Разборы

На пентесте финтех-компании нашёл IDOR в API личного кабинета - подмена идентификатора открывала доступ к чужим транзакциям. Классический Broken Access...

Подписанный валидным сертификатом разработчика бэкдор, месяц раздававшийся с официального сайта вендора. Не модель угроз на слайде - реальная кампания...

По данным Mandiant M-Trends 2025, 57% организаций узнают о компрометации не от собственного SOC, а от внешней стороны - вендора, партнёра, а иногда и от...

Антон Субботин - топ-1 русскоязычный исследователь на HackerOne на начало 2022-го - публично сообщал о заморозке порядка $50 000 за уже принятые и...

По данным GitGuardian State of Secrets Sprawl Report 2024 (данные за 2023 год) - 12,8 миллионов новых секретов на публичном GitHub. И значительная часть...

Ненастроенный SAST - генератор шума. На практике дефолтные правила выдают 60-90% ложных срабатываний, а после тюнинга показатель падает до 10-20%. Для...

Три квартала я выстраивал систему AppSec-метрик в компании с 40 микросервисами и двумя SAST-сканерами в пайплайне GitLab CI. Первый отчёт для CISO показал...

Управление информационной безопасностью для начинающих: с чего начать Управление ИБ строится на фундаменте технических и организационных навыков - без них...

242 миллиона рублей - столько суммарно выплатила исследователям платформа Standoff Bug Bounty за три года (данные Positive Technologies, май 2025). Активных...

На Bugcrowd хантер с более чем 130 репортами уровня P1 получил выплаты за три дубликата - не потому что нашёл уязвимость первым, а потому что качество его...

Скомпрометированы оказались не внутренние серверы компании, а сторонняя платформа поддержки клиентов - имена, email-адреса и пароли попали в открытый доступ...

За последние два года я участвовал в разборе четырнадцати инцидентов с подтверждённым инсайдером. В восьми из них организация потеряла контроль над...

Начало рабочей недели. Дашборд Elastic SIEM чист - ни одного критического алерта за выходные. Красота. Через два часа сетевой инженер замечает аномальный...

Два года я администрировал Windows-инфраструктуру на 800 хостов: GPO, WSUS, Exchange, файловые шары с квотами. В один из дежурных вечеров Event Viewer...

Практическое исследование с PoC-лабораторией: как атакующий использует CoreDNS для discovery, exfiltration и C2, как с этим научились бороться, а также что...

На threat-modeling сессии для распределённой платёжной системы на AWS стояла конкретная задача: три организации должны совместно подписывать транзакции, но...

По данным CrowdStrike Global Threat Report 2025, 75% вторжений в 2024 году использовали действительные учётные данные, а IBM X-Force фиксирует рост...

закрыли дырку прозьба удалить тему

В октябре 2024 года Internet Archive пережил серию DDoS-атак. Пока инженеры восстанавливали доступность сервиса, атакующие взломали базу данных - в сеть...

Три часа ночи, PagerDuty орёт, latency API-шлюза подскочил с 40 мс до 12 секунд за полторы минуты. Дашборд NETSCOUT Sightline показывает 47 Гбит/с входящего...

На одном из проектов я настраивал CI/CD для финтех-стартапа. Пайплайн работал быстро - 12 минут от коммита до продакшена, разработчики были довольны. Через...

Шесть новых RAT-вариантов за шесть недель, C2-трафик идёт через Microsoft Azure, начальное заражение замаскировано под процесс найма в глобальную...

В октябре 2025 года extortion-группа ShinyHunters запустила даркнет-площадку с данными шести организаций - Albertsons, Fujifilm, Gap, Qantas, Engie...

Во многих компаниях внедрение средств веб-защиты кажется сложным процессом: установка, настройка серверов, интеграция с существующей инфраструктурой и...

SIEM-дашборд зелёный, корреляционные правила отрабатывают штатно. Ранним утром UEBA-модуль поднимает risk score до 87 для сервисной учётной записи...

На одном из проектов по оценке защищённости для логистической компании с 1200 сотрудниками мы запустили фишинговую кампанию через GoPhish - письмо от имени...

На Habr Career для ИБ-архитекторов указан диапазон 297 000 - 465 000 рублей в месяц, на hh.ru открыто более 230 профильных вакансий только по Москве...

На аудите DLP в одной финансовой компании я увидел классическую картину: система стояла, политики включены, лицензии оплачены - а менеджер по работе с...

Три года назад я впервые проводил техническое интервью на позицию junior-пентестера. Из двадцати кандидатов ни один не смог объяснить, как работает TCP...

На аудите облачной инфраструктуры финтех-компании в начале 2026 года четыре CSPM-инструмента показывали compliance score выше 92%. Зелёные дашборды, минимум...