Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
Статья Пентест веб-приложений в 2026 году: полное руководство по методологии, инструментам и OWASP Top 10
94% веб-приложений содержат нарушения контроля доступа — но большинство из них автоматические сканеры не видят. OWASP ZAP отработал чеклист, Nuclei прогнал тысячи шаблонов, а пентестер вручную сменил один параметр и получил чужие данные.Навигационный хаб по 11 темам: методологии OWASP WSTG, PTES, NIST SP 800-115; 7 фаз пентеста от pre-engagement до отчёта; OWASP Top 10 2021 с акцентом на то, что пропускают сканеры; сравнение Burp Suite Pro, Nuclei, sqlmap, ffuf с реальными ограничениями; decision tree выбора вектора по стеку и модели доступа.
Пять ситуаций, где автоматика гарантированно провалится: IDOR, race conditions, бизнес-логика, DOM-based XSS, цепочки уязвимостей. Настройка лаборатории: OWASP Juice Shop в Docker, Kali Linux, Burp Suite Community — минимум для старта.
Grey box — самый продуктивный сценарий: большинство критических находок живут именно в тестировании авторизации с выданными учётными данными.Статья Атака на цепочку поставок MSP: разбор Kaseya VSA и защита RMM-инфраструктуры
REvil взломал Kaseya VSA через CVE-2021-30116 (CVSS 10.0) и за три часа зашифровал 1500 организаций — агент делал ровно то, для чего создан: выполнял команду с сервера.Kill chain стартовал с SQL-инъекции и раскрытия sessionId, затем certutil -decode распаковывал дроппер, MsMpEng.exe side-loading глушил Defender, vssadmin удалял теневые копии. T1190 → T1072 → T1562.001 — три техники MITRE, ни одного алерта в EDR.
Защита: сегментируй RMM-трафик на уровне VLAN, включи allowlist по IP для VSA-портов, верифицируй подпись каждого пакета обновления. KQL-правило — детект certutil -decode в дочерних процессах AgentMon.exe плюс UEBA-аномалия на массовый vssadmin delete shadows.
EDR молчал: MsMpEng.exe — доверенный процесс. Side-loading невидим без hash-верификации DLL.Статья Автоматизация threat intelligence: STIX 2.1, TAXII и интеграция платформ киберразведки с SOC
TAXII-коннектор молча терял 40% IOC — три тысячи индикаторов с confidence выше 80 не доходили до SIEM две недели. Причина: отсутствие пагинации по курсору next в STIX 2.1.Миграция с ручного обмена на автоматизированный TI-пайплайн ломается на деталях реализации. STIX 2.1 добавил нативный confidence score (0–100), объекты infrastructure и grouping, поддержку YARA-паттернов — старые коннекторы с whitelist-парсером всё новое молча отбрасывают. Поле spec_version: "2.1" в ingest pipeline Elastic отсеивает весь STIX 2.0 без единого алерта.
TAXII 2.1 разваливается на шаге пагинации: при шести коллекциях и интервале 5 минут каждая коллекция обновляется раз в 30 минут.
SOC видит тишину в алертах и ищет логику детекта — а данные просто не дошли до SIEM.Статья Украденные учётные данные как точка входа: от инфостилеров до атак уровня nation-state
Muddled Libra прошла от initial access до domain admin за ~40 минут — без единого эксплойта. Только украденные credentials из стилер-лога и встроенные средства Windows. CrowdStrike 2025: 75% вторжений используют T1078 Valid Accounts.Lumma Stealer, StealC — MaaS-подписка от $150/мес с конфигуратором билдера и техподдержкой. ClickFix-кампании вынуждают пользователя самому вставлять PowerShell-команду. Stealer log содержит URL/логин/пароль, cookies к M365 и Slack, hostname с fingerprint — session hijacking обходит TOTP-based MFA без следов shellcode в памяти.
EDR молчит — атакующий зашёл через парадный вход. 48 часов до domain admin при нулевых алертах.Статья Кибербезопасность критической инфраструктуры: полная карта защиты энергосетей, SCADA и OT-систем
Оператор водоочистной станции в Олдсмаре увидел, как курсор двигается сам. Кто-то через legacy-инструмент удалённого доступа пытался поднять концентрацию гидроксида натрия до уровня яда. Не было сегментации, не было мониторинга, не было MFA. Между 15 000 жителей и катастрофой — один внимательный сотрудник.Навигационный хаб по 9 материалам кластера: атаки на SCADA, сегментация OT по Purdue Model и Zero Trust, пентест Modbus, lateral movement из IT в OT, kill chain до ПЛК, иранские APT, ransomware в OT, VNC без аутентификации.
7 принципиальных отличий OT от IT: приоритет доступности, протоколы без аутентификации, цикл патчинга 29 месяцев, сканирование = риск аварии, жизненный цикл 25 лет, слепота стандартных EDR. IEC 62443, NERC CIP, NIST CSF 2.0 с адаптацией под промышленные среды. Чеклист 12 мер защиты критической инфраструктуры.
Air gap — миф. На каждом объекте найдётся Historian, dual-homed инженерная станция или забытый VPN-туннель вендора.Статья Detection Engineering: Sigma и YARA правила для детекции стеганографии и облачного C2 APT28
APT28 держала 42 хоста украинских военных структур под контролем — IOC-фиды молчали. C2 шёл через Icedrive, Filen и Koofr, шеллкод прятался в PNG. SigmaHQ (8000+ правил) не покрывает ни один из этих провайдеров.Operation Phantom Net Voxel: BEARDSHELL опрашивает Icedrive API каждые 4 часа, имя директории — FNV1a-хеш hardware fingerprint. COVENANT тянет C2-адреса из PNG через стеганографию T1027.003, трафик — ChaCha20-Poly1305 поверх TLS на порту 443.
Статья закрывает оба gap-а: Sigma-правило детектирует DNS-запросы к облачным провайдерам от non-browser процессов (svchost.exe на Icedrive — немедленный триггер), YARA бьёт по энтропийным аномалиям PNG, а не байт
SOC мониторит исполняемые файлы — PNG с шеллкодом sandbox не запустит, AV не сработает, DLP пропустит.Статья VNC без аутентификации в промышленных системах: от разведки Shodan до контроля HMI
40 секунд от Shodan до насосной станции: VNC без аутентификации на Wonderware InTouch открыл прямой доступ к HMI водоочистных сооружений — nmap -p 5900-5910 --script vnc-info, затем vncviewer, и физический процесс под контролем.На реальном пентесте три VNC-сервера на портах 5900–5902 работали без пароля. Kill chain по MITRE ATT&CK: T1596.005 — разведка через Shodan с запросом port:5900 "Authentication: (1) None", T1133 — прямое подключение, T1113 — скриншоты мнемосхемы, T1489 — модификация уставок давления мышкой через GUI.
IDS молчит — VNC-трафик легитимен. От initial access до физического воздействия один шаг, без C2 и payload.Статья Кибератаки на юридические фирмы: kill chain вымогателей и detection-чеклист для SOC
Группировка Play слила данные Dallis Law Firm — одна из семи жертв за неделю. ALPHV/BlackCat вынесла 3,6 ТБ из HWL Ebsworth за 72 часа: от spearphishing-вложения до шифрования через T1566.001 → T1078 → T1213 → T1490 → T1486.Kill chain стартует в 09:15 понедельника — партнёр открывает «график заседаний» с макросом. К 02:00 вторника атакующие уже в iManage или NetDocuments: один аккаунт без matter-сегрегации — доступ ко всему хранилищу. В 03:00 среды: vssadmin delete shadows /all /quiet, bcdedit, запуск шифровальщика.
SOC-чеклист: алерты на массовый доступ к DMS ночью, запуск 7z.exe с ключом -p, обращения к vssadmin и wmic shadowcopy.
Юрфирма хранит данные уровня Fortune 500 — при защите уровня SMB без IR-плана.