Как и чем ломали российские компании. Исследование Jet CSIRT
Привет! На счету Jet CSIRT с 2023 по 2025 год более 100 крупных расследований ИБ-инцидентов — мы помогали российским компаниям правильно реагировать на них и ликвидировать последствия. У нас накопилось довольно много полезной статистики по теме, так что мы решили оформить это в большое исследование...
Как выбрать самый безопасный мессенджер
Привет, меня зовут Александр Баулин. После новости о кибершпионаже западных спецслужб я решил напомнить, как выбрать безопасный мессенджер. Так как я не являюсь специалистом по кибербезопасности, то дам максимум ссылок на достоверные источники — благо за плечами работа над контентом в компании,...
«Да кому я нужен, меня не взломают»: почему это самая дорогая фраза в бизнесе
“Мы маленькие, нас не взломают” - самая дорогая ошибка в малом бизнесе. Боту-сканеру плевать, банк вы или шиномонтаж: он дергает все двери подряд, и эксплуатация уязвимостей уже на 1-м месте среди причин взломов. Рассмотрим на цифрах, во сколько реально обходится взлом и сколько вообще стоит...
OpenVEX в CI/CD: как перестать бороться с ложными CVE и научить Trivy понимать контекст
Представьте: вы пытаетесь объяснить иностранцу, почему красный сигнал светофора не всегда означает «стоять», иногда это — «можно ехать, если ты — скорая помощь». Примерно так до недавнего времени выглядело наше общение с Trivy. Сканер находил уязвимости, DefectDojo их послушно складировал. А мы...
Android Kiosk: как купить сухарики, когда ларёк закрыт
Несколько месяцев назад моему коллеге предстоял долгий перелёт — около 8 часов. Ему быстро стало скучно, и он обратил внимание на экран мультимедийной системы в спинке кресла напротив. Коллега запустил карту полёта и обнаружил, что это Android‑устройство с включённым Kiosk Mode. Этот режим должен...
Глоссарий серии «Управление уязвимостями для самых маленьких»
Справочник терминов, которые встречаются по всей серии. Термины расположены по алфавиту (сначала русские, затем латинские сокращения). Список будет пополняться по мере выхода новых глав. Читать далее...
Управление уязвимостями для самых маленьких: оглавление серии
Серия будет выходить примерно по главе в неделю. Подписывайтесь, чтобы не пропустить. А пока расскажите в комментариях: вы пришли в тему с нуля или уже строите VM и хотите свежий взгляд? Мне это поможет понять, на чём делать акценты. Читать далее...
Запускаю серию «Управление уязвимостями для самых маленьких»: зачем она и для кого
Это вступление к серии «Управление уязвимостями для самых маленьких. Если вы открыли этот текст на Хабре, то про управление уязвимостями уже наверняка что-то слышали. Может, у вас в компании стоит сканер, который кто-то когда-то настроил и забыл. Может, прилетел приказ ФСТЭК, и сверху сказали...
Топ самых интересных CVE за май 2026 года
Май 2026 года ознаменовался всплеском критических уязвимостей в корпоративных и потребительских технологиях. Подводим итоги месяца: три уязвимости в продуктах Microsoft, use-after-free в Google Chrome, критические CVE в плагинах WordPress, переполнение буфера в Palo Alto PAN-OS, обход...
Race Condition в веб-приложениях: три типа уязвимости и как их находить
Для начала разберёмся, что такое Race Condition и почему эта уязвимость заслуживает внимания. Race Condition — это класс уязвимостей, которые возникают из-за того, что сервер обрабатывает несколько запросов одновременно без должной синхронизации. Когда два или более запроса приходят на сервер в...
Как одна кривая регулярка может «положить» ваш сервер: разбираем уязвимость ReDoS
Алерты кричат о 100% загрузке CPU, API лежит, но сетевой трафик на нуле? Знакомьтесь, это ReDoS — атака, при которой безобидная строка из 30 символов и одна неоптимальная регулярка заставляют сервер уйти в вычисления на десятилетия. В этой статье разбираем «катастрофического возврата»...
Случайный апокалипсис: Как 99 строк кода Роберта Морриса навсегда изменили интернет
Представьте себе интернет 1988 года: всего 60 000 узлов, ламповая атмосфера полного доверия между университетами и военными базами, а пароли спокойно пересылаются открытым текстом. Никаких шифровальщиков, ботнетов и DDoS-атак. Но 2 ноября 23-летний аспирант Корнеллского университета Роберт Моррис...
Почему уязвимости годами живут в инфраструктуре: честный разговор
Дмитрий Беляев, CISO, подкастер, человек, который устал читать красивые отчёты Я провёл подкаст с двумя людьми, которых в нашем цеху представлять не нужно. Александр Леонов - тот самый, кого первым вспоминают, когда речь заходит об управлении уязвимостями в русскоязычном сообществе. И Рустам...
(Не)безопасный eBPF: что маркетологи забыли упомянуть об уязвимостях
eBPF называют «безопасным по умолчанию». Но что, если это не так? Все хвалят eBPF за «безопасность и изоляцию». Но что если данные из вашей eBPF-мапы может прочитать любой процесс с правами root? Я не буду учить писать свой eBPF-хелпер. Я покажу практический пример демонстрации этой уязвимости....
Цена одной опечатки: Как три неверные буквы сорвали киберограбление на миллиард долларов
Взлом системы SWIFT часто кажется чем-то из области голливудской фантастики, но в 2016 году группировка Lazarus доказала обратное. В этой статье мы шаг за шагом разберем архитектуру одной из самых дерзких APT-атак в истории: на Центробанк Бангладеш. Вы узнаете, как хакеры использовали целевой...
Mythos: модель, о которой Anthropic не говорит. Реверс по жертвам — от 27-летней дыры в OpenBSD до побега из песочницы
1 мая 2026 года команда из трёх человек принесла в Apple Park 55-страничный отчёт. Внутри — рабочий эксплойт kernel memory corruption на macOS 26.4.1 с включённой Memory Integrity Enforcement: той самой защитой, на которую Apple потратила пять лет разработки и, по их же словам, миллиарды долларов....
Веб vs Мобилка: кто в опасности? Сравниваем безопасность двух миров
Спойлер: оба, но по-разному - и это важно понимать. Каждый раз, когда слышим «у нас все нормально с безопасностью, мы же не банк», что-то внутри сжимается. За этой фразой обычно стоят токены аутентификации в SharedPreferences, SQL-запросы без параметризации и Firebase без правил доступа. Эта статья...
Страшно, когда не видно: темные тайны систем виртуализации
Привет, Хабр! Меня зовут Данил Зарипов, я эксперт центра безопасности (PT ESC) Positive Technologies. Эту статью мы подготовили вместе с моим коллегой Кириллом Масловым, продуктовым экспертом по направлению Asset Management. Мы закрываем наш цикл статей про аудит ИТ-активов, и сегодня поговорим о...
Назад