопасности Angara Security. Хаотичные нападки киберпреступников в попытках попасть в уязвимое место инфраструктуры в последние годы сменились сложными и продуманными целевыми...
Безопасность подов: взгляд пользователя K8s
Про информационную безопасность Kubernetes-кластеров много пишут с позиции специалистов ИБ. Но полезно взглянуть на эту тему глазами обычных пользователей K8s — инженеров и разработчиков. Тех, кто много работает со своими приложениями в подах, но не управляет служебными частями кластера....
Почему запрет на переключение вкладок не спасает онлайн-тесты от списывания
Онлайн-тестирование стало важной частью современного образования и процесса найма сотрудников. Многие платформы и компании пытаются бороться с мошенничеством, внедряя технические ограничения — например, запрет на переключение вкладок в браузере. Но насколько это эффективно на практике? И что...
Российские операторы столкнутся с огромными штрафами за утечки данных
В конце 2024 года Государственная дума утвердила поправки в КоАП РФ, которые вводят так называемые «оборотные» штрафы за утечки персональных данных. Штрафы за утечку персональных данных увеличены в среднем втрое, а также введена ответственность за неуведомление Роскомнадзора о намерении осуществить...
XTLS Reality Steal + Shadowsocks2022. Настройка Ubuntu, Docker и масштабирование с помощью Subcriptions
В данной статье хочу поделиться собственным опытом по настройке всем хорошо известных технологий для маршрутизации трафика до всяких разных ресурсов. Тут не будет подробного описания принципов их работы, на просторах Хабра есть масса статей на эту тематику. Я черпал вдохновение именно оттуда, от...
Не попадись на крючок: 7 признаков фишингового письма или сообщения
Каждый из нас хоть раз получал странное письмо якобы от банка, соцсети или госслужбы с просьбой срочно перейти по ссылке, ввести данные или открыть вложение. Это фишинг — старый как мир, но все еще до обидного эффективный метод мошенничества. Он не ломает системы напрямую, он «ломает» нас —...
BSCP и с чем его едят?
Привет! Меня зовут Владимир и я старший исследователь веб‑уязвимостей. На днях я успешно сдал сертификацию от PortSwigger BSCP (Burp Suite Certified Practitioner) и хочу поделиться своим опытом и советами, а также разобрать что вообще встречается на экзамене. Читать далее...
Примеряем глобальные стандарты в своём бизнесе. Обзор B2B новинок XCover7 Pro и Tab Active5 Pro
…перед нами защищенные устройства, созданные для корпоративных клиентов, для мира, непонятного обычным людям, живущего по другим правилам. Эльдар Муртазин Mobile-review.com Я больше десяти лет работаю в B2B продажах мобильных устройств presale инженером. Считается, что в бизнесе цена — это главная...
[Перевод] Jenkins: Тестирование на проникновение
Jenkins — это open-source сервер автоматизации, используемый для непрерывной интеграции (CI) и непрерывной доставки (CD), написанный на Java. Jenkins автоматизирует задачи, такие как сборка, тестирование и развертывание в процессе разработки ПО. Эта автоматизация ускоряет циклы разработки, повышает...
Атака на некоторые уязвимые веб-приложения Vulnhub. Эксплуатация уязвимостей. Часть 6
Всех приветствую, читатели Хабра! Шестая часть анализа защищенности веб-приложений Vulnhub. Ссылки на первые четыре части, советую ознакомиться (в первой части детально разбираю где скачать образы уязвимых машин, как их поднять на докер, и многое другое): https://habr.com/ru/articles/894508/...
Влюбиться в ИИ: романтические чувства к алгоритмам как новый вектор кибератак
ИИ научился имитировать человеческую близость — и эта иллюзия начала превращаться в уязвимость. То, что еще вчера выглядело как шутка из «Чёрного зеркала», сегодня уверенно проникает в повседневность: миллионы пользователей выстраивают доверительные и даже романтические отношения с цифровыми...
Яндекс.Вброс или ИИ для фейков
tl;dr: Продолжение разборов состязательных атак на генеративные модели. Разбор семантических атаках (подбор синонимов, построение фраз, эзопов язык), и использование для этого другой LLM модели. Часть 1: Яндекс.Разврат или анти-этичный ИИ Читать далее...
Отраслевой стандарт защиты данных: методика аудита и наш опыт его прохождения
Миллионы людей ежедневно пользуются сервисами Яндекса и доверяют нам свои данные. Для нас это большая ответственность, поэтому мы делаем всё, чтобы обеспечить их защиту и конфиденциальность. Чтобы эти слова не оставались просто обещаниями, мы регулярно проходим независимые аудиты систем...
Группировки Team46 и TaxOff: две стороны одной медали
Привет! На связи отдел исследования киберугроз. В марте 2025 года нас заинтересовала одна атака, в которой использовалась уязвимость нулевого дня для браузера Chrome. Мы атрибутировали инцидент к группировке TaxOff, о которой писали ранее. В процессе изучения мы обнаружили более ранние атаки, все...
149-ФЗ против junk-пакетов: история одной блокировки
18 апреля 2025 года. Обычное утро. Почта спокойна, ничего подозрительного. Среди напоминаний о просроченной подписке и очередном пуше от GitHub оказывается письмо от Хабра: «Сообщаем вам, что на ваш материал на сайте Habr.com было наложено ограничение доступа для пользователей из определённой...