Сканирование и обнаружение уязвимостей

Почему вендоры продают ПО, заранее зная о его уязвимостях

от

Кажется абсурдом: компания годами разрабатывает сложное ПО, инвестирует в R&D и маркетинг, а через несколько лет после релиза обнаруживает, что её система имеет фундаментальные уязвимости, о которых разработчики, возможно, догадывались. Но бизнес продолжает продавать и поддерживать эти продукты. В этом нет злого умысла, это закономерный результат сходящихся трендов: давления рынка, устаревающих парадигм безопасности и экономических … Читать далее

Уязвимости в смарт-контрактах: когда код стоит миллионы

от

«Смарт-контракты свели финансовые риски к багам в коде. Каждая уязвимость, это уже не абстрактная утечка данных, а конкретная дыра в сейфе, через которую исчезают реальные активы. Публичность и неизменяемость кода превратили безопасность из набора технических правил в умение моделировать экономическое поведение противника, который читает твои исходники.» Что такое смарт-контракт и почему он уязвим Смарт-контракт, это … Читать далее

Цифровое расписание: как предсказуемость IoT становиться уязвимостью

от

«Активность в сети, это не просто цифровой шум. Это расписание, по которому живёт ваше устройство. Для того, кто умеет его читать, это ключ от двери. Особенно когда речь идёт о вещах, которые мы считаем ‘умными’, но на деле они часто оказываются удивительно глупыми и предсказуемыми.» Цифровые тени и реальные расписания Каждое подключённое к сети устройство … Читать далее

Почему невозможно знать все уязвимости в системе

от

«Мы привыкли думать, что безопасность, это контроль. Что если мы всё проверим, всё просканируем и всё исправим, то система станет неуязвимой. Это иллюзия. Полное знание всех уязвимостей в любой сложной системе — недостижимая цель. Вместо погони за призраком абсолютной осведомлённости стоит понять, почему это невозможно, и как в этих условиях всё равно можно строить эффективную … Читать далее

Сосредоточьтесь на уязвимости процесса, а не на поиске виновного

от

Безопасность системы не должна зависеть от того, нажал человек кнопку случайно или намеренно. Главное — что процесс и контроль были устроены так, что эта кнопка могла привести к инциденту. Сосредоточиться на этом — значит решать проблему, а не её симптомы. https://seberd.ru/4014 На поверхности — действие, в корне — система Стандартная реакция на сбой — попытаться … Читать далее

Где брать актуальные данные об уязвимостях и атаках

от

Профессиональный мониторинг угроз, это не привычка открывать нужные вкладки по утрам. Это архитектурное решение: какие сигналы вы хотите получать, с какой задержкой, в каком формате и что вы будете с ними делать. Специалист, который читает всё подряд, тратит больше времени на фильтрацию шума, чем на реакцию. Специалист, который не читает ничего, узнаёт об атаке из … Читать далее

Когда вендор игнорирует уязвимость, публиковать ли её?

от

«Когда вы нашли критическую дыру, а вендор её игнорирует, чувство беспомощности бьёт по обоим фронтам: закрыть уязвимость вы не можете, а злоумышленники могут её найти сами. Говорить или молчать — этот вопрос ставит под удар вашу репутацию и реальные системы. Ответ лежит не в морали, а в конфиденциальных соглашениях, косвенных последствиях и наборе практик, которые … Читать далее

Уязвимость цепочки поставок как причина самого крупного взлома

от

«История не просто о бэкдоре в обновлении ПО, а о том, как доверие и прозрачность цепочки поставок превратились в идеальный канал атаки. Удар пришёлся не по периметру — его нанесли изнутри самой системы, под видом легитимного обновления от проверенного годами вендора.» Суть атаки: не прорыв обороны, а вход через парадную дверь Большинство крупных инцидентов безопасности … Читать далее

Человеческий фактор: главная уязвимость в современной кибербезопасности

от

«Кажется невероятным, что в мире автоматизации и шифрования ключевую роль играет забытый пароль на листочке. Мы строим сложнейшие системы, но вход в них открывает пауза задумчивости при звонке якобы из техподдержки. Цифра в 60%, это не просто статистика. Это показатель фундаментального несоответствия между логикой машин и нелинейностью человеческого поведения. Давайте разберёмся, почему это так устойчиво, … Читать далее

Уязвимость SS7: как через SMS-коды взламывают аккаунты

от

"Мы привыкли думать, что двухфакторная аутентификация через SMS, это наш бронёный сейф. На самом деле его дверь может быть открыта тем, кто знает, где спрятан ключ от самой сейфовой комнаты. SS7, это архитектурная уязвимость всей телефонной сети, которая делает сообщения о кодах видимыми для посторонних, и эта брешь остаётся открытой, потому что починить её, это … Читать далее