#аудит_безопасности — Public Fediverse posts

Одна строка, открытый порт и взломанный сервер: цена вайбкодинга

У меня есть небольшой пет-проект. Telegram-бот для тренировки устного счёта. Код писал Claude Code, я лишь задавал направление и проверял результат. На том же сервере параллельно работали и другие проекты. Один из них следил за нагрузкой сервера и присылал мне уведомления. Первое сообщение я пропустил, ведь сервер не самый мощный, проектов много и решил, что он просто не справляется. Но уведомления приходили второй день, а потом и на третий. Я останавливал нагруженные процессы и перезапускал сервисы. Нагрузка падала, но вскоре снова росла. На третий день я заметил в docker-compose одного из проектов опубликованный порт PostgreSQL. База была доступна для подключений из интернета. Сервер действительно взломали, но установить точную точку входа я не смог, нужных логов не сохранилось. Ошибка была моя. Я проверил, что бот запускается и отвечает, но не проверил, кому доступна база и нужен ли ей внешний порт. Claude Code писал код по моим указаниям, а ответственность за проверку результата оставалась на мне. Дальше разберём, что можно восстановить по косвенным признакам и как не допустить такую же ошибку при разработке собственных продуктов. Читаем дальше

https://habr.com/ru/companies/timeweb/articles/1085370/

#безопасная_разработка #аудит_безопасности #безопасность_кода #сезон_код_будущего #timeweb_статьи #telegram #ai #бот

CISO, которого не слышат или почему сильная программа ИБ проигрывает слабой политике

CISO может хорошо понимать угрозы и технологии, но всё равно сталкиваться с нехваткой ресурсов и поддержки бизнеса. Узнаем, почему руководителю ИБ важно уметь говорить с компанией на одном языке и как превратить безопасность из набора требований в понятную бизнес‑ценность. Разобраться в теме

https://habr.com/ru/companies/otus/articles/1084832/

#CISO #информационная_безопасность #управление_рисками #кибербезопасность #безопасность_бизнеса #управление_ИБ #аудит_безопасности #бюджетирование #стратегия_безопасности #взаимодействие_с_бизнесом

Чек-лист безопасности Яндекс 360: через API проверяются 10 пунктов из 18, настраиваются 5. Пересчитайте за мной

Официальный список Яндекса из 18 технических мер защиты Яндекс 360 частично снабжён вкладками с правом доступа и именем метода API. Я прошёл список построчно и посчитал: проверить запросом можно 10 пунктов, включить запросом - 5. Внутри две таблицы (карта всех 18 пунктов со способом проверки и рабочая таблица по десяти API-пунктам с правом, запросом и полем в ответе), открытая методика подсчёта и три места, куда пришлось лезть в референс API за названным методом. Посмотреть таблицы и счёт

https://habr.com/ru/articles/1077890/

#Яндекс_360 #API_360 #аудит_безопасности #чеклист #права_доступа #OAuth #SaaS #аудитлог

Биометрия против скрепки: разбираем замки с отпечатком пальца и проводим базовый аудит их защиты

Однажды вечером я, как обычно, листал ленту одного синего маркетплейса и случайно наткнулся на электронный замок со сканером отпечатка пальца. По описанию — почти идеальное устройство за небольшие деньги: биометрия, защита от воды, какая-то «уникальная» микросхема. Звучит убедительно, но исследователь на то и исследователь, чтобы не принимать рекламные обещания на веру, а потому уже на следующий день замок лежал у меня на столе. Ну, а дальше сработал знакомый принцип: где один интересный девайс, там быстро появляется пара других… Меня зовут Астафиев Денис, я ведущий специалист по аппаратным исследованиям в Бастионе. По работе я регулярно разбираю самые разные устройства, чтобы проверить, насколько можно доверять тому, что производитель обещает на коробке. Сегодня будем смотреть сразу на три замка с биометрией и искать слабые места в их защите. Сразу оговорюсь: цель этой статьи — не любой ценой «дожать» дешевый китайский замок до уровня лабораторного исследования. Наоборот, мне хочется на простом и доступном примере показать, как обычно строится базовый аудит аппаратной безопасности и почему начинать его стоит совсем не с самых сложных атак.

https://habr.com/ru/companies/bastion/articles/1075824/

#биометрия #взлом_замка #биометрический_замок #аппаратный_хакинг #уязвимости #замок_с_отпечатком #информационная_безопасность #биометрические_системы #аудит_безопасности #аппаратная_безопасность

В поисках лучшего аудита событий Linux: auditd vs eBPF-решения

Доброго времени суток, Хабр! Я ИБтивист Александр, скоро как 10 лет профессионально увлекаюсь информационной безопасностью и применяю свои исследования на практике. Эта статья будет полезна ИТ- и ИБ-специалистам, которые интересуются аспектами логирования (аудита) и мониторинга безопасности в операционных системах семейства Linux. Рассмотрим и сравним классический подход к логированию auditd с осовремененными решениями на базе eBPF – tetragon, kunai, falco и Sysmon for Linux. Почитать про аудит linux

https://habr.com/ru/companies/digital_solutions/articles/1076128/

#иб #программное_обеспечение #linux #auditd #falco #tetragon #kunai #sysmonforlinux #аудит_безопасности #информационная_безопасность

Где заканчиваются отчёты и начинается безопасность: аудит ИБ без «бумажной пыли»

Всем привет! Меня зовут Алёна, я руководитель группы аналитики отдела Compliance и безопасности данных в Ozon. Звучит длинно, поэтому мы с командой называем себя просто датасеками — от Data Security. В информационной безопасности я почти 13 лет, из них 4,5 года в Ozon. До этого больше восьми лет работала в интеграторе и занималась в основном персональными данными и банковской безопасностью — вопросами чистого compliance. Сейчас у меня команда из 11 человек, и мы занимаемся безопасностью данных в Ozon. Сегодня хочу поговорить об одной важной теме — аудитах безопасности данных. Речь не про пентесты, нет, у нас совсем другая история. Мы смотрим на безопасность данных — и персональных, и финансовых, и любых других данных, которые нужно защищать по требованиям закона, компании или здравого смысла. Расскажу вам о сложностях и о том, как мы с ними справлялись.

https://habr.com/ru/companies/ozontech/articles/1070378/

#аудит_безопасности #данные #иб #data_security #compliance #оценка_рисков #логирование #152фз #контроль_доступа #ozon_tech

Пентест через GitLab. От раннера до контроля над облаком

Казалось бы, учетная запись в GitLab — не самая удачная стартовая точка для инфраструктурного пентеста. Ни VPN в корпоративную сеть, ни доменного аккаунта, ни даже RDP на рабочую станцию, только креды рядового разработчика. Вряд ли в начале проекта заказчик ожидал серьезного импакта, но мы доказали, что при типовых настройках CI/CD такая учетка находится на расстоянии нескольких прыжков до контроля над облаком. Давайте вместе пройдем эту цепочку.

https://habr.com/ru/companies/bastion/articles/1057592/

#GitLab #cicd #kubernetes #open_stack #docker #пентест #эскалация_привилегий #аудит_безопасности #безопасность_GitLab

Расширенный аудит Windows. Или с чего начать расследование инцидентов?

Когда я начал разбираться в SOC (Security Operations Center), то довольно быстро понял, что стандартная Windows не дает особого понимания, что вообще внутри нее происходит. События входа, создание процессов, изменение политик – все это просто не пишется либо пишется в достаточно урезанном виде. Здесь я хотел бы показать (конечно, частично), каким вообще образом настроить аудит безопасности Windows 10/11 так, чтобы получить вполне читаемые и полезные события, которые можно будет использовать для расследования инцидентов ИБ. Разберемся, что и зачем мы включаем, что такое Event ID и как потом выглядят события на реальной практике. Все действия будут выполняться на ВМ, дабы не затрагивать хост.

https://habr.com/ru/articles/1061400/

#аудит #аудит_безопасности #информационная_безопасность #системное_администрирование #soc #Windows_аудит #логирование #auditpol #event_id #журнал_безопасности

Сколько Shadow API спрятано в ваших продуктах и как вывести их из тени

Теневые API редко появляются из злого умысла. Чаще это побочный эффект быстрой разработки: временный маршрут для пилота, отдельная точка доступа для мобильного приложения, старая версия, которую забыли отключить, или внутренний сервис, внезапно опубликованный наружу. В статье разберём, почему официальные реестры API расходятся с реальностью, откуда берутся Shadow API и как начать их искать без многомесячного проекта.

https://habr.com/ru/companies/codescoring/articles/1057542/

#codescoring #shadow_api #api_security #appsec #информационная_безопасность #owasp #api_gateway #аудит_безопасности #уязвимости_api

Карго-культ аудита

Начинать, наверное, нужно с рассказа о том, что такое карго-культ вообще. Если кратко: люди в довольно примитивных обществах наблюдали, как огромные самолёты сбрасывали продовольствие и боеприпасы воюющей армии, и решили, что для того, чтобы тоже получать «подарки», нужно не изобрести самолёт, не выстроить логистику доставки, не развивать сеть заводов, а одеться, как военные, и построить из кокосовых пальм и соломы взлётную полосу и радиовышку. В ИБ тоже есть свой карго-культ и называется он «лучшими практиками».

https://habr.com/ru/companies/gaz-is/articles/1040978/

#газинформсервис #информационная_безопасность #аудит #аудит_безопасности

Как НЕ провалить аудит смарт-контрактов?

Кратко о себе: в прошлом разработчик смарт-контрактов (с 2017 года), с 2022 года работаю аудитором смарт-контрактов. Эта статья для тех, кто так или иначе интересуется информационной безопасностью и непосредственно аудитом смарт-контрактов (да и процессом аудита в целом). По итогам аудита могут возникнуть два серьёзных вопроса: «Почему мы ничего не успели?» и «Почему мы ничего не нашли?» . И самая страшная ситуация, когда оба эти вопроса возникают одновременно. Опишем это одним ёмким словом: «Провал» . В данной статье я попробую описать типовой процесс проведения аудита на примере систем смарт-контрактов — от самого начала до итогового отчета.

https://habr.com/ru/companies/pt/articles/1032386/

#смартконтракты #аудит_безопасности #аудит #информационная_безопасность

Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри

Мы искали уязвимости в RAG-платформе с десятками тысяч пользователей — а нашли доступ ко всей инфраструктуре и API-ключам с бюджетом в сотни тысяч долларов. Две недели мы строили сложные цепочки: SSRF через LangChain, инъекции в промпты, HTTP smuggling, CVE в десериализации. Ни одна не дала результата. А потом мы сделали один curl к открытому порту — и получили все ключи за 5 минут. Эта статья — не гайд по взлому . Это разбор того, почему LLM-инфраструктура создаёт принципиально новые риски, какие ошибки мы раз за разом видим в AI-стартапах, и на что стоит обратить внимание, если вы строите что-то похожее.

https://habr.com/ru/articles/1029822/

#пентест #LLM #SSRF #JWT #Docker #LangChain #AI_Security #аудит_безопасности #RAG #APIключи

Как фаззить смарт-контракты (chaincode) в Hyperledger Fabric: методика на примере ACL

Хабр, привет! На связи Леонид Дьячков, в Positive Technologies мы с командой специализируемся на безопасности смарт-контрактов и блокчейн-приложений. Наша экспертиза охватывает полный спектр задач: от глубокого криптоанализа и проектирования кастомных фаззинг-кампаний до разработки и применения формальных методов верификации. Мы работаем на стыке кода, математики и бизнес-логики Web3-протоколов, выявляя неочевидные векторы атак и системные риски. Обычно в отрасли много внимания уделяется экосистеме EVM (Ethereum Virtual Machine, виртуальная машина Ethereum), но в этой статье мы целенаправленно разбираем приватный блокчейн Hyperledger Fabric, потому что он важен для корпоративных сценариев, так как позволяет допускать к сети только авторизованных участников, управлять их идентификацией и изолировать данные на уровне каналов.

https://habr.com/ru/companies/pt/articles/1009764/

#фаззинг #web3 #блокчейн #evmblockchains #ethereum #hyperledger_fabric #аудит_безопасности #смартконтракты

Смарт-контракт без иллюзий: разговор с Solidity-аудитором

Смарт-контракты могут использоваться не только в публичных блокчейнах, но и в корпоративных и permissioned‑EVM-сетях. При этом с аудитами безопасности по‑прежнему связано много упрощенных представлений: от веры в то, что они не нужны в приватной сети, до ожидания, что аудит способен гарантировать отсутствие уязвимостей. Мы обсудили эти вопросы с нашим экспертом по аудиту смарт‑контрактов на Solidity, Владимиром Чечеткиным. Под катом — разговор о типичных заблуждениях, качестве подготовки проектов и о том, почему ценность аудита часто раскрывается не в отчете, а в процессе взаимодействия.

https://habr.com/ru/companies/pt/articles/1000584/

#смартконтракты #solidity #evm #dosатаки #diff #аудит_безопасности #блокчейнтехнологии #интервью #профессии_в_it

Расследования и киберразведка: рост числа атак на российский бизнес и новые инструменты хакеров

Шаров на нашей киберёлке всё больше, а мы продолжаем знакомить вас с кибертрендами уходящего года и делиться прогнозами на будущее. Слово нашим детективам из экспертного центра безопасности. Кто и сколько заказывал расследований киберинцидентов, что популярнее: ретро или мониторинг on air – обо всём по порядку расскажут ребята из команды экспертного центра безопасности Positive Technologies. А какой у них Telegram-канал!

https://habr.com/ru/companies/pt/articles/981212/

#ретроспектива #анализ_трафика #детектирование #пентесты #аудит_безопасности #мониторинг_сети #мониторинг_журналов #кибератаки #вредоносное_программное_обеспечение #расследование_инцидентов

Аудит смарт-контрактов: что проверяет CertiK, а что пропускает — взгляд изнутри

Эта статья — не критика CertiK. Это честный технический разбор того, что аудит делает, чего не делает, и как извлечь из него максимум пользы. Написано на основе опыта сопровождения Security Token Offering через полный цикл аудита CertiK, где я прошёл через 29 замечаний разной критичности и исправление уязвимостей в ERC-1400 контракте на 1,100 строк.

https://habr.com/ru/articles/976262/

#Certik #аудит_безопасности #смартконтракты #DeFi #блокчейнтехнологии #аудит_смартконтрактов #ERC1400 #блокчейн_аудит

Анатомия DeFi-эксплойтов 2023-2024: технический разбор уязвимостей с точки зрения аудитора

За 2024 год из DeFi-протоколов было похищено более $2.2 млрд. В первом полугодии 2025 года эта цифра уже превысила $2.17 млрд — и это только середина года. При этом 60%+ взломанных протоколов имели аудит от известных компаний. Эта статья — не пересказ новостей. Это технический разбор четырёх ключевых эксплойтов, которые я воспроизводил в тестовой среде при подготовке к аудитам. Для каждого кейса разберём: корневую причину, почему это прошло аудит, как воспроизвести атаку в Foundry, и какие паттерны защиты реально работают.

https://habr.com/ru/articles/975322/

#defi #смартконтракты #аудит_безопасности #evmblockchains #solidity #криптовалюты #эксплойты #эксплорер_блокчейна

Tetragon: лучшие практики и нюансы разработки Tracing Policy

Привет! Меня зовут Виталий Шишкин, я эксперт продукта Container Security в Positive Technologies. За годы работы над продуктом MaxPatrol 10 мы строили аудит Linux на базе подсистемы Auditd, которая решала свою задачу и достаточно просто настраивалась, но ситуация поменялась с появлением контейнеров, которые Auditd корректно поддерживать не умеет. Поэтому эта задача потребовала не просто смену решения для аудита системы, но и создание целого продукта, который сможет учитывать особенности Kubernetes и используемые им технологии ядра Linux.

https://habr.com/ru/companies/pt/articles/970318/

#tetragon #linux #cloud_native #информационная_безопасность #аудит_безопасности #kubernetes #auditd #kprobes #ebpf

Заметки о нашей повседневной работе с PAM

У всех современных компаний в 2025 году есть потребность в предоставлении удалённого доступа к своим ресурсам не только для своих сотрудников, но и для внешних пользователей, например, подрядчикам для выполнения работ, заказчикам для демонстрации решений и прочим контрагентам. В жизни мы привыкли доверять людям. Доверие удобно, оно экономит время. Но доверие в чистом виде — это утопия. В современном мире его легко обернуть против нас. Тем более, когда дело касается компании и обеспечения её информационной безопасности, а, следовательно, и наших заказчиков. В этом случае мы всегда придерживаемся политики нулевого доверия (Zero Trust). Каждое утро в офисе начинается одинаково. Мы включаем комп, пролистываем свежие новости, создаём тикеты, открываем дашборды. Казалось бы, рутина, но за этой рутиной прячется главный раздражитель — чьи-то видимые (и не очень) действия в системах: администратор запускает сессию, подрядчик обновляет сервис, инженер выгружает дамп базы данных. Все эти события кому-то могут показаться «естественным шумом» инфраструктуры, не требующим особого внимания. Но не нам. Работа любого сотрудника начинается с входа в необходимые для выполнения должностных обязанностей системы: ● общекорпоративные ресурсы (портал, почта, система электронного документооборота (СЭД) и т.п.). ● более важные критичные ресурсы — базы данных, серверы, инфраструктурные сервисы, системы управления — доступ к которым необходимо контролировать особенно тщательно. Именно здесь и проявляется важность направления управления идентификацией и доступом в информационной безопасности (IAM и ряд других средств защиты). И именно здесь на первый план выходит Privileged Access Management (PAM), обеспечивающий централизованное управление и мониторинг привилегированного доступа, минимизацию рисков неправомерного использования и защиту ключевых точек инфраструктуры.

https://habr.com/ru/companies/innostage/articles/965528/

#pam #расследование_инцидентов #подрядчики #привилегированный_доступ #привилегированные_учетные_записи #Innostage_Cardinal_PAM #аудит_безопасности #управление_доступом #удалённый_доступ

Как я чуть не положил домен заказчика ZeroLogon’ом, или почему некоторые пентестеры опаснее хакеров

Контроллер домена лежит. Терминальные серверы уходят в синий экран один за другим, а триста сотрудников молча смотрят на неработающие АРМ. Это не атака хакеров. Это начался пентест. К сожалению, такие истории иногда случаются. Один неосторожный запуск эксплойта, слишком агрессивное сканирование в пиковые часы или использование незнакомого инструмента в проде — и вот уже тестирование на проникновение приносит больше реального ущерба, чем гипотетическая угроза. Меня зовут Дмитрий Калинин, я руковожу отделом по работе с уязвимостями информационных систем в Бастионе, и за годы практики я видел достаточно ошибок. Включая свои собственные. Дальше расскажу реальные истории о том, как ZeroLogon чуть не уничтожил домен заказчика, как утренний запуск Nmap парализовал офис на несколько часов, и почему некоторые пентестеры могут быть опаснее хакеров. А затем разберем, какие точки отказа в корпоративной сети ломаются первыми и как не превратить аудит безопасности в производственную катастрофу.

https://habr.com/ru/companies/bastion/articles/960506/

#пентест #ошибки_пентестеров #что_учесть_при_пентесте #безопасность_инфраструктуры #тестирование_на_проникновение #меры_безопасности_при_пентесте #безопасный_пентест #что_делать_перед_пентестом #подготовка_к_пентесту #аудит_безопасности

Уроки свежих кибератак: принцип резервного копирования 3-2-1

Представьте: утро 29 июля 2025 года, аэропорты по всей России в хаосе. Крупная российская авиакомпания вынуждена отменить десятки рейсов, в основном внутренних, из-за мощной кибератаки. Системы бронирования и управления полетами парализованы, пассажиры в панике, а компания теряет миллионы. Это не сценарий из фильма, а реальный инцидент, где хакеры продемонстрировали, насколько хрупка ИТ-инфраструктура даже у гигантов авиации. Этот пример показывает, насколько важно иметь комплексный план реагирования и резервного копирования, чтобы минимизировать последствия подобных атак. Такие события напоминают: в эпоху, когда данные — это кровь бизнеса, отсутствие надежного плана на случай сбоя может стоить не только денег, но и репутации. Подобные атаки становятся ярким уроком, подчеркивающим, что без продуманного резервного копирования восстановление превращается в марафон, а не в спринт.

https://habr.com/ru/companies/itglobalcom/articles/959088/

#резервное_копирование #безопасность_данных #ransomware #aws #backup #аудит_безопасности #itglobalcom #восстановление_данных

Логирование соединений в PostgreSQL

В статье рассматривается логирование соединений с базами данных кластера PostgreSQL. Системы мониторинга создают сессии для сбора метрик и проверки доступности экземпляра. Это оздаёт большое число записей в диагностическом журнале кластера, затрудняя его анализ. Администраторы ищут возможность отключения логирования для сессий мониторинга. Такая возможность есть только у параметра log_disconnections. Приводится пример, как с его помощью отключить логирование при создании сессии. Также рассматриваются особенности использования расширений pgaudit и pgaudittofile, которые позволяют выводить логирование соединений в отдельный файл аудита.

https://habr.com/ru/articles/946916/

#postgres #postgresql #аудит_безопасности

Топологический аудит ECDSA: когда геометрия защищает ваши ключи

Откройте для себя, как топология превращается из абстрактной математической дисциплины в мощный инструмент криптоанализа!

https://habr.com/ru/articles/939770/

#ecdsa #топология #топологический_анализ #криптографическая_защита #криптоанализ #аудит_безопасности #криптография #уязвимость #сигнатуры #сигнатурный_анализ

Новые штрафы за отсутствие сертификации средств защиты информации — как обойти риски

Федеральный закон от 23 мая 2025 года № 104-ФЗ внес существенные изменения в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ). Теперь существенно увеличились административные санкции за несоблюдение правил информационной безопасности при использовании информационных технологий и средств защиты информации (СЗИ). Рассмотрим подробнее нововведения и их последствия для бизнеса и пользователей.

https://habr.com/ru/companies/securitm/articles/936656/

#штрафы #сзи #иб #информационная_безопасность #кибербезопасность #аудит #аудит_безопасности #compliance

Аудит безопасности КИИ. Детальный разбор проверки ФСТЭК

Проверка ФСТЭК это не поиск нарушений ради наказания. Это формализованный аудит, цель которого определить, является ли ваша система безопасности действующим механизмом или просто набором документов и оборудования. Инспектор последовательно проверяет три слоя вашей защиты. Сначала он изучает заявленную на бумаге архитектуру. Затем он сверяет ее с фактической технической реализацией. В конце он оценивает способность персонала эту архитектуру поддерживать. Провал на любом из уровней ставит под сомнение всю систему.

https://habr.com/ru/articles/934166/

#187фз #кии #проверки_безопасности #аудит_безопасности

Использование LLM в Access Management на примере OpenAM и Spring AI

В статье представлен практический пример решения автоматического анализа настроек системы управления доступом на базе OpenAM с использованием больших языковых моделей (LLM) через API Spring AI . Мы развернем систему управления доступом, запросим у LLM проанализировать конфигурацию и вернуть рекомендации по ее улучшению.

https://habr.com/ru/articles/923430/

#openam #llm #access_management #большие_языковые_модели #аутентификация #аудит_безопасности

Использование больших языковых моделей (LLM) в Access Management

Может ли искусственный интеллект революционизировать управление доступом? Есть ли подводные камни? Высокие затраты, риск «галлюцинаций», производительность в реальном времени, эффективность - что перевешивает? В данной статье мы разберемся, как можно применить LLM к управлению доступом для повышения эффективности и стоит ли.

https://habr.com/ru/articles/915564/

#access_management #llm #большие_языковые_модели #аутентификация #авторизация #аудит_безопасности #машинное_обучение #галлюцинации_ии #large_language_models #ai

Видеть инфраструктуру как хакер или как мы моделируем потенциальные маршруты атак

В современных киберугрозах фокус злоумышленников смещается c массовых рассылок в сторону таргетированных атак с применением нейросетей и социальной инженерии. В то же время ИТ-инфраструктуры становятся все более масштабными и сложными: больше данных, больше устройств и распределенных систем. В таких условиях ручные методы анализа и периодические аудиты безопасности попросту не поспевают за злоумышленниками, а значит нужно искать новые подходы, которые будут работать на опережение. Так мы пришли к разработке цифровой модели инфраструктуры, в которой можно прогнозировать маршруты действий хакеров еще до атак. В серии статей мы расскажем про управление маршрутами атак (Attack Path Management): как мы разрабатываем технологию моделирования угроз Threat Modeling Engine (TME), с какими сложностями сталкиваемся, какие алгоритмы используем для расчета потенциальных путей компрометации, какие есть особенности анализа опасности маршрута и оценки времени, необходимого для достижения хакера своей цели и реализации недопустимого для компании события, — и другие вопросы по теме. Начнем с проблематики.

https://habr.com/ru/companies/pt/articles/909166/

#maxpatrol #maxpatrol_carbon #аудит_безопасности #путь_хакера #моделирование_угроз_иб #cybersecurity #кибератаки #граф_атаки #недопустимое_событие #mvp

Отраслевой стандарт защиты данных: методика аудита и наш опыт его прохождения

Миллионы людей ежедневно пользуются сервисами Яндекса и доверяют нам свои данные. Для нас это большая ответственность, поэтому мы делаем всё, чтобы обеспечить их защиту и конфиденциальность. Чтобы эти слова не оставались просто обещаниями, мы регулярно проходим независимые аудиты систем информационной безопасности. В апреле 2024 года на конференции Data Fusion мы подписали отраслевой стандарт защиты данных вместе с другими ИТ‑компаниями. И в течение года мы хотели пройти по нему аудит и подтвердить, что мы надёжно защищаем данные. И у нас всё получилось : под катом расскажу о том, как мы проходили проверку и какие результаты получили в итоге. Статья будет особенно полезна специалистам в области информационной безопасности, которые занимаются или интересуются прохождением аудитов и тестирований.

https://habr.com/ru/companies/yandex/articles/901724/

#аудит_безопасности #стандарт #защита_персональных_данных

7 вещей, которые больше всего волнуют аудиторов в модуле критических данных Flutter-приложения

Привет, Хабр! Меня зовут Анна Ахлестова, я Flutter Team Lead в компании

https://habr.com/ru/companies/friflex/articles/876918/

#аудит_безопасности #мобильная_разработка #flutter #кроссплатформенная_разработка #кроссплатформенность #flutter_mobile_development #flutter_app #аудит_кода #безопасность_мобильных_приложений #безопасность_данных