Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
На проверке Responsible disclosure уязвимостей: от Bugtraq до правил публикации в 2026 году
29 месяцев — среднее время от публикации CVE до патча по IBM X-Force. Пока vendor молчит, T1596 и T1595.002 работают против вас: атакующие сканируют цели быстрее, чем вы публикуете advisory.Bugtraq 1993 года, Full Disclosure mailing list, Google Project Zero с жёстким правилом 90 дней — три эпохи одной проблемы. Full disclosure даёт атакующим T1588.006 и T1190 готовыми, private disclosure позволяет vendor'у молчать вечно.
CVD по ISO/IEC 29147 — компромисс: security.txt по RFC 9116, приватный отчёт, дедлайн 90-120 дней, потом advisory. HackerOne, Bugcrowd, Standoff Bug Bounty дают safe harbor исследователю и структуру vendor'у.
38% инцидентов 2024 — эксплуатация CVE. Не патч медленный, а сам процесс дисклоузинга ломается.На проверке CVE-2026-42208: SQL-инъекция в LiteLLM — эксплуатация через Authorization header
Одна кавычка в Authorization: Bearer — и LiteLLM AI Gateway сливает ключи OpenAI, Anthropic и AWS Bedrock без единого валидного токена. CVE-2026-42208, CVSS 9.3, EPSS 0.89, уже в CISA KEV.Уязвимость живёт в v1.81.16–1.83.6: Bearer-токен конкатенируется в SQL-запрос к LiteLLM_VerificationToken до проверки аутентификации. CWE-89, error-handling path, sqlmap заходит через `' UNION SELECT ...--` без rate limit и авторизации.
Fingerprint через GET /health и /v1/models выдаёт версию и список провайдеров. Патч — v1.83.7 с параметризацией. Workaround — disable_error_logs: true. IOC — аномальные 500-ответы с фрагментами PostgreSQL-ошибок в логах прокси на порту 4000.
SOC ищет SQLi в теле запроса — эксплойт сидит в заголовке Authorization, куда WAF обычно не заглядывает.Статья CVE-2026-45631: Dokploy уязвимость — захват PaaS-платформы через hardcoded secret и поддельный JWT
CVSS 10.0. Dokploy — self-hosted альтернатива Heroku — содержит fallback-секрет better-auth-secret-123456789 прямо в публичном репозитории. Неаутентифицированный атакующий подделывает JWT верификации email, получает сессию администратора и открывает встроенный SSH-терминал на хосте.CWE-798, версии 0.27.0–0.29.3. Better Auth ищет BETTER_AUTH_SECRET, не находит — подставляет захардкоженную строку. Ключ подписи публичен для каждой инсталляции без переопределённой переменной. Auto-sign-in даёт админ-сессию без пароля, T1190 плюс T1606.
Проверьте BETTER_AUTH_SECRET в .env — дефолт означает полную компрометацию хоста через панель.
Патч версии не спасает старые контейнеры — секрет остаётся дефолтным, пока переменная не переопределена вручную.Статья Защита CI/CD инфраструктуры: векторы атак, detection и харденинг пайплайнов
Ноль CVE, ноль обхода EDR — Shai-Hulud угнал GitHub PAT через один YAML в workflow, прогнал TruffleHog по репозиторию и заразил сотни npm-пакетов за одну волну.Цепочка одинакова для GitHub Actions, GitLab CI, Azure DevOps: украденные creds → модификация `.github/workflows/` → сбор секретов через curl или python requests → lateral movement в облако. Второй вектор — `pull_request_target` без SHA-пиннинга actions пускает код из форка прямо к секретам базового репо.
Детект по OWASP CICD-SEC-6: новые `env:` и `secrets.*` в diff, ранее не использовавших их jobs, свежие сетевые вызовы в build-шагах.
Секретов боятся серверов — а YAML-файл в репозитории с write-доступом опаснее открытого порта.Статья Утечка секретов в CI/CD: как API-ключи утекают через GitHub, GitLab и Jenkins
Ключ Jenkins-сервисного аккаунта запускает EC2 в ap-southeast-1, где нет ни одного вашего ресурса — виновник найден через час: env | sort в debug-шаге, забытый три недели назад.47 вызовов sts:GetCallerIdentity, GuardDuty-алерт, и вот уже T1078 в чистом виде. GitGuardian: 12,8 млн секретов на GitHub за год, Nord Stream от Synacktiv автоматизирует Poisoned Pipeline Execution через pull_request_target и ворует org-level секреты за минуты.
Jenkins build logs маскируют только withCredentials{} — printenv и TF_LOG=DEBUG сливают токены открытым текстом всем с Job/Read.
Утечка не в коде — в логах сборки. Приватный репозиторий страдает от hardcoded-секретов чаще публичного.Статья CVE-2026-21861 baserCMS: уязвимость OS Command Injection через функцию обновления ядра
baserCMS 5.2.3: параметр php из формы обновления ядра летит прямиком в exec() — без escapeshellarg(), без allowlist. CVE-2026-21861, CVSS 9.1, PoC уже в advisory.PluginsController::get_core_update() берёт $php из POST и конкатенирует в shell-команду дважды — как путь к бинарнику и как аргумент --php. CSRF-токен валиден, сессия легитимна — SecurityComponent CakePHP тут бессилен, это RCE на уровне серверного кода.
Ищите в WAF payload с `;`, `|`, `` ` ``, `$()` в теле POST на /baser-core/plugins/get_core_update. В SIEM — exec() спавнящий bash от www-data, KQL по child-процессам PHP-worker'а, allowlist параметра php на уровне nginx.
Атакующему не нужен root — обычный admin-аккаунт CMS уже даёт CVSS Scope:Changed до полного контроля хоста.Статья Как построить SOC с нуля: команда, роли, инструменты и первые 90 дней
11 дней — медианное время в сети атакующего по Mandiant M-Trends 2025, при этом 57% компаний узнают об инциденте от третьих лиц, а не от своего SOC.On-prem SIEM выходит на режим 24/7 за 12-18 месяцев и 30-50 млн CAPEX, гибрид с MSSP-провайдером на L1 (BI.ZONE TDR, Solar JSOC, Kaspersky MDR) закрывает мониторинг за 3-6 месяцев. Для КИИ по ФЗ-187 сроки уведомления ГосСОПКА — от 3 до 24 часов, чистый MSSP тут не пройдёт без аккредитации провайдера.
Три роли для старта: SOC Manager, аналитик L1/L2, Detection Engineer — без тимлида аналитики закрывают алерты как FP без критериев эскалации.
Нанять трёх L1-аналитиков без руководителя — гарантированный провал: некому объяснить, что считать инцидентом.Статья Гибридный SOC на практике: как распределить функции между внутренней командой и провайдером
MSSP «проспал» lateral movement по RDP T1021.001 — об аномальных подключениях между серверами узнали через 14 часов, атакующий уже закрепился. После пересмотра матрицы функций MTTD на аналогичный сценарий упал до 23 минут.63% организаций используют гибридную модель SOC, но только у 20% реально работают все три компонента — люди, процессы, технологии. Провайдер без доступа к контексту сети превращается в TSSP — ticketing security provider, генерирующий тикеты вместо реагирования.
Threat hunting, containment и кастомный detection-контент нельзя отдавать наружу — провайдер видит шаблоны, не аномалии вашей инфраструктуры.
Гибрид не про экономию, а про разграничение — без RACI-матрицы гибкость превращается в хаос и потерю MTTD.Статья CVE-2026-33757: уязвимость OpenBao — Session Fixation через JWT/OIDC в secrets management
CVE-2026-33757: OpenBao с callback_mode=direct отдаёт vault token атакующему через одну фишинг-ссылку — жертва просто кликает и логинится в IDP. CVSS 9.6, полтора часа на PoC на тестовом стенде.Root cause — CWE-384, session fixation в OIDC callback. Атакующий инициирует auth request, шлёт auth URL жертве, IDP возвращает code в API OpenBao, а не в браузер жертвы — токен привязывается к сессии атакующего, дальше поллинг API и кража database credentials, API-ключей облака, SSH-ключей.
Патч в 2.5.2, коммит e32103951925.
EPSS показывает 0.41% — нишевость OpenBao обманчива, точечная атака на fintech лишь вопрос времени.Статья Обнаружение Rowhammer атак через perf counters, PEBS и uncore-счётчики: практический гайд
Phoenix: 139 000 активаций строки DRAM — и бит переворачивается. ETH Zurich получила надёжный bit-flip во всех 15 модулях DDR5 SK hynix, privilege escalation через PTE за ~109 секунд. Ни одного CVE в софте.Три вектора без программных уязвимостей: обход sudo (T1068), компрометация RSA-2048 через искажение ключа в памяти, произвольное чтение через модификацию PTE. Атака бьёт clflush и multi-sided паттернами (Blacksmith), каждая итерация — LLC-miss в MEM_LOAD_RETIRED.
Детект строится на PEBS L3_MISS, uncore ACT_COUNT контроллера памяти и корреляции с CE-событиями EDAC/rasdaemon. На AMD Zen 2/3 — IBS вместо PEBS. Требуется bare-metal или vPMU, CAP_PERFMON, perf_event_paranoid ≤0.
SIEM и EDR аппаратный уровень не видят вообще — атака невидима там, где ищут все.