Инструменты пентестера
Статья Python для пентеста: пишем инструменты для автоматизации разведки, эксплуатации и пост-эксплуатации
За два года сотня Python-скриптов для Red Team-проектов. Ровно три заменили существующий инструмент. Остальные делали то, чего готовые тулзы не умеют: парсили нестандартный API, обходили кастомный rate-limiting, автоматизировали специфические цепочки атак.SYN-scan через scapy с пояснением почему ядро Linux отправит RST и как это исправить через iptables. Async перебор поддоменов на aiohttp с aiodns для реальной конкурентности и фильтрацией wildcard DNS. Сессионный brute-force с CSRF-токеном — почему простой requests.post() в цикле не сработает. Impacket для перечисления SMB-шар с рекурсивным поиском файлов-кандидатов.
Таблица: какую библиотеку выбрать под задачу по этапам kill chain. Что видит IDS/SIEM при каждой технике — сетевой уровень, EDR, WAF.
Скрипт для пентеста — не продакшн-код. Работает, не палится, экономит время — этого достаточно.де.Статья Кибербезопасность банков: векторы атак, техники пентеста и защита банковской инфраструктуры
Большинство банков узнают о компрометации не из алертов SOC, а из звонка регулятора. Между точкой входа и обнаружением — недели. За это время Cobalt и Silence проходят полный kill chain: от фишингового письма до управления SWIFT-терминалом.Карта предметной области из 11 тем: kill chain банковских атак по четырём фазам, 8 векторов от фишинга до ransomware, пентест в форматах black/grey/white box, SWIFT и HSM, уязвимости банковских API (BOLA, IDOR, rate limiting), ATM-jackpotting и shimming, банковские трояны, обход антифрод-систем, threat hunting в SOC.
Регуляторный стек: ГОСТ Р 57580, PCI DSS 4.0, 683-П и 821-П, ФЗ-187, ГосСОПКА. Технический стек защиты: микросегментация, EDR, WAF, SIEM с detection engineering.
Банки, которые сейчас инвестируют в реальный пентест вместо compliance-отчёта — окажутся в выигрыше. Остальные узнают о взломах из новостей.Статья LLM для поиска уязвимостей в коде: практический workflow от SAST до PoC
За $28.50 в API-кредитах LLM-агент скомпрометировал четыре из пяти хостов в AD-лаборатории. RapidPen получает shell за 200–400 секунд при стоимости $0.30–$0.60 за цель. Тот же класс моделей уверенно описывает use-after-free в коде, который вообще не работает с динамической памятью.LLM в аудите кода — не сканер, а прослойка между Semgrep и ручным review. Пошаговый workflow: Semgrep фильтрует паттерны → LLM прослеживает dataflow с контекстом типов → ручная верификация гипотез. False positive rate без верификации — 30–70%. Три прогона с вариациями промпта вместо одного — обязательный минимум.
Пять антипаттернов GPT vulnerability scanner: весь репозиторий в один промпт, один прогон как финальный вердикт, облачный API для NDA-кода. Кастомное правило Semgrep + YAML. Таблица сравнения LLM vs Semgrep vs CodeQL vs ручной аудит.
Разрыв в семь раз между лабораторным бенчмарком (87%) и реальностью (13%). Закрывают слайдами, а не методологией.Статья Валидация безопасности в 2026 году: BAS, автоматизированный пентест и ручное тестирование — полное руководство
Восьмизначный бюджет на NGFW, EDR, SIEM, WAF. На бумаге — покрытие по каждому вектору. На практике — ни одну из этих систем никто не проверял реальной атакой. Объём атак с шифрованием упал на 38%, эксфильтрация через легитимные облачные API стала основным вектором.Три метода валидации и где каждый слеп: BAS проверяет контроли непрерывно, но не строит реальных цепочек атак. Автоматизированный пентест строит attack paths, но не видит detection stack. Ручное тестирование закрывает то, что автоматизация не закроет никогда — бизнес-логику, EDR-evasion под конкретного вендора, реакцию SOC.
Три мифа, из-за которых программы проваливаются. Таблица платформ BAS 2026 с ценами. Decision tree по уровням зрелости от $500K до $2M+.
BAS-платформа без Purple Team workflow — дорогой генератор PDF-отчётов.Статья IoT уязвимости: как проверить умную колонку, роутер и смарт-ТВ
binwalk на прошивке роутера TP-Link 2021 года — захардкоженный root:root в /etc/shadow. Три минуты от скачивания firmware до полного доступа к файловой системе. Актуальная прошивка с сайта вендора. Это не уникальный случай — это типичный уровень IoT уязвимостей на каждом втором устройстве.Роутер: полное сканирование nmap, binwalk -e и поиск секретов в squashfs-root. Умная колонка: MQTT без аутентификации — mosquitto_sub -t '#' читает все команды устройств в сети. Смарт-ТВ: открытый ADB на порту 5555 — полноценный шелл без пароля, BadBox 2.0 накрыл 10+ млн устройств. DIAL без авторизации — запуск приложений из любой точки сети.
Чеклист из 11 пунктов, таблица детектируемости по MITRE ATT&CK и что увидит IDS при каждом действии.
Через домашний роутер сотрудника атакующий попадает в VPN-туннель к корпоративной сети.Статья Балансировка сложности CTF заданий: от кривой difficulty до борьбы с unintended solutions
Региональный студенческий CTF, 28 тасков. Семь не решила ни одна команда за 48 часов, пять сдали все в первые 40 минут. Лидерборд замер к середине соревнования. Post-mortem показал банальное — дыра в кривой difficulty посередине и отсутствие плейтестинга.Пропорции по уровням, decay-скоринг, категориальный баланс — с конкретными формулами и настройками для CTFd. Unintended solutions: старшеклассник ввёл NaN в поле суммы, atof() вернул IEEE 754 Not a Number, guard-условие с NaN всегда false, флаг получен без intended решения.
Чеклист из 10 контрольных точек перед деплоем таска. Четыре типа unintended с профилактикой. Антигессинг-паттерны: направляющее описание, правило одного поискового запроса, независимость тасков.
Мои оценки сложности ошибаются примерно в четырёх случаях из десяти. Decay компенсирует часть ошибок. Всё остальное — плейтестинг и post-mortem.Статья DFIR инструменты 2025: Velociraptor, KAPE, EZ Tools и Autopsy — настройка лаборатории и сбор артефактов
Понедельник, 9:15. Три алерта на Event ID 7045 на хостах бухгалтерии. К 10:00 — восемь машин: lateral movement прямо сейчас. Задача — за час собрать артефакты с 30+ хостов без перезагрузки и без потери chain of custody.Velociraptor — VQL-hunt на тысячи хостов одновременно, live-данные в реальном времени. KAPE — триаж одного хоста за 15 минут через EDR или USB. EZ Tools — MFTECmd находит Timestomp по расхождению $SI и $FN timestamps, PECmd вытаскивает историю запусков из Prefetch, EvtxECmd ловит очистку логов через Event ID 1102. Autopsy — единственный в стеке, кто видит удалённые файлы в unallocated space.
Инструменты не конкурируют — работают последовательно. От первого алерта до итогового отчёта — 11 часов.
Проблема DFIR в 2025 не в инструментарии. Проблема — в мышечной памяти.Статья Метрики управления уязвимостями: MTTP, SLA по severity, coverage rate и реальная эффективность VM-программы
Дашборд VM-программы показывает «80% критикалов закрыто». Восемьдесят процентов считались по Low и Medium на рабочих станциях с автопатчем через WSUS. Среднее время от публикации CVE до устранения — 29 месяцев. Среднее время нахождения атакующего в сети — 11 дней.MTTP для Critical на периметральных сервисах выше 11 дней — атакующий быстрее вашей VM-команды. Агрегированный MTTP скрывает это: Critical закрывается за 45 дней, Low за 3 (автопатч), среднее — 14, выглядит прилично.
SQL-запрос расчёта MTTP по severity с фильтром активных хостов. SLA-пороги с override: CVE в CISA KEV → 7 дней независимо от CVSS. EPSS > 0.5 при CVSS ≥ 7.0 → 14 дней. Coverage rate — где врёт и как аудировать знаменатель.
Coverage rate 98% от неполного CMDB — не реальное покрытие. 200 Lambda-функций в знаменатель не попали.Статья Расследование кибератаки: полная карта Incident Response от обнаружения до отчёта
57% организаций узнают о компрометации от внешней стороны — партнёра, регулятора или журналиста. Не от своего SIEM. Медиана нахождения атакующего в сети до обнаружения — 11 дней. За это время — полный kill chain от фишинга до шифрования инфраструктуры.Карта темы из 9 подтем: от первых 30 минут triage до IR-отчёта и разбора реальных атак. NIST vs SANS — чем отличаются и когда какой выбирать. Три стратегии сдерживания, которые не останавливают бизнес. Минимальный DFIR-стек с инструментами и условиями применения.
7 ошибок, которые уничтожают доказательства — каждая из реальных расследований. Чеклист из 16 пунктов для команды. Маппинг ransomware kill chain на MITRE ATT&CK.
Инструмент без понимания, что он должен показать — дорогой шум. Героизм не масштабируется. Процесс — масштабируется.Статья IR отчёт по инциденту: структура, timeline и IOC-приложения для бизнеса и техкоманды
Ransomware-кейс закрыт за 52 часа. Containment — 4 часа, ни один критичный хост не потерян. А потом начался второй инцидент — оформление результатов. Страховая отклонила выплату из-за нечёткой хронологии. Регулятор запросил разъяснения. CISO не смог объяснить масштаб ущерба совету директоров.Два документа вместо одного: executive summary на 1–2 страницы для руководства и юристов, технический отчёт с timeline в UTC, root cause по методологии 5 Whys, маппингом на MITRE ATT&CK и IOC-приложениями в STIX 2.1 и YARA.
Root cause — не «пользователь кликнул». Это отсутствие процесса управления привилегированными учётками. Именно эта формулировка ведёт к remediation.
Чеклист из 17 пунктов перед передачей отчёта. Меньше 12 — у вас та же проблема, что у большинства команд.