Постанализ юзкейсов, или Как спроектировать непрерывную ABAC-авторизацию UI и API. Часть 1
Замечаете, что безопасность становится важнейшим атрибутом качества современных систем. А знакомы ли вы с концепцией Zero Trust? Не упустили ли вы момент перехода к непрерывной проверке безопасности? А значит уже сегодня нужно уметь оценивать влияние требований авторизации на UI и API, дизайн...
Чему учить техлидов: как мы прокачали инженерам навыки управления
Хотим рассказать, как провели обучение для наших техлидов: нужно было дополнить их инженерные компетенции базовыми навыками управления, чтобы эффективней выстраивать комплексную кибербезопасность на крупных интеграционных проектах. Программу придумали сами, опираясь на реальный опыт и процессы, а...
Почему уязвимости годами живут в инфраструктуре: честный разговор
Дмитрий Беляев, CISO, подкастер, человек, который устал читать красивые отчёты Я провёл подкаст с двумя людьми, которых в нашем цеху представлять не нужно. Александр Леонов - тот самый, кого первым вспоминают, когда речь заходит об управлении уязвимостями в русскоязычном сообществе. И Рустам...
Голливуд вбухал миллионы в защиту DVD, а сломал её норвежский школьник, которому просто хотелось смотреть кино на Linux
Значит так. Есть такой расхожий сюжет: жадные корпорации придумали защиту, а злые хакеры её взломали. Красиво, драматично, и конечно-же неправда. С защитой DVD всё было ровно наоборот: её похоронили не хакеры, а собственное правительство США, причём заранее, на этапе чертежа. А голливудские студии...
Контроль целостности трёх «К» в Kubernetes: как не доставить в прод вредоносный код
Между сборкой контейнера в CI и его запуском на узле есть длинная цепочка, в которой злоумышленники могут что-то подменить. Образ в registry, слои на диске, конфигурация в etcd, бинарники рантайма — каждый участок требует своей защиты. Рассказываем, как мы реализовали сквозной контроль целостности...
Чип и фейк спешат напомнить: Как делались фейки до прихода ИИ (и почему они ужасны)
Сделать дипфейк легко и уже никого не удивить очередным нейросеточным экзерсисом. А вот чипфейки — идеологические предшественники дипфейков — были куда интереснее. А часто еще и смертоноснее. Сегодня мы взглянем на их историю, а также узнаем как скамеры, политические интриганы, журналисты, тролли и...
Мы Жука-мошенника прижучили, или как научить ребенка киберграмотности на его языке
TL;DR Статья о том, как доношу основы киберграмотности 10-летней дочери с помощью современных методов. На основе Story Cubes совместно разработали сюжет, затем «в ИИшнице нарисовали» вебтун (вид комикса такой, оказывается), который ребёнок теперь сам распространяет среди школьных подруг. Под катом...
(Не)безопасный eBPF: что маркетологи забыли упомянуть об уязвимостях
eBPF называют «безопасным по умолчанию». Но что, если это не так? Все хвалят eBPF за «безопасность и изоляцию». Но что если данные из вашей eBPF-мапы может прочитать любой процесс с правами root? Я не буду учить писать свой eBPF-хелпер. Я покажу практический пример демонстрации этой уязвимости....
Профессиональные блоги как инструмент роста: что читаете вы?
Почти половина айтишников — 46 процентов — целенаправленно развивают личный бренд, из них 51% делает это через социальные сети и блоги. Это данные совместного исследования «Солара» и Хабра. Чаще всего в этом контексте говорят об авторах: блог помогает им структурировать опыт и усиливает...
Медицина под ударом: как предотвратить утечки данных
Привет, Хабр! Сегодня хотим обсудить утечки информации, пожалуй, в одной из самых чувствительных для человека отраслей — здравоохранении. Ведь здесь хранятся не просто персональные данные, а сведения, касающиеся глубоко личных аспектов жизни — диагнозы, регулярно выписываемые лекарства, результаты...
Карго-культ аудита
Начинать, наверное, нужно с рассказа о том, что такое карго-культ вообще. Если кратко: люди в довольно примитивных обществах наблюдали, как огромные самолёты сбрасывали продовольствие и боеприпасы воюющей армии, и решили, что для того, чтобы тоже получать «подарки», нужно не изобрести самолёт, не...
Zero Trust для подрядного доступа: четыре слоя Identity, Device, Access и Monitoring
По данным BI.ZONE, почти треть инцидентов с шифрованием в России в 2025 году пришлась на атаки через подрядчика. Не через FW-периметр, а через легитимный канал: учетку внешнего исполнителя, общую сеть, привилегии, выданные под задачу и оставшиеся навсегда. Это разбор-практикум: как избежать...
Стажеры uAcademy. Опыт кураторства дипломов: почему стажировок недостаточно
Привет, Хабр! На связи снова команда uFactor. Я — Кирилл Тушков, InfoSec‑специалист uFactor UserGate. Сегодня расскажу о нашем опыте взаимодействия с будущими специалистами в сфере информационной безопасности: обсудим животрепещущую тему отрыва теории от практики и предложим вариант решения...
Экскурсия по «зоопарку» сетевого трафика: топ-10 аномалий внутри вашего периметра
Меня зовут Борис Усков, я руковожу группой сетевой аналитики в «Гарде». Большая часть аномалий, которые мы видим в сети заказчика в первые дни после развёртывания NDR, — это вовсе не атаки. Это инфраструктурный долг и теневое ИТ: старые протоколы, забытые сервисные учётки, внешние DNS,...
14 лет Solar JSOC: кто стоит за защитой от киберугроз в крупнейшем коммерческом SOC страны
В конце нулевых кибербезопасность казалась довольно простым делом: антивирус на конечной точке, файервол на периметре и пентест раз в год. Тогда мало кто мог представить, что хакеры будут подолгу сидеть внутри сетей, маскируясь под легитимные действия, а количество атак на критическую...
«Насколько вы контролируете то, из чего состоит ваш продукт?». Как и зачем проводить Open Source Analysis
Привет! Меня зовут Руслан, я инженер в отделе развития процессов безопасности в YADRO. Сегодня поговорим об открытом исходном коде (open source). В мире современной разработки он используется практически в каждом приложении: open source-библиотеки, фреймворки и компоненты помогают ускорить...
Бомба замедленного действия взорвалась: эпоха ИИ «бери сколько унесёшь» закончилась
На прошлой неделе на State of Brand вышел материал по следам статьи, опубликованной всего несколькими днями ранее. Тогда авторы утверждали: любая ИИ-подписка — это бомба замедленного действия для бизнеса. Просто никто не ожидал, что фитиль уже почти догорел. В исходной статье речь шла о том, что...
Атаки через подрядчиков, дефицит кадров и квест с импортозамещением: главные вызовы ИБ в 2026 году
Привет, Хабр! На связи Кирилл Морданов, PR-менеджер Своего Банка. Наша DevRel-команда регулярно вытаскивает на свет интересные кейсы и инсайды от технических специалистов СВОЙ Тех, чтобы вытащить наружу самые сочные инсайды. В этот раз с чашкой кофе я дошел до Алексея Ахмеева, начальника управления...