[Перевод] Вершим правосудие на GitHub, помечая мошенников с помощью граффити
Уже много лет опенсорсные проекты позволяют нам «украшать» графики активности на GitHub фальшивыми историями коммитов Git. Но знали ли вы, что подобные граффити можно также размещать в профилях других пользователей? К примеру, в графиках активности нескольких фишеров я оставил вот такую «черную...
Базовый минимум: зачем вашей компании WAF
В блоге beeline cloud мы пишем про настройку сетевых сервисов, управление облачной инфраструктурой и информационную безопасность. Сегодня поговорим про корпоративные веб-приложения: почему они так «нравятся» злоумышленникам и что для их защиты предлагают решения класса Web Application Firewall...
Зачем Яндекс.Браузеру эти данные?
TL;DR После установки Яндекс.Браузера с опцией отправки статистики, слишком много данных, на мой взгляд, отправляется куда-то в недра api.browser.yandex.ru. С помощью коллеги по цеху ИБ – Олега Анциферова – удалось раскопать следующее: улетает список пользователей, список установленного ПО, файл...
Слишком уж «Быстрый вход» в приложение Т-Банк на Android
Последние несколько лет я являюсь клиентом Т-Банка (в девичестве Тинькофф Банк) и использую их Android-приложение, наверное, каждый день. В декабре я обновил его из Huawei AppGallery, и что-то изменилось в моём пользовательском опыте… Мне стало казаться, что меня стали как-то слишком редко...
Прозрачное программное обеспечение
Приветствую, уважаемые читатели! Не так давно закончил перевод книги "Прозрачное программное обеспечение". Лично от себя могу в целом резюмировать, что книга интересная и выстроена достаточно грамотным образом. Местами встречаются сложные речевые обороты, перегруженные расшифровкой аббревиатур...
Как автоматизировать рутинные задачи с API UserGate
Вам необходимо перенести 1000 объектов и 600 правил из excel-таблички в UserGate? Или, наоборот, экспортировать из него все политики в таблицы для дальнейшего документирования и анализа? А может быть вы просто хотите погрузиться в API UserGate, но не понимаете с чего начать? Тогда эта статья для...
13 уязвимостей на компанию: свежая ИБ-статистика от пентестеров
По нашим данным, в 2024 году киберпреступники установили новый рекорд по атакам на российский бизнес: рост составил 20% по сравнению с предыдущим годом. Это максимальный показатель за всю историю наблюдений. Ситуация требует от руководства компаний пристального внимания к кибербезопасности, но как...
Gartner по-русски – это не Гартнер
Помните компанию Gartner, что квадрант магический создаёт? Ещё три года назад оказаться в квадранте – мечта любого российского вендора, ведь заказчики всегда ориентируются на такую экспертизу: увидели в свежем отчёте лидирующего вендора, и вперёд к руководству просить «добро» на закупку. Сейчас это...
Java, Taint и SAST: что это и зачем, и причём здесь ГОСТ 71207
На Java пишется огромное количество серверного кода. Отсюда следует, что написанные на ней веб-приложения должны быть устойчивы к специальным уязвимостям. И эта небольшая статья как раз про один из способов борьбы с ними — SAST. И ещё про то, что такое taint-анализ и как он во всём этом участвует....
Раздел OSINT (разведка): Что такое Github Dorking?
Здесь вы узнаете, как повысить свой уровень в OSINT, будут приведены примеры и готовые поисковые запросы. (Вы можете дополнить меня, если я что-то забыл в комментариях). Читать далее...
Один год вместе с LLM в кибербезопасности: как ИИ менял индустрию
В 2024 году большие языковые модели (LLM) кардинально изменили многие сферы, включая кибербезопасность. LLM научились не только помогать в поиске уязвимостей, но и предлагать их исправления. От симуляции атак и анализа уязвимостей до создания правил детектирования — LLM постепенно становятся...
Capture the flag на ВДНХ. Как это было в 2024 и как принять участие в 2025 году
В декабре, под самый Новый год, в Москве прошел Кубок России по Capture the Flag. Школьники и студенты - молодые дарования по кибербезопасности - пришли на ВДНХ не для катания на катке в новогоднем убранстве, а чтобы в игровом формате проверить свои навыки по защите информации. Команды...
Ревизор приехал: pg_anon проверяет, всё ли скрыто
В современной разработке мы постоянно сталкиваемся с дилеммой: для эффективной работы командам нужны реальные данные, но их использование несет существенные риски безопасности. Как тестировать функциональность на реалистичных данных, не подвергая риску конфиденциальность пользователей? Как...
Как модуль распознавания речи в Solar Dozor 8.0 упрощает ̶ж̶и̶з̶н̶ь̶ работу офицеров безопасности
Всем привет! Меня зовут Екатерина Ратнер, я старший аналитик в проекте Solar Dozor — первой в России корпоративной DLP-системе, которая используется организациями страны и СНГ уже более 20 лет. Одной из главных задач DLP-систем является защита информации в разных форматах, включая звук. Запись...
Заказчик всегда прав или клиенты с лапками
Думаю каждый из вас хоть раз в жизни видел мемы про заказчиков. Жизнь моя так повернулась, что и у меня сохранилось пару историй про непутевых специалистов из контор, где мне посчастливилось заниматься внедрениями различного программного обеспечения. О них я вам и поведаю сегодня! Читать далее...
Создаем менеджмент уязвимостей в компании (VM)
Привет, Хабр! В этой статье поделюсь опытом и знаниями построения менеджмента уязвимостей в компании, ведь этот процесс, на мой взгляд, — базис информационной безопасности. Почему VM важен? Первый грейд (уровень) хакера начинается со Script Kiddy, то есть освоения навыка эксплуатации публичных...
BSCP в 2025
Привет Хабр! Меня зовут Алексей, я являюсь ведущим специалистом по тестированию приложений. В канун нового года мной было решено выполнить усилие над собой в атмосфере наступающих праздников и предпринять попытку сдачи экзамена BSCP (Burp Suite Certified Practitioner), которая завершилась успехом....
IDM Midpoint — восхищение и ужас в одном флаконе. Грабли, советы, рекомендации
IDM Midpoint от Evolveum, с одной стороны, является многофункциональным продуктом с хорошими возможностями настройки под потребности любой компании. Но, с другой, сложность настройки растет по мере того, как вы отходите от стандартных описанных решений. А описано в документации, увы, мало. По мере...