Перетягивание одеяла: техподдержка vs СБ
С точки зрения службы техподдержки, что позволяет как можно быстрее и проще удовлетворить заявку пользователя — то и хорошо. С точки зрения Службы Безопасности — это совсем нехорошо, а нужно делать максимально безопасно. Беда в том, что чем выше требования к безопасности, тем больше неудобств для...
Подборка полезного контента с нашей российской конференции Day of the DEVs
12 октября мы провели локальную российскую конференцию Day of the DEVs. Всего в рамках конференции было задействовано 5 направлений: Hybrid/Multi cloud, Security, OSS, Data&AI для приложений, Продуктивность разработчиков. В этой статье мы собрали весь полезный контент с этих треков, в том числе...
[Перевод] Серьезная ошибка в процессорах Intel раскрывает ключи шифрования
CVE-2021-0146, идентификатор уязвимости, возникающей при использовании функции отладки с чрезмерными привилегиями, в результате чего злоумышленники могут читать зашифрованные файлы. Уязвимость в безопасности чипов Intel открывает возможности для доступа к зашифрованным файлам и шпионажа, а также...
[Перевод] Я готов платить деньги тем, кто удалит свой модуль npm
Культура npm создает серьезную опасность для защиты программного обеспечения в мировых масштабах. Это крайне безответственно – позволять деревьям зависимостей разрастаться до таких размеров, что в них входят тысячи зависимостей, связывающих вас с производителями, о которых вы никогда не слышали и...
Атака с большим будущим: за что SSRF поместили в ТОП-10 киберугроз
В конце сентября сообщество OWASP (Open Web Application Security Project) выпустило обновленную версию списка наиболее опасных угроз для веб-приложений OWASP Top-10. Примечательным стало появление в нем A10:2021 – Server-Side Request Forgery (SSRF) или подделка запроса на стороне сервера. При этом...
Системы большие и маленькие: парадокс «четвёртого измерения» в эволюции SIEM
Кадр из х/ф «Интерстеллар», все права у правообладателей Как-то раз наш начИБ Алексей Дрозд (aka @labyrinth) оказался в эфире AM Live – медиа собрало коллег по цеху обсудить будущее SIEM. Компания подобралась отменная: IBM, Positive Technologies, Micro Focus, Kaspersky, RuSIEM, мы и Solar JSOC....
Если мошенники украли деньги с банковской карты — не спешите в полицию
Мне давно надоели эти банки, но инфопространство постоянно забито историями, как мошенники в очередной раз украли деньги, причём даже без социальной инженерии. Народ жалуется на Tinkoff, Альфа-банк и прочие банки, на операторов сотовой связи. Портал banki.ru ввёл драконовские правила, что у него...
Security Week 47: обновленная атака Rowhammer на модули памяти DDR4
На прошлой неделе исследователи из Высшей технической школы в Швейцарии (ETH Zurich) опубликовали работу (пост в блоге команды, сама работа, исходники на GitHub), описывающую новый метод атаки типа Rowhammer на модули памяти стандарта DDR4. Атака получила название Blacksmith и идентификатор...
Шо там по MTProto в Telegram-то?
В наше время в условиях тотальной слежки, где любой разговор рядом с телефоном, любой запрос в интернете, обрабатывается системой для того, чтобы подобрать нативную рекламу, хочется иметь какой-то маленький островок безопасности и надежности. С высоко поднятым флагом свободы Пашенька говорит нам,...
Как нас могут логировать общедоступными методами
DISCLAIMER: Данная статья написана в ознакомительных целях и не является руководством к неправомерным действиям или обучающим материалом для сокрытия правонарушений. Итак, логирование пользователя интернета предполагает осуществление с ним такого взаимодействия, в ходе которого изучаемый...
Дайджест киберинцидентов #14
Привет, Хабр! Мы продолжаем наш дайджест киберинцидентов и сегодня хотим рассказать о том, что предупреждения об атаках могут стать поводом для новых взломах, об аресте операторов Ransomware в одной из стран на букву “У” и новых атаках уже хорошо известной группировки Conti. Также вы узнаете,...
Атака на промышленную IT-инфраструктуру
Здравствуйте, уважаемые читатели. Сегодня рассмотрим базовый сценарий атаки на IT-инфраструктуру организации. В качестве цели может выступать что угодно: от пиццерии до банков. В наше время (во многом благодаря санитарно-эпидемиологической обстановке) многие организации вынужденно мигрируют свою...
Разбор заданий конкурса на взлом NFT “The Standoff Digital Art”
15-16 ноября в Москве проводилась ежегодная кибербитва The Standoff, которая собрала лучшие команды защитников и атакующих. В рамках глобальной конференции по информационной безопасности проводился конкурс на взлом NFT под названием The Standoff Digital Art. Мы пригласили известных цифровых...
BYOD: методы защиты и рекомендации
Смешение личных и рабочих данных на одном устройстве всегда рискованно. Сотрудник может случайно раскрыть конфиденциальную информацию или создать ситуацию, при которой ПО станет уязвимым для вредоносных программ. Одним из решений проблемы безопасности является внедрение системы управления...
Кибербезопасность подключённых автомобилей — настоящее и будущее
Современные автомобили всё больше напоминают высокотехнологичные гаджеты. Они напичканы компьютерами и мультимедийными системами, интенсивно обмениваются данными с облачными сервисами, другими автомобилями и дорожной инфраструктурой. Цифровизация транспорта добавляет к привычным опасностям ещё и...
Как Авито помогает мошенникам и усложняет жизнь обычным пользователям
То, что на Авито полно мошенников, наверное, ни для кого не секрет. Разумеется, ни какая площадка не хочет, чтобы ее пользователи сталкивались с жуликами и теряли деньги, и данный сайт – не исключение. Компания много сделала и делает для повышения безопасности сделок, например, предлагает...
Дайсон или Жюль Верн? Пробуем отличить реальные изобретения от вымышленных
Даже великие изобретения поначалу вызывают недоумение у современников. Чтобы наглядно продемонстрировать это, мы вместе с Dyson отобрали десять устройств, описания которых могли бы принадлежать перу писателя-фантаста. Некоторые из этих изобретений очень даже настоящие. Ваша задача — определить,...
Право на ремонт уже рядом: корпорации понемногу сдают позиции… Но это неточно
Летом 2021 года мы публиковали статью «Право на ремонт еще где-то там: корпорации активно противодействуют принятию закона». В статье рассказывалось о том, что корпорации противодействуют наступлению «золотой эры ремонта», когда владельцы устройств и частные мастерские получают полное право делать...