Сетевые технологии
Беспроводные сети, которые изначально создавались для работы в Интернете с мобильных устройств, сейчас используются повсеместно, в том числе для создания внутренних сетей компаний. Неудивительно, что их безопасность выходит на первый план. При взломе Wi-Fi учитывают особенности, характерные для проводных сетей, и свойства среды, в которой передаётся сигнал. В Wi-Fi проще получить доступ к передаваемым данным или повлиять на сам канал. И первой преградой на пути взломщика становится пароль. Безопасность беспроводных сетей обеспечивают по-разному. Существуют открытые системы, которые работают по тем же принципам, что проводные: подключиться к каналу и получать данные может кто угодно. WEP – первое поколение и стандарт защиты Wi-Fi, разработанный в 1990 году, сейчас почти не используется. WPA и WPA2 – второе поколение защиты. Стандарт поддерживает разные алгоритмы шифрования и шифрует данные каждого клиента по отдельности. В разделе собраны статьи и рекомендации по поиску уязвимостей Wi-Fi, а также выстраиванию защиты сети.
Статья Кибербезопасность критической инфраструктуры: полная карта защиты энергосетей, SCADA и OT-систем
Оператор водоочистной станции в Олдсмаре увидел, как курсор двигается сам. Кто-то через legacy-инструмент удалённого доступа пытался поднять концентрацию гидроксида натрия до уровня яда. Не было сегментации, не было мониторинга, не было MFA. Между 15 000 жителей и катастрофой — один внимательный сотрудник.Навигационный хаб по 9 материалам кластера: атаки на SCADA, сегментация OT по Purdue Model и Zero Trust, пентест Modbus, lateral movement из IT в OT, kill chain до ПЛК, иранские APT, ransomware в OT, VNC без аутентификации.
7 принципиальных отличий OT от IT: приоритет доступности, протоколы без аутентификации, цикл патчинга 29 месяцев, сканирование = риск аварии, жизненный цикл 25 лет, слепота стандартных EDR. IEC 62443, NERC CIP, NIST CSF 2.0 с адаптацией под промышленные среды. Чеклист 12 мер защиты критической инфраструктуры.
Air gap — миф. На каждом объекте найдётся Historian, dual-homed инженерная станция или забытый VPN-туннель вендора.Статья Микросегментация сети Zero Trust: практическое руководство по внедрению
В 3 из 5 аудитов Zero Trust внутри «защищённых» сегментов стояло правило permit any any — lateral movement шёл беспрепятственно. CISA 2025 прямо фиксирует: ошибки проектирования политик обнуляют все инвестиции в микросегментацию.Атакующий после T1078 (Valid Accounts) запускает T1046/T1018/T1049, затем движется через T1021 Remote Services — и классический VLAN с ACL не останавливает ни один шаг. East-west трафик периметровые средства не видят, всё внутри считается доверенным.
VLAN есть, отчёт красивый — а permit any any внутри сегмента даёт атакующему полный east-west.Статья Мисконфигурация облака как вектор атаки: полная карта угроз и защиты AWS, Azure и GCP
99% облачных инцидентов — вина клиента, не провайдера. Облачные вторжения выросли на 37% в 2025 году. Атаки с использованием валидных credentials — плюс 71%. Мисконфигурация облака — самый дешёвый вектор: не нужны эксплойты, хватает curl.Навигационный хаб по 9 материалам: открытые S3/Azure Blob/GCP Storage, SSRF к metadata endpoint (169.254.169.254), эскалация привилегий AWS IAM, credential theft и account takeover, CVE-2026-40175 в Axios, безопасность Terraform/CloudFormation, мисконфигурации Salesforce, атаки на serverless Lambda.
Kill chain из 6 этапов с маппингом MITRE ATT&CK: T1619 → T1078.004 → T1552.005 → T1530 → T1098.003. Чеклист 12 действий для немедленного аудита: Block Public Access, IMDSv2, Object Lock, аудит EBS-снапшотов. Таблица инструментов: Prowler, ScoutSuite, Trivy, Pacu — с реальными ограничениями каждого.
Security-команда мониторит трафик и...Статья Я поднял ловушку для хакеров и за 4 часа поймал ботнет, который живёт с 2018 года
Оставил SSH-дверь приоткрытой на дешёвом VPS с Cowrie-ловушкой и просто смотрел. Через несколько минут постучались. За четыре часа — почти 7 000 атак, 75 уникальных IP из 30 стран. И семь адресов из разных стран с одним и тем же бэкдор-ключом.SHA256 всех семи закачек совпал до байта. Ключ с подписью mdrfckr, команда rm -rf .ssh && echo "ssh-rsa..." >> authorized_keys — это Outlaw/Shellbot, ботнет с 2018 года. Семь IP сами жертвы: их когда-то взломали тем же приёмом, теперь они сканируют интернет за своих хозяев.
Топ паролей: 123456, 123, 1234 — и объяснение, почему Passw0rd с заглавной буквой ломается за секунды, а случайные 16 символов — дольше жизни Солнца. Как поднять такую же ловушку самому: VPS, Cowrie через Docker, переброс портов.
Противник — не хакер в худи, а конвейер автоматики, который круглосуточно долбит 123456 по всем адресам подряд.Статья Сегментация и защита OT-сетей: Purdue Model, промышленная DMZ и Zero Trust для ICS
На аудите нефтехимического завода Modbus/TCP от Siemens S7-1200 жил в одном VLAN с корпоративным файловым сервером. От ноутбука подрядчика до записи в holding-регистры ПЛК — 47 минут, два дырявых ACE-правила и ноль алертов в SIEM.Purdue Model уровни 2 и 3 на реальных объектах сливаются в плоскую подсеть — historian рядом с HMI без файрвола, «временно» уже три года. VPN подрядчика приземляется прямо на Level 2, минуя DMZ: MITRE ATT&CK T1199 Trusted Relationship даёт прямой маршрут в OT. Modbus/TCP FC6/FC16 выполняет запись в регистры без аутентификации от любого IP.
EDR молчит — в OT нет эндпоинтов под агентом. Атака на ПЛК невидима для SIEM до физических последствий.Статья Nginx reverse proxy: безопасность C2 и detection-чеклист для SOC
Шесть недель C2-канал Cobalt Strike через два Nginx-redirector'а — ноль алертов. Трафик маскировался под API-запросы к SaaS-порталу. На postmortem'е выяснилось: команда защиты не знала, какие артефакты оставляет Nginx в роли C2 redirector без расшифровки TLS.Механика: location с proxy_pass направляет URI из Malleable C2 Profile на team server, всё остальное — 302 redirect на microsoft.com. try_files как двойное дно: существующий файл отдаётся клиенту, несуществующий URI проксируется на C2. Аналитик проверил домен руками, увидел redirect на легитимный ресурс — закрыл тикет.
Detection без расшифровки TLS: JA3-хеши C2-фреймворков в базах, σ интервалов < 5 сек при среднем > 30 сек — beaconing, один хост на «News»-домен — аномалия, crafted URI возвращает не 404 — try_files с fallback на C2. Мониторинг новых location-блоков в /etc/nginx/ через auditd.
IP из алерта — расходный узел. За redirector'ом скрывается инфраструктура, которую вы ещё не видите.Статья Взлом медицинского оборудования: от fingerprinting до lateral movement через DICOM
Из 200 000 инфузионных насосов, проанализированных Unit 42, 75% содержали хотя бы одну известную уязвимость. 52% уязвимы к двум CVE с CVSS 9.8 — раскрытым в 2019 году. Шесть лет назад. На стенде картина та же: открытый текст, дефолтные пароли, прошивки без обновлений.Медицинская сеть — другая реальность: DICOM не требует аутентификации по дизайну, HL7 v2 передаёт клинические данные открытым текстом, плоские сети без сегментации, VxWorks вместо Windows. CVE-2019-12255 в TCP/IP стеке VxWorks (CVSS 9.8, EPSS Top 1%, EDB-47233) затрагивает МРТ, инфузионные насосы, мониторы пациентов — всё что работает на этой RTOS.
EDR не ставится на насосы и МРТ — несовместимая ОС. SIEM не парсит DICOM/HL7. Трафик на порту 104 воспринимается как нормальный. Чеклист пентеста из девяти шагов.
Вопрос не в том, обнаружит ли кто-то слабости — они давно каталогизированы. Вопрос — кто окажется в сети первым.Статья Пентест периметра сети: атаки на файрволы Palo Alto, Ivanti и cPanel
40 минут разведки через Shodan — 14 экспонированных management-интерфейсов финтех-компании. Три Palo Alto GlobalProtect без патчей, два Ivanti Connect Secure с открытым admin-порталом. За полтора дня — pre-auth RCE на двух устройствах и полный доступ к management plane файрвола без единой учётной записи.Пентест периметровых устройств — не «сканер + default credentials». Это полноценный web application pentest для каждого management-интерфейса: GlobalProtect portal как веб-приложение с API, Ivanti с цепочкой auth bypass + command injection, cPanel на нестандартных портах.
Decision tree выбора вектора по условиям на цели. Sigma-правило для детекции brute force, D3FEND-контрмеры. Десятишаговый чеклист от OSINT до ретеста.
Management-интерфейс открыли для подрядчика «временно» — и забыли закрыть. В этой пропасти между документом и конфигурацией работает пентестер.Статья Беспроводной пентест в 2025: атаки на Wi-Fi, Bluetooth и ZigBee
Red Team-проект для розничной сети. WPA3 в документации, Cisco WLC на площадке. Все AP — WPA3 Transition Mode. Три минуты hcxdumptool, PMKID без единого deauth-фрейма, 40 минут hashcat — PSK подобран, корпоративный VLAN открыт.Дальше: 14 BLE-замков на складских дверях без аутентификации на GATT-запись. ZigBee-датчики с дефолтным ключом шифрования в том же сегменте, что и СКУД. Один объект — три радиопротокола — три незакрытых вектора initial access.
PMKID-атака проходит мимо любого WIPS. Evil Twin на WPA2-Enterprise — перехват MSCHAPv2. WPA3 Transition Mode обесценивает миграцию. BLE GATT-enumeration и ZigBee-дамп через CC2531 — вне поля зрения стандартных средств мониторинга.
Беспроводной пентест, заканчивающийся на Wi-Fi — это проверка трети attack surface.Статья TCP/IP стек протоколов для хакера: флаги, рукопожатие и реальные атаки
Полгода назад на внутреннем пентесте мы перехватили TCP-сессию между сервером мониторинга и управляющей консолью — sequence number оказался предсказуемым, RST-инъекция сработала с первого пакета. 12 минут от обнаружения порта до разрыва чужого соединения.TCP/IP стек для хакера — не через академические модели, а через конкретные атаки. SYN-скан: почему open/closed/filtered — это три разных ответа на уровне флагов. FIN/NULL/XMAS — где работает, где stateful firewall убивает на корню. SYN flood: почему в 2025 году почти мёртв, и что с этим делать. RST-инъекция — самая неприятная слепая зона IDS: инжектированный RST с корректным sequence number неотличим от легитимного завершения сессии.
Фильтры Wireshark для каждого типа атаки, таблица флагов с применением, Scapy-скрипт для лаборатории.
Понимание TCP начинается когда открываешь Wireshark и руками разбираешь, почему Nmap показал filtered вместо closed.