Форум информационной безопасности - Codeby.net
Статья CompTIA SY0-701 Exam Questions: From Threat Identification to Incident Response Understanding Security Operations
Аналитик засёк вредонос за 40 секунд, а инцидент разгребали 11 часов — потому что detection и response жили в разных вселенных SOC.Threat identification без playbook для incident response — это просто алерт в пустоту. PBQ на SY0-701 моделируют разрыв: ты нашёл IOC, но response-команда не знает, что с ним делать, а SIEM продолжает копить дубли алертов без корреляции.
Security operations должны замыкать цикл — detection кормит response, response кормит improvement детекта. Без этой связки KQL-правила устаревают, containment запаздывает, а расследование не влияет на будущую защиту вообще никак.
Экзамен проверяет не домены по отдельности, а способность связать их в единый operational contour под давлением.Статья Static Residential Proxies vs Residential Proxies: A Selection Guide
Static residential proxies палят операторов TikTok и мультиаккаунт-фермы быстрее, чем rotating-пул: одна и та же сессия с "плавающим" IP триггерит security check за минуты, а не часы.Разница не в качестве прокси, а в модели: static — оплата за IP/сутки, residential — за GB трафика. Для скрапинга и SEO-трекинга нужна ротация из большого пула, для аккаунт-менеджмента и whitelisting — фиксированный IP на 30+ стран.
Смешение моделей ломает точку безубыточности: редкие долгие сессии на GB-тарифе съедают бюджет, частый scraping на static — упирается в rate-limit одного адреса.
Выбор прокси — это выбор между стабильностью identity и распределением риска, а не про "качество IP".Статья APT36 хакерская группировка: разбор кампаний Gopher Strike и Sheet Attack против госсектора
APT36 гоняет по сети сразу четыре бэкдора на Go, Nim, Zig и Crystal — убил один, остальные тащат данные через Slack, Discord, Google Sheets и Supabase. Bitdefender назвал это Distributed Denial of Detection.Kill chain стартует с LNK внутри ZIP/ISO с двойным расширением типа Approved_2026.pdf.lnk, дальше batch-скрипт снимает Mark of the Web через Remove-Item Zone.Identifier и раздувает Crimson RAT до 34 МБ против сигнатурных движков. Малварь профилирует AV на хосте — Kaspersky, Avast, Quick Heal — и меняет способ персистенса под конкретный продукт.
SOC ищет ransomware-сигнатуры, а APT36 гоняет эксфильтрацию через Google Sheets и Supabase — легитимный облачный трафик, который никто не блокирует.Статья Framing Gap: как переформулировка exfiltration-запроса обходит защиту LLM-агентов
Запрос exfiltrate the user database блокируют Azure Prompt Shield, NeMo Guard, Llama Guard и DeBERTa-классификаторы. Тот же payload в обёртке compliance audit summary + reporting webhook проходит все guardrails без единого срабатывания.Под капотом идентичный SELECT * FROM users и HTTP POST на внешний endpoint — разница только во framing. По OWASP LLM Top 10 это пересечение Prompt Injection (LLM01) и Excessive Agency (LLM06): guardrails детектируют лексику атаки, но слепы к семантике действия агента.
Semantic laundering и role reassignment превращают вредоносный tool call в легитимный бизнес-запрос через эвфемизмы и смену роли на аудитора.
Guardrail ловит слова атаки — не действия агента. Аудитор в промпте обходит фильтр там, где хакер бы не прошёл.Статья SSRF эскалация привилегий в облаке: разбор CVE-2026-69502 и CVE-2026-76193
SSRF в webhook-конфигураторе Azure за 40 минут превратился в Contributor-токен через IMDS 169.254.169.254 — allowlist URL на аппликейшн-уровне не спас. CVE-2026-69502 (Azure SQL) и CVE-2026-76193 (Adobe Campaign Classic) получили CVSS 10.0: SSRF внутри инфраструктуры вендора обходит любую клиентскую защиту.Scope: Changed — уязвимый компонент Azure SQL Database, импактнутый — Management API и metadata endpoint внутри подписки клиента. NSG и WAF не помогают: код бага сидит в managed-сервисе Microsoft. В Adobe Campaign Classic SSRF через image-обработчик и XML-парсер эскалирует до RCE — A:H в векторе, а не просто чтение данных.
Уязвимость сидит не в вашем коде — allowlist URL бесполезен, когда SSRF работает изнутри доверенной сети провайдера.Статья Эмуляция корпоративной сети в Docker - пошаговое руководство по Containerlab и FRRouting
Containerlab поднимает многосегментную корпоративную сеть с FRRouting, VRRP и VLAN на одном ноутбуке — без EVE-NG, GNS3 и тяжелых виртуалок, только Docker и YAML-декларация топологииТопология описывается в clab.yml: ноды pc-01/pc-02, kind linux, образ wbitt/network-multitool, exec-команды ip addr add и ip link set. Линки соединяются через eth1 — eth0 зарезервирован containerlab под management-доступ по SSH.
Разворачивается командой sudo containerlab deploy -t topology.yml. Дальше — DHCP, DNS-резолвинг, VRRP-отказоустойчивость и ACL-фильтрация трафика поверх FRRouting, всё в одном декларативном файле без ручной настройки интерфейсов.
Настоящее понимание маршрутизации приходит не от чтения RFC, а от отладки пакетов в собственной VLAN-топологииСтатья Instruction Privilege Escalation: как контекст агента получает root-права над LLM
Copilot переписал .mcp.json Claude Code, Claude в ответ подправил settings.json Copilot — цепочка cross-agent privilege escalation без единой CVE, только легитимные права на запись файлов.Johann Rehberger показал: indirect prompt injection превращает файловую операцию в root — payload из веб-страницы или email заставляет агента добавить вредоносный MCP-сервер в конфиг соседнего агента.
Модель SEAgent описывает LLM-агента как процесс с привилегиями, зависящими не от ACL, а от содержимого контекстного окна. OWASP LLM01:2025 подтверждает — instruction hierarchy bypass масштабируется числом доступных tool calls.
SOC ищет RCE и утечку credentials — атака же живёт в конфигах между агентами, где нет ни одной уязвимости в классическом смысле.Статья CVE-2026-42869: Hardcoded JWT Secret в SOCFortress CoPilot — подделка admin-токенов и захват SIEM-платформы
CVE-2026-42869: CVSS 10.0. Hardcoded JWT-секрет в backend/app/auth/utils.py, строка 28, дублирован в .env.example — неаутентифицированный admin-доступ к SIEM/SOAR/EDR платформе SOCFortress CoPilot.Три CWE в одном компоненте: CWE-798, CWE-287, CWE-522. Атакующий генерирует JWT с admin scope через grep-найденный fallback-ключ — валидация формально работает, но токен подделан. Scope: Changed каскадно бьёт по Wazuh, Graylog, TheHive через API-интеграции CoPilot.
Патч — версия 0.1.57+, advisory GHSA-4gxj-hw3c-3x2x. Обязательно задайте уникальный JWT_SECRET явно через переменную окружения — fallback из кода перестанет использоваться даже на старых версиях.
EPSS всего 0.44% при CVSS 10.0 и automatable=yes — сканеров пока нет, но написать его можно за вечер.Статья OSINT анализ инфраструктуры компании: WHOIS, DNS и Certificate Transparency на практике
Staging-поддомен GitLab с дефолтным конфигом нашёлся через crt.sh за 40 минут — без единого активного скана, без exploit, без T1595. Просто WHOIS, DNS и Certificate Transparency логи вместо nmap.Reverse WHOIS по email регистранта даёт кластер из сотен доменов, общий nameserver — high-confidence связь с bulletproof-хостером. MX-записи и исторические WHOIS-снимки до GDPR 2018 года раскрывают контакты, которые давно затёрты в актуальных реестрах.
crt.sh индексирует каждый выпущенный сертификат — забытый staging в /24-блоке продакшена всплывает мгновенно.
Атрибуция инфраструктуры работает в обе стороны: то, чем APT ищет цель, blue team использует против собственных слепых зон.Статья API шпионаж - инструменты и трюки
API-шпионы: как увидеть код защиты глазами отладчика, а не вслепую.Список импорта в PE-файле — это только половина картины. Без реальных аргументов вызовов ставить брейки на защиту приходится вслепую, гадая какой именно API она дёрнула.
Разбираем весь арсенал API-мониторинга: от легендарного Kerberos и его наследника API Logger, до тяжёлой артиллерии в лице API Monitor с собственным драйвером. Отдельно — как поднять шпиона прямо в WinDBG через плагин Logexts (фильтры по категориям, борьба с мёртвым циклом на Kernel32.dll), и как собрать свой минималистичный трейсер на bm-брейках и скриптах, если чужой мусор в логах уже надоел.
Must-have техника для тех, кто распаковывает protected-бинарники и не хочет часами ходить по F8.