Форум информационной безопасности - Codeby.net
Статья Управление жизненным циклом Non-Human Identities: автоматизация provisioning, ротации и отзыва через policy-as-code
28,65 млн захардкоженных секретов в GitHub за 2025 год — плюс 34% к прошлому году. AI-credentials выросли на 81%. Соотношение NHI к human identities в cloud-native достигает 144:1, а 85% организаций не способны остановить атаку через машинные аккаунты.Kill chain через скомпрометированный NHI маппится на MITRE T1078.004 → T1552.005 → T1098.001: утёкший API-ключ из CI/CD-лога даёт Initial Access, затем Instance Metadata Service отдаёт временные credentials IAM-роли, атакующий добавляет резервные ключи — и ротация исходного секрета уже ничего не решает.
SOC ловит аномальные логины людей — NHI работает от легитимного машинного трафика. 292 дня до обнаружения.Статья Карьера в кибербезопасности 2026: roadmap от новичка до пентестера
20 кандидатов, ни один не объяснил TCP three-way handshake — зато у каждого в резюме «прошёл курс по кибербезопасности». Дефицит ИБ-специалистов в России — до 100 000 человек, вакансий к 2027 году станет в 1,6 раза больше.Roadmap разбит по месяцам: 1–3 — TCP/IP, VLAN, ARP, MITRE T1046, AD-аутентификация и PowerShell; 4–6 — веб-пентест, OWASP Top 10 (A01, A03, A05), DVWA, Juice Shop; 7–12 — Active Directory-атаки, BloodHound, Mimikatz, написание отчётов.
Зарплатные вилки — реальные, с HeadHunter 2024–2025: junior-пентестер в Москве от 70 000 ₽, Red Team-оператор senior — до 480 000 ₽. Главный фактор роста — не сертификаты, а портфолио из bug bounty и CTF.
Работодатели проверяют TCP-стек руками, а не диплом — курс без практики обнуляется на первом интервью.Статья Оценка киберрисков критической инфраструктуры: методология и фреймворки для OT/ICS
CVSS 6.5 на historian-сервере подстанции 110 кВ — и прямой канал до RTU, управляющих коммутационным оборудованием. Никаких ACL между Purdue Level 3 и Level 4. Физический импакт: обесточивание 40 тысяч жителей.IT-фреймворки ломаются в OT: Modbus TCP не имеет аутентификации, любой узел с доступом к порту 502 отправляет FC16 и перезаписывает регистры PLC. EDR-агенты не ставятся на Siemens S7-1200, SIEM слеп к трафику на Purdue Level 1–2, а firmware на SIS не обновляли годами — остановка стоит десятки миллионов.
CVSS считает риск в IT-метриках — в OT Medium может означать каскадное отключение района.Статья ClickFix атака через SQL-инъекцию CMS: разбор кампании Ghost CMS (CVE-2026-26980) и техники обнаружения
CVE-2026-26980 (CVSS 9.4): один HTTP-запрос к публичному Content API Ghost CMS — и атакующий забирает Admin API Key без единого credential. За 3 месяца после патча 700+ доменов, включая Harvard и Oxford, стали раздатчиками инфостилеров через ClickFix-цепочку.Blind SQLi в модуле slug-filter-order.js: значение параметра slug подставляется напрямую в ORDER BY через конкатенацию вместо параметризованного binding. PR:N, UI:N — зайти может кто угодно из интернета. PoC n0bitaemon/CVE-2026-26980-PoC и EDB-52555 публичны. Cloudflare WAF в дефолте пропускает вектор — ordering-параметры не попадают в ruleset.
SOC смотрит на PowerShell на эндпоинте — компрометация произошла на уровне CMS за 5 шагов до этого.Статья Пентест LLM и AI-систем: от OWASP LLM Top 10 до регуляторного маппинга находок
Банковский RAG-чатбот отдал системный промпт и API-ключи трёх микросервисов за 40 минут — через прямую prompt injection и манипуляцию контекстным окном. Burp Suite, Nuclei и ZAP не нашли ничего критичного.OWASP LLM Top 10 (2025) фиксирует prompt injection в 73% production-развёртываний. Kill chain стартует с LLM01 (T1190), затем — утечка системного промпта через LLM02, эскалация привилегий через tool calling агентов, lateral movement по RAG-пайплайну с векторной базой.
Классический WAF не видит prompt injection — атака идёт через естественный язык, а не структурированный синтаксис.Статья AI разработка эксплойтов: как LLM сжимают время от CVE до working exploit
CVE-2025-32433 (CVSS 10.0, CISA KEV) — рабочий RCE-эксплойт на Erlang/OTP SSH собрали за вечер: исследователь без знания языка скормил patch diff в GPT, получил root cause, затем Sonnet 3.7 через Cursor исправил протокольные ошибки.Workflow: три команды git для извлечения diff, один промпт — и LLM находит CWE-306 (отсутствие проверки аутентификации перед SSH_MSG_CHANNEL_OPEN). Первый PoC сломан на padding и key exchange init — Cursor правит за несколько итераций. Медиана exploit window: 756 дней в 2018-м, 32% эксплойтов появляются в день публикации CVE в H1 2025.
Квартальные пентесты и 90-дневные SLA проектировались под exploit window в месяцы — не в часы.Статья Уязвимости Cisco SD-WAN: цепочка эксплойтов от auth bypass до root и детекшн для SOC
UAT-8616 взломал Cisco SD-WAN без единого пароля: CVE-2026-20127 и CVE-2026-20182 (CVSS 10.0) дают административный доступ к vManage через DTLS-handshake bypass — CISA выпустила Emergency Directive 26-03, дедлайн устранения два дня.Цепочка начинается с auth bypass сервиса vdaemon через DTLS — неаутентифицированный атакующий получает NETCONF-доступ ко всей SD-WAN-фабрике (T1190). Следующий шаг: CVE-2026-20133 — утечка ключа vmanage-admin через vshell при привилегиях netadmin. Финал — CVE-2026-20245, эскалация до root на vManage. Одна нода, сотни edge-устройств под контролем.
CVSS 10.0 — а SOC смотрит на эндпоинты. vManage молчит в Windows Event Log.Статья Утечка данных через Zendesk: kill chain, detection gap и чеклист для SOC
Scattered Lapsus$ Hunters удерживала доступ к Zendesk Discord 58 часов — 8,4 млн тикетов, сканы паспортов, $3,5 млн выкупа. Вектор: BPO-агент, T1195 + T1078, без единого CVE.Kill chain начинается не в Zendesk, а у аутсорсера: фишинг-кит под Okta крадёт OTP, сессия захвачена, Zenbar открыт. Дальше — T1213 через `/api/v2/tickets` и Incremental Export API: 700 req/min на Enterprise, никакого архитектурного лимита на объём выгрузки авторизованным агентом.
Detection gap: SIEM видит легитимный HTTPS из Zendesk-диапазона — T1567 в чистом виде.
SOC мониторит эндпоинты — эксфильтрация идёт через helpdesk API. Windows Event Log молчит все 58 часов.