Разборы

Forrester оценивает расходы крупных организаций на инфраструктуру сброса паролей и поддержку пользователей в миллион+ долларов ежегодно. Опрос Enterprise...

На внешнем пентесте клиент заявил, что origin "полностью закрыт Cloudflare". Через 40 минут у меня был реальный IP - он торчал в SPF-записи, которую не...

47% - ровно столько AI-патчей полностью устранили уязвимость без регрессий. Это данные 1Password по шести high-impact CVE. Хуже подбрасывания монетки...

$4,99 млн - средняя стоимость утечки данных в мире по IBM Cost of a Data Breach Report 2026. На эту цифру ссылается текущая редакция OWASP WSTG. Атаки с...

На пентесте IAM-инфраструктуры SaaS-провайдера я потратил два часа на recon и fingerprinting стека - а account takeover занял 90 секунд. Один POST к...

Понедельник, 9:40 утра. Внутренний пентест для финансовой организации, первый час работы. Запускаю password spraying через CrackMapExec с коротким словарём...

Chess.com в 2023 году подтвердила: данные профилей утекли не через SQLi и не через компрометацию инфраструктуры. Атакующий тупо перебирал публичный...

За последний квартал я отсмотрел больше сорока резюме на позицию junior pentester. Тридцать пять из них - под копирку: "Kali Linux, Burp Suite, Nmap. Прошёл...

Полтора года назад я впервые открыл PE-файл в Ghidra - и закрыл через двадцать минут. Ассемблер выглядел как белый шум, WinAPI-вызовы ни о чём не говорили...

На третьем техническом собеседовании тимлид открыл мой GitHub, нашёл writeup по retired-машине с HTB и спросил, почему я выбрал Kerberoasting вместо...

В октябре 2025-го я получил приглашение на Week Offer Security - ускоренный формат найма Яндекса для специалистов по информационной безопасности. До первой...

Дисклеймер: Статья основана на неподтверждённых данных из профессионального комьюнити. Официального пресс-релиза ISC2 на момент публикации не обнаружено...

За первые четыре месяца 2025 года на hh.ru появилось около 42 000 вакансий в информационной безопасности - почти половина от всего 2024 года (данные...

На пентесте финтех-стартапа IDOR в API профиля нашёлся через Burp Suite из браузера за 20 минут - тупо подмена ID в GET /api/v1/users/{id}/profile. Через...

На пентесте API-сервиса, стоявшего за nginx, административная панель /admin была закрыта стандартным location /admin { deny all; }. Прямой запрос к /admin -...

Почему доступы в CI/CD требуют отдельного контроля Что считается привилегией в пайплайне Как избыточные права превращаются в риск Разделение прав по этапам...

Понедельник, 9:15 утра. В Wazuh прилетает алерт: серия неаутентифицированных POST-запросов на /api/graphql с нестандартной директивой @gl_introduced на...

CraxsRAT регулярно всплывает в кампаниях против финансового сектора Юго-Восточной Азии: фишинговый сайт под локальный бренд, скачивание APK, кража...

По данным Puppet State of DevOps Report, организации с зрелыми DevSecOps-практиками в 2,6 раза чаще устраняют критические уязвимости в течение суток...

Полтора года назад я отправил 14 откликов на позицию junior pentester - получил один звонок и провалил техническое собеседование на вопросе про Reverse...

Последние два года я встраиваю сканирование публичных репозиториев в recon-фазу каждого внешнего пентеста. TruffleHog запускается раньше Nmap - и это не...

За два года я прошёл 8 полных интервью-цепочек на позиции Security Engineer и DevSecOps в Германии, Нидерландах и ОАЭ. Три оффера, два отказа после...

На лабораторном стенде я подключил SDR-приёмник HackRF One к "выключенному" iPhone - экран чёрный, на нажатия не реагирует, индикатор зарядки погас...

Прежде чем говорить об устройстве IT-департаментов ритейла, стоит обозначить общий контекст рынка труда. К 2026 году требования к DevOps-инженерам...

За последние восемь месяцев я провёл security-ревью двенадцати репозиториев, где 60-80% кода написано через Cursor, Claude Code и GitHub Copilot. В семи из...

Последние полтора года я впихиваю LLM в свои терминальные цепочки - результат, мягко говоря, неоднозначный. На одном engagement'е Ollama с mistral:7b...

На Standoff 365 за последний год я прошёл семь машин с веб-компонентом - в четырёх начальная точка входа оказалась SSTI. Машина Messenger стала...

В январе 2026-го пользователь Reddit r/pcmasterrace описал ситуацию, которую любой SOC-аналитик назовёт "классика с плохим финалом". Парень следовал...

26 августа 2025 года postinstall-payload в npm-пакете Nx - сборочной системе с 6 миллионами установок в неделю - сделал нечто, чего раньше в supply chain...

В прошлом квартале заказчик впервые положил на стол два отчёта - мой и результат прогона NodeZero. Автономный агент прошёл Game of Active Directory за 14...