Архив рубрики: Bez kategorii

«Не занимайся безопасностью, это выгодно» — что говорит калькулятор рисков и что говорят счета после атаки

Автор: | |
Оставить комментарий
Chart: Change Healthcare 2024 - $22M ransom paid vs. ~$2.9B total cost of the attack. Don't do security, it pays off?

Сегодняшняя статья — немного провокация. Я взял формулу с экзамена CISSP — защитная мера не может стоить больше убытков, которые она предотвращает, — и честно проверил, не выходит ли из неё иногда, что безопасностью лучше не заниматься. Потом проверил это на настоящих счетах и котировках: Equifax, SolarWinds, CD Projekt, Żabka, MyDr, Morele.net, польские штрафы за защиту данных за 2025 год и то, сколько клиентов на самом деле уходит после инцидента (спойлер: гораздо меньше, чем заявляют). Есть и список компаний, которые после атаки уже не поднялись — от 158-летней британской транспортной компании, которую прикончил один подобранный пароль, до польского производителя велосипедов. Выводы неудобны для обеих сторон: и для тех, кто пугает, и для тех, кто экономит. 🔓 Continue reading →

Пример политики паролей — обновление 2026 (NIST SP 800-63B-4)

Автор: | |
Оставить комментарий

Пример политики паролей по NIST SP 800-63B-4: минимум 15 символов, без принудительной сложности и периодической смены, блок-листы, Argon2id, менеджер паролей и устойчивая к фишингу MFA. Continue reading →

Что может нам сказать исследование времени отклика сервера?

Автор: | |
Оставить комментарий
proces logowania użytkownika

Предположив, что сервер предпринимает действия на основе определенного условия, рассмотрим ситуацию, в которой сервер выполняет вычисления в зависимости от результата этого условия и затем передает ответ пользователю. В обоих случаях, то есть как при выполнении вычислений, так и при их отсутствии, сервер возвращает ответ пользователю. Стоит отметить, что в ситуации,… Continue reading →

Заберёт ли ИИ работу в сфере кибербезопасности? Напротив, на примере XSS в Zoomin!

Автор: | |
Оставить комментарий
ai vs security

В контексте растущей роли искусственного интеллекта (ИИ) в различных областях, вопрос о его влиянии на рынок труда в сфере кибербезопасности становится все более актуальным. С одной стороны, автоматизация и интеллектуальные системы могут значительно ускорить и улучшить процессы, связанные с защитой данных и ИТ-инфраструктуры. С другой стороны, существует опасение, что ИИ… Continue reading →

Биометрия безопаснее — как вредоносное ПО крадет данные пользователей Android

Автор: | |
Оставить комментарий
AndroidAtakOverlayBank

Этот пост был вдохновлен отличной презентацией Яна Серединьского на THS 2023. Кибербезопасность — это не бинарный вопрос, не существует решений, гарантирующих 100% безопасность. В реальности речь идет скорее о оценке рисков и выборе решений, которые менее подвержены атакам. Пример оценки в контексте банковского дела: подтверждение транзакций через мобильные приложения безопаснее,… Continue reading →

Взлом PDF с паролем за несколько секунд — иллюзорная защита PZU. NN Investment Partners также повторяют эти плохие практики.

Автор: | |
Оставить комментарий
łamanie pdf z hasłem

Иллюзия безопасности хуже, чем осознание её отсутствия, потому что она приводит к решениям, основанным на ложных предпосылках. Информация, передаваемая учреждениями общественного доверия, типа «Мы защищаем ваши персональные данные», часто создает именно такую иллюзию безопасности. Рассмотрим два примера на основе PDF-файлов с паролями. 2. В приложении находился PDF-файл, защищенный паролем: 3…. Continue reading →

Руководство по сертификатам кибербезопасности с рейтингом

Автор: | |
Оставить комментарий
certyfikaty z cyberbezpieczeństwaa

Сертификаты в области кибербезопасности становятся неотъемлемой частью карьеры каждого IT-специалиста. На различных форумах многие новички задают похожие вопросы: «Является ли сертификат A или B хорошим выбором?». Хотя сертификаты сами по себе не обеспечивают трудоустройство так же, как деньги не приносят счастья, они могут значительно усилить наше резюме при выходе на… Continue reading →

Скрытые данные в файлах — как метаданные могут быть полезны при проведении тестов на проникновение

Автор: | |
Оставить комментарий
ukryta miniaturka w metadanych

Многие форматы файлов, помимо представления контента, например, JPEG, показывающий сделанную фотографию, могут содержать метаданные. Эта скрытая информация может быть бесценной при расследованиях OSINT и тестах на проникновение. Давайте рассмотрим несколько случаев и инструментов, полезных для извлечения этой кажущейся скрытой информации. Отсутствие очистки метаданных из фотографий Времена, когда известные социальные сети… Continue reading →

Самые полезные плагины для Burp Suite

Автор: | |
Оставить комментарий
Burp Suite hacker

Этот пост является дополнением к моей презентации на Hack Summit 2023, где я покажу, как с помощью нескольких плагинов для Burp Suite можно ускорить и упростить проведение пенетрационного тестирования веб-приложений. Вот список самых полезных плагинов для Burp Suite, которые я сам использую. Некоторые из них не доступны встроенном BApp Store,… Continue reading →

Оптимизация конфигурации IP-камеры

Автор: | |
Оставить комментарий

В этом руководстве показано, как настроить IP-камеру. Скриншоты модели были взяты с PTZ-камеры IPCAM модели C6F0SgZ3N0P6L2, однако те же настройки могут быть применены к большинству брендов. Камеры, которые будут иметь очень похожие настройки, — это Clearview, Dahua, Hikvision, Gise и Qsee. Формат видео Чтобы избежать эффекта мерцания, связанного с частотой… Continue reading →