Virusologia — новости кибербезопасности https://virusologia.com/blog Авторские разборы уязвимостей, malware, supply chain, AI security и практических мер защиты. ru API/BOLA: почему две роли важнее ещё одного сканера https://virusologia.com/news/api-bola-readonly-role-matrix-2026 https://virusologia.com/news/api-bola-readonly-role-matrix-2026 IDOR/BOLA редко находится красивым payload. Чаще он проявляется там, где у API есть object id, две роли, разные владельцы данных и слабая проверка на уровне объекта. Secrets scanning: находка без ротации не закрывает риск https://virusologia.com/news/secrets-scanning-response-playbook-2026 https://virusologia.com/news/secrets-scanning-response-playbook-2026 Gitleaks и TruffleHog полезны не потому, что умеют находить строки, похожие на секреты, а потому что помогают построить процесс: найти, подтвердить, отозвать, заменить и доказать, что секрет больше не работает. SBOM и vulnerability triage: почему CVE без контекста шумит https://virusologia.com/news/sbom-vulnerability-triage-2026 https://virusologia.com/news/sbom-vulnerability-triage-2026 Syft, Grype и Trivy помогают увидеть состав приложения, но ценность появляется только после связывания CVE с exposure, reachability, asset role и окном исправления. Detection-as-code: Sigma как язык между пентестом и SOC https://virusologia.com/news/detection-as-code-sigma-2026 https://virusologia.com/news/detection-as-code-sigma-2026 Хороший пентест должен оставлять после себя не только PDF, но и идеи детектирования. Sigma помогает описать сигнал один раз и затем переводить его в SIEM-запросы. Container security: образ, IaC и runtime нужно смотреть вместе https://virusologia.com/news/container-iac-runtime-security-2026 https://virusologia.com/news/container-iac-runtime-security-2026 Trivy-подобные проверки полезны, когда не ограничиваются CVE. Реальный риск часто живёт в Dockerfile, Kubernetes/IaC, секретах и runtime-поведении. LLM security: агенту нужен policy layer, а не доверие https://virusologia.com/news/llm-agent-policy-layer-2026 https://virusologia.com/news/llm-agent-policy-layer-2026 OWASP LLM Top 10 сделал очевидным то, что видно на практике: prompt injection, insecure plugin design и excessive agency опасны, когда модель напрямую влияет на действия системы. Edge/VPN hardening: внешний периметр надо проверять как живой организм https://virusologia.com/news/edge-vpn-hardening-2026 https://virusologia.com/news/edge-vpn-hardening-2026 VPN, reverse proxy, панели и SSH меняются чаще, чем кажется. Именно edge-слой первым получает сканирование, credential stuffing и попытки найти забытые админки. Malware triage: хороший разбор заканчивается детектом https://virusologia.com/news/malware-triage-yara-sigma-2026 https://virusologia.com/news/malware-triage-yara-sigma-2026 Разбор образца не должен заканчиваться фразой 'вредоносный'. Полезный результат - timeline, IOC, YARA/Sigma-кандидаты, что сбросить, что искать в EDR и что проверить в сети. Linux privilege escalation: defensive checklisthttps://virusologia.com/news/linux-privesc-defensive-checklisthttps://virusologia.com/news/linux-privesc-defensive-checklistКак превратить checklist privilege escalation в регулярный Linux hardening baseline. AD attack paths: что полезного защитнику в заметках CRTPhttps://virusologia.com/news/ad-attack-path-defensive-modelhttps://virusologia.com/news/ad-attack-path-defensive-modelБезопасная defensive-версия: delegation, GPO, ADCS, сервисные аккаунты и CI/CD как граф риска. KEV-first triage: почему CVSS не всегда первыйhttps://virusologia.com/news/kev-first-triage-2026-06-28https://virusologia.com/news/kev-first-triage-2026-06-28Очередь исправлений через active exploitation, exposure и бизнес-критичность актива. Supply chain: CI/CD secrets и lifecycle scriptshttps://virusologia.com/news/supply-chain-ci-secrets-2026-06-28https://virusologia.com/news/supply-chain-ci-secrets-2026-06-28Почему контроль runner, publish-токенов и provenance стал частью пентеста. AutoJack: браузерный AI-агент разрушает доверие к localhosthttps://virusologia.com/news/autojack-ai-agent-rcehttps://virusologia.com/news/autojack-ai-agent-rceКак недоверенная веб-страница, локальный MCP-сервис и слабая изоляция создают цепочку до RCE. FortiBleed: после утечки credentials пароль меняют не первымhttps://virusologia.com/news/fortibleed-fortinet-credentialshttps://virusologia.com/news/fortibleed-fortinet-credentialsЛокализация компрометации Fortinet: сессии, токены, ротация секретов и проверка конфигурации. Mastra npm: когда postinstall становится частью атакиhttps://virusologia.com/news/mastra-npm-supply-chainhttps://virusologia.com/news/mastra-npm-supply-chainПочему poisoned package требует контроля lifecycle scripts, provenance и поведения CI runner. CVE-2026-20253: когда компрометация SIEM ослепляет защитуhttps://virusologia.com/news/splunk-kev-cve-2026-20253https://virusologia.com/news/splunk-kev-cve-2026-20253Splunk Enterprise в CISA KEV: активная эксплуатация и приоритетный план реагирования. Vulnerability harness: ценность создаёт validator, а не красивый ответ LLMhttps://virusologia.com/news/vulnerability-harness-llm-validationhttps://virusologia.com/news/vulnerability-harness-llm-validationState control, adversarial review, evidence и снижение false positives в assisted pentesting. Crypto Clipper: кража транзакции стала только первой стадиейhttps://virusologia.com/news/crypto-clipper-tor-wormhttps://virusologia.com/news/crypto-clipper-tor-wormTor, подмена адресов кошельков, persistence и червеобразное распространение. Cyber Labs: безопасный маршрут изучения кибербезопасности https://virusologia.com/cyber-labs https://virusologia.com/cyber-labs Новый образовательный раздел Virusologia: практические лаборатории, объяснения, типичные ошибки и defensive-чеклисты. Cyber Labs Code Examples https://virusologia.com/cyber-code-examples https://virusologia.com/cyber-code-examples В Cyber Labs добавлены безопасные авторские примеры кода: headers, DNS, hashes, secrets redaction, Docker audit, API inventory, SIEM и monitoring. AI skill risk guard: почему пентест-платформе нужен предохранитель перед LLM-планом https://virusologia.com/news/ai-skill-risk-guard-2026-07-02 https://virusologia.com/news/ai-skill-risk-guard-2026-07-02 AI-агент может быть полезным аналитиком, но если дать ему методологические playbooks без policy-gate, он начнёт смешивать разрешённую проверку, рискованные техники и недопустимые действия. Нормальная assisted-платформа должна сначала классифицировать намерение, а уже потом строить план. Prompt injection в security automation: target content всегда untrusted https://virusologia.com/news/prompt-injection-security-automation-2026-07-02 https://virusologia.com/news/prompt-injection-security-automation-2026-07-02 В пентесте модель постоянно видит HTML, JavaScript, headers, error pages, README, OpenAPI и логи. Всё это может содержать инструкции, которые выглядят как команды для агента, но на самом деле являются данными цели. Evidence-first validation: почему отчёт должен доказывать, а не убеждать https://virusologia.com/news/evidence-first-validation-2026-07-02 https://virusologia.com/news/evidence-first-validation-2026-07-02 Коммерческий пентест-отчёт всё чаще оценивают не по количеству находок, а по качеству доказательств: можно ли воспроизвести, понять impact, назначить владельца и провести ретест. Shadow API: когда HAR знает больше, чем OpenAPI https://virusologia.com/news/shadow-api-openapi-har-drift-2026 https://virusologia.com/news/shadow-api-openapi-har-drift-2026 Самая неприятная API-проблема не всегда выглядит как уязвимость. Часто это просто несоответствие между документацией, релизом и реальным трафиком: старый endpoint живёт, новый не описан, а ограничения доступа различаются. Passkeys не чинят сессию сами по себе https://virusologia.com/news/passkeys-session-step-up-2026 https://virusologia.com/news/passkeys-session-step-up-2026 Passkeys отлично убирают часть password risk, но они не решают автоматически вопросы session fixation, recovery bypass, weak step-up и долгоживущих cookies. После WebAuthn всё равно остаётся инженерия доверия. Osquery/Fleet: видимость должна быть безопасной для хоста https://virusologia.com/news/fleet-osquery-query-budget-2026 https://virusologia.com/news/fleet-osquery-query-budget-2026 Visibility-инструменты ценны, пока не начинают вредить целевой машине. Osquery и Fleet хороши там, где есть query budget, ownership, интервал, label targeting и понимание цены каждой таблицы. Kubernetes security: posture, admission и runtime должны говорить вместе https://virusologia.com/news/kubernetes-policy-runtime-2026 https://virusologia.com/news/kubernetes-policy-runtime-2026 Cluster scan сам по себе не закрывает риск. Если posture показывает проблему, admission её не блокирует, а runtime ничего не замечает, команда получает красивый отчёт, но не получает контроль над дрейфом. Threat hunting: гипотеза должна переживать смену инструментов https://virusologia.com/news/kestrel-huntflow-hypothesis-2026 https://virusologia.com/news/kestrel-huntflow-hypothesis-2026 Когда hunting завязан на один SIEM-запрос или одну ручную заметку, он не переживает смену источника логов. Намного полезнее описывать hunt как reusable hypothesis flow: сущности, шаги, enrichment и критерий остановки. Linux hardening: гайд полезен только там, где есть проверка https://virusologia.com/news/linux-hardening-verification-loop-2026 https://virusologia.com/news/linux-hardening-verification-loop-2026 Даже сильный hardening-guide бесполезен, если он не превращается в проверяемое состояние. Зрелая инфраструктура не спорит, 'достаточно ли secure', а регулярно проверяет конкретные свойства системы. SBOM без provenance оставляет слепую зону релиза https://virusologia.com/news/ci-attestations-release-trust-2026 https://virusologia.com/news/ci-attestations-release-trust-2026 Компонентный состав важен, но сам по себе не отвечает на вопрос, откуда взялся артефакт и кто подтвердил его сборку. Поэтому разговор о release trust неизбежно приходит к attestations, digest pinning и verification gate. Detection engineering: считайте не только правила, но и шум https://virusologia.com/news/detection-kpi-false-positive-burn-2026 https://virusologia.com/news/detection-kpi-false-positive-burn-2026 Количество rule files почти ничего не говорит о зрелости detection program. Намного важнее coverage intent, false positive burn rate, скорость правки и способность превратить red-team/pentest lessons в стабильные сигналы. Memory triage: первый час важнее красивой полной картины https://virusologia.com/news/memory-triage-first-hour-2026 https://virusologia.com/news/memory-triage-first-hour-2026 В реальной incident-практике память часто становится не 'финальным артефактом для отчёта', а способом быстро решить, где сейчас риск: интерактивный доступ, незакрытая сессия, токен, инжектированный процесс или уже пустой след. SOC telemetry contracts: данные должны отвечать на конкретный вопрос https://virusologia.com/news/soc-telemetry-contracts-2026 https://virusologia.com/news/soc-telemetry-contracts-2026 Security Onion, Fleet, Zeek, Suricata и endpoint-данные сильны не количеством сенсоров, а качеством контракта между ними: кто отвечает за поле, какую гипотезу оно закрывает и сколько стоит собирать его в production. Sigma rules без validation dataset быстро теряют доверие https://virusologia.com/news/sigma-validation-datasets-2026 https://virusologia.com/news/sigma-validation-datasets-2026 Даже хорошая Sigma-идея может утонуть в шуме, если rule не прогоняется на реальных benign-логах и на контролируемых test-events. Validation dataset нужен не для красоты, а для инженерной честности. Infostealer response: окно для сброса доверия очень короткое https://virusologia.com/news/infostealer-response-window-2026 https://virusologia.com/news/infostealer-response-window-2026 Инфостилер редко выглядит драматично в момент заражения, но быстро превращается в проблему доверия: cookies, refresh tokens, browser secrets, saved credentials и второй вход уже после 'очистки' машины. EVTX gap analysis: иногда отсутствие событий важнее находки https://virusologia.com/news/evtx-gap-analysis-first-response-2026 https://virusologia.com/news/evtx-gap-analysis-first-response-2026 При быстром разборе Windows-артефактов команды часто ищут только совпадения и забывают о пробелах: неестественно пустые периоды, отключенные каналы, оборванные цепочки логов и резкие изменения объёма событий. Authenticated API coverage: без role-matrix бизнес-логика остаётся в тени https://virusologia.com/news/authenticated-api-coverage-matrix-2026 https://virusologia.com/news/authenticated-api-coverage-matrix-2026 Большая часть настоящей ценности API-пентеста появляется только после аутентификации. Именно там находятся object boundaries, approval flows, hidden exports, admin-adjacent methods и различия между тем, что видно владельцу, оператору и аудитору. Web/API evidence pack: хороший finding должен переживать спор https://virusologia.com/news/web-api-evidence-pack-2026 https://virusologia.com/news/web-api-evidence-pack-2026 Сильный web/API-отчёт отличается не числом находок, а качеством доказательства. Когда finding можно воспроизвести по request/response trace, curl, hash, role/state notes и критерию ретеста, спор о его реальности быстро заканчивается.