Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
Статья DDoS smokescreen атака: как SOC не пропустить вторжение за шумом флуда
Internet Archive, октябрь 2024: пока SOC отражал DDoS-флуд, атакующие параллельно вскрыли БД и утащили 31 млн записей. MITRE T1498 как дымовая завеса — lateral movement по T1078 завершился за время одной дежурной смены.Схема kill chain: DDoS-for-Hire запускает HTTP/2 Rapid Reset до 3,98 млрд rps — SIEM захлёбывается, L1 уходит в режим тушения периметра. В это время атакующий использует заранее купленные креды, проходит RDP lateral movement и эксфильтрует данные через DNS-туннель на внешний C2. CrowdStrike фиксирует: среднее время от initial access до компрометации домена — 62 минуты.
SOC фиксирует «успешное отражение DDoS» — а эксфильтрация уже завершена. Победа на периметре, провал внутри.Статья DDoS Incident Response Playbook: пошаговый план реагирования для SOC и NOC — от детекции до post-mortem
03:47, PagerDuty орёт: latency API-шлюза прыгнул с 40 мс до 12 секунд, NETSCOUT Sightline фиксирует 47 Гбит/с при норме 2.5 — у дежурного NOC 90 секунд до каскадного падения.Статья разбирает DDoS Incident Response Playbook по MITRE ATT&CK T1498/T1499: от классификации атаки (volumetric, reflection, Slowloris) до BGP RTBH-команд и активации scrubbing-контракта (Qrator, Cloudflare Magic Transit, Akamai Prolexic) с SLA менее 15 минут.
Внутри — baseline-пороги (+3σ для bps, +200% для RPS), роли SOC/NOC на каждом этапе kill chain, trade-off таблица mitigation-инструментов и post-mortem чеклист с разбором мультивекторных атак.
DDoS — часто дымовая завеса: пока SOC смотрит в трафиковые дашборды, lateral movement идёт 62 минуты (CrowdStrike 2025).Статья Что такое DevSecOps: принципы, роли и место безопасности в цикле разработки
Финтех-стартап: 12 минут от коммита до продакшена, захардкоженный API-ключ к платёжному шлюзу — и четыре недели на исправление. Цена «безопасности после релиза» оказалась в семь раз выше, чем shift-left проверка на этапе сборки.DevSecOps встраивает контроль прямо в CI/CD: pre-commit хуки блокируют утечку секретов, SAST (Semgrep, SonarQube) запускается на каждый пуш, SCA через Snyk ловит CVE в зависимостях до merge. MITRE T1195.001 и T1195.002 — атаки на supply chain — закрываются ещё на этапе сборки.
После деплоя мониторинг отслеживает T1190 (Exploit Public-Facing Application) в рантайме.
Пайплайн без security-gate работает быстро — ровно до первого аудита.Статья Атака на цепочку поставок GitHub: разбор кампании Megalodon и защита CI/CD-пайплайнов
Кампания Megalodon: ~5700 вредоносных коммитов в публичные GitHub-репозитории за несколько часов — без взлома учёток, через d-PPE и скомпрометированные PAT-токены, собранные инфостилером.Атакующие пушили напрямую в default branch, маскируя коммиты под рутину CI: `ci: add build optimization step`, авторы — `build-bot@github-ci.com`. Один отравленный проект привёл к публикации заражённого npm-пакета — мейнтейнер сам выполнил `npm publish` из скомпрометированного source tree. Техника по MITRE: T1195.002 + T1078, по OWASP — A08.
CI-раннер хранит AWS keys, OIDC-токены и SSH-ключи одновременно — один вредоносный workflow ценнее месяца фишинга.Статья CVE-2026-20223 в Cisco Secure Workload: обход аутентификации REST API и методология тестирования
CVE-2026-20223 в Cisco Secure Workload получила CVSS 10.0: один HTTP-запрос без токена авторизации — и атакующий читает конфигурацию ЦОД и меняет политики микросегментации с привилегиями Site Admin через границы тенантов.CWE-306 в чистом виде — middleware-слой проверки токенов отсутствовал на внутренних REST API эндпоинтах. Вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: эксплуатация удалённая, без учётных данных, без действий жертвы. Scope:Changed — кросс-тенантный доступ выводит это за рамки обычного auth bypass.
Платформа микросегментации сама не сегментирует доступ к своему API — SOC ищет угрозы внутри ЦОД, пока контроль над периметром уже потерян.Статья UNC1549 иранская APT кампания 2026: Job Lure, облачный C2 и detection для SOC
UNC1549 (Screening Serpens) развернула шесть RAT-вариантов за шесть недель: Job Lure под авиакомпанию, C2 через Azure, AppDomainManager hijacking — и ни одного стандартного алерта в SOC.Цепочка начинается с ZIP-архива «Hiring Portal» с реальными Job ID и PDF-вакансиями. Setup.exe показывает поддельную ошибку, пока в фоне идёт DLL sideloading. Затем — .config-файл с кастомным AppDomainManager: CLR грузит вредоносную сборку до старта основного кода. Это не zero-day — это документированный механизм .NET против самого приложения.
SOC видит чистые логи — AppDomainManager hijacking работает внутри CLR, не касаясь Windows Event Log.Статья vm2 sandbox escape: разбор трёх критических побегов CVSS 10.0 в Node.js
vm2 sandbox escape: три CVE с CVSS 10.0 — утечка host Object, prototype pollution через bridge proxy и инъекция в BaseHandler.getPrototypeOf дают полный RCE на хосте из Node.js-песочницы.CVE-2026-43997, CVE-2026-44005 и CVE-2026-44006 — три фундаментально разных примитива побега. Первый эксплуатирует Symbol(nodejs.util.inspect.custom) для получения прямой ссылки на host Object, затем два шага по цепочке obj.constructor.constructor до произвольного кода. Второй загрязняет прототип через bridge proxy. Третий бьёт в BaseHandler.getPrototypeOf.
vm2 строит изоляцию целиком в userland JavaScript — без V8 Isolates и OS-примитивов.
Библиотека deprecated с 2023-го — но качается миллион раз в неделю. Ваш AI-агент, скорее всего, тоже.Статья Защита корпоративных SaaS от взлома: разбор атак ShinyHunters на Salesforce и SharePoint
ShinyHunters взломала Salesforce-инстансы Cisco, Disney и FedEx без единого zero-day — только телефонный звонок и штатный OAuth-механизм. Один refresh token открыл bulk-экспорт CRM через кастомные Python-скрипты.Kill chain укладывается в четыре фазы: вишинг через Mullvad VPN с легендой IT-поддержки, OAuth consent на модифицированный Data Loader, SOQL bulk-экспорт объектов accounts/contacts/cases и латеральное движение в SharePoint. MITRE T1078.004, T1213.004, T1567.002 — ни малвари, ни CVE.
Детект строится на аномалиях OAuth: KQL-правила на нетипичные Connected Apps, alert на bulk SOQL (>1000 записей/мин), UEBA-базлайн по API-активности.
EDR молчит, SIEM молчит — легитимный API-токен не генерирует алертов. 39 жертв узнали об утечке из даркнета.Статья CVE-2026-34621 Adobe Acrobat Reader: kill chain zero-day, IOC и detection playbook
CVE-2026-34621 эксплуатировалась в энергетике пять месяцев до патча: ноль байт memory corruption, чистый prototype pollution через Object.prototype.__defineGetter__(), sandbox escape Acrobat — DEP, ASLR и CFG мимо. CVSS 8.6, CISA KEV, EPSS-перцентиль 93%.Kill chain ITW-сэмпла (SHA-256: 54077a5b…): JSFuck-обфускация в Object 11, задержка 500 мс для sandbox evasion, app.beginPriv() + чтение ntdll.dll для fingerprinting ОС. C2 — через штатный RSS-механизм Acrobat, User-Agent идентичен легитимному Adobe Synchronizer. Payload зашифрован AES-CTR, ключи в переменных deer/reindeer.
Sandbox вернул пустышку — C2 фильтровал аналитику на серверной стороне. Кейс закрыт как FP.Статья Bad Epoll (CVE-2026-46242): разбор Linux LPE уязвимости — от патча ядра до эксплуатации
CVE-2026-46242 (Bad Epoll): use-after-free в fs/eventpoll.c даёт root с надёжностью 99/100 — и работает из Chrome renderer sandbox, минуя большинство kernel-защит.Jaeyoung Chung из Seoul National University вскрыл race condition шириной в шесть инструкций в epoll-подсистеме Linux 6.4+. Два потока конкурентно закрывают связанные epoll-дескрипторы — Thread A очищает f_ep под f_lock, Thread B видит NULL, пропускает eventpoll_release_file() и вызывает file_free(). Thread A продолжает hlist_del_rcu() по уже освобождённому kmalloc-192. CVSS 7.8, CWE-416, MITRE T1068.
SOC не увидит LPE в логах — epoll-гонка не генерирует syscall-аномалий, только kernel crash или тихий root.