Разборы

26 августа 2025 года postinstall-payload в npm-пакете Nx - сборочной системе с 6 миллионами установок в неделю - сделал нечто, чего раньше в supply chain...

Из 12 внутренних аудитов СУИБ, которые я провёл за последние два года, в 9 случаях критические несоответствия были связаны не с отсутствием технических...

Три года назад я получил первую задачу на позиции junior-аналитика в MSSP: "Настрой MISP, подключи фиды, начни отдавать карточки для SOC-дежурных". На всё -...

Три года назад я писал эндпоинты на Django REST Framework и не задумывался, что request.data['user_id'] без проверки авторизации - готовая BOLA-уязвимость...

Четыреста успешных компрометаций из более чем 3000 атакованных российских организаций за первый квартал 2026-го. Средний ущерб утроился к апрелю - до 10...

275 миллионов скомпрометированных учёток в одном инциденте с Canvas. Каскадный сброс аутентификации на 200 000 устройств Stryker в 79 странах...

Три года назад я запустил программу повышения осведомлённости по кибербезопасности на 800 сотрудников логистической компании. Завершаемость первого модуля -...

На CTF отправляешь 500 байт в бинарный сервис, в GDB видишь 0x41414141 в EIP - адрес возврата перезаписан, выполнение под контролем. Дальше - segfault за...

Четверг, 14:30. Пентест веб-приложения для заказчика из healthcare-сектора США. В зависимостях Spring Boot - транзитивная библиотека четвёртого уровня...

По данным BlackFog (цитируется в обзоре Vectra AI за 2024 год), 93% атак с развёртыванием ransomware включали предварительную эксфильтрацию данных -...

У идентифицированных жертв APT36, по данным Bitdefender, одновременно крутились несколько параллельных имплантов - каждый на отдельном языке (Go, Nim, Zig...

На пентесте Azure-инфраструктуры финтех-клиента в начале 2026 года я нашёл SSRF в кастомном API-прокси за 40 минут: параметр source_url в...

Шесть RAT-вариантов за три месяца. С февраля по апрель 2026 года иранская APT-группировка Screening Serpens развернула два семейства вредоносного ПО против...

В 2026 году Белый дом подписал National Security Presidential Memorandum "Expanding Capabilities to Combat Transnational Cyber-Enabled Crime". Документ...

Отдельный вопрос, который часто остаётся за скобками методических материалов — сама форма подачи знаний. Помимо содержания сценариев, на усвоение материала...

CVE-2025-0282 - stack-based buffer overflow в Ivanti Connect Secure (CVSS 9.0, CWE-121/CWE-787) - попала в каталог CISA KEV 8 января 2025 года: активная...

SOC-аналитик фиксирует кластер алертов: 14 писем с .iso-вложением от домена, зарегистрированного 36 часов назад, разлетелись по трём департаментам за 20...

По данным Mandiant M-Trends 2025, 57% организаций узнают о компрометации от внешней стороны. Не от собственного SOC. Не от SIEM за десятки миллионов. Не от...

При аудите зависимостей fintech-сервиса я наткнулся на пакет, мейнтейнер которого привязал npm-аккаунт к email на домене со статусом pendingDelete в whois...

CVSS 10.0, один неаутентифицированный GET-запрос, приватный EC-ключ подписи JWT прямо в теле ответа. CVE-2026-40965 в Cloud Foundry UAA - из тех багов...

Прежде чем переходить к методологии, стоит зафиксировать контекст: 2025–2026 годы принесли заметное ужесточение регуляторной практики в сфере персональных...

Прежде чем переходить к разбору основных методик, стоит упомянуть ещё один подход, который часто встречается в практике оценки рисков ИБ, — FRAP...

Вот реальная ситуация из инфраструктурной атрибуции: при разборе фишинговой кампании на финансовый сектор несколько доменов удаётся связать с одной...

По данным Mandiant M-Trends 2025, в 38% подтверждённых инцидентов 2024 года начальный доступ получен через эксплуатацию уязвимостей - первый вектор атак...

На прошлом проекте по пентесту финтех-платформы мне достался REST API с 340 эндпоинтами. Первые два часа я тупо перебирал user_id в Burp Repeater -...

На внутреннем пентесте в прошлом квартале я оказался на захваченном GNU/Linux-хосте с Python 3.9 и стандартной библиотекой - ни nmap, ни masscan, ни...

В штатах пентестеры, получившие контракт на проверку физической безопасности объекта, периодически оказываются в наручниках - потому что в authorization...

В 2025 году атакующие компрометировали GitHub-репозитории через инъекцию в workflow-файлы, POST-запросами отправляя credentials на внешние эндпоинты. Ноль...

Понедельник, 9:15 утра. CloudTrail показывает 47 вызовов sts:GetCallerIdentity от IAM-ключа, который по документам принадлежит сервисному аккаунту Jenkins...

Четыре AppSec-инженера на 47 продуктовых команд - с такого расклада я начинал строить программу security champions в компании с тремястами разработчиками...