#контроль_доступа — Public Fediverse posts

Шлюз увидел «user», сервис увидел «admin», а JSON был один и тот же

Шлюз проверил JSON и пропустил запрос, а сервис за ним выдал пользователю права администратора. Оба компонента отработали корректно, но по-разному интерпретировали одни и те же данные. Разбираемся, почему JSON-парсеры расходятся в обработке ключей и чисел, к каким ошибкам это приводит и как защитить от них API. Разобрать уязвимости

https://habr.com/ru/companies/otus/articles/1092516/

#уязвимости #json #контроль_доступа #валидация_данных #микросервисы #безопасность_api #десериализация #обработка_json #jsonпарсеры #дублирующиеся_ключи

Карта автономии AI: как решить, что агенту можно делать без человека

Один AI-агент может читать данные самостоятельно, создавать запись после программных проверок и отправлять сообщение только с разрешения человека. Андрей Непряхин, директор департамента разработки AGIMA, разбирает четыре режима автономии A0–A3, условия перехода между ними и матрицу действий, которая помогает задать границы полномочий агента.

https://habr.com/ru/companies/agima/articles/1094596/

#управление_рисками #production #контроль_доступа #llm #aiагенты #ai_governance #humanintheloop #автономия_ai

Почему ИИ‑агенты уязвимы к prompt injection и как защитить их на уровне архитектуры

В ИИ‑системах даже обычный документ может стать источником команд для модели. Если агент имеет доступ к инструментам с широкими полномочиями, одна удачная prompt injection способна привести к утечке данных или нежелательным действиям. Разбираемся, как выстроить защиту на уровне архитектуры: от разделения доверия до контроля действий агента, с примерами реализации на Python. Изучить принципы защиты

https://habr.com/ru/companies/otus/articles/1088194/

#контроль_доступа #prompt_injection #безопасность_ии #защита_llm #ииагенты #архитектура_иисистем #уязвимости_ии #security_by_design #безопасность_rag #owasp

RAG с правами доступа: как не показать сотруднику документ, которого он не должен видеть

Практический разбор решения на примере реального корпоративного FAQ-бота Начальник смены на складе открывает корпоративного ИИ-ассистента и пишет в чате: «Что делать, если водитель не успел с доставкой?» Через несколько секунд появляется ответ — чёткий, правильный, со ссылкой на источник: регламент логистических операций. Его можно скачать. Теперь представим, что тот же сотрудник задаёт другой вопрос: «Сколько мы платим перевозчикам за километр?» Ввести такой вопрос ему ничто не мешает. Важно лишь то, что произойдёт дальше. Если файл с тарифной сетке лежит в той же базе данных, что и регламент, ассистент ответит вежливо, точно и приложит ссылку на скачивание. В этом-то и проблема. Семантический поиск мы решили и добились хороших ответов. Но следующая сложная задача — сделать так, чтобы ассистент отвечал только на основе того, что конкретному человеку разрешено знать.

https://habr.com/ru/articles/1085600/

#rag #retrievalaugmented_generation #контроль_доступа #права_доступа #информационная_безопасность #векторные_базы_данных #корпоративный_ai #защита_данных

Авторизация как код, но не в коде: ABAC для Spring Boot на Open Policy Agent

Авторизация в Spring обычно живёт в аннотациях и SpEL — и ломается на иерархии ресурсов и фильтрации списков. Как вынести правила доступа в OPA, не потеряв ни фильтрацию в SQL, ни fail-closed. Первая статья серии про open-source Spring Boot starter для ABAC на Open Policy Agent. Читать кейс

https://habr.com/ru/companies/severstal/articles/1081304/

#Open_Policy_Agent #OPA #ABAC #Rego #авторизация #Spring_Boot #Spring_Security #policy_as_code #partial_evaluation #контроль_доступа

Где заканчиваются отчёты и начинается безопасность: аудит ИБ без «бумажной пыли»

Всем привет! Меня зовут Алёна, я руководитель группы аналитики отдела Compliance и безопасности данных в Ozon. Звучит длинно, поэтому мы с командой называем себя просто датасеками — от Data Security. В информационной безопасности я почти 13 лет, из них 4,5 года в Ozon. До этого больше восьми лет работала в интеграторе и занималась в основном персональными данными и банковской безопасностью — вопросами чистого compliance. Сейчас у меня команда из 11 человек, и мы занимаемся безопасностью данных в Ozon. Сегодня хочу поговорить об одной важной теме — аудитах безопасности данных. Речь не про пентесты, нет, у нас совсем другая история. Мы смотрим на безопасность данных — и персональных, и финансовых, и любых других данных, которые нужно защищать по требованиям закона, компании или здравого смысла. Расскажу вам о сложностях и о том, как мы с ними справлялись.

https://habr.com/ru/companies/ozontech/articles/1070378/

#аудит_безопасности #данные #иб #data_security #compliance #оценка_рисков #логирование #152фз #контроль_доступа #ozon_tech

Риск утечки я измеряю в днях молчания, а не в мегабайтах

Объём утечки все считают в мегабайтах, а платит компания за другое — за время, пока об утечке никто внутри не знал. Разбираю, почему запреты только загоняют риск в тень, какие события в почте и на диске имеет смысл слушать (публичная ссылка, странная пересылка, смена пароля) и по какому чек-листу проверять систему событийных алертов — от реакции на событие вместо расписания до журнала запусков и письма об ошибке. Читать разбор

https://habr.com/ru/articles/1063086/

#информационная_безопасность #утечки_данных #облачные_сервисы #контроль_доступа #событийный_мониторинг #время_обнаружения #инсайдерские_риски

Как я научил терминал спутникового мониторинга жарить попкорн

Мы привыкли, что GPS/ГЛОНАСС-терминал – это, в первую очередь, прибор для записи трека машины. Да, это база. Но давайте посмотрим на него как на контроллер: есть входы, выходы, сценарии взаимодействия с периферией. Поэтому всегда интересно пофантазировать, что еще можно подключить к нему, кроме транспортного средства? Каждый инженер – тоже художник, его творчество – техническое, и практически всегда скрыто от глаз. Меня всегда привлекало нестандартное использование разных устройств в совершенно неподходящем ключе, это позволяет разбавить рутину, поэкспериментировать и посмотреть на продукт под другим углом. Особенно хорошо, что терминалы имеют технологию Easy Logic, это очень сильно развязывает руки как в работе, так и создании того, что на первый взгляд несовместимо, например, попкорн-машина. При чем тут попкорн? Давайте разберем этот кейс и увидим, насколько разным бывает мониторинг.

https://habr.com/ru/articles/1048922/

#iot #diy #gps_трекер #идентификация #контроль_доступа #телематика #сезон_DIY_и_IT #считыватель

Проходите, вас узнали

В последние годы казалось, что каждый новый способ идентификации в СКУД вот-вот станет новым стандартом и начнет вытеснять предыдущие. Такими кандидатами были карты, затем смартфоны, теперь биометрия. Но происходит обратное: новые технологии скорее занимают свои узкие ниши, чем вытесняют старые. Недавно мы расширили способы идентификации в СКУД PERCo-Web. Выпустили линейку считывателей с поддержкой BLE, мобильные приложения для их использования, а также представили совместное с группой ЦРТ решение для идентификации по лицу. Это хороший повод рассказать о том, что вообще происходит с идентификацией в СКУД.

https://habr.com/ru/companies/perco/articles/1060838/

#скуд #контроль_доступа #биометрия #идентификация #система_контроля_доступа

И все-таки самая реальная защита дома или квартиры – электронно-механический ШЛЮЗ

Сейчас главное уже понять, что почти никто не вскрывает замки и не ломает двери, и вообще количество преступлений без человеческих жертв стремительно снижается. В дом проще зайти вместе с хозяином . Да, произошло обесценивание человеческой жизни! Дом или квартира превращается в средневековую тюремную камеру всего за несколько секунд, пока вы открываете входную дверь – неважно, выходите или заходите. Если уголовникам надоедает ждать, вам позвонит водопроводчик – классика, которая работает. Наша рекомендация вас тоже не спасёт полностью, но практика показала, что она единственная действительно спасает. Шлюз – симбиоз механики и электроники, это не просто какая-то сигнализация, это физическая защита!

https://habr.com/ru/companies/speclab/articles/1053344/

#защита_дома #охрана #охрана_квартиры #охрана_дома #ЧОП #ОВО #входная_дверь #шлюз #СКУД #контроль_доступа

Троянский форк: от шалости до крита

Форк репозитория — операция настолько привычная, что на нее редко смотрят с подозрением. Но что, если через обычный форк можно запустить произвольный код на CI/CD-воркере чужой приватной компании? Именно такую цепочку мы обнаружили в GitFlic — отечественной платформе для совместной разработки ПО и хранения исходного кода от компании «РеСолют». GitFlic во многом похож на GitLab — что логично, ведь создавался как его альтернатива. И получилось у разработчиков сносно: если вы работали с GitLab, то GitFlic вызовет у вас приятное чувство дежавю. В статье разберем не только саму уязвимость, но и покажем ход рассуждений: почему стоит смотреть на привычные операции с подозрением и как «незначительная» проблема с правами может вырасти в полноценную атаку на инфраструктуру. Обнаруженные нами уязвимости были оперативно исправлены разработчиками компании «РеСолют» и зарегистрированы в БДУ ФСТЭК: BDU:2025-12462 , BDU:2025-12463 , BDU:2025-12464 .

https://habr.com/ru/companies/bastion/articles/1031994/

#пентест #уязвимости #репозиторий #gitflic #контроль_доступа #безопасность_кода #защита_репозитория #supply_chain_attack #информационная_безопасность

Есть ли жизнь после Cisco ISE? Распаковка и тест-драйв российского NAC от Eltex в сетевой лаборатории

NAC-системы долгое время ассоциировались с “монстрами” вроде Cisco ISE или Aruba ClearPass. Но что, если собрать российский NAC из модулей «Медведь», «Лиса» и «Заяц», поставить их на страже сети и попробовать закрыть те же сценарии? Привет, Хабр! С решениями NAC наша команда работает больше 19 лет. Последние годы особенно интересны: российский сегмент NAC заметно вырос, новые продукты появляются регулярно, а интерес со стороны заказчиков подталкивает нас на постоянный анализ рынка. Эта статья — часть цикла о NAC-решениях, которые мы разбираем в нашей сетевой лаборатории. На этот раз в фокусе Eltex NAICE — новичок в области контроля доступа, но далеко не новичок в мире сетей. Разберёмся, как он устроен, какие задачи реально закрывает и насколько уверенно чувствует себя на фоне более привычных NAC-систем.

https://habr.com/ru/companies/k2tech/articles/1027136/

#nac #гостевой_доступ #контроль_доступа #импортозамещение

Не DLP единым: как DCAP закрывает слепую зону контроля доступа к данным

Авторы: Асреев Артём, Архитектор ИБ Королев Евгений, Аналитик ИБ В 2025 году концепция «периметр защищён — данные в безопасности» окончательно умерла. Конфиденциальные данные, за которыми охотятся злоумышленники, теперь повсюду: в облаках, в мессенджерах, в руках подрядчиков и внутри нейросетей. Если вы не контролируете, кто, как и зачем обращается к вашим файлам внутри инфраструктуры, вы не просто рискуете – вы уже в очереди на пополнение печальной статистики. Отчёт Verizon DBIR 2025 показывает, что атака начинается не с обхода периметровых средств защиты, а с использования уже выданных прав доступа. На практике конфиденциальные данные хранятся в различных форматах и в самых неожиданных местах, от фотографии паспорта на файловой шаре до yaml-конфигов средств защиты на общедоступной странице корпоративной базы знаний.

https://habr.com/ru/companies/innostage/articles/1003920/

#dlp #dcap #защита_данных #контроль_доступа #zero_trust #ИБаналитика #утечки_персональных_данных #iam #pam #неструктурированные_данные

5 ошибок при развертывании СКУД, которые могут дорого обойтись

Производители обожают рассказывать о чужих ошибках при выборе решения. В финале иногда выясняется, что правильным выбором было решение рассказчика — так совпало. Почему бы и нам не пройтись по этому жанру? Среди причин ошибок — не обязательно лень или глупость. Рынок, требования корпоративного мира, да и сами системы устроены так, что ошибаться — нормально.

https://habr.com/ru/companies/perco/articles/987866/

#скуд #контроль_доступа #perco #аутентификация #система_контроля_доступа

Что показали в OWASP Top Ten 2025

Привет, Хабр! Меня зовут Дмитрий Бахтенков. С 2020 я занимаюсь коммерческой разработкой на .NET, а также пишу для медиа « вАЙТИ ». В сфере информационной безопасности существует множество уязвимостей, и разработчикам сложно понять, какие из них важнее учитывать при обучении или отладке процессов безопасной разработки.

https://habr.com/ru/companies/beeline_cloud/articles/984448/

#информационная_безопасность #owasp #уязвимости #appsec #безопасность_приложений #контроль_доступа #software_supply_chain_security #devsecops

За секунду до открытия двери: что на самом деле происходит между вашей картой и считывателем?

Вы подносите карту к считывателю — дверь открывается. Классический черный ящик технологий в привычном бытовом действии. На самом деле за этим действием скрывается множество процессов: от формирования электромагнитных полей, модуляции сигналов до применения криптографических протоколов. Как это работает? Как пассивная карта без батарейки получает энергию? Как она передаёт данные? В статье от менеджера продукта в разработчике систем контроля доступа, разберём процессы: от физики ближнего поля до защищённого обмена.

https://habr.com/ru/articles/974654/

#скуд #контроль_доступа #карты #rfid #rfid_считыватель #mifare #sigur #аутентификация #антиколлизия

Цифровой щит: тандем WAF и API Firewall

Веб-приложения и API — это полноценные точки входа в бизнес. Через них проходят транзакции, данные, сценарии пользователей и интеграции с партнерами. Чем больше сервисов, тем шире поверхность атаки. И тем выше шанс, что в потоках легитимного трафика окажется что-то лишнее. В первой половине 2025 года российские компании зафиксировали более 63 000 атак. Это на 27 % больше, чем в прошлом году! Массовые автоматические штурмы уходят в прошлое, и чаще атака маскируется под легитимный запрос, но с параметрами, подобранными под уязвимость конкретного сервиса или бизнес-логики. Такие сценарии дольше остаются незамеченными и обходятся дороже, потому что бьют не по инфраструктуре в целом, а по конкретным процессам. На внешнем рубеже работает WAF. Он фильтрует веб-трафик и отсекает известные угрозы. Но, у него есть слепая зона — внутренняя механика API, где решается, что именно сервису можно, а что нельзя. Здесь нужен API Firewall, который проверяет структуру запросов, ограничивает частоту обращений и анализирует поведение клиента. Вместе они формируют защиту, способную закрыть и технические, и логические векторы атак. Как раз об этом всем и пойдет речь в этой статье. Она для тех, кто хочет понять, зачем нужны WAF и API Firewall вместе.

https://habr.com/ru/companies/ispsystem/articles/947938/

#ispsystem #waf #кибербезопасность #firewall #файрвол #сетевой_экран #защита_api #защита_приложений #контроль_доступа #billmanager

Прощайте, Excel-пароли; привет, прозрачный аудит! Внедряем в инфраструктуру PAM-инструмент

Если в компании налажен контроль доступа к внутренним ИТ-ресурсам, хорошо не только спецам по ИБ, но и многим другим. Например, лидам, которые отвечают за доступы к базам данных в своих командах. И новым сотрудникам, избавленным от необходимости вручную собирать логины-пароли, а затем где-то их самостоятельно хранить. В Сравни больше 300 технических спецов, и в силу тематики наших продуктов зачастую они работают с чувствительными данными. Нам требовалось решение, которое поможет не просто централизованно управлять политиками доступов, но и проводить полноценный аудит всех действий в системе (предыдущий процесс логирования явно нуждался в модернизации). Под обе эти задачи заточены так называемые PAM-инструменты (Privileged Access Management). Под катом рассказываем, как мы обеспечили контроль доступов и аудит инфраструктуры с помощью одного из них. В том числе об особенностях его внедрения, возможностях и некоторых ограничениях, выявленных на практике.

https://habr.com/ru/companies/sravni/articles/924308/

#pam #кибербезопасность #иб #контроль_доступа #аудит #privileged_access_management #управление_доступом_к_данным #access_control #бастион

Защита без шифрования: парадокс или альтернатива?

Можно ли защитить данные без шифрования? В 2025 году, когда алгоритмы устаревают, квантовые вычисления наступают, а большинство утечек происходят из-за человеческого фактора, этот вопрос становится не праздным, а стратегическим. В статье — альтернативные подходы, неожиданные решения, боевые кейсы из реальных проектов, рабочие примеры кода и личный опыт внедрения защиты данных там, где шифрование либо неуместно, либо недостаточно. Будет нестандартно, местами — на грани костылей, но всё по делу.

https://habr.com/ru/articles/898488/

#иммутабельность #контроль_доступа #devsecops #стеганография #альтернатива_шифрованию #защита_данных

Разбираемся с мандатным управлением доступом в Астра Линукс

Мандатная модель управления доступом не получила столь широкого распространения в пользовательских операционных системах из‑за своей сложности, а также из‑за того, что в ней нет большой необходимости при решении задач, не связанных с высоким уровнем конфиденциальности. В этой статье мы попробуем разобраться с тем, что из себя представляет эта модель и как ей пользоваться.

https://habr.com/ru/companies/otus/articles/853826/

#astralinux #linux #контроль_доступа

Дашборды в СКУД: визуализация данных для удобной аналитики на примере Grafana

Привет, Хабр! На связи Sigur и Дмитрий Попов: в компании я занимаюсь продуктовыми исследованиями. Основной продукт Sigur – одноименная система контроля и управления доступом (СКУД): это контроллеры, предназначенные для управления исполнительными устройствами, например, дверьми или турникетами, считыватели для идентификации пользователей, а также программное обеспечение. В данном материале я расскажу, как с помощью Grafana визуализировать данные из СКУД и в целом, – об их ценности для бизнеса. В качестве базиса для статьи будет использован мой опыт работы с этим инструментом для аналитики работы демонстрационных зон продуктов компании на выставке Securika Moscow 2024. В чем сабж? Представьте себя сотрудником, отвечающим за работу систем безопасности на крупном объекте, где ежедневно требуется требуется решать задачи обслуживания и настройки всего, что связано с охранной сигнализацией, видеонаблюдением и контролем доступа. Мало того, что все эти системы надо хорошо знать, за происходящим в них нужно уследить. Конечно, в системах безопасности для решения таких проблем есть отдельный класс систем — PSIM или ССОИ. Они обеспечивают интеграцию систем безопасности и реализуют функции оперативного мониторинга и реакций. Однако, не всегда эти системы подходят заказчику: они могут оказаться нерентабельными или слишком сложными для внедрения. Поэтому я задумался о том, как помочь пользователям нашего продукта предоставить инструмент более наглядной визуализации происходящего в системе.

https://habr.com/ru/companies/sigur/articles/832180/

#СКУД #контроль_доступа #мониторинг #Grafana #дашборд

СКУД: контроль доступа для большей безопасности

Система контроля и управления доступом (СКУД) — это комплекс инструментов для обеспечения безопасности, которые фиксируют вход и выход из помещения. Она позволяет отследить рабочий график каждого сотрудника, время посещения здания, а также продолжительность обеденного перерыва. Контроль доступа осуществляется через карту, брелок или другое средство идентификации.

https://habr.com/ru/articles/832214/

#контроль_доступа #информационная_безопасность #система_контроля_доступа #система_контроля_устройств #скуд

Континент 4 Getting Started 2.0. Контроль доступа

Если Вы рассматриваете Континент 4 NGFW как решение, на которое планируете мигрировать с иностранного решения, настоятельно рекомендуем ознакомиться с заключением к данной статье. Там вы найдете перечень полезных материалов. Все используемые виртуальные машины в данной статье вы можете увидеть в представленной ниже структурной схеме:

https://habr.com/ru/companies/tssolution/articles/805299/

#код_безопасности #континент #континент_4 #континенты #ngfw #контроль_доступа #курс #обучение_онлайн

Контроль за мобильными устройствами с помощью ABQ в Carbonio

В прошлой статье мы рассказывали о том, как настроить подключение к серверу Carbonio с мобильных устройств при помощи протокола Exchange ActiveSync. В отличие от любых других подключений, которые можно ограничить списком доверенных подсетей IP‑адресов, мобильные устройства, особенно использующие мобильный интернет, таким образом ограничить не получится. В результате, возможность такого подключения размывает границы периметра локальной сети, делая возможным подключение устройств, которые неподконтрольны администратору. Для того, чтобы избежать рисков, связанных с несанкционированным доступом к Carbonio и вернуть контроль над ИБ‑контуром предприятия, администратору доступен механизм Allow/Block/Quarantine, который позволяет автоматизировать процесс предоставления доступа для мобильных устройств, подключающихся по EAS.

https://habr.com/ru/companies/Zextras/articles/799847/

#zextras #carbonio #мобильные_устройства #exchange_activesync #контроль_доступа #электронная_почта #почтовый_сервер

«Как пресейл инженер телеграм ботом дверь открывал» или «Ты куда полез?»

Данная статья рассчитана на специалистов области физических систем безопасности и в частности контроля доступа. Я предполагаю, что статья может быть интересна тем, кто не обладает навыками в программировании, но всегда хотел попробовать реализовать что-то здесь и сейчас, с возможностью непосредственно испытать свою работу на практике. Сама статья - это результат моего исследования в рамках расширения своих профессиональных навыков. Что будет в статье? Как написать рабочий, но не идеальный код, чтобы через телеграм бота открыть дверь в СКУД Sigur; Пояснение за библиотеки, модули и функции, и откуда они берутся в коде этой программы. Почему именно Python? Как все это великолепие установить и запустить в Docker.

https://habr.com/ru/articles/780352/

#СКУД #контроль_доступа #python #telegrambot #умный_дом #управление_замком