OWASP Top Ten 2021 через простые примеры на Java. И немного про SAST
В этой статье мы расскажем про категории OWASP Top Ten 2021 через призму срабатываний Java анализатора PVS-Studio. Так что, если у вас есть желание посмотреть на возможные паттерны уязвимостей в Java коде или узнать, что из себя представляют категории OWASP Top Ten, приятного чтения! Читать далее...
Из режима выживания к управляемой системе: трансформация ИБ в банке
Семь специалистов, семь Excel‑таблиц, и десятки требований регуляторов, которые обновляются со скоростью света.Каждая проверка — это гонка с дедлайном, хаос в переписках и отчаяние в глазах команды. Дошло до того, что отпуск одного сотрудника мог парализовать работу всей службы ИБ. Перемены не...
[Перевод] SSL-сертификаты в 2025: самый прибыльный развод в истории интернета
$199 за файл. Не за программу. Не за базу данных. Даже не за документ с полезной информацией. За файл в несколько килобайт зашифрованного текста, который говорит браузеру "этот сайт действительно тот, за кого себя выдает". В 2005 году именно столько стоил SSL-сертификат от VeriSign. Каждый год. За...
Защита от эксплойтов rdp, smb c помощью IPSec и сертификатов
На многих предприятиях остаются всё ещё работать старые версии операционных систем windows, которые не обновляются, или просто не установлены обновления по непонятным причинам. Типичный ответ у нас после обновления отвалились принтеры, и мы отключили их. В результате были использованы эксплойты по...
Как составить отчет по результатам тестирования на проникновение. Руководство для начинающих
Тестирование на проникновение (penetration testing, пентест) — один из ключевых инструментов обеспечения кибербезопасности. Важно помнить: сам процесс поиска уязвимостей — лишь половина работы. Настоящая ценность для заказчика заключается в грамотно оформленном отчете, который объясняет каким...
Как выбрать действительно безопасное облако. Взгляд юриста
Привет, Хабр! С вами Анастасия Ильханова, я работаю юристом в Cloud.ru и постоянно сталкиваюсь с тем, что клиенты спрашивают о безопасности хранения данных в облаке, запрашивают лицензии, просят разъяснить положения договора и т. д. Моя задача в этой статье — разложить по полочкам ответы на...
Фантазии LLM воплощаются в реальности — фальшивые опенсорсные библиотеки
LLM придумывает названия несуществующих библиотек и предлагает разработчикам-вайбкодерам пользоваться ими. Если есть спрос — возникнет и предложение. Вскоре эти библиотеки действительно появляются в реальности, но уже с вредоносным кодом. Читать далее...
AVIF: Крепкий орешек для стеганографии. Почему LSB-метод пасует там, где справляется WebP
Привет, Хабр! Сегодня я хочу поделиться историей одной, казалось бы, простой задачи, которая превратилась в увлекательное техническое расследование. Мы разрабатывали утилиту для стеганографии ChameleonLab и решили добавить поддержку современных форматов изображений, таких как WebP и AVIF. С WebP...
Новости кибербезопасности за неделю с 8 по 14 сентября 2025
Всё самое интересное из мира кибербезопасности /** с моими комментариями. На этой неделе новости про крупнейшую атаку на npm, бывший руководитель безопасности WhatsApp рассказал как ему не давали работать, про утечку данных всех жителей Вьетнама и другие только самые важные и интересные новости из...
Как правильно уничтожать персональные данные по требованиям Роскомнадзора
Прежде чем рассматривать порядок и случаи уничтожения, важно понимать определение этого понятия. Уничтожение персональных данных в российском законодательстве означает действия, после которых невозможно восстановить содержание персональных данных в информационной системе и/или в результате которых...
Сбой программного обеспечения: имеются ли основания для ссылки на форс-мажор?
Аннотация. В статье анализируется возможность применения института форс-мажора в контексте сбоя программного обеспечения, вызванного обновлением системы безопасности CrowdStrike. Рассматривается влияние этого сбоя на исполнение гражданских обязательств, особенно в сфере транспортных услуг....
[Перевод] Механизм запуска процесса в Linux
В этой статье я расскажу о том, что происходит внутри ядра Linux, когда процесс вызывает execve(), как ядро подготавливает стек и как затем передаёт управление пользовательскому процессу для выполнения. Изучил я этот механизм, когда разрабатывал Zapper — инструмент Linux, удаляющий все параметры...
ChameleonLab 1.5: Кросс-платформенный комбайн для стеганографии, рожденный на Хабре
Привет, Хабр! Пару месяцев назад мы представили наше детище — ChameleonLab, десктопное приложение для Windows и Mac, которое позволяет встраивать и извлекать скрытые данные из файлов, а также проводить их глубокий анализ. Проект начинался с самой простой версии, но благодаря активному участию и...
Как добиться успешного успеха в IT? История моего возвышения… Глава 3
Как я впервые вскрыл писюк, нашёл у мамы мозги и познал содержимое диска с таинственными немецкими словами на обложке - читайте в прошлой главе. А сегодня мы поднимем вопрос сдачи образцов оттиска принтера в КГБ, первый выход в интернет и западло от компьютерного мастера проявит себя во всей красе....
От разрозненных правил к управляемой архитектуре: PPPM и операционная панель CSMA
Мы уже разобрали, зачем нужна CSMA, какие проблемы есть у «зоопарка» средств защиты, и прошлись по ключевым слоям: SAIL (интеллект аналитики), управление инфраструктурой и Identity Fabric. Логичный следующий шаг - навести порядок там, где у большинства организаций сегодня хаос: в политиках,...
Что скрыл сайт? Архивные копии в OSINT
Всем привет! В сегодняшней статье мы рассмотрим, как использовать архивные копии сайтов в OSINT. В этом нам поможет мощный, но часто недооцененный CDX API Wayback Machine. С его помощью можно получить доступ к индексу всех сохраненных копий сайта в архиве, что даёт возможность изучить его гораздо...
Секреты LLM по API: динамическая анонимизация данных для российского бизнеса
Привет, Хабр! На связи Мария Старцева и Катерина Пославская из команды R&D в Just AI. Один из наиболее востребованных запросов бизнеса сегодня — LLM должна крутиться локально (on-premise). При этом именно проприетарные LLM модели чаще всего демонстрируют SOTA качество для большинства задач. И вот...
«Нормально делай – нормально будет»: что такое Secure by Design
Всем привет! В этой статье наши эксперты – Паша Попов, руководитель направления инфраструктурной безопасности, и Леша Астахов, директор по продуктам WAF-класса с огромным опытом развития продуктов Application Security в Positive Technologies, – разбираются, что такое подход Secure by Design,...