#аудит_безопасности — Public Fediverse posts

Как НЕ провалить аудит смарт-контрактов?

Кратко о себе: в прошлом разработчик смарт-контрактов (с 2017 года), с 2022 года работаю аудитором смарт-контрактов. Эта статья для тех, кто так или иначе интересуется информационной безопасностью и непосредственно аудитом смарт-контрактов (да и процессом аудита в целом). По итогам аудита могут возникнуть два серьёзных вопроса: «Почему мы ничего не успели?» и «Почему мы ничего не нашли?» . И самая страшная ситуация, когда оба эти вопроса возникают одновременно. Опишем это одним ёмким словом: «Провал» . В данной статье я попробую описать типовой процесс проведения аудита на примере систем смарт-контрактов — от самого начала до итогового отчета.

https://habr.com/ru/companies/pt/articles/1032386/

#смартконтракты #аудит_безопасности #аудит #информационная_безопасность

Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри

Мы искали уязвимости в RAG-платформе с десятками тысяч пользователей — а нашли доступ ко всей инфраструктуре и API-ключам с бюджетом в сотни тысяч долларов. Две недели мы строили сложные цепочки: SSRF через LangChain, инъекции в промпты, HTTP smuggling, CVE в десериализации. Ни одна не дала результата. А потом мы сделали один curl к открытому порту — и получили все ключи за 5 минут. Эта статья — не гайд по взлому . Это разбор того, почему LLM-инфраструктура создаёт принципиально новые риски, какие ошибки мы раз за разом видим в AI-стартапах, и на что стоит обратить внимание, если вы строите что-то похожее.

https://habr.com/ru/articles/1029822/

#пентест #LLM #SSRF #JWT #Docker #LangChain #AI_Security #аудит_безопасности #RAG #APIключи

Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри

Мы искали уязвимости в RAG-платформе с десятками тысяч пользователей — а нашли доступ ко всей инфраструктуре и API-ключам с бюджетом в сотни тысяч долларов. Две недели мы строили сложные цепочки: SSRF через LangChain, инъекции в промпты, HTTP smuggling, CVE в десериализации. Ни одна не дала результата. А потом мы сделали один curl к открытому порту — и получили все ключи за 5 минут. Эта статья — не гайд по взлому . Это разбор того, почему LLM-инфраструктура создаёт принципиально новые риски, какие ошибки мы раз за разом видим в AI-стартапах, и на что стоит обратить внимание, если вы строите что-то похожее.

https://habr.com/ru/articles/1029822/

#пентест #LLM #SSRF #JWT #Docker #LangChain #AI_Security #аудит_безопасности #RAG #APIключи

Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри

Мы искали уязвимости в RAG-платформе с десятками тысяч пользователей — а нашли доступ ко всей инфраструктуре и API-ключам с бюджетом в сотни тысяч долларов. Две недели мы строили сложные цепочки: SSRF через LangChain, инъекции в промпты, HTTP smuggling, CVE в десериализации. Ни одна не дала результата. А потом мы сделали один curl к открытому порту — и получили все ключи за 5 минут. Эта статья — не гайд по взлому . Это разбор того, почему LLM-инфраструктура создаёт принципиально новые риски, какие ошибки мы раз за разом видим в AI-стартапах, и на что стоит обратить внимание, если вы строите что-то похожее.

https://habr.com/ru/articles/1029822/

#пентест #LLM #SSRF #JWT #Docker #LangChain #AI_Security #аудит_безопасности #RAG #APIключи

Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри

Мы искали уязвимости в RAG-платформе с десятками тысяч пользователей — а нашли доступ ко всей инфраструктуре и API-ключам с бюджетом в сотни тысяч долларов. Две недели мы строили сложные цепочки: SSRF через LangChain, инъекции в промпты, HTTP smuggling, CVE в десериализации. Ни одна не дала результата. А потом мы сделали один curl к открытому порту — и получили все ключи за 5 минут. Эта статья — не гайд по взлому . Это разбор того, почему LLM-инфраструктура создаёт принципиально новые риски, какие ошибки мы раз за разом видим в AI-стартапах, и на что стоит обратить внимание, если вы строите что-то похожее.

https://habr.com/ru/articles/1029822/

#пентест #LLM #SSRF #JWT #Docker #LangChain #AI_Security #аудит_безопасности #RAG #APIключи

Как фаззить смарт-контракты (chaincode) в Hyperledger Fabric: методика на примере ACL

Хабр, привет! На связи Леонид Дьячков, в Positive Technologies мы с командой специализируемся на безопасности смарт-контрактов и блокчейн-приложений. Наша экспертиза охватывает полный спектр задач: от глубокого криптоанализа и проектирования кастомных фаззинг-кампаний до разработки и применения формальных методов верификации. Мы работаем на стыке кода, математики и бизнес-логики Web3-протоколов, выявляя неочевидные векторы атак и системные риски. Обычно в отрасли много внимания уделяется экосистеме EVM (Ethereum Virtual Machine, виртуальная машина Ethereum), но в этой статье мы целенаправленно разбираем приватный блокчейн Hyperledger Fabric, потому что он важен для корпоративных сценариев, так как позволяет допускать к сети только авторизованных участников, управлять их идентификацией и изолировать данные на уровне каналов.

https://habr.com/ru/companies/pt/articles/1009764/

#фаззинг #web3 #блокчейн #evmblockchains #ethereum #hyperledger_fabric #аудит_безопасности #смартконтракты

Как фаззить смарт-контракты (chaincode) в Hyperledger Fabric: методика на примере ACL

Хабр, привет! На связи Леонид Дьячков, в Positive Technologies мы с командой специализируемся на безопасности смарт-контрактов и блокчейн-приложений. Наша экспертиза охватывает полный спектр задач: от глубокого криптоанализа и проектирования кастомных фаззинг-кампаний до разработки и применения формальных методов верификации. Мы работаем на стыке кода, математики и бизнес-логики Web3-протоколов, выявляя неочевидные векторы атак и системные риски. Обычно в отрасли много внимания уделяется экосистеме EVM (Ethereum Virtual Machine, виртуальная машина Ethereum), но в этой статье мы целенаправленно разбираем приватный блокчейн Hyperledger Fabric, потому что он важен для корпоративных сценариев, так как позволяет допускать к сети только авторизованных участников, управлять их идентификацией и изолировать данные на уровне каналов.

https://habr.com/ru/companies/pt/articles/1009764/

#фаззинг #web3 #блокчейн #evmblockchains #ethereum #hyperledger_fabric #аудит_безопасности #смартконтракты

Как фаззить смарт-контракты (chaincode) в Hyperledger Fabric: методика на примере ACL

Хабр, привет! На связи Леонид Дьячков, в Positive Technologies мы с командой специализируемся на безопасности смарт-контрактов и блокчейн-приложений. Наша экспертиза охватывает полный спектр задач: от глубокого криптоанализа и проектирования кастомных фаззинг-кампаний до разработки и применения формальных методов верификации. Мы работаем на стыке кода, математики и бизнес-логики Web3-протоколов, выявляя неочевидные векторы атак и системные риски. Обычно в отрасли много внимания уделяется экосистеме EVM (Ethereum Virtual Machine, виртуальная машина Ethereum), но в этой статье мы целенаправленно разбираем приватный блокчейн Hyperledger Fabric, потому что он важен для корпоративных сценариев, так как позволяет допускать к сети только авторизованных участников, управлять их идентификацией и изолировать данные на уровне каналов.

https://habr.com/ru/companies/pt/articles/1009764/

#фаззинг #web3 #блокчейн #evmblockchains #ethereum #hyperledger_fabric #аудит_безопасности #смартконтракты

Как фаззить смарт-контракты (chaincode) в Hyperledger Fabric: методика на примере ACL

Хабр, привет! На связи Леонид Дьячков, в Positive Technologies мы с командой специализируемся на безопасности смарт-контрактов и блокчейн-приложений. Наша экспертиза охватывает полный спектр задач: от глубокого криптоанализа и проектирования кастомных фаззинг-кампаний до разработки и применения формальных методов верификации. Мы работаем на стыке кода, математики и бизнес-логики Web3-протоколов, выявляя неочевидные векторы атак и системные риски. Обычно в отрасли много внимания уделяется экосистеме EVM (Ethereum Virtual Machine, виртуальная машина Ethereum), но в этой статье мы целенаправленно разбираем приватный блокчейн Hyperledger Fabric, потому что он важен для корпоративных сценариев, так как позволяет допускать к сети только авторизованных участников, управлять их идентификацией и изолировать данные на уровне каналов.

https://habr.com/ru/companies/pt/articles/1009764/

#фаззинг #web3 #блокчейн #evmblockchains #ethereum #hyperledger_fabric #аудит_безопасности #смартконтракты

Смарт-контракт без иллюзий: разговор с Solidity-аудитором

Смарт-контракты могут использоваться не только в публичных блокчейнах, но и в корпоративных и permissioned‑EVM-сетях. При этом с аудитами безопасности по‑прежнему связано много упрощенных представлений: от веры в то, что они не нужны в приватной сети, до ожидания, что аудит способен гарантировать отсутствие уязвимостей. Мы обсудили эти вопросы с нашим экспертом по аудиту смарт‑контрактов на Solidity, Владимиром Чечеткиным. Под катом — разговор о типичных заблуждениях, качестве подготовки проектов и о том, почему ценность аудита часто раскрывается не в отчете, а в процессе взаимодействия.

https://habr.com/ru/companies/pt/articles/1000584/

#смартконтракты #solidity #evm #dosатаки #diff #аудит_безопасности #блокчейнтехнологии #интервью #профессии_в_it

Смарт-контракт без иллюзий: разговор с Solidity-аудитором

Смарт-контракты могут использоваться не только в публичных блокчейнах, но и в корпоративных и permissioned‑EVM-сетях. При этом с аудитами безопасности по‑прежнему связано много упрощенных представлений: от веры в то, что они не нужны в приватной сети, до ожидания, что аудит способен гарантировать отсутствие уязвимостей. Мы обсудили эти вопросы с нашим экспертом по аудиту смарт‑контрактов на Solidity, Владимиром Чечеткиным. Под катом — разговор о типичных заблуждениях, качестве подготовки проектов и о том, почему ценность аудита часто раскрывается не в отчете, а в процессе взаимодействия.

https://habr.com/ru/companies/pt/articles/1000584/

#смартконтракты #solidity #evm #dosатаки #diff #аудит_безопасности #блокчейнтехнологии #интервью #профессии_в_it

Смарт-контракт без иллюзий: разговор с Solidity-аудитором

Смарт-контракты могут использоваться не только в публичных блокчейнах, но и в корпоративных и permissioned‑EVM-сетях. При этом с аудитами безопасности по‑прежнему связано много упрощенных представлений: от веры в то, что они не нужны в приватной сети, до ожидания, что аудит способен гарантировать отсутствие уязвимостей. Мы обсудили эти вопросы с нашим экспертом по аудиту смарт‑контрактов на Solidity, Владимиром Чечеткиным. Под катом — разговор о типичных заблуждениях, качестве подготовки проектов и о том, почему ценность аудита часто раскрывается не в отчете, а в процессе взаимодействия.

https://habr.com/ru/companies/pt/articles/1000584/

#смартконтракты #solidity #evm #dosатаки #diff #аудит_безопасности #блокчейнтехнологии #интервью #профессии_в_it

Смарт-контракт без иллюзий: разговор с Solidity-аудитором

Смарт-контракты могут использоваться не только в публичных блокчейнах, но и в корпоративных и permissioned‑EVM-сетях. При этом с аудитами безопасности по‑прежнему связано много упрощенных представлений: от веры в то, что они не нужны в приватной сети, до ожидания, что аудит способен гарантировать отсутствие уязвимостей. Мы обсудили эти вопросы с нашим экспертом по аудиту смарт‑контрактов на Solidity, Владимиром Чечеткиным. Под катом — разговор о типичных заблуждениях, качестве подготовки проектов и о том, почему ценность аудита часто раскрывается не в отчете, а в процессе взаимодействия.

https://habr.com/ru/companies/pt/articles/1000584/

#смартконтракты #solidity #evm #dosатаки #diff #аудит_безопасности #блокчейнтехнологии #интервью #профессии_в_it

Расследования и киберразведка: рост числа атак на российский бизнес и новые инструменты хакеров

Шаров на нашей киберёлке всё больше, а мы продолжаем знакомить вас с кибертрендами уходящего года и делиться прогнозами на будущее. Слово нашим детективам из экспертного центра безопасности. Кто и сколько заказывал расследований киберинцидентов, что популярнее: ретро или мониторинг on air – обо всём по порядку расскажут ребята из команды экспертного центра безопасности Positive Technologies. А какой у них Telegram-канал!

https://habr.com/ru/companies/pt/articles/981212/

#ретроспектива #анализ_трафика #детектирование #пентесты #аудит_безопасности #мониторинг_сети #мониторинг_журналов #кибератаки #вредоносное_программное_обеспечение #расследование_инцидентов

Расследования и киберразведка: рост числа атак на российский бизнес и новые инструменты хакеров

Шаров на нашей киберёлке всё больше, а мы продолжаем знакомить вас с кибертрендами уходящего года и делиться прогнозами на будущее. Слово нашим детективам из экспертного центра безопасности. Кто и сколько заказывал расследований киберинцидентов, что популярнее: ретро или мониторинг on air – обо всём по порядку расскажут ребята из команды экспертного центра безопасности Positive Technologies. А какой у них Telegram-канал!

https://habr.com/ru/companies/pt/articles/981212/

#ретроспектива #анализ_трафика #детектирование #пентесты #аудит_безопасности #мониторинг_сети #мониторинг_журналов #кибератаки #вредоносное_программное_обеспечение #расследование_инцидентов

Расследования и киберразведка: рост числа атак на российский бизнес и новые инструменты хакеров

Шаров на нашей киберёлке всё больше, а мы продолжаем знакомить вас с кибертрендами уходящего года и делиться прогнозами на будущее. Слово нашим детективам из экспертного центра безопасности. Кто и сколько заказывал расследований киберинцидентов, что популярнее: ретро или мониторинг on air – обо всём по порядку расскажут ребята из команды экспертного центра безопасности Positive Technologies. А какой у них Telegram-канал!

https://habr.com/ru/companies/pt/articles/981212/

#ретроспектива #анализ_трафика #детектирование #пентесты #аудит_безопасности #мониторинг_сети #мониторинг_журналов #кибератаки #вредоносное_программное_обеспечение #расследование_инцидентов

Расследования и киберразведка: рост числа атак на российский бизнес и новые инструменты хакеров

Шаров на нашей киберёлке всё больше, а мы продолжаем знакомить вас с кибертрендами уходящего года и делиться прогнозами на будущее. Слово нашим детективам из экспертного центра безопасности. Кто и сколько заказывал расследований киберинцидентов, что популярнее: ретро или мониторинг on air – обо всём по порядку расскажут ребята из команды экспертного центра безопасности Positive Technologies. А какой у них Telegram-канал!

https://habr.com/ru/companies/pt/articles/981212/

#ретроспектива #анализ_трафика #детектирование #пентесты #аудит_безопасности #мониторинг_сети #мониторинг_журналов #кибератаки #вредоносное_программное_обеспечение #расследование_инцидентов

Аудит смарт-контрактов: что проверяет CertiK, а что пропускает — взгляд изнутри

Эта статья — не критика CertiK. Это честный технический разбор того, что аудит делает, чего не делает, и как извлечь из него максимум пользы. Написано на основе опыта сопровождения Security Token Offering через полный цикл аудита CertiK, где я прошёл через 29 замечаний разной критичности и исправление уязвимостей в ERC-1400 контракте на 1,100 строк.

https://habr.com/ru/articles/976262/

#Certik #аудит_безопасности #смартконтракты #DeFi #блокчейнтехнологии #аудит_смартконтрактов #ERC1400 #блокчейн_аудит

Аудит смарт-контрактов: что проверяет CertiK, а что пропускает — взгляд изнутри

Эта статья — не критика CertiK. Это честный технический разбор того, что аудит делает, чего не делает, и как извлечь из него максимум пользы. Написано на основе опыта сопровождения Security Token Offering через полный цикл аудита CertiK, где я прошёл через 29 замечаний разной критичности и исправление уязвимостей в ERC-1400 контракте на 1,100 строк.

https://habr.com/ru/articles/976262/

#Certik #аудит_безопасности #смартконтракты #DeFi #блокчейнтехнологии #аудит_смартконтрактов #ERC1400 #блокчейн_аудит

Аудит смарт-контрактов: что проверяет CertiK, а что пропускает — взгляд изнутри

Эта статья — не критика CertiK. Это честный технический разбор того, что аудит делает, чего не делает, и как извлечь из него максимум пользы. Написано на основе опыта сопровождения Security Token Offering через полный цикл аудита CertiK, где я прошёл через 29 замечаний разной критичности и исправление уязвимостей в ERC-1400 контракте на 1,100 строк.

https://habr.com/ru/articles/976262/

#Certik #аудит_безопасности #смартконтракты #DeFi #блокчейнтехнологии #аудит_смартконтрактов #ERC1400 #блокчейн_аудит

Аудит смарт-контрактов: что проверяет CertiK, а что пропускает — взгляд изнутри

Эта статья — не критика CertiK. Это честный технический разбор того, что аудит делает, чего не делает, и как извлечь из него максимум пользы. Написано на основе опыта сопровождения Security Token Offering через полный цикл аудита CertiK, где я прошёл через 29 замечаний разной критичности и исправление уязвимостей в ERC-1400 контракте на 1,100 строк.

https://habr.com/ru/articles/976262/

#Certik #аудит_безопасности #смартконтракты #DeFi #блокчейнтехнологии #аудит_смартконтрактов #ERC1400 #блокчейн_аудит

Анатомия DeFi-эксплойтов 2023-2024: технический разбор уязвимостей с точки зрения аудитора

За 2024 год из DeFi-протоколов было похищено более $2.2 млрд. В первом полугодии 2025 года эта цифра уже превысила $2.17 млрд — и это только середина года. При этом 60%+ взломанных протоколов имели аудит от известных компаний. Эта статья — не пересказ новостей. Это технический разбор четырёх ключевых эксплойтов, которые я воспроизводил в тестовой среде при подготовке к аудитам. Для каждого кейса разберём: корневую причину, почему это прошло аудит, как воспроизвести атаку в Foundry, и какие паттерны защиты реально работают.

https://habr.com/ru/articles/975322/

#defi #смартконтракты #аудит_безопасности #evmblockchains #solidity #криптовалюты #эксплойты #эксплорер_блокчейна

Анатомия DeFi-эксплойтов 2023-2024: технический разбор уязвимостей с точки зрения аудитора

За 2024 год из DeFi-протоколов было похищено более $2.2 млрд. В первом полугодии 2025 года эта цифра уже превысила $2.17 млрд — и это только середина года. При этом 60%+ взломанных протоколов имели аудит от известных компаний. Эта статья — не пересказ новостей. Это технический разбор четырёх ключевых эксплойтов, которые я воспроизводил в тестовой среде при подготовке к аудитам. Для каждого кейса разберём: корневую причину, почему это прошло аудит, как воспроизвести атаку в Foundry, и какие паттерны защиты реально работают.

https://habr.com/ru/articles/975322/

#defi #смартконтракты #аудит_безопасности #evmblockchains #solidity #криптовалюты #эксплойты #эксплорер_блокчейна

Анатомия DeFi-эксплойтов 2023-2024: технический разбор уязвимостей с точки зрения аудитора

За 2024 год из DeFi-протоколов было похищено более $2.2 млрд. В первом полугодии 2025 года эта цифра уже превысила $2.17 млрд — и это только середина года. При этом 60%+ взломанных протоколов имели аудит от известных компаний. Эта статья — не пересказ новостей. Это технический разбор четырёх ключевых эксплойтов, которые я воспроизводил в тестовой среде при подготовке к аудитам. Для каждого кейса разберём: корневую причину, почему это прошло аудит, как воспроизвести атаку в Foundry, и какие паттерны защиты реально работают.

https://habr.com/ru/articles/975322/

#defi #смартконтракты #аудит_безопасности #evmblockchains #solidity #криптовалюты #эксплойты #эксплорер_блокчейна

Анатомия DeFi-эксплойтов 2023-2024: технический разбор уязвимостей с точки зрения аудитора

За 2024 год из DeFi-протоколов было похищено более $2.2 млрд. В первом полугодии 2025 года эта цифра уже превысила $2.17 млрд — и это только середина года. При этом 60%+ взломанных протоколов имели аудит от известных компаний. Эта статья — не пересказ новостей. Это технический разбор четырёх ключевых эксплойтов, которые я воспроизводил в тестовой среде при подготовке к аудитам. Для каждого кейса разберём: корневую причину, почему это прошло аудит, как воспроизвести атаку в Foundry, и какие паттерны защиты реально работают.

https://habr.com/ru/articles/975322/

#defi #смартконтракты #аудит_безопасности #evmblockchains #solidity #криптовалюты #эксплойты #эксплорер_блокчейна

Tetragon: лучшие практики и нюансы разработки Tracing Policy

Привет! Меня зовут Виталий Шишкин, я эксперт продукта Container Security в Positive Technologies. За годы работы над продуктом MaxPatrol 10 мы строили аудит Linux на базе подсистемы Auditd, которая решала свою задачу и достаточно просто настраивалась, но ситуация поменялась с появлением контейнеров, которые Auditd корректно поддерживать не умеет. Поэтому эта задача потребовала не просто смену решения для аудита системы, но и создание целого продукта, который сможет учитывать особенности Kubernetes и используемые им технологии ядра Linux.

https://habr.com/ru/companies/pt/articles/970318/

#tetragon #linux #cloud_native #информационная_безопасность #аудит_безопасности #kubernetes #auditd #kprobes #ebpf

Заметки о нашей повседневной работе с PAM

У всех современных компаний в 2025 году есть потребность в предоставлении удалённого доступа к своим ресурсам не только для своих сотрудников, но и для внешних пользователей, например, подрядчикам для выполнения работ, заказчикам для демонстрации решений и прочим контрагентам. В жизни мы привыкли доверять людям. Доверие удобно, оно экономит время. Но доверие в чистом виде — это утопия. В современном мире его легко обернуть против нас. Тем более, когда дело касается компании и обеспечения её информационной безопасности, а, следовательно, и наших заказчиков. В этом случае мы всегда придерживаемся политики нулевого доверия (Zero Trust). Каждое утро в офисе начинается одинаково. Мы включаем комп, пролистываем свежие новости, создаём тикеты, открываем дашборды. Казалось бы, рутина, но за этой рутиной прячется главный раздражитель — чьи-то видимые (и не очень) действия в системах: администратор запускает сессию, подрядчик обновляет сервис, инженер выгружает дамп базы данных. Все эти события кому-то могут показаться «естественным шумом» инфраструктуры, не требующим особого внимания. Но не нам. Работа любого сотрудника начинается с входа в необходимые для выполнения должностных обязанностей системы: ● общекорпоративные ресурсы (портал, почта, система электронного документооборота (СЭД) и т.п.). ● более важные критичные ресурсы — базы данных, серверы, инфраструктурные сервисы, системы управления — доступ к которым необходимо контролировать особенно тщательно. Именно здесь и проявляется важность направления управления идентификацией и доступом в информационной безопасности (IAM и ряд других средств защиты). И именно здесь на первый план выходит Privileged Access Management (PAM), обеспечивающий централизованное управление и мониторинг привилегированного доступа, минимизацию рисков неправомерного использования и защиту ключевых точек инфраструктуры.

https://habr.com/ru/companies/innostage/articles/965528/

#pam #расследование_инцидентов #подрядчики #привилегированный_доступ #привилегированные_учетные_записи #Innostage_Cardinal_PAM #аудит_безопасности #управление_доступом #удалённый_доступ

Как я чуть не положил домен заказчика ZeroLogon’ом, или почему некоторые пентестеры опаснее хакеров

Контроллер домена лежит. Терминальные серверы уходят в синий экран один за другим, а триста сотрудников молча смотрят на неработающие АРМ. Это не атака хакеров. Это начался пентест. К сожалению, такие истории иногда случаются. Один неосторожный запуск эксплойта, слишком агрессивное сканирование в пиковые часы или использование незнакомого инструмента в проде — и вот уже тестирование на проникновение приносит больше реального ущерба, чем гипотетическая угроза. Меня зовут Дмитрий Калинин, я руковожу отделом по работе с уязвимостями информационных систем в Бастионе, и за годы практики я видел достаточно ошибок. Включая свои собственные. Дальше расскажу реальные истории о том, как ZeroLogon чуть не уничтожил домен заказчика, как утренний запуск Nmap парализовал офис на несколько часов, и почему некоторые пентестеры могут быть опаснее хакеров. А затем разберем, какие точки отказа в корпоративной сети ломаются первыми и как не превратить аудит безопасности в производственную катастрофу.

https://habr.com/ru/companies/bastion/articles/960506/

#пентест #ошибки_пентестеров #что_учесть_при_пентесте #безопасность_инфраструктуры #тестирование_на_проникновение #меры_безопасности_при_пентесте #безопасный_пентест #что_делать_перед_пентестом #подготовка_к_пентесту #аудит_безопасности

Уроки свежих кибератак: принцип резервного копирования 3-2-1

Представьте: утро 29 июля 2025 года, аэропорты по всей России в хаосе. Крупная российская авиакомпания вынуждена отменить десятки рейсов, в основном внутренних, из-за мощной кибератаки. Системы бронирования и управления полетами парализованы, пассажиры в панике, а компания теряет миллионы. Это не сценарий из фильма, а реальный инцидент, где хакеры продемонстрировали, насколько хрупка ИТ-инфраструктура даже у гигантов авиации. Этот пример показывает, насколько важно иметь комплексный план реагирования и резервного копирования, чтобы минимизировать последствия подобных атак. Такие события напоминают: в эпоху, когда данные — это кровь бизнеса, отсутствие надежного плана на случай сбоя может стоить не только денег, но и репутации. Подобные атаки становятся ярким уроком, подчеркивающим, что без продуманного резервного копирования восстановление превращается в марафон, а не в спринт.

https://habr.com/ru/companies/itglobalcom/articles/959088/

#резервное_копирование #безопасность_данных #ransomware #aws #backup #аудит_безопасности #itglobalcom #восстановление_данных

Уроки свежих кибератак: принцип резервного копирования 3-2-1

Представьте: утро 29 июля 2025 года, аэропорты по всей России в хаосе. Крупная российская авиакомпания вынуждена отменить десятки рейсов, в основном внутренних, из-за мощной кибератаки. Системы бронирования и управления полетами парализованы, пассажиры в панике, а компания теряет миллионы. Это не сценарий из фильма, а реальный инцидент, где хакеры продемонстрировали, насколько хрупка ИТ-инфраструктура даже у гигантов авиации. Этот пример показывает, насколько важно иметь комплексный план реагирования и резервного копирования, чтобы минимизировать последствия подобных атак. Такие события напоминают: в эпоху, когда данные — это кровь бизнеса, отсутствие надежного плана на случай сбоя может стоить не только денег, но и репутации. Подобные атаки становятся ярким уроком, подчеркивающим, что без продуманного резервного копирования восстановление превращается в марафон, а не в спринт.

https://habr.com/ru/companies/itglobalcom/articles/959088/

#резервное_копирование #безопасность_данных #ransomware #aws #backup #аудит_безопасности #itglobalcom #восстановление_данных

Уроки свежих кибератак: принцип резервного копирования 3-2-1

Представьте: утро 29 июля 2025 года, аэропорты по всей России в хаосе. Крупная российская авиакомпания вынуждена отменить десятки рейсов, в основном внутренних, из-за мощной кибератаки. Системы бронирования и управления полетами парализованы, пассажиры в панике, а компания теряет миллионы. Это не сценарий из фильма, а реальный инцидент, где хакеры продемонстрировали, насколько хрупка ИТ-инфраструктура даже у гигантов авиации. Этот пример показывает, насколько важно иметь комплексный план реагирования и резервного копирования, чтобы минимизировать последствия подобных атак. Такие события напоминают: в эпоху, когда данные — это кровь бизнеса, отсутствие надежного плана на случай сбоя может стоить не только денег, но и репутации. Подобные атаки становятся ярким уроком, подчеркивающим, что без продуманного резервного копирования восстановление превращается в марафон, а не в спринт.

https://habr.com/ru/companies/itglobalcom/articles/959088/

#резервное_копирование #безопасность_данных #ransomware #aws #backup #аудит_безопасности #itglobalcom #восстановление_данных

Уроки свежих кибератак: принцип резервного копирования 3-2-1

Представьте: утро 29 июля 2025 года, аэропорты по всей России в хаосе. Крупная российская авиакомпания вынуждена отменить десятки рейсов, в основном внутренних, из-за мощной кибератаки. Системы бронирования и управления полетами парализованы, пассажиры в панике, а компания теряет миллионы. Это не сценарий из фильма, а реальный инцидент, где хакеры продемонстрировали, насколько хрупка ИТ-инфраструктура даже у гигантов авиации. Этот пример показывает, насколько важно иметь комплексный план реагирования и резервного копирования, чтобы минимизировать последствия подобных атак. Такие события напоминают: в эпоху, когда данные — это кровь бизнеса, отсутствие надежного плана на случай сбоя может стоить не только денег, но и репутации. Подобные атаки становятся ярким уроком, подчеркивающим, что без продуманного резервного копирования восстановление превращается в марафон, а не в спринт.

https://habr.com/ru/companies/itglobalcom/articles/959088/

#резервное_копирование #безопасность_данных #ransomware #aws #backup #аудит_безопасности #itglobalcom #восстановление_данных

Логирование соединений в PostgreSQL

В статье рассматривается логирование соединений с базами данных кластера PostgreSQL. Системы мониторинга создают сессии для сбора метрик и проверки доступности экземпляра. Это оздаёт большое число записей в диагностическом журнале кластера, затрудняя его анализ. Администраторы ищут возможность отключения логирования для сессий мониторинга. Такая возможность есть только у параметра log_disconnections. Приводится пример, как с его помощью отключить логирование при создании сессии. Также рассматриваются особенности использования расширений pgaudit и pgaudittofile, которые позволяют выводить логирование соединений в отдельный файл аудита.

https://habr.com/ru/articles/946916/

#postgres #postgresql #аудит_безопасности

Топологический аудит ECDSA: когда геометрия защищает ваши ключи

Откройте для себя, как топология превращается из абстрактной математической дисциплины в мощный инструмент криптоанализа!

https://habr.com/ru/articles/939770/

#ecdsa #топология #топологический_анализ #криптографическая_защита #криптоанализ #аудит_безопасности #криптография #уязвимость #сигнатуры #сигнатурный_анализ

Новые штрафы за отсутствие сертификации средств защиты информации — как обойти риски

Федеральный закон от 23 мая 2025 года № 104-ФЗ внес существенные изменения в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ). Теперь существенно увеличились административные санкции за несоблюдение правил информационной безопасности при использовании информационных технологий и средств защиты информации (СЗИ). Рассмотрим подробнее нововведения и их последствия для бизнеса и пользователей.

https://habr.com/ru/companies/securitm/articles/936656/

#штрафы #сзи #иб #информационная_безопасность #кибербезопасность #аудит #аудит_безопасности #compliance

Аудит безопасности КИИ. Детальный разбор проверки ФСТЭК

Проверка ФСТЭК это не поиск нарушений ради наказания. Это формализованный аудит, цель которого определить, является ли ваша система безопасности действующим механизмом или просто набором документов и оборудования. Инспектор последовательно проверяет три слоя вашей защиты. Сначала он изучает заявленную на бумаге архитектуру. Затем он сверяет ее с фактической технической реализацией. В конце он оценивает способность персонала эту архитектуру поддерживать. Провал на любом из уровней ставит под сомнение всю систему.

https://habr.com/ru/articles/934166/

#187фз #кии #проверки_безопасности #аудит_безопасности

Использование LLM в Access Management на примере OpenAM и Spring AI

В статье представлен практический пример решения автоматического анализа настроек системы управления доступом на базе OpenAM с использованием больших языковых моделей (LLM) через API Spring AI . Мы развернем систему управления доступом, запросим у LLM проанализировать конфигурацию и вернуть рекомендации по ее улучшению.

https://habr.com/ru/articles/923430/

#openam #llm #access_management #большие_языковые_модели #аутентификация #аудит_безопасности

Использование LLM в Access Management на примере OpenAM и Spring AI

В статье представлен практический пример решения автоматического анализа настроек системы управления доступом на базе OpenAM с использованием больших языковых моделей (LLM) через API Spring AI . Мы развернем систему управления доступом, запросим у LLM проанализировать конфигурацию и вернуть рекомендации по ее улучшению.

https://habr.com/ru/articles/923430/

#openam #llm #access_management #большие_языковые_модели #аутентификация #аудит_безопасности

Использование LLM в Access Management на примере OpenAM и Spring AI

В статье представлен практический пример решения автоматического анализа настроек системы управления доступом на базе OpenAM с использованием больших языковых моделей (LLM) через API Spring AI . Мы развернем систему управления доступом, запросим у LLM проанализировать конфигурацию и вернуть рекомендации по ее улучшению.

https://habr.com/ru/articles/923430/

#openam #llm #access_management #большие_языковые_модели #аутентификация #аудит_безопасности

Использование LLM в Access Management на примере OpenAM и Spring AI

В статье представлен практический пример решения автоматического анализа настроек системы управления доступом на базе OpenAM с использованием больших языковых моделей (LLM) через API Spring AI . Мы развернем систему управления доступом, запросим у LLM проанализировать конфигурацию и вернуть рекомендации по ее улучшению.

https://habr.com/ru/articles/923430/

#openam #llm #access_management #большие_языковые_модели #аутентификация #аудит_безопасности

Использование больших языковых моделей (LLM) в Access Management

Может ли искусственный интеллект революционизировать управление доступом? Есть ли подводные камни? Высокие затраты, риск «галлюцинаций», производительность в реальном времени, эффективность - что перевешивает? В данной статье мы разберемся, как можно применить LLM к управлению доступом для повышения эффективности и стоит ли.

https://habr.com/ru/articles/915564/

#access_management #llm #большие_языковые_модели #аутентификация #авторизация #аудит_безопасности #машинное_обучение #галлюцинации_ии #large_language_models #ai

Использование больших языковых моделей (LLM) в Access Management

Может ли искусственный интеллект революционизировать управление доступом? Есть ли подводные камни? Высокие затраты, риск «галлюцинаций», производительность в реальном времени, эффективность - что перевешивает? В данной статье мы разберемся, как можно применить LLM к управлению доступом для повышения эффективности и стоит ли.

https://habr.com/ru/articles/915564/

#access_management #llm #большие_языковые_модели #аутентификация #авторизация #аудит_безопасности #машинное_обучение #галлюцинации_ии #large_language_models #ai

Использование больших языковых моделей (LLM) в Access Management

Может ли искусственный интеллект революционизировать управление доступом? Есть ли подводные камни? Высокие затраты, риск «галлюцинаций», производительность в реальном времени, эффективность - что перевешивает? В данной статье мы разберемся, как можно применить LLM к управлению доступом для повышения эффективности и стоит ли.

https://habr.com/ru/articles/915564/

#access_management #llm #большие_языковые_модели #аутентификация #авторизация #аудит_безопасности #машинное_обучение #галлюцинации_ии #large_language_models #ai

Использование больших языковых моделей (LLM) в Access Management

Может ли искусственный интеллект революционизировать управление доступом? Есть ли подводные камни? Высокие затраты, риск «галлюцинаций», производительность в реальном времени, эффективность - что перевешивает? В данной статье мы разберемся, как можно применить LLM к управлению доступом для повышения эффективности и стоит ли.

https://habr.com/ru/articles/915564/

#access_management #llm #большие_языковые_модели #аутентификация #авторизация #аудит_безопасности #машинное_обучение #галлюцинации_ии #large_language_models #ai

Видеть инфраструктуру как хакер или как мы моделируем потенциальные маршруты атак

В современных киберугрозах фокус злоумышленников смещается c массовых рассылок в сторону таргетированных атак с применением нейросетей и социальной инженерии. В то же время ИТ-инфраструктуры становятся все более масштабными и сложными: больше данных, больше устройств и распределенных систем. В таких условиях ручные методы анализа и периодические аудиты безопасности попросту не поспевают за злоумышленниками, а значит нужно искать новые подходы, которые будут работать на опережение. Так мы пришли к разработке цифровой модели инфраструктуры, в которой можно прогнозировать маршруты действий хакеров еще до атак. В серии статей мы расскажем про управление маршрутами атак (Attack Path Management): как мы разрабатываем технологию моделирования угроз Threat Modeling Engine (TME), с какими сложностями сталкиваемся, какие алгоритмы используем для расчета потенциальных путей компрометации, какие есть особенности анализа опасности маршрута и оценки времени, необходимого для достижения хакера своей цели и реализации недопустимого для компании события, — и другие вопросы по теме. Начнем с проблематики.

https://habr.com/ru/companies/pt/articles/909166/

#maxpatrol #maxpatrol_carbon #аудит_безопасности #путь_хакера #моделирование_угроз_иб #cybersecurity #кибератаки #граф_атаки #недопустимое_событие #mvp

Видеть инфраструктуру как хакер или как мы моделируем потенциальные маршруты атак

В современных киберугрозах фокус злоумышленников смещается c массовых рассылок в сторону таргетированных атак с применением нейросетей и социальной инженерии. В то же время ИТ-инфраструктуры становятся все более масштабными и сложными: больше данных, больше устройств и распределенных систем. В таких условиях ручные методы анализа и периодические аудиты безопасности попросту не поспевают за злоумышленниками, а значит нужно искать новые подходы, которые будут работать на опережение. Так мы пришли к разработке цифровой модели инфраструктуры, в которой можно прогнозировать маршруты действий хакеров еще до атак. В серии статей мы расскажем про управление маршрутами атак (Attack Path Management): как мы разрабатываем технологию моделирования угроз Threat Modeling Engine (TME), с какими сложностями сталкиваемся, какие алгоритмы используем для расчета потенциальных путей компрометации, какие есть особенности анализа опасности маршрута и оценки времени, необходимого для достижения хакера своей цели и реализации недопустимого для компании события, — и другие вопросы по теме. Начнем с проблематики.

https://habr.com/ru/companies/pt/articles/909166/

#maxpatrol #maxpatrol_carbon #аудит_безопасности #путь_хакера #моделирование_угроз_иб #cybersecurity #кибератаки #граф_атаки #недопустимое_событие #mvp

Видеть инфраструктуру как хакер или как мы моделируем потенциальные маршруты атак

В современных киберугрозах фокус злоумышленников смещается c массовых рассылок в сторону таргетированных атак с применением нейросетей и социальной инженерии. В то же время ИТ-инфраструктуры становятся все более масштабными и сложными: больше данных, больше устройств и распределенных систем. В таких условиях ручные методы анализа и периодические аудиты безопасности попросту не поспевают за злоумышленниками, а значит нужно искать новые подходы, которые будут работать на опережение. Так мы пришли к разработке цифровой модели инфраструктуры, в которой можно прогнозировать маршруты действий хакеров еще до атак. В серии статей мы расскажем про управление маршрутами атак (Attack Path Management): как мы разрабатываем технологию моделирования угроз Threat Modeling Engine (TME), с какими сложностями сталкиваемся, какие алгоритмы используем для расчета потенциальных путей компрометации, какие есть особенности анализа опасности маршрута и оценки времени, необходимого для достижения хакера своей цели и реализации недопустимого для компании события, — и другие вопросы по теме. Начнем с проблематики.

https://habr.com/ru/companies/pt/articles/909166/

#maxpatrol #maxpatrol_carbon #аудит_безопасности #путь_хакера #моделирование_угроз_иб #cybersecurity #кибератаки #граф_атаки #недопустимое_событие #mvp

Видеть инфраструктуру как хакер или как мы моделируем потенциальные маршруты атак

В современных киберугрозах фокус злоумышленников смещается c массовых рассылок в сторону таргетированных атак с применением нейросетей и социальной инженерии. В то же время ИТ-инфраструктуры становятся все более масштабными и сложными: больше данных, больше устройств и распределенных систем. В таких условиях ручные методы анализа и периодические аудиты безопасности попросту не поспевают за злоумышленниками, а значит нужно искать новые подходы, которые будут работать на опережение. Так мы пришли к разработке цифровой модели инфраструктуры, в которой можно прогнозировать маршруты действий хакеров еще до атак. В серии статей мы расскажем про управление маршрутами атак (Attack Path Management): как мы разрабатываем технологию моделирования угроз Threat Modeling Engine (TME), с какими сложностями сталкиваемся, какие алгоритмы используем для расчета потенциальных путей компрометации, какие есть особенности анализа опасности маршрута и оценки времени, необходимого для достижения хакера своей цели и реализации недопустимого для компании события, — и другие вопросы по теме. Начнем с проблематики.

https://habr.com/ru/companies/pt/articles/909166/

#maxpatrol #maxpatrol_carbon #аудит_безопасности #путь_хакера #моделирование_угроз_иб #cybersecurity #кибератаки #граф_атаки #недопустимое_событие #mvp

Отраслевой стандарт защиты данных: методика аудита и наш опыт его прохождения

Миллионы людей ежедневно пользуются сервисами Яндекса и доверяют нам свои данные. Для нас это большая ответственность, поэтому мы делаем всё, чтобы обеспечить их защиту и конфиденциальность. Чтобы эти слова не оставались просто обещаниями, мы регулярно проходим независимые аудиты систем информационной безопасности. В апреле 2024 года на конференции Data Fusion мы подписали отраслевой стандарт защиты данных вместе с другими ИТ‑компаниями. И в течение года мы хотели пройти по нему аудит и подтвердить, что мы надёжно защищаем данные. И у нас всё получилось : под катом расскажу о том, как мы проходили проверку и какие результаты получили в итоге. Статья будет особенно полезна специалистам в области информационной безопасности, которые занимаются или интересуются прохождением аудитов и тестирований.

https://habr.com/ru/companies/yandex/articles/901724/

#аудит_безопасности #стандарт #защита_персональных_данных

7 вещей, которые больше всего волнуют аудиторов в модуле критических данных Flutter-приложения

Привет, Хабр! Меня зовут Анна Ахлестова, я Flutter Team Lead в компании

https://habr.com/ru/companies/friflex/articles/876918/

#аудит_безопасности #мобильная_разработка #flutter #кроссплатформенная_разработка #кроссплатформенность #flutter_mobile_development #flutter_app #аудит_кода #безопасность_мобильных_приложений #безопасность_данных