Кибербезопасность
По данным последних исследований IT, каждые четыре секунды в компьютерную сеть компании попадает вредоносная программа и каждые 32 минуты за пределы организации уходит ценная информация. Утерянные данные могут стать источником манипуляций, поэтому так важно выстроить максимально эффективную защиту. Обеспечить информационную безопасность можно сотнями способов, сочетая разные продукты – антивирусы, межсетевые экраны, SSL-сертификаты, разграничение правд доступа, системы защиты от DDoS-атак. Важнейшей стороной информационной безопасности становится определение угроз, а это невозможно без определения объектов защиты. Только поняв, что и от чего мы защищаем, можно выстроить грамотную оборону. Сейчас актуален переход к облачным решениям, которые дают возможность быстро развёртывать системы безопасности, отдавая их управление поставщикам облачных сервисов. В этом разделе собраны актуальные материалы об информационной безопасности от построения информационной защиты до её оптимизации.
На проверке Гибридный SOC на практике: как распределить функции между внутренней командой и провайдером
MSSP «проспал» lateral movement по RDP T1021.001 — об аномальных подключениях между серверами узнали через 14 часов, атакующий уже закрепился. После пересмотра матрицы функций MTTD на аналогичный сценарий упал до 23 минут.63% организаций используют гибридную модель SOC, но только у 20% реально работают все три компонента — люди, процессы, технологии. Провайдер без доступа к контексту сети превращается в TSSP — ticketing security provider, генерирующий тикеты вместо реагирования.
Threat hunting, containment и кастомный detection-контент нельзя отдавать наружу — провайдер видит шаблоны, не аномалии вашей инфраструктуры.
Гибрид не про экономию, а про разграничение — без RACI-матрицы гибкость превращается в хаос и потерю MTTD.На проверке CVE-2026-33757: уязвимость OpenBao — Session Fixation через JWT/OIDC в secrets management
CVE-2026-33757: OpenBao с callback_mode=direct отдаёт vault token атакующему через одну фишинг-ссылку — жертва просто кликает и логинится в IDP. CVSS 9.6, полтора часа на PoC на тестовом стенде.Root cause — CWE-384, session fixation в OIDC callback. Атакующий инициирует auth request, шлёт auth URL жертве, IDP возвращает code в API OpenBao, а не в браузер жертвы — токен привязывается к сессии атакующего, дальше поллинг API и кража database credentials, API-ключей облака, SSH-ключей.
Патч в 2.5.2, коммит e32103951925.
EPSS показывает 0.41% — нишевость OpenBao обманчива, точечная атака на fintech лишь вопрос времени.Статья Обнаружение Rowhammer атак через perf counters, PEBS и uncore-счётчики: практический гайд
Phoenix: 139 000 активаций строки DRAM — и бит переворачивается. ETH Zurich получила надёжный bit-flip во всех 15 модулях DDR5 SK hynix, privilege escalation через PTE за ~109 секунд. Ни одного CVE в софте.Три вектора без программных уязвимостей: обход sudo (T1068), компрометация RSA-2048 через искажение ключа в памяти, произвольное чтение через модификацию PTE. Атака бьёт clflush и multi-sided паттернами (Blacksmith), каждая итерация — LLC-miss в MEM_LOAD_RETIRED.
Детект строится на PEBS L3_MISS, uncore ACT_COUNT контроллера памяти и корреляции с CE-событиями EDAC/rasdaemon. На AMD Zen 2/3 — IBS вместо PEBS. Требуется bare-metal или vPMU, CAP_PERFMON, perf_event_paranoid ≤0.
SIEM и EDR аппаратный уровень не видят вообще — атака невидима там, где ищут все.Статья Как защитить аккаунты от взлома в 2026: пошаговое руководство
6,2 млн аккаунтов Instagram слиты в январе 2026, а через два месяца пробили саму Aura — компанию, продающую защиту от кражи личности. Credential stuffing, инфостилеры Lumma и StealC, SIM-swap — не APT, а чужой пароль из старой утечки.T1110.004 и T1539 по MITRE ATT&CK работают без zero-day: украденный cookie сессии проходит мимо 2FA, сервер видит валидный токен. Сменили пароль — а инфостилер на заражённом устройстве тут же ворует новую сессию заново.
Правильный порядок восстановления: чистка устройства, смена пароля, принудительный logout всех сессий, и только потом 2FA. Bitwarden с 16+ символами генератора закрывает 45% паролей, ломаемых за минуту.
SOC чинит пароли — атакующий уже сидит в сессии через cookie, обходя всю 2FA полностью и незаметно.Статья Cross-VM Rowhammer атака: как переворот битов в DRAM ломает изоляцию арендаторов в облаке
Ohio State в 2016-м переворачивает биты DRAM с вредоносной VM на Xen и читает физическую память соседа по хосту — Stormshield годом позже обходит libpam на KVM и логинится без пароля. RAMBleed тянет ключи через CVE-2019-0174, атака Phoenix бьёт sudo на DDR5.Co-location через массовую аренду VM в одной availability zone, THP собирает 2 МБ huge pages — на Sandy Bridge биты 18-33 дают 8 строк DRAM для double-sided hammering. Маппинг адресов через /proc/self/pagemap, PTE жертвы переписываются напрямую из соседней VM.
Отключайте THP на shared hosts, мониторьте ECC-коррекции и аномальные ACTIVATE-паттерны через perf counters на memory controller.
Патч ядра тут бессилен — уязвимость сидит в кремнии конденсаторов DRAM, а не в коде гипервизора.Статья Кража интеллектуальной собственности через кибератаки: kill chain, TTP и detection для R&D-компаний
Хакеры сидели внутри Nortel Networks почти десять лет — читали почту, копировали CAD-файлы, тянули патентные заявки. Компания обнаружила компрометацию в 2009-м, когда спасать было нечего: банкротство.Insider threat остаётся незамеченным в среднем 142 дня — а для R&D-компании это разница между рынком и его потерей. Статья разбирает полный kill chain промышленного кибершпионажа: от spearphishing (T1566.001) с delayed-execution макросами до массового git clone репозиториев (T1213.003) и exfiltration через Rclone.
SOC мониторит эндпоинты — APT работает через валидные учётки инженеров. EDR молчит.Статья OWASP ASVS v5.0.0: ключевые обновления стандарта верификации безопасности приложений
OWASP ASVS v5.0.0 вышел на Global AppSec EU — первый мажорный релиз за шесть лет: 350 требований, 17 глав вместо 14, полная перенумерация контролов и четыре новые главы под OAuth, WebRTC, JWT и фронтенд.L1 сократился с ~130 до ~70 контролов, L2 вырос до ~175, а L3 добавил ~90 новых требований поверх L2 — включая sender-constrained токены через mTLS и DPoP, постквантовую криптографию и расширенное логирование. Все ссылки вида v4.0.3-2.1.1 в отчётах и чеклистах невалидны — маппинг v4→v5 лежит в репозитории OWASP на GitHub.
V10 OAuth and OIDC — самая содержательная новинка: 16 новых требований только в разделе Authorization Server, 5 из которых L3.
Black-box пентест больше не закрывает даже L1 — OWASP v5.0 это прямо зафиксировал.Статья Обнаружение угроз в облаке: настройка GuardDuty, CloudTrail и Defender for Cloud для охоты на атакующих
EC2-инстанс слил временные IAM-credentials через Instance Metadata Service (T1552.005) — и за 3 часа атакующий прошёл от DescribeInstances до GetObject на S3 с клиентскими данными. SOC среагировал после обеда.GuardDuty поднял UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS в 9:15, но без organization-level CloudTrail с data events S3-эксфильтрация (T1530) осталась в слепой зоне. Атакующие целенаправленно работают в нетипичных регионах — ap-southeast-1 вместо eu-west-1 — зная, что trail там отключён.
GuardDuty молчит по data events S3 без отдельного S3 Protection Plan — именно там живёт эксфильтрация.Статья Уязвимость нулевого дня: жизненный цикл, реальные CVE и процесс патчинга
75 zero-day за 2024 год — и 29 месяцев до реального патча в организациях. Time-to-exploit после публикации CVE сжался до 5 дней против 32 в 2018-м. CVE-2026-20127 в Cisco SD-WAN: CVSS 10.0, EPSS 99.75-й перцентиль, обход аутентификации без единого пароля.Жизненный цикл zero-day — шесть этапов от CWE-287 до боевого эксплойта. Discovery через patch diffing в BinDiff, фаззинг AFL, реверс в Ghidra. Weaponization по T1587.004, эксплуатация через T1190 — Exploit Public-Facing Application. 38% всех initial access в M-Trends 2025 — именно эксплойты.
CVE-2026-22769 в Dell RecoverPoint: hardcoded credentials (CWE-798), root-доступ без аутентификации.
Патч выпущен — атака продолжается. 0-day становится n-day, окно эксплуатации не закрывается.Статья Unauthenticated RCE в корпоративных платформах: разбор техники на примере ServiceNow
CVE-2024-4879 (CVSS 9.3) и CVE-2024-5217 (CVSS 9.2) в ServiceNow дают pre-auth RCE без единого шага аутентификации — EPSS 99.98%, обе в CISA KEV с 29 июля 2024. Self-hosted инстансы Utah/Vancouver/Washington DC до сих пор непропатчены в реальных скоупах.Цепочка идёт через двойную оценку Apache Jelly: переменная jvar_page_title принимает тег style, внутри которого payload минует санитизацию и обрабатывается как XML. Подмена xmlns выводит из пространства имён ServiceNow — дальше GlideRecord.addQuery с префиксом javascript: исполняет произвольный JS в контексте платформы.
Script sandbox запрещает eval именно потому, что его вызов исполняет код вне ограничений — это задокументированный побег.