Разборы

Понедельник, 9:17 утра. SIEM выбрасывает алерт: DLP-политика зафиксировала массовую выгрузку CSV с клиентской базой на внешнее облачное хранилище. К 10:00...

4 096 запросов к серверу - и plaintext лежит перед тобой без единого бита ключа. Первый раз я собрал padding oracle вручную на криптографическом CTF-таске...

В 2015 году Google Project Zero опубликовал exploit-код для уязвимости Windows за два дня до запланированного патча. Microsoft в ответном блоге назвала это...

На пентесте API-сервиса, стоявшего за nginx, административная панель /admin была закрыта стандартным location /admin { deny all; }. Прямой запрос к /admin -...

В информационной безопасности есть направления, которые на первый взгляд находятся на разных полюсах. Один специалист сидит перед несколькими мониторами...

На аттестации ГИС территориального ведомства в марте 2026 года проверяющий открыл оснастку Active Directory, посмотрел Default Domain Policy - Maximum...

Правовая и нормативная база в России Модель разделения ответственности в облаке Требования к выбору облачного провайдера Организационные меры обеспечения...

SaaS меняет модель контроля Кто отвечает за обработку ПДн? Локализация данных Оценка поставщика Технические меры защиты Организационные процедуры Требования...

Понедельник, 9:15 утра. Главбух логистической компании на 600 человек получает письмо от генерального директора - нужно срочно оплатить инвойс нового...

В январе 2024 года сотрудник финансового отдела гонконгской компании перевёл $25 миллионов после видеоконференции с "руководством". Все участники звонка...

Методология оформления отчётов Приоритизация рисков Формулировка рекомендаций, SLA на исправления, контроль исполнения, измерение эффекта (метрики...

Биометрия и поведенческая аутентификация стали заметной частью современной защиты доступа, потому что позволяют сократить зависимость от паролей, повысить...

На Standoff 365 за последний год я прошёл семь машин с веб-компонентом - в четырёх начальная точка входа оказалась SSTI. Машина Messenger стала...

Четверг, 14:40. Звонок от контрактной службы госзаказчика: "Ваш акт выполненных работ возвращён юротделом без подписи". Тестирование на проникновение...

Из 12 внутренних аудитов СУИБ, которые я провёл за последние два года, в 9 случаях критические несоответствия были связаны не с отсутствием технических...

Введение в AI Pentest (LLM): Как это работает и где применимо. AI Pentest – это использование моделей LLM для поиска, анализа и эксплуатации уязвимостей в...

Разработчики RTF LABS STUDIO продолжают серию исследований антибот-систем. На этот раз под прицел попал Microsoft с его реализацией PerimeterX (HUMAN...

Три года назад я запустил программу повышения осведомлённости по кибербезопасности на 800 сотрудников логистической компании. Завершаемость первого модуля -...

За последний год я трижды эксплуатировал insecure deserialization в .NET-сервисах на пентестах - дважды BinaryFormatter в legacy WCF, один раз кастомный...

Замените одну цифру в API-запросе - и вы читаете чужую банковскую выписку. Без инструментов, без эксплойт-чейнов, без zero-day. Просто другое число в URL...

В 2026 году Белый дом подписал National Security Presidential Memorandum "Expanding Capabilities to Combat Transnational Cyber-Enabled Crime". Документ...

На CTF-финале задача по web стоила 500 очков - решили её 2 команды из 40. Связка nginx + gunicorn, HTTP/1.1, connection reuse включён. Нужно было подбросить...

По данным Mandiant M-Trends 2025, 57% организаций узнают о компрометации от внешней стороны. Не от собственного SOC. Не от SIEM за десятки миллионов. Не от...

Прежде чем переходить к методологии, стоит зафиксировать контекст: 2025–2026 годы принесли заметное ужесточение регуляторной практики в сфере персональных...

Разработчики из команды RTF LABS STUDIO успешно реализовали алгоритм автоматического прохождения одной из самых сложных и продвинутых поведенческих защит на...

Прежде чем переходить к разбору основных методик, стоит упомянуть ещё один подход, который часто встречается в практике оценки рисков ИБ, — FRAP...

Взлом patrolpolice.gov.ua 09.08.2026 были проведены мероприятия по проникновению во внутреннюю инфраструктуру интернет-ресурса patrolpolice.gov.ua —...

По данным Mandiant M-Trends 2025, в 38% подтверждённых инцидентов 2024 года начальный доступ получен через эксплуатацию уязвимостей - первый вектор атак...

В штатах пентестеры, получившие контракт на проверку физической безопасности объекта, периодически оказываются в наручниках - потому что в authorization...

Четыре AppSec-инженера на 47 продуктовых команд - с такого расклада я начинал строить программу security champions в компании с тремястами разработчиками...