// security newsroom
Свежая повестка кибербезопасности без перепечаток и сенсационного шума: что произошло, почему это важно и какие действия действительно снижают риск.
// выпуск
Этот пакет материалов собран как авторская defensive knowledge issue: где у инфраструктуры ломается boundary, как не перегрузить telemetry, почему passkeys не отменяют session engineering, как измерять detection quality и зачем release trust считать частью security perimeter.
Самая неприятная API-проблема не всегда выглядит как уязвимость. Часто это просто несоответствие между документацией, релизом и реальным трафиком: старый endpoint живёт, новый не описан, а ограничения доступа различаются.
читать разбор →Passkeys отлично убирают часть password risk, но они не решают автоматически вопросы session fixation, recovery bypass, weak step-up и долгоживущих cookies. После WebAuthn всё равно остаётся инженерия доверия.
читать разбор →Visibility-инструменты ценны, пока не начинают вредить целевой машине. Osquery и Fleet хороши там, где есть query budget, ownership, интервал, label targeting и понимание цены каждой таблицы.
читать разбор →Cluster scan сам по себе не закрывает риск. Если posture показывает проблему, admission её не блокирует, а runtime ничего не замечает, команда получает красивый отчёт, но не получает контроль над дрейфом.
читать разбор →Когда hunting завязан на один SIEM-запрос или одну ручную заметку, он не переживает смену источника логов. Намного полезнее описывать hunt как reusable hypothesis flow: сущности, шаги, enrichment и критерий остановки.
читать разбор →Даже сильный hardening-guide бесполезен, если он не превращается в проверяемое состояние. Зрелая инфраструктура не спорит, 'достаточно ли secure', а регулярно проверяет конкретные свойства системы.
читать разбор →Компонентный состав важен, но сам по себе не отвечает на вопрос, откуда взялся артефакт и кто подтвердил его сборку. Поэтому разговор о release trust неизбежно приходит к attestations, digest pinning и verification gate.
читать разбор →Количество rule files почти ничего не говорит о зрелости detection program. Намного важнее coverage intent, false positive burn rate, скорость правки и способность превратить red-team/pentest lessons в стабильные сигналы.
читать разбор →В реальной incident-практике память часто становится не 'финальным артефактом для отчёта', а способом быстро решить, где сейчас риск: интерактивный доступ, незакрытая сессия, токен, инжектированный процесс или уже пустой след.
читать разбор →// выпуск
Свежий большой выпуск Virusologia собран вокруг одной идеи: сначала формулируем проблему, затем показываем безопасную проверку, evidence, remediation и критерий ретеста. Материалы вдохновлены открытой инженерной практикой GitHub/OWASP/SOC-сообщества, но переписаны как авторские defensive-разборы.
IDOR/BOLA редко находится красивым payload. Чаще он проявляется там, где у API есть object id, две роли, разные владельцы данных и слабая проверка на уровне объекта.
читать разбор →Gitleaks и TruffleHog полезны не потому, что умеют находить строки, похожие на секреты, а потому что помогают построить процесс: найти, подтвердить, отозвать, заменить и доказать, что секрет больше не работает.
читать разбор →Syft, Grype и Trivy помогают увидеть состав приложения, но ценность появляется только после связывания CVE с exposure, reachability, asset role и окном исправления.
читать разбор →Хороший пентест должен оставлять после себя не только PDF, но и идеи детектирования. Sigma помогает описать сигнал один раз и затем переводить его в SIEM-запросы.
читать разбор →Trivy-подобные проверки полезны, когда не ограничиваются CVE. Реальный риск часто живёт в Dockerfile, Kubernetes/IaC, секретах и runtime-поведении.
читать разбор →OWASP LLM Top 10 сделал очевидным то, что видно на практике: prompt injection, insecure plugin design и excessive agency опасны, когда модель напрямую влияет на действия системы.
читать разбор →VPN, reverse proxy, панели и SSH меняются чаще, чем кажется. Именно edge-слой первым получает сканирование, credential stuffing и попытки найти забытые админки.
читать разбор →Разбор образца не должен заканчиваться фразой 'вредоносный'. Полезный результат - timeline, IOC, YARA/Sigma-кандидаты, что сбросить, что искать в EDR и что проверить в сети.
читать разбор →// выпуск
Новый выпуск о том, как безопасно использовать LLM в assisted pentesting: AI-план как гипотеза, target content как untrusted data, risk taxonomy до planner-а и отчёты, которые доказывают findings evidence-ом.
AI-агент может быть полезным аналитиком, но если дать ему методологические playbooks без policy-gate, он начнёт смешивать разрешённую проверку, рискованные техники и недопустимые действия. Нормальная assisted-платформа должна сначала классифицировать намерение, а уже потом строить план.
читать анализ →В пентесте модель постоянно видит HTML, JavaScript, headers, error pages, README, OpenAPI и логи. Всё это может содержать инструкции, которые выглядят как команды для агента, но на самом деле являются данными цели.
читать анализ →Коммерческий пентест-отчёт всё чаще оценивают не по количеству находок, а по качеству доказательств: можно ли воспроизвести, понять impact, назначить владельца и провести ретест.
читать анализ →// knowledge base
Новый самостоятельный раздел сайта собирает прикладные темы: HTTP/DNS/TLS, инвентаризация портов, secrets scanning, API security, Docker audit, SIEM, SBOM, honeypots, AI threat detection и управление ключами. Формат — объяснение, риск, ручная проверка, типичные ошибки и defensive-чеклист.
Отдельный раздел с уровнями Foundations, Beginner, Intermediate и Advanced. Каждая тема написана как практический defensive-разбор без вредоносных инструкций.
открыть раздел →кодовые примеры →Инженерные лаборатории помогают перейти от абстрактной теории к проверкам, которые полезны командам разработки и эксплуатации.
intermediate track →Advanced-блок объясняет архитектурные решения через threat model, evidence, ограничения и реальные ошибки внедрения.
advanced track →// выпуск
Новый выпуск собран из приложенных материалов и текущей security-повестки. Я намеренно перевёл технические заметки в защитный формат: без паролей, команд обхода защит и эксплуатационных последовательностей, но с понятными выводами для hardening, SOC и SecMon Pro.
Из PDF по Linux privilege escalation вынесена безопасная defensive-версия: SUID/SGID, sudoers, cron, сервисы от root, секреты и baseline-подход для регулярного аудита.
читать анализ →Сырые команды, пароли и обходы защит не опубликованы. Вместо этого — безопасная карта рисков AD: delegation, GPO, ADCS, сервисные аккаунты, CI/CD и локальные админы.
читать анализ →Очередь исправлений должна начинаться с активной эксплуатации, внешней доступности и роли актива для бизнеса. CVSS важен, но сам по себе не строит план реагирования.
читать анализ →Lockfile и SCA уже недостаточны. Нужно смотреть, что видит runner, где лежат publish-токены, как запускаются lifecycle scripts и как подтверждается provenance.
читать анализ →// выпуск
В этом выпуске: утечка учётных данных Fortinet, активно эксплуатируемая уязвимость Splunk, RCE через страницу для AI-агента, компрометация npm-цепочки и новое поколение автоматизированной валидации.
CISA сообщает о скомпрометированных учётных данных примерно 74 000 интернет-доступных устройств Fortinet. Разбираем правильный порядок локализации: завершение сессий, ротация секретов, проверка конфигурации и поиск следов доступа.
читать анализ →Когда браузерный агент видит untrusted content и одновременно доверяет localhost, привычная граница безопасности исчезает. Разбираем цепочку и архитектурные меры защиты.
читать анализ →Скрытая нагрузка затронула более 140 проектов. Главный урок кампании — lockfile и сканер зависимостей не заменяют контроль publish-токенов, lifecycle scripts и поведения сборки.
читать анализ →Кампания совмещает кражу транзакций с устойчивым доступом. Это уже не одиночный clipper, а компактная платформа для развития атаки.
читать анализ →Missing authentication for critical function — особенно опасный класс для систем, где хранятся журналы, расследования и данные мониторинга.
читать анализ →Cloudflare описала многоступенчатую систему поиска и проверки уязвимостей. Самая ценная часть — не LLM, а управление состоянием, adversarial review и отсечение ложных срабатываний.
читать анализ →// archive
Предыдущие материалы сохранены без изменений.
Клиент покупает не список страшных слов, а снижение риска. Хороший отчет сегодня должен показывать, что реально достижимо из интернета, какие цепочки атаки правдоподобны, кто отвечает за исправление и как будет выглядеть ретест.
SecMon ProМодель полезна там, где человеку скучно и дорого: сжать evidence, сгруппировать находки, объяснить бизнес-эффект, подготовить письмо разработчикам. Но право запускать опасные проверки должно оставаться у человека и только в подтвержденном scope.
readinessVPN, SSH, reverse proxy, панели управления, GitLab, почтовые шлюзы и админки мониторинга нужно считать главным фронтом. Там меньше пользователей, зато больше привилегий, и ошибка конфигурации часто превращается в прямой вход в сеть.
сводкаCVSS показывает потенциальную тяжесть, но не отвечает на вопрос "что ломают прямо сейчас". Поэтому нормальная очередь патчей начинается с известных эксплуатаций, внешней доступности и критичности актива для бизнеса.
источникЗависимости, контейнеры, CI/CD, токены и release scripts стали частью attack surface. Если их не описывать в отчете, пентест получается красивым, но неполным: веб-форма защищена, а деплой-цепочка все еще доверяет всему подряд.
обсужденияРазбор вредоносного ПО должен отвечать не только "как оно работает", но и "как быстро понять, что это было у нас". Поэтому нужны IOC, timeline, сетевые следы, идеи Sigma/YARA и понятные действия для SOC.
Virus LabВ RU-сообществе все больше практики: как закрыть SSH, как читать журналы, как не потерять доступ после hardening, как объяснить владельцу сайта, что "просто поставить сканер" недостаточно.
ХабрЯ люблю отчеты, где finding сразу превращается в задачу: риск, доказательство, affected asset, владелец, SLA, критерий ретеста. Такой документ не лежит мертвым PDF, а двигает команду к исправлению.
reportsОдин пентест в год хорош только для галочки. Реальная защита живет в цикле: обнаружили, приоритизировали, исправили, перепроверили, сохранили evidence и снова посмотрели на внешний периметр.
платформа// updated
Вместо одной длинной ленты материалы теперь собираются ещё и в узкие направления. Это удобнее для тех, кто хочет читать сайт как рабочую базу знаний по своей зоне ответственности.
Отдельный исследовательский поток о том, как строить detection program без самообмана: telemetry contracts, Sigma validation, query budgets, hunt-flow design, KPI шума и нормальная передача lessons learned из пентеста и DFIR обратно в SOC.
Открыть поток →Поток для controlled malware-analysis и incident response без романтизации. Здесь главное не 'поймать красивое семейство', а быстро понять active risk, собрать пригодное evidence, сбросить доверие там, где нужно, и передать SOC детектируемые артефакты.
Открыть поток →Вертикаль про реальный web/API-пентест, где важны не только surface и payload, но и authenticated coverage, role/state matrix, lifecycle объекта, session trust, evidence packs и честные coverage gaps. Это уже не сканер, а проверяемая методология.
Открыть поток →