Инструменты

Инструменты и наборы для разработки программного обеспечения

от

Инструменты и комплекты разработки (SDK и CDK) Введение разработки программного обеспечения понимание инструментов и комплектов разработки является критически важным навыком для специалиста по информационной безопасности. Эти инструменты помогают не только создавать приложения, но и анализировать их на предмет уязвимостей. Swagger и OpenAPI Specification В предыдущих модулях вы узнали, что такие документы, как Swagger и спецификация … Читать далее

Архитектурный взгляд на уязвимости в CTF-задачах

от

Разбор CTF-задач, это не просто поиск флага, а реконструкция мысли архитектора уязвимости. Если научиться видеть, как мелкое проектировочное решение рождает целый вектор атаки, можно по-другому смотреть на собственные системы. Это взгляд изнутри, а не со стороны. Разбор заданий с последнего CTF Типичный постсоревновательный разбор концентрируется на действиях: какая команда, где флаг, краткое объяснение. Это полезно … Читать далее

Сертификация СИЗ: Почему документы не гарантируют безопасность

от

«Сертификация СИЗ, это пропуск на рынок, а не пропуск к безопасности. Настоящая защита возникает там, где документация встречается с пыльным цехом, масляными пятнами и реальным человеком, которому приходится в этом работать. Когда закупки превращаются в бухгалтерскую отчётность, а не в инженерный анализ рисков, безопасность становится бумажной». Что на самом деле покупает компания, заказывая «сертифицированные СИЗ» … Читать далее

Фильтрация на уровне приложений

от

«Фильтрация на уровне приложения, это не просто «еще один файрвол». Это процесс превращения хаотичного входящего трафика в контролируемый поток данных, где каждый запрос проходит проверку на соответствие бизнес-логике и безопасности, прежде чем к нему прикоснется код приложения. Это последний и самый контекстный рубеж обороны, способный увидеть то, что не видно сетевым экранам.» Почему фильтрация на … Читать далее

Почему я запретил родителям устанавливать приложения из соцсетей

от

Наивность пользователя старшего поколения не должна быть лазейкой для распространения спама и мошенничества. Популярные социальные сети стали новым нерегулируемым рынком сбыта вредоносного ПО, где каждое доверчивое «спасибо» приближает новую волну атак. Три кита маскировки под полезные приложения Продукты, распространяемые в родительских сообществах, редко представлены в официальных магазинах приложений в своем истинном виде. Их разработчики используют … Читать далее

Ограничение запуска скриптов в сетевых хранилищах

от

«Сетевой диск, это не просто папка, это точка синхронизации для атаки. Запрет исполнения на нём — не просто галочка в политике, а перекрытие кислорода для целого класса угроз, которые обходят периметр и антивирусы.» Почему сетевые диски становятся точкой входа для атак Сетевое хранилище, это общий ресурс, но с точки зрения безопасности он работает как усилитель. … Читать далее

Защита эмулированного сознания: новые границы кибербезопасности

от

“Когда сознание становится набором данных на сервере, кибербезопасность перестаёт быть защитой информации и становится защитой самой личности. Её основные понятия — целостность, доступность, конфиденциальность — приобретают экзистенциальное значение.” От нейроинтерфейсов к цифровому субстрату Развитие интерфейсов «мозг–компьютер» сегодня служит двум целям: восстановлению функций тела и фундаментальным исследованиям мозга. Второе направление — ключевое. Чтобы эмулировать сознание, нужно … Читать далее

CAPTCHA: От Защиты к Обучению Искусственного Интеллекта

от

CAPTCHA: От Защиты к Обучению Искусственного Интеллекта Распространенное заблуждение гласит, что пользователи решают CAPTCHA лишь для подтверждения своей человечности перед цифровыми системами. В действительности, этот процесс зачастую служит более глубокой цели: не только защиты от автоматизированных атак, но и невольного участия в тренировке нейросетей, тем самым постоянно повышая их интеллект и адаптивность. В этой парадигме … Читать далее

Угрозы для приложений

от

«Безопасность приложения, это не только веб-сервер с WAF. Это и шкаф с коммутаторами в коридоре, откат приложения после неудачного обновления и скрипт, который кто-то написал в спешке и забыл про валидацию входных данных. Реальная модель угроз простирается от физического мира до строки кода, и пропуск любого уровня сводит на нет всю остальную защиту.» Что включает … Читать далее

Как ваш номер телефона утекает с сайтов в руки мошенников

от

«Регистрация на сайте, это не просто ввод номера в поле. Это моментальная передача ваших данных в десятки баз, которые живут по своим законам. И эти законы не имеют ничего общего с вашей безопасностью.» Как номер уходит из поля ввода в базу мошенников Вы вводите номер в форму регистрации. В этот момент вы предполагаете, что данные … Читать далее