На пентесте телеком-оператора в прошлом году я убил два дня на периметр - WAF, минимальная поверхность, стандартная история. Точка входа нашлась там, где не...
На последнем внутреннем пентесте финтех-компании 14 из 18 рабочих станций оказались на macOS Sequoia с чипами M3. Cobalt Strike beacon, SharpHound, Rubeus -...
На последнем внешнем пентесте для финтех-компании скоуп содержал 12 доменов. После passive recon я насчитал 47 поддоменов, о которых заказчик не подозревал...
По данным IBM X-Force Threat Intelligence Index 2025, 70% расследованных инцидентов затронули объекты критической инфраструктуры - общую карту угроз и...
На assessment'е устойчивости к ransomware одного производственного объекта мы стартовали с assumed breach - скомпрометированная учётка инженера АСУ ТП на...
На объекте нефтехимии в 2024 году задача звучала конкретно: проверить, доберётся ли атакующий из корпоративной сети до ПЛК, управляющих ректификационной...
Методология TryHarder популяризированная компанией Offensive Security – это одновременно и мощный мотиватор (как edit с мистером роботом под фонк), и...
51 секунда - рекордное время lateral movement после initial access, зафиксированное CrowdStrike в Global Threat Report 2025. Среднее по инцидентам - 62...
18,8 миллиардов IoT-устройств подключены к сети прямо сейчас - по данным IoT Analytics, к 2030 году их станет 41 миллиард. У большинства последнее...
Мой первый принятый отчёт на HackerOne - $150 за IDOR в API мобильного приложения финтех-стартапа, декабрь 2021 года. До него три месяца без единого...
На воркшопе для начинающих пентестеров в прошлом году 12 человек из 20 пришли с BlackArch на флешке - «там же больше всего инструментов». Первый час группа...
Финансовый директор получает письмо от генерального - срочно согласовать платёж по новому контракту. Тональность, подпись, домен - всё совпадает. Через три...
Когда я впервые решил заняться пентестом и начал искать пентест обучение, первое, что увидел в русскоязычном интернете - списки платных курсов по пентесту...
За последние полтора года я прогнал через реальные задачи десятки AI инструментов для пентеста - от облачных frontier-моделей до self-hosted 7-миллиардников...
## Какой курс по пентесту выбрать: короткий ответ Однозначного «лучшего» курса нет - выбор зависит от твоей стартовой точки и языка обучения. Автор статьи...
Три дня. Ровно столько я просидел над машиной «Lame» на HackTheBox, не понимая, почему эксплойт не срабатывает. Проблема была не в машине - я понятия не...
Каждый раз, когда я начинаю воркшоп для стажёров, вижу одну и ту же картину: человек прочитал десять статей про SQL-инъекции и XSS, но не может перехватить...
Три часа ночи, ты дежуришь в SOC, и Splunk выдаёт алерт: кто-то запустил mimikatz на контроллере домена. Пульс подскакивает. Открываешь таймлайн и видишь...
Помню свой первый день с Burp Suite: два часа убил на то, чтобы понять, почему ни один сайт не открывается после настройки прокси. Оказалось - забыл...
Помню свой первый отправленный отчёт на HackerOne. Reflected XSS, найденный за три часа сканирования - красиво оформленный, с PoC, со скриншотами. Через два...
Когда я провожу внешний пентест, первое, что открываю в терминале - Nmap. Не Burp, не Metasploit, а именно сканер портов - почему именно он и как он...
Записано со слов моего коллеги. Далее от первого лица. Открываю LinkedIn, ввожу «penetration tester» - в каждой второй вакансии «OSCP required» или «CEH...
Два года назад я сидел на том же месте, где сидите вы сейчас. Ноль строчек в трудовой по ИБ, диплом не по специальности, зато - десятки пройденных машин на...
Каждый год в русскоязычном сегменте появляются десятки статей в духе «топ-5 сертификатов по кибербезопасности», где все четыре аббревиатуры стоят в одном...
Как-то мне понадобилось собрать сведения о загруженных драйверах и службах, причём акцент делался на то, сколько их всего, какие активны, а какие нет, и...
В современном мире нейросети везде: от чат-ботов до RAG-систем и аналитики. Миллионы запросов в день — звучит круто, но хакеры уже потирают руки. Давайте...
Что такое ВАПТ / WAPT Web Application Penetration Testing (ВАПТ или WAPT) — это системный метод анализа безопасности веб‑приложений, который имитирует...
Введение Вероятно, у каждого, кто проходил какой-либо курс или сам изучал материал, было такое, что вы не можете вспомнить какой-либо момент, или целую...
Начну с объяснений, почему SOC пользуется спросом на уровне законодательства. Дефицит кадров в кибербезопасности растёт ежегодно, как в России, так и по...
Основы сетевой безопасности начинаются с простого ощущения: вы хотите спокойно работать в интернете, не превращаясь в «стекло» для провайдера, рекламных...
