Гайд по здравому смыслу: Как защитить корпоративные данные в эпоху нейросетей
Привет, Хабр! Меня зовут Кирилл Пшинник, я научный сотрудник Университета Иннополис и СЕО онлайн-университета «Зерокодер». Обычно я пишу о том, что нейросети — это круто, но было бы нечестно не говорить и об обратной стороне монеты. Сегодня я хочу порассуждать о том, как нечистые на руки люди могут...
Да кто это такой, ваш RPS? Как рассчитать емкость сайта для защиты от веб-атак
Всем привет! Сегодня любое развитие онлайн-бизнеса, его процессы и выручка напрямую зависят от бесперебойной работы сайтов и веб-приложений. Тут же возникает риск кражи персональных данных и чувствительной информации из хранилищ веб-сайтов и приложений. Еще хуже, если злоумышленники взломают...
[Перевод] Разблокируем бесплатный WiFi на рейсах British Airways
Недавно я летел из Гонконга в Хитроу рейсом British Airways. Тот же самый маршрут я проделал в 2023 году, и помню, как в 14-часовом путешествии понадеялся на развлечения в самолёте. Однако на этот раз по дороге в Лондон у компании появилось интересное предложение: бесплатный WiFi для «мессенджеров»...
[Перевод] Банковский спектакль KYC и AML
Многие люди смутно представляют, что у финансовых институтов есть обязанность соблюдать Know Your Customer (KYC) и иметь программы AML (anti-moneylaundering), но что это означает на самом деле? Рад, что вы спросили. С ними всё… сложно и запутанно, из-за чего у многих (внутри и вне этой отрасли)...
Полезные фишки iCloud, Google Drive и Яндекс Диска, о которых многие не знают
Облачные хранилища стали настолько привычными, что большинство из нас использует их тупо на автопилоте – для хранения фотографий или бэкапов. Из-за этого, кстати, часть функций, которые есть в облаках, для многих остаются в тайне. А ведь внутри этих сервисов спрятаны возможности, способные реально...
[Перевод] Полное руководство по HTTP-кэшированию. Часть 2
Кэширование — скрытый двигатель, на котором держится веб. Именно оно делает сайты быстрыми, надежными и относительно недорогими в обслуживании. При правильной настройке кэширование снижает задержки, разгружает серверы и позволяет даже хрупкой инфраструктуре выдерживать резкие всплески трафика. При...
Внедрение автоматизированного AppSec конвейера за пару дней без смс и регистрации
Работоспособность любого приложения может быть подвержена угрозам: от сбоев в работе до кражи персональных данных. С этими рисками следует работать через регулярные и комплексные проверки кода на уязвимости, которые должны быть полностью автоматизированными. Несмотря на то, что тема актуальная, в...
Taint-анализ в C и C++ анализаторе PVS-Studio
Ваш код принимает данные извне? Поздравляем, вы вступили на минное поле! Любой непроверенный ввод от пользователя может привести к уязвимости, и найти все "растяжки" вручную в большом проекте почти невозможно. Но есть "сапёр" — статический анализатор. Инструмент нашего "сапёра" — taint-анализ (aka...
Уголовка руководителя за предоставленный сотрудником логин и пароль
Уголовка руководителя за предоставленный сотрудником логин и пароль Что учесть работодателю и сотрудникам компании? Заместитель начальника ОАО «Р» Г. осужден по ч. 3 ст. 272 УК РФ – неправомерный доступ к компьютерной информации, повлекший ее копирование, совершенный с использованием своего...
Эпоха цензуры мирового интернета
Тревожная тенденция, о которой заговорил даже Дуров. О том, как работает цензура на Западе, В Китае и США, не касаясь России. Читать далее...
Хватит бороться с ошибками CORS: разберемся, как они работают раз и навсегда
Вы когда-нибудь видели в консоли сообщение вроде: «Access to fetch at '…' from origin '…' has been blocked by CORS policy»? Это как в том фильме: «Суслика видишь? — А он есть». CORS не бросается в глаза, пока все работает, но в нужный момент пресекает недопустимые действия....
Хватит тестировать вполсилы: Фреймворк RES-ATTACK для симуляции комплексных угроз и его метрика R-score
Привет, Хабр. С вами AdminFuture. Давайте представим себе худший кошмар любого SRE-инженера или CISO. Пятница, вторая половина дня. Нагрузка на систему достигает пика, и в этот самый момент основной узел кластера вашей критически важной СУБД начинает сбоить. Автоматика запускает процедуру failover....
Тотальная деанонимизация: как в мире и в России обсуждают вход в Сеть по паспорту и цифровые ID
Стремительное развитие цифровизации и рост онлайн-угроз по всему миру ставят перед правительствами вопрос о необходимости контроля и идентификации пользователей. Пока в Европе тестируют цифровые удостоверения личности и возрастные ограничения для соцсетей, а Китай запустил национальный цифровой ID,...
XRAYUI для ASUS: от интерфейса к экосистеме
Эта статья - вторая по счету на тему open source модуля для роутеров ASUS на базе прошивки MerlinWRT. Предыдущая версия была написана почти год назад, и с того времени произошло множество изменений в модуле. Я хочу несколько осветить их в новой статье, поскольку модуль обзавелся множеством фич и...
С чего начать и как стать практикующим специалистом по информационной безопасности в конце 2025 года
Недавно вышел пост от Алексея Лукацкого [https://t.me/alukatsky/13517] , где затронул тему того как можно в нынешних условиях развиваться в сфере ИБ. Во многом я с ним согласен, но есть некоторые моменты которые я бы хотел подправить или раскрыть чуть сильнее. Важно понимать что разница между нам в...
DNSSEC и DNS: как доменные имена управляют интернетом + настройка BIND на Ubuntu
Все мы любим, когда интернет работает (и не виснет 🙂) — сайты открываются, видео грузятся, письма доходят. Но мало кто задумывается, как именно браузер узнаёт, куда вас отправить, когда вы вводите знакомое «habr.com». Эта статья для тех, кто хочет понять, как именно устроена и работает система...
IPv6, Wi-Fi и ситуации в сфере ИБ — что почитать о беспроводных технологиях и сетевой инфраструктуре [подборка]
Делимся подборкой наших технических материалов. Это — статьи о возможностях беспроводных технологий и управлении трафиком, а также тематических инструментах. Читать далее...
[Перевод] HTB: Watcher
Задание "Watcher" начинается с сервера Zabbix. Воспользуемся уязвимостью CVE-2024-22120 (слепая SQL инъекция), чтобы украсть сессию администратора и получить удалённое выполнение команд (RCE). Затем зайдем как администратор и найдем пользователя, который входит каждый минуту, обновим исходный код...