API на передовой: методы противостояния кибератакам
Гайнуллина Екатерина, Security Vision В последние годы значение безопасности API значительно возросло. С увеличением использования API и резким ростом их трафика, поверхность атаки расширилась, что сделало API одной из главных целей для злоумышленников. Согласно отчету Salt Security за 2024 год,...
Как мощная DDoS-атака не стала для нас форс-мажором. Ну почти
Привет, Хабр. 19 июня мы в Т1 Облако отражали первую массированную DDoS-атаку одновременно на множество IP-адресов, зарегистрированных на нас. Ботнет атаковал наш транспортный, сетевой и прикладной уровень. На пике мы зафиксировали более 50 Гбит/с. входящего трафика. Длилось это не самое приятное...
Определяем местоположение по коммитам в git
Вот вам карты «возможного» местоположения разработчиков Telegram и React для затравки. Telegram Desktop. Всего 205 человек. Из них 3 основные. Из них два (работают с 2014 и 2019) в районе Самара-Кавказ (Армения, Грузия, Азербайджан) и один (работает с 2018) вероятно в Турции. ReactJS. Всего 1854...
Как обеспечить безопасность в облаках: обзор рынка
22 мая на AM Live прошел эфир «Как обеспечить максимальную безопасность облаков». В нем приняли участие представители облачных провайдеров, компаний-разработчиков в области информационной безопасности (ИБ) и поставщиков ИБ-решений. Эксперты из Selectel, Yandex Cloud, Angara Security, Nubes,...
Киберучения «CyberCamp 2024» глазами Гостя
В начале октября прошел трехдневный чемпионат по информационной безопасности федерального уровня CyberCamp 2024. О том, из чего он состоял можно почитать в разных СМИ, например, на РБК, переписывать их текст, естественно, не буду. Автор статьи принимал участие в соревновании на стороне "синих",...
Правила файрволов не так уж и безобидны
Представим, что вы работаете специалистом по информационной безопасности. И к вам приходит запрос от внешних подрядчиков, работающих над проектом для вашей компании — открыть доступ с пары серверов в тестовом и промышленном контуре на определённый сервер. Доступ необходим для тестирования нового...
[Перевод] IDOR: Полное руководство по продвинутой эксплуатации уязвимостей IDOR
Уязвимости IDOR (незащищённая прямая ссылка на объект) являются одними из наиболее часто встречающихся уязвимостей безопасности в современных веб-приложениях и API. Неудивительно, что они часто рекомендуются начинающим охотникам за уязвимостями, так как их легко обнаружить и эксплуатировать, и по...
Навигация по вызовам финтех разработки: от соблюдения норм до безопасности
Финтех произвел настоящую революцию в области финансовых услуг. Ускоренное развитие технологий и растущий интерес к цифровым финансовым решениям преобразовали традиционные методики в банковской сфере и финансовом обслуживании. Читать далее...
Кому жаловаться на вредоносный ресурс?
Привет, Хабр! Сегодня мы расскажем, куда можно пожаловаться, если вы столкнулись с фишингом или другими вредоносными сайтами. Эта информация не поможет полностью удалить такие сайты, но покажет, куда можно обратиться, чтобы их заблокировали. Читать далее...
[Перевод] Как использовать YouTube для кражи файлов
Занимаясь исследованиями безопасности, я часто сталкиваюсь со странными причудами и поведением, которые могут пригодиться, разве что, в качестве весёлого фокуса на вечеринке. Тем не менее мне нравится их отслеживать. Кто знает, возможно, однажды что-то из этого окажется как раз тем самым...
SCA на языке безопасника
За последнее время внутри компании у нас появилось несколько энтузиастов, заинтересованных в DevSecOps по совершенно разным причинам. Кому-то задал неудобный вопрос заказчик, кто-то решил встать на путь саморазвития, а у кого-то близкий человек – AppSec, и хочется иметь возможность поддерживать...
Как я обнаружил проблемы у ЮМани (Сбербанк) с безопасностью и не получил денег за найденную уязвимость
Как известно, в России почти каждая первая финансовая организация позиционирует себя как софтверную IT‑компанию, а не просто как «банк» или «платежная система». Сегодня речь пойдет о ЮМани — подразделении Сбера, IT‑гиганта всея руси. До того, как ЮМани стал тем, чем он сейчас является, сервис...
Обновлено: Как я обнаружил проблемы у ЮМани (Сбербанк) с безопасностью и не получил денег за найденную уязвимость
Как известно, в России почти каждая первая финансовая организация позиционирует себя как софтверную IT‑компанию, а не просто как «банк» или «платежная система». Сегодня речь пойдет о ЮМани — подразделении Сбера, IT‑гиганта всея руси. До того, как ЮМани стал тем, чем он сейчас является, сервис...
Госуслуги поощряют сбор логинов-паролей пользователей?
Недавно одно популярное приложение с Android потребовало у меня авторизация через Госуслуги. Сделало оно это очень просто - в своём окне оно запросило у меня логин-пароль от Госуслуг. То есть, я ввожу эти данные в окне приложения, они утекают создателям приложения, которые в этот момент могут...
Как перевести 3000 сотрудников на корпоративный VPN и не сойти с ума (ну, почти)
Уязвимости в Jira и Confluence — неизбежное зло. Мы все привыкли и научились с ними справляться: вывесили дополнительный пароль, обновились до безопасной версии и живём хорошо, пьём джус. А потом оказалось, что с третьего квартала 2024 года кина обновлений Atlassian не будет. И вскоре любая...
Господин сенатор, шаттл подан: как мы переносим тысячи секретов в StarVault за секунды
Казалось бы, простая задача: перенести секреты между хранилищами Vault. Но на практике возникают сложности. И их столько, что мы в Orion soft разработали свою утилиту для миграции – StarVault Shuttle. В этой статье я расскажу, почему мы остановились на таком решении и как работает наша утилита....
RLS в действии: как решить вопросы доступа в BI за 5 минут
Когда бизнес-аналитика внедряется как корпоративный инструмент, ее пользователями становятся сотни или даже тысячи людей из разных подразделений. Кроме этого нередко результаты прогнозов, расчетов и визуализаций все чаще выкладывают прямо на порталы или открывают к ним доступ без авторизации, чтобы...
Результаты эксперимента с honeypot Chameleon — что нового мы узнали о хакерских атаках за 24 часа
Мы в mClouds постоянно тестируем различные утилиты и инструменты, которые помогают повысить безопасность наших систем. На днях разместили в тестовой среде комплексный honeypot Chameleon от qeeqbox и проверили несколько разных сервисов. Благодаря honeypot мы определили географическое распределение...