[Перевод] Безопасность через неясность недооценивается
В информационной безопасности мы выработали ряд аксиом, с которыми не принято спорить: Никогда не внедряйте собственную криптографию. Всегда используйте TLS. Безопасность через неясность (security by obscurity) — это плохо. И тому подобное. Большинство из них в целом верны. Однако мне начинает...
О чем нам рассказали на ежегодной сентябрьской презентации Apple
В этом году событие прошло нетипично хотя бы потому, что ни слова не было сказано о новых iPhone. Презентация оказалась сфокусирована на двух продуктах: Apple Watch и iPad. Какие изменения нас ждут в новых линейках этих устройств и сопутствующих операционных системах, рассказываем ниже. Читать...
IaaS 152-ФЗ: итак, вам нужна безопасность
Сколько бы ни разбирали мифы и легенды, которыми окружено соответствие 152-ФЗ, что-то всегда остается за кадром. Сегодня мы хотим обсудить не всегда очевидные нюансы, с которыми могут столкнуться как крупные компании, так и совсем небольшие предприятия: • тонкости классификации ПДн по категориям —...
«Очная ставка» NeoQUEST-2020: максимальное погружение в кибербезопасность
Сейчас бы хоть немного хороших новостей, верно? У нас не просто хорошие, у нас отличные новости — «Очная ставка» NeoQUEST-2020 состоится! Уже совсем скоро в Петербурге пройдет самое кибербезопасное событие этой осени. В статье мы приготовили анонсы докладов, воркшопов, конкурсов, а также еще кучу...
Обзор криптографического протокола системы дистанционного электронного голосования
В этой статье мы разберем детали реализации криптографического протокола системы дистанционного электронного голосования. Применение криптографических механизмов и алгоритмов на различных этапах избирательного процесса дает системе дистанционного голосования необходимые свойства. Давайте разберемся...
[Перевод] Регистратор доменов Subreg/Gransy подвергся атаке, большинство его сервисов не работают
Регистратор доменов Subreg (компания Gransy) подвергается атаке на свою инфраструктуру. В настоящее время веб-сайты subreg.cz и gransy.com недоступны, как и другие сервисы компании — например клиенты не имеют доступа к доменам. Компания подтвердила наличие проблемы на своей странице в Facebook:...
Трек DevSecOps — тест безопасности на DevOpsConf Live 2020
У нас 2 часа. Быстро пофиксим баг и сразу назад... Кибербезопасность в наше время нужна везде, от условного пропускного режима и коммерческой тайны до PR и коммуникаций в кризисные моменты. ИТ уже очень глубоко и критично проникли в бизнес, а новые технологии все легче создать, внедрить и...
Первая сотня российских электронных устройств
В нашей стране разрабатывается и производится огромное количество электронных устройств и далеко не все они предназначены для военного применения и нефтегазовой отрасли. Российские компании выпускают тысячи устройств для личного использования, но об этом мало кто знает. Я решил собрать в одном...
[Перевод] Руководство по безопасности DNS
Чем бы ни занималась компания, безопасность DNS должна являться неотъемлемой частью ее плана по обеспечению безопасности. Службы обработки имен, преобразовывающие имена сетевых узлов в IP-адреса, используются буквально всеми приложениями и службами в сети. Если злоумышленник получит контроль над...
Исследуем активность группировки Wintti: бэкдоры Shadowpad, xDLL и новые утилиты развития атак
В марте 2020, в рамках исследования угроз информационной безопасности, специалисты PT Expert Security Center обнаружили неизвестный ранее бэкдор и назвали его xDll, по оригинальному названию в коде. Из-за ошибки конфигурации контрольного сервера некоторые из директорий стали доступны извне. На...
Security Week 38: MITM-атака на карты Visa
Уязвимости в кредитных картах встречаются редко: хотя интерес киберпреступников здесь очевиден, сами платежные карты достаточно хорошо защищены. Их безопасность регулярно проверяют уже много лет, а к участникам рынка предъявляют весьма высокие требования. Пожалуй, последнее масштабное мошенничество...
WSL эксперименты. Часть 1
Привет, хабр! В октябре OTUS запускает новый поток курса «Безопасность Linux». В преддверии старта курса делимся с вами статьёй, которую написал один из наших преподавателей — Александр Колесников. В 2016 году компания Microsoft представила IT сообществу новую технологию WSL (Windows Subsystem for...
Год за пять: стать востребованным профи, ещё будучи студентом
Привет, Хабр! 7 сентября стартовал новый набор на SafeBoard – программу оплачиваемых стажировок в сфере информационной безопасности от «Лаборатории Касперского». Кандидатов в стажёры ждут несколько этапов отбора, успешное прохождение которых откроет дорогу к обучению и обкатке навыков на боевых...
Безопасность, автоматизация и сокращение издержек: Виртуальная конференция Acronis о новых технологиях киберзащиты
Привет, Хабр! Буквально через два дня состоится виртуальная конференция “Три шага к защите от киберпреступников” (“Defeating Cybercriminals in Three Moves”), посвященная новейшим подходам к киберзащите. Мы поговорим об использовании комплексных решений, о применении ИИ и других технологий...
[Перевод] Перевод стандарта ASVS 4.0. Часть 1
Это первая статья из серии переводов стандарта Application Security Verification Standard 4.0, который был разработан OWASP в 2019 году. Стандарт состоит из 14 групп требований для программного обеспечения. Первая группа (V1) содержит в себе требования к архитектуре и моделированию угроз для...
[recovery mode] Every bug matters: Как запустить программу Bug Bounty в компании
Рассказываем об опыте Timeweb Любой компании необходим взгляд со стороны на состояние информационной безопасности сервисов и продуктов. Эту задачу можно решить разными способами, один из которых — участие в Bug Bounty программах. Bug Bounty программа как свежая сила в деле багхантинга Bug Bounty...
От Threat Modeling до безопасности AWS: 50+ open-source инструментов для выстраивания безопасности DevOps
Привет, Хабр! Я консультант по информационной безопасности в Swordfish Security по части выстраивания безопасного DevOps для наших заказчиков. Я слежу за тем, как развивается тенденция развития компаний в сторону DevSecOps в мире, пытаюсь транслировать самые интересные практики в русскоговорящее...
Угнать IP собеседника Вконтакте за 60 секунд
Странные фильтры Вконтакте по обработке внешних ссылок могут быть полезны в OSINT. Через сообщения данной соц.сети можно узнать IP собеседника (если он, конечно же, перейдет по нашей ссылочке). Суть в том, что подозрения у нашей «жертвы» отпадут, ведь перед его взором предстанет абсолютно «чистая»...