Архитектура безопасности во frontend-приложениях: Server Actions и защита данных в эпоху Next.js
Мир frontend-разработки за последние несколько лет изменился коренным образом. Если еще пять лет назад стандартом де-факто были одностраничные приложения (SPA), где вся логика выполнялась в браузере, а сервер был просто REST API, то сегодня мы наблюдаем массовый переход к гибридным архитектурам....
Kubernetes-аудит после Wiz и Prisma: как живут без CNAPP в 2026
В 2022–2024 западные CNAPP-платформы — Wiz, Prisma Cloud, Lacework — закрыли доступ для российских компаний. Сбер и Яндекс собрали свой стек на коленке, а вот у банков второго эшелона и финтеха с командой ИБ из 1-3 человек стало больно: Kubernetes в проде, аудит ФСТЭК через три месяца, а показать...
Важные изменения в защите информации в России: что нового?
В апреле 2026 года ФСТЭК России выпустил долгожданный методический документ "Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах, который детализирует требования к защите информации в государственных и иных информационных системах". Теперь у операторов...
Включаем EPA в FreeTDS и go-mssqldb: приключение на 5 минут
Представьте: вы теряете контроль над SCCM — одним из самых критичных инструментов управления инфраструктурой. А точкой входа становится обычное подключение к MSSQL, где он хранит свои данные. Злоумышленник перехватывает NTLM-аутентификацию и перенаправляет её на нужный сервер — так работает NTLM...
Информационная безопасность: профессия настоящего и будущего
Статья обзор на "лучшую профессию" современности и будущего - "информационная безопасность". Идея статьи пришла мне в голову, когда я готовила презентацию для студентов колледжа - будущих специалистов по информационной безопасности. Здесь мои рассуждения о плюсах «лучшей профессии», которые не...
Хватит копировать security YAML: AppSec-слой для Java-проектов через Gradle convention plugin
Практический разбор того, как я вынес security-проверки Java-проектов из разрозненных CI/CD-скриптов в переиспользуемый Gradle plugin Читать далее...
Как Runtime Radar помогает обнаруживать атаки на цепочку поставок: кейс LiteLLM
Всем привет! Это Сергей Зюкин, разработчик экспертизы runtime-radar — опенсорсного продукта, обеспечивающего безопасность контейнерной среды выполнения. Я подготовил для вас статью, в которой расскажу, как можно обнаружить инфостилер, встроенный в библиотеку LiteLLM в результате ее недавней...
Анализируем heap‑дампы с прода, не привлекая внимания безопасников
Heap‑дампы JVM — бесценный источник информации при разборе аварий с OutOfMemory и оптимизации производительности. Но вместе с тем они же — потенциальные каналы утечки данных, ведь будучи снятыми с боевого сервиса, дампы уносят в себе всё, с чем работал сервис на момент снимка: логины, пароли...
Безопасность умных устройств изнутри: от Secure Boot и TrustZone до отчётов внешних исследователей
Умные колонки, ТВ, камеры и другие устройства с ИИ-ассистентом сегодня — это уже не просто бытовая электроника повседневной жизни. С точки зрения безопасности это распределённая система, в которой граница доверия проходит через несколько уровней — от аппаратных механизмов до серверной логики,...
Не ради сертификата: мой опыт HTB CWES
Сразу обозначу: это не райтап. Тут не будет пошагового разбора экзамена, спойлеров по машинам или каких-то секретных техник. У меня нет красивой истории про призвание, мечту всей жизни или про то, как я с детства шёл именно к этому. Мне просто нравится становиться сильнее в том, что я делаю, и...
Системной подход к сдаче OSWE в 2025
Offensive Security Web Expert (OSWE) – продвинутая сертификация offsec по безопасности WEB приложений. Причем ключевым отличием от менее известного Offensive Security Web Assessor (OSWA) является упор на анализ исходного кода приложения, то есть поиск уязвимостей в формате «белого» ящика....
Токсичный контент, промпт-хакинг и защита ИИ — всё о Guardrails для LLM
Сегодня LLM — модный инструмент, завтра — обязательный компонент инфраструктуры. Мы разберём, какие уязвимости у языковых моделей есть уже сейчас, почему вокруг guardrails формируется целый стек технологий и как разработчикам влиться в эту волну, пока она только набирает высоту Читать далее...
Как мы в CodeScoring модель для поиска секретов готовили
Расскажем, как нам удалось повысить качество определения истинных секретов в результатах сканирования кода с 0.70 до 0.90 PR AUC с помощью LLM. Читать далее...
RBACX — что изменилось за полгода: от простого RBAC/ABAC до ReBAC с ИИ-генерацией политик
Полгода назад написал первую статью про RBACX — RBAC/ABAC-движок авторизации для Python. С тех пор вышло 25+ релизов, и библиотека стала заметно мощнее: добавил ReBAC с поддержкой OpenFGA и SpiceDB, пакетную проверку прав, ИИ-генерацию политик из OpenAPI-схемы, Redis-кэш, async Django, шортхэнд для...
[Перевод] Отчёт PSF об инциденте атаки на цепочку поставок LiteLLM/Telnyx + рекомендации
В этой статье рассмотрены две недавние атаки на цепочку поставок, направленные на пользователей популярных пакетов PyPI — litellm и telnyx. Также описаны рекомендации разработчикам и сопровождающим Python о том как подготовиться и защитить свои проекты. Читать далее...
Почему LLM-агенты в CI/CD выбирают читерство вместо решения задачи
LLM-агенты отлично решают алгоритмические задачи. Но что произойдет, если поместить их в реальную инфраструктуру – с CI/CD, branch protection и security-политиками? Я провел эксперимент: дал агентам простую задачу – внести изменение в репозиторий и замерджить его в main, соблюдая все правила. При...
VLESS на роутере с OpenWRT
Небольшая инструкция по установке VPN (протокол VLESS), на роутер с операционной системой OpenWRT с использованием пакета Passwall Читать далее...
Март, Jetty и утекшая память
За окном весна, на улице уже вовсю и ярко светит солнце, поют птички и тает последний снег. А в знаменитом сервере Jetty обнаружилась новая дыра космических масштабов. Читать далее...
Назад