Разборы

47% - ровно столько AI-патчей полностью устранили уязвимость без регрессий. Это данные 1Password по шести high-impact CVE. Хуже подбрасывания монетки...

В октябре 2026 года ФБР арестовало Эдварда Дубровского - 54-летнего канадца с тридцатилетним стажем в кибербезопасности. Человек помогал компаниям...

Понедельник, 9:15 утра. Производственная компания на 2 000 сотрудников: SOC фиксирует массовые алерты от EDR - файловые серверы шифруются, ERP недоступна...

Понедельник, 9:17 утра. SIEM выбрасывает алерт: DLP-политика зафиксировала массовую выгрузку CSV с клиентской базой на внешнее облачное хранилище. К 10:00...

В 2015 году Google Project Zero опубликовал exploit-код для уязвимости Windows за два дня до запланированного патча. Microsoft в ответном блоге назвала это...

На пентесте финтех-стартапа IDOR в API профиля нашёлся через Burp Suite из браузера за 20 минут - тупо подмена ID в GET /api/v1/users/{id}/profile. Через...

В информационной безопасности есть направления, которые на первый взгляд находятся на разных полюсах. Один специалист сидит перед несколькими мониторами...

На аттестации ГИС территориального ведомства в марте 2026 года проверяющий открыл оснастку Active Directory, посмотрел Default Domain Policy - Maximum...

Правовая и нормативная база в России Модель разделения ответственности в облаке Требования к выбору облачного провайдера Организационные меры обеспечения...

Почему доступы в CI/CD требуют отдельного контроля Что считается привилегией в пайплайне Как избыточные права превращаются в риск Разделение прав по этапам...

Понедельник, 9:15 утра. В Wazuh прилетает алерт: серия неаутентифицированных POST-запросов на /api/graphql с нестандартной директивой @gl_introduced на...

CraxsRAT регулярно всплывает в кампаниях против финансового сектора Юго-Восточной Азии: фишинговый сайт под локальный бренд, скачивание APK, кража...

SaaS меняет модель контроля Кто отвечает за обработку ПДн? Локализация данных Оценка поставщика Технические меры защиты Организационные процедуры Требования...

По данным Puppet State of DevOps Report, организации с зрелыми DevSecOps-практиками в 2,6 раза чаще устраняют критические уязвимости в течение суток...

Понедельник, 9:15 утра. Главбух логистической компании на 600 человек получает письмо от генерального директора - нужно срочно оплатить инвойс нового...

В январе 2024 года сотрудник финансового отдела гонконгской компании перевёл $25 миллионов после видеоконференции с "руководством". Все участники звонка...

Последние два года я встраиваю сканирование публичных репозиториев в recon-фазу каждого внешнего пентеста. TruffleHog запускается раньше Nmap - и это не...

Методология оформления отчётов Приоритизация рисков Формулировка рекомендаций, SLA на исправления, контроль исполнения, измерение эффекта (метрики...

Контекст Неделю назад появился независимый аудит SkyForge — русскоязычного языка программирования, который я пишу. Аудит нашёл 30+ проблем, из них 5...

На лабораторном стенде я подключил SDR-приёмник HackRF One к "выключенному" iPhone - экран чёрный, на нажатия не реагирует, индикатор зарядки погас...

Прежде чем говорить об устройстве IT-департаментов ритейла, стоит обозначить общий контекст рынка труда. К 2026 году требования к DevOps-инженерам...

За последние восемь месяцев я провёл security-ревью двенадцати репозиториев, где 60-80% кода написано через Cursor, Claude Code и GitHub Copilot. В семи из...

Биометрия и поведенческая аутентификация стали заметной частью современной защиты доступа, потому что позволяют сократить зависимость от паролей, повысить...

Четверг, 14:40. Звонок от контрактной службы госзаказчика: "Ваш акт выполненных работ возвращён юротделом без подписи". Тестирование на проникновение...

В январе 2026-го пользователь Reddit r/pcmasterrace описал ситуацию, которую любой SOC-аналитик назовёт "классика с плохим финалом". Парень следовал...

26 августа 2025 года postinstall-payload в npm-пакете Nx - сборочной системе с 6 миллионами установок в неделю - сделал нечто, чего раньше в supply chain...

Из 12 внутренних аудитов СУИБ, которые я провёл за последние два года, в 9 случаях критические несоответствия были связаны не с отсутствием технических...

Три года назад я писал эндпоинты на Django REST Framework и не задумывался, что request.data['user_id'] без проверки авторизации - готовая BOLA-уязвимость...

Три года назад я запустил программу повышения осведомлённости по кибербезопасности на 800 сотрудников логистической компании. Завершаемость первого модуля -...

Что вас ждёт в статье: Введение 1. Как устроена безопасность Android 2. Установка и настройка Metasploit 2.1. Установка фреймворка 2.2. Первичный запуск...