Аналитика

Экспертные статьи и
разбор актуальных
угроз ИБ

Jet Csirt Reports
Экспертный блог
Как организовать удаленный доступ и не пострадать от хакеров
Как организовать удаленный доступ и не пострадать от хакеров
Когда руководство компании экстренно требует перевести всех сотрудников на удаленный доступ, вопросы безопасности зачастую отходят на второй план. Как результат – злоумышленники получают отличное поле для деятельности.
Windows UAC не перестаёт удивлять, или Как обнаружить инсайдера
Windows UAC не перестаёт удивлять, или Как обнаружить инсайдера
Всем привет! Уверен, что вы наслышаны о недочетах технологии Windows UAC, однако относительно недавно появились подробности любопытной уязвимости, эксплуатация которой дает возможность непривилегированному пользователю максимально повысить привилегии. В Jet CSIRT мы не оставили этот случай без внимания, ведь для любой команды мониторинга и реагирования на инциденты ИБ уязвимости класса Privilege Escalation представляют особый интерес. Под катом — описание уязвимости, способы детекта и защиты.
Как успешно пройти любой пентест (вредные советы)
Как успешно пройти любой пентест (вредные советы)
Этот пост написан в юмористическом ключе с целью продемонстрировать, что даже пентестеры, чья работа должна быть интересной и увлекательной, могут страдать от излишней бюрократии и нелояльности заказчиков.
Безопасность прежде всего: как выпустить приложение без уязвимостей и не сорвать сроки релиза
Безопасность прежде всего: как выпустить приложение без уязвимостей и не сорвать сроки релиза
Информационная безопасность — обязательный элемент ИТ-продукта, но многие проекты не уделяют этому аспекту должного внимания, поскольку опасаются «закопаться» и не успеть вывести продукт на рынок вовремя.
Нормативные требования к аттестации АС/ИС по ГОСТ–РО 0043-003-2012 года
Нормативные требования к аттестации АС/ИС по ГОСТ–РО 0043-003-2012 года
В статье рассмотрены нормативные требования к аттестации автоматизированных систем и информационных систем (АС/ИС) по ГОСТ-РО 0043-003-2012, а также действия заявителя и организации, проводящей аттестацию АС/ИС. Приводятся требования положений ГОСТ РО 0043-003-2012 об аттестации объектов информатизации на соответствие требованиям безопасности. Также рассмотрен порядок ввода в действие аттестованных объектов информатизации, порядок их эксплуатации и контроля.
Невидимая угроза: как защитить розничную сеть от хакеров
Невидимая угроза: как защитить розничную сеть от хакеров
При исследовании корпоративных систем безопасности мы часто находим уязвимости, которые неочевидны для сотрудников компании, но могли бы сыграть на руку злоумышленникам.
Безопасность должна приносить бизнесу новую функциональность, а не ограничения
Безопасность должна приносить бизнесу новую функциональность, а не ограничения
Сегодня одной из ключевых угроз является социальная инженерия, в будущем она будет только усиливаться, а машинное обучение перейдет на службу хакерам. О том, как заложить фундамент для успешного противостояния киберпреступникам, в интервью CNews рассказал Алексей Мальнев, руководитель Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».
Ежегодный обзор по информационной безопасности
Ежегодный обзор по информационной безопасности
О том, какие угрозы наиболее актуальны для бизнеса прямо сейчас, стоит ли отдавать ИБ на аутсорсинг и как хакеры осваивают новые технологии, в интервью CNews рассказал директор Центра информационной безопасности компании «Инфосистемы Джет» Андрей Янкин.
Алексей Мальнев: Мы выбрали FortiSIEM по 67 техническим и 12 экономическим критериям
Алексей Мальнев: Мы выбрали FortiSIEM по 67 техническим и 12 экономическим критериям
Алексей Мальнев, руководитель Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT, и Алексей Андрияшин, технический директор Fortinet в России и странах СНГ, рассказали о том, как формировался стек продуктов для Jet CSIRT, и об опыте использования FortiSIEM.
Дома умнеют, но становятся опаснее
Дома умнеют, но становятся опаснее
Системы "умный дом" стремительно завоевывают доверие россиян: в этом году их количество уже превысило 1,5 миллиона, а к 2023 году может вырасти еще почти в 3 раза, прогнозируют специалисты. Производители обещают пользователям комфортную среду и избавление от рутинной домашней работы: нажатием одной кнопки в смартфоне можно удаленно выключить утюг, проверить, закрыта ли входная дверь в квартиру, включить подогрев пола или "попросить" кофемашину сварить чашку бодрящего напитка к приходу домой. Сценариев автоматизации управления домом очень много, и они непрерывно развиваются. Удобство растет, но насколько безопасны подобные решения? Об этом "Российской газете" рассказала Нина Пакшина, инженер-проектировщик Центра информационной безопасности компании "Инфосистемы Джет".
Как обмануть мошенников
Как обмануть мошенников
Мошенники продолжают звонить клиентам банков. Представляясь сотрудниками кредитных организаций, они пытаются выманить информацию, которая помогает уводить деньги с карт. Лука Сафонов, руководитель лаборатории практического анализа защищенности компании "Инфосистемы Джет", на личном опыте столкнулся с подобной ситуацией. Специально для "РГ" он описал схему действий мошенников и дал совет, как не попасться на их удочку.
Авторы GandCrab прекращают работу: они уверяют, что украли достаточно
Авторы GandCrab прекращают работу: они уверяют, что украли достаточно
В минувшую пятницу на одном из закрытых хакерских форумов появилось сообщение о закрытии RaaS (Ransomware-as-a-Service) сервиса GandCrab
WIBAttack. Так ли страшна новая уязвимость SIM-карт
WIBAttack. Так ли страшна новая уязвимость SIM-карт
[По публичной информации], 21 сентября Ginno Security Lab опубликовала информацию об уязвимости, схожей с Simjacker, которая позволяет с помощью одной вредоносной SMS захватить контроль над мобильными функциями атакованного устройства и тем самым получить возможность отправлять SMS, совершать звонки, а также узнать информацию об IMEI и геолокации. Главная проблема в том, что уязвимость обнаружена в ПО самих SIM-карт и не зависит непосредственно от устройства. Любая эксплуатация злоумышленником будет незаметна для владельца, так как взаимодействие будет осуществляться непосредственно с WIB.
Безопасность контейнеров в CI/CD
Безопасность контейнеров в CI/CD
На дворе наступила осень, во всю бушует техноутопия. Технологии стремительно рвутся вперед. Мы носим в кармане компьютер, вычислительная мощность которого в сотни миллионов раз больше мощности компьютеров, управлявших полетами на Луну. С помощью Youtube VR мы можем плавать в океане с медузами и китами, а роботы давно исследуют безжизненные горизонты холодных планет.
OWASP ТОП-10 уязвимостей IoT-устройств
OWASP ТОП-10 уязвимостей IoT-устройств
К концу 2018 года количество подключенных IoT-устройств превысило 22 миллиарда. Из 7,6 миллиардов человек на Земле у 4 миллиардов есть доступ к интернету. Получается, что на каждого человека приходится по 5,5 устройств интернета вещей.
Противостояние 2019: Jet Security Team заняла первое место в защите
Противостояние 2019: Jet Security Team заняла первое место в защите
Третий год подряд сильнейшие ИБ-эксперты «Инфосистемы Джет» приняли участие в The Standoff на PHDays. Наши команды Jet Security Team и Jet Antifraud Team сражались плечом к плечу: кибербитва продолжалась нон-стопом целых 28 часов! По итогам «Противостояния» наши защитники стали лучшими, не позволив нападающим «взломать» весь город!
Слепая простота
Слепая простота
В этой статье я расскажу о blind XSS — это довольно простая, но зачастую очень эффективная атака на веб-приложения. Эксплуатация таких векторов атак приводит к захвату админ-панелей различных сервисов, в том числе софтверных гигантов.
Удаленное выполнение произвольного кода в протоколе RDP
Удаленное выполнение произвольного кода в протоколе RDP
Стало известно об опасной уязвимости в протоколе RDP: корпорация Microsoft подготовила экстренный патч для уязвимости с идентификатором CVE-2019-0708, позволяющей выполнить произвольный код на целевой системе.
Обман автоматизированных камер наблюдения
Обман автоматизированных камер наблюдения
В последние годы возрос интерес к моделям машинного обучения, в том числе для распознавания зрительных образов и лиц. Хотя технология далека от совершенства, она уже позволяет вычислять преступников, находить профили в социальных сетях, отслеживать изменения и многое другое. Simen Thys и Wiebe Van Ranst доказали, что, внеся лишь незначительные изменения во входную информацию свёрточной нейронной сети, можно подменить конечный результат. В этой статье мы рассмотрим визуальные патчи для проведения атак на распознавание.
Пропатчил Exim — пропатчь еще раз. Свежее Remote Command Execution в Exim 4.92 в один запрос
Пропатчил Exim — пропатчь еще раз. Свежее Remote Command Execution в Exim 4.92 в один запрос
Совсем недавно, в начале лета, появились массовые призывы к обновлению Exim до версии 4.92 из-за уязвимости CVE-2019-10149 (Срочно обновляйте exim до 4.92 — идёт активное заражение / Хабр). А на днях выяснилось, что вредонос Sustes решил воспользоваться этой уязвимостью.
Большая часть Android-устройств уязвима к фишинговым атакам через смс
Большая часть Android-устройств уязвима к фишинговым атакам через смс
Недавно мы «порадовали» пользователей iPhone проблемами безопасности BLEee, но вряд ли мы сторонники какого-либо из фронтов в извечном споре Apple vs. Android, и готовы рассказать «отличную» новость про Android, если, конечно, в вашей душе есть место для злорадства.
Новая эра практической безопасности — Breach and Attack Simulation. Краткий обзор решений
Новая эра практической безопасности — Breach and Attack Simulation. Краткий обзор решений
Тест на проникновение является одним из наиболее распространенных способов оценить надежность систем защиты, продемонстрировать возможные методы проведения атак, выявить существующие проблемы безопасности. Однако пентесты требуют значительной доли участия человека, проводятся с определенной частотой и в сжатые сроки, их результаты отражают статичную картину, зафиксированную на момент проведения. Продукты по моделированию нарушений и атак (Breach and Attack Simulation, BAS) представляют собой новый развивающийся рынок средств, выполняющих автоматическое тестирование безопасности на регулярной основе. Рассмотрим внимательнее этот рынок и его драйверы, ключевые продукты данной области, а также прогнозы.
Киберугроза №1, или Как бороться с социальной инженерией
Киберугроза №1, или Как бороться с социальной инженерией
В статье мы разберемся в масштабах проблемы и поделимся нашим подходом к ее системному решению.
Взлом WPA3: DragonBlood
Взлом WPA3: DragonBlood
Несмотря на то, что новый стандарт WPA3 еще толком не введен в эксплуатацию, недостатки безопасности в этом протоколе позволяют злоумышленникам взломать пароль Wi-Fi.
Киберпреступники пять месяцев контролировали ASUS Live Update
Киберпреступники пять месяцев контролировали ASUS Live Update
Как сообщает «Лаборатория Касперского», хакеры из APT-группировки ShadowHammer 5 месяцев контролировали сервис обновлений ASUS Live Update и заразили более полумиллиона компьютеров по всему миру.
Безопасность SWIFT: как успешно провести самоаттестацию
Безопасность SWIFT: как успешно провести самоаттестацию
Мы собрали вопросы банков, связанные с аудитом информационной безопасности платежных систем и процедурой самооценки на соответствие требованиям SWIFT. Эти вопросы мы адресовали Илье Воложанину, консультанту Центра информационной безопасности компании «Инфосистемы Джет». Какие могут быть последствия, если банк не пройдет самоаттестацию или не будет соответствовать требованиям Customer Security Programme (CSP)? Сколько защитных мер банк должен реализовать? Можно ли дублировать результаты самоаттестации предыдущего года?
Формирование требований к будущей системе ИБ организации
Формирование требований к будущей системе ИБ организации
Формирование требований к системам информационной безопасности — важный и трудоемкий процесс. Необходимо учесть множество факторов, от которых зависит надежность системы. Эта статья поможет систематизировать знания требований по созданию СИБ.
Раскрыты детали вредоносной кампании на пользователей iPhone
Раскрыты детали вредоносной кампании на пользователей iPhone
29 августа группа Project Zero после тщательного исследования опубликовала детальную информацию об обнаруженных векторах атак в ходе массовой кампании по похищению данных пользователей iPhone.
Ну Apple, BLEee
Ну Apple, BLEee
Компания Apple активно внедряет в массы идею о том, что теперь-то с приватностью данных пользователей их продукции всё в порядке. Но исследователи из Hexway выяснили, что стандартный и активно используемый механизм Bluetooth LE (BLE) позволяет узнать довольно много о твоем айфончике.
F5 покупает NGINX
F5 покупает NGINX
Компания F5 приобретает NGINX для объединения NetOps и DevOps и предоставления клиентам согласованных сервисов приложений во всех средах. Сумма сделки оценивается приблизительно в $670 млн.
Wireshark 3.0.0: обзор нововведений
Wireshark 3.0.0: обзор нововведений
Wireshark Foundation выпустила финальную stable-версию популярного сетевого анализатора трафика — Wireshark 3.0.0. В новом релизе устранено несколько багов, реализована возможность анализа новых протоколов и заменен драйвер WinPcap на Npcap.
Состоялся релиз Kali Linux 2019.1
Состоялся релиз Kali Linux 2019.1
Состоялся rolling-release Kali Linux 2019.1, который содержит множество обновлений: обновленные пакеты, обновленное ядро 4.19.13, обновленные инструменты, а также 5 версию знаменитого фреймворка Metasploit.
Найти и обезвредить: как ИИ следит за аномальным поведением сотрудников
Найти и обезвредить: как ИИ следит за аномальным поведением сотрудников
Более 50% случаев мошенничества в компаниях происходят по вине сотрудников. Однако риски можно свести к минимуму, если следить за их аномальным поведением с помощью технологий big data, искусственного интеллекта и машинного обучения
Google Chrome перестанет защищать от XSS-атак?
Google Chrome перестанет защищать от XSS-атак?
Google удаляет XSS Auditor из браузера Chrome после серии уязвимостей, подвергших сомнению эффективность данной функции.
Арсенал багхантера. Подбираем софт для быстрого поиска уязвимостей при участии в Bug Bounty
Арсенал багхантера. Подбираем софт для быстрого поиска уязвимостей при участии в Bug Bounty
Не всегда самые дорогие баги, обнаруженные в рамках баг-баунти, — это классика типа XSS/SQL или ошибки логики работы приложения. Утечка логов, доступ к критичным файлам и сервисам без авторизации, сессионные и авторизационные токены, исходные коды и репозитории — все это может быть использовано злоумышленниками для успешных атак, поэтому и платят за такие штуки тоже неплохо. Я расскажу о полезных утилитах, которые помогут в выявлении уязвимостей.
Применение нейронных сетей для оценки рисков ИБ
Применение нейронных сетей для оценки рисков ИБ
В статье приведен обзор возможностей применения технологии нейронных сетей для автоматизации задач в области информационной безопасности, решаемых человеком. Рассматривается возможность применения нейронных сетей в таких процессах ИБ, как управление рисками и инцидентами ИБ.
Информационная безопасность для бизнеса: новые системы противодействия мошенничеству
Информационная безопасность для бизнеса: новые системы противодействия мошенничеству
Каждая компания стремится защитить клиентов, но с каждым годом мошенники становятся все изощреннее. Согласно исследованию Forbes, к концу 2019 года расходы на борьбу с киберпреступностью достигнут $2 трлн, а к 2022-му повысятся до $8–10 трлн.
Критическая уязвимость MacOS Mojave активно эксплуатируется злоумышленниками
Критическая уязвимость MacOS Mojave активно эксплуатируется злоумышленниками
Киберпреступники активно эксплуатируют уязвимость в MacOS Mojave, которая позволяет обойти Gatekeeper — технологию, обеспечивающую запуск только доверенного программного обеспечения.
RAMBleed: извлечь RSA-ключ за 34 часа
RAMBleed: извлечь RSA-ключ за 34 часа
Представлена новая атака RAMBleed, основанная на методе Rowhammer. Теперь под ударом не только целостность, но и конфиденциальность пользовательских данных.
Я в восторге от IoT
Я в восторге от IoT
Я большой фанат «наступившего будущего». С момента появления первых роботизированных кофеен и магазинов без обслуживающего персонала каждый день видится мне как реализовавшиеся грезы об удобном и комфортном мире. Мы долго шли к возможности управлять машиной, домом, своей жизнью с телефона. Было много падений, взломов, утечек личных данных и судов, но вот будущее наступило. И я в восторге.
Социальная инженерия: как не попасться на удочку мошенников?
Социальная инженерия: как не попасться на удочку мошенников?
В природе известно два наиболее сильных мотиватора для любых человеческих действий — это страх и любопытство. Каждый из них может побудить на нелогичные и глупые поступки, которые далеко не всегда оборачиваются чем-то хорошим. Екатерина Рудая, эксперт лаборатории практического анализа защищенности компании «Инфосистемы Джет», рассказывает, как человеческие эмоции играют на стороне хакеров и становятся залогом успешных атак.
Интервью про EDR-обзоры + рекламная текстовая строка
Интервью про EDR-обзоры + рекламная текстовая строка
Александр Русецкий, руководитель направления защиты от направленных атак Центра информационной безопасности «Инфосистемы Джет» рассказал Anti-Malware.ru о внутреннем рынке Anti-APT, о том, какие EDR-решения чаще всего используются в России и как проверить реальную эффективность защиты от целевых атак.
The Standoff: как это было
The Standoff: как это было
Приветы! Увидев на PHDays 9 достаточный интерес к тому, что происходит на The Standoff в рядах защитников, мы решили рассказать о том, как происходила подготовка и само «Противостояние» глазами Jet CSIRT как части команды Jet Security Team.
Как организовать безопасную работу с ЕБС: разбор рекомендаций Банка России
Как организовать безопасную работу с ЕБС: разбор рекомендаций Банка России
На сегодняшний день образцы голоса и компьютерные слепки лиц граждан собирают уже примерно 130 банков в 4500 отделениях[1]. По требованиям регулятора, к июлю техническими средствами для сбора биометрических данных (БДн) должны быть оснащены порядка 60% отделений, а к концу года эта доля должна увеличиться до 100%. Помимо этого, банки обязаны обеспечить надежную защиту собираемых данных. Эта статья призвана помочь ИБ-специалистам банков разобраться в нормативных новшествах и определиться с необходимыми разовыми и регулярными работами.
Что упускают хакеры при взломе банка на PHDays
Что упускают хакеры при взломе банка на PHDays
Банк из года в год становится особенной сущностью для итогов «Противостояния» на PHDays. В 2017 хакеры смогли вывести из банка больше денег, чем в нем было. В 2018 году успешность финальной атаки на банк при отключенном нами антифроде (по замыслу организаторов) обеспечила победу одной из команд.
Безудержное веселье на майских, или Standoff приближается
Безудержное веселье на майских, или Standoff приближается
Совсем скоро Positive Hack Days в очередной раз устроит зарубу, столкнув лицом к лицу хакеров, безопасников, аналитиков и экспертов ИБ на The Standoff.
Когда город засыпает
Когда город засыпает
Отгремело открытие PHDays, через наш виртуальный город прошло несколько тысяч человек и чуть меньше людей послушало доклады. Зал опустел, хакеры пытались взломать защитников. Защитники в свою очередь старались увидеть атаки, чтобы отбиться от хакеров. И все было как-то грустно, если даже не сказать уныло.
Сравнение промышленных СОВ: ISIM vs. KICS
Сравнение промышленных СОВ: ISIM vs. KICS
Нашумевшие атаки на норвежского производителя алюминиевых изделий Norsk Hydro и энергосистему Венесуэлы лишний раз показали, что промышленные предприятия по-прежнему уязвимы для хакеров. Мы решили разобраться, какие специализированные СОВы – системы обнаружения вторжений – помогают бороться с подобными киберпреступлениями и способны «увидеть» злоумышленников в сетевых сегментах АСУ ТП. Выбирая из пяти решений, мы остановились на двух – KICS for Networks от «Лаборатории Касперского» и ISIM от Positive Technologies – и сравнили их по 40 критериям. Что у нас получилось, вы сможете узнать под катом.
Интервью в рамках ежегодного обзора по информационной безопасности
Интервью в рамках ежегодного обзора по информационной безопасности
Российский рынок информационной безопасности увеличивается год от года, стабильно опережая показатели роста рынка ИТ в целом. Об угрозах, которые чаще всего беспокоят отечественных заказчиков, и актуальных решениях, способных их защитить, в интервью TAdviser рассказал Андрей Янкин, директор Центра информационной безопасности компании «Инфосистемы Джет».
Аудит ИБ в крупных компаниях: инструкция по применению
Аудит ИБ в крупных компаниях: инструкция по применению
Чтобы понять, что собой представляет комплексный аудит информационной безопасности, стоит взглянуть на вопрос с практической точки зрения: что нужно учесть, чтобы проектная команда хорошо сделала свою работу, не сорвала при этом сроки и попала в ожидания заказчика. Статья от эксперта компании «Инфосистемы Джет» будет полезна тем, кто проводит внешний ИБ- или ИТ-аудит, а также менеджерам внутренних ИТ- и ИБ-проектов.
Тестирование покажет: как подготовиться к внедрению Cisco ISE и понять, какие фичи системы вам нужны
Тестирование покажет: как подготовиться к внедрению Cisco ISE и понять, какие фичи системы вам нужны
Как часто вы покупаете что-то спонтанно, поддавшись крутой рекламе, а потом эта изначально желанная вещь пылится в шкафу, кладовке или гараже до очередной генеральной уборки или переезда? Как результат — разочарование из-за неоправданных ожиданий и впустую потраченных денег.
Использование контейнеров в безопасности АСУ ТП
Использование контейнеров в безопасности АСУ ТП
Рассмотрена возможность использования изоляции как одного из подходов к обеспечению информационной безопасности комплекса технических средств (конечных вычислительных устройств) в АСУ ТП. К типам изоляции относят следующее: физическая изоляция — гипервизор на уровне ядра, использование аппаратных контейнеров; изоляция на уровне ОС — гипервизор на уровне ОС, контейнеры, sandbox.
Мамкины хакеры на официальной работе: чем занимаются пентестеры
Мамкины хакеры на официальной работе: чем занимаются пентестеры
«Пентестер» — слово вообще-то не русское, заимствованное. Что приходит на ум людям не из ИТ, боюсь представить. Поэтому мы себя «на Руси» гордо зовём «специалисты по тестированию на проникновение». Что ещё за «проникновение» и зачем его нужно тестировать? В этой статье я постараюсь приоткрыть завесу тайны для непосвященных.
Атаки на трасты между доменами
Атаки на трасты между доменами
Рано или поздно в ходе пентеста встает задача компрометации всего леса — при условии, что есть какие-либо права в одном из доменов. В такие моменты возникает куча вопросов о трастах, их свойствах и самих атаках. Попробуем во всем этом разобраться.
Магазин приложений с хакерскими утилитами от Offensive Security на Android
Магазин приложений с хакерскими утилитами от Offensive Security на Android
16 июля компания Offensive Security сообщила о создании Kali Net Hunter App Store с бесплатными приложениями, связанными с информационной безопасностью.
Атаки на домен
Атаки на домен
При проведении тестирований на проникновение мы довольно часто выявляем ошибки в конфигурации домена. Хотя многим это не кажется критичным, в реальности же такие неточности могут стать причиной компрометации всего домена.
Как подготовиться к проверке Роскомнадзора
Как подготовиться к проверке Роскомнадзора
Елена Голубятник, старший консультант центра информбезопасности «Инфосистем Джет», отвечает на волнующие бизнес вопросы о проверках Роскомнадзора и пытается избавить организации от распространенных заблуждений
Разбор рекомендаций ЦБ по обеспечению ИБ при работе с ЕБС
Разбор рекомендаций ЦБ по обеспечению ИБ при работе с ЕБС
По требованиям регулятора, банки должны защищать ИТ-инфраструктуру и каналы связи при сборе биометрических данных (БДн) населения и удаленной идентификации клиентов в мобильном и онлайн-банкинге. Опубликованные в феврале 2018 года методические рекомендации для банков по обеспечению информационной безопасности при работе с Единой биометрической системой не накладывают принципиально новых требований на банки. Каковы все-таки ключевые рекомендации регулятора и как их реализовать на практике?
Биометрия в банках: сдавать или не сдавать
Биометрия в банках: сдавать или не сдавать
Уже больше года в России действует Единая биометрическая система (ЕБС), оператором которой является «Ростелеком», а регулирующим органом — Министерство цифрового развития, связи и массовых коммуникаций РФ. Возможности применения ЕБС крайне широки, но пока что ограничиваются лишь банковской сферой: в скором времени для открытия счета, перевода денежных средств или получения кредита будет достаточно воспользоваться приложением на смартфоне или личным кабинетом на сайте банка, не придется запоминать кодовое слово для обращения в кол-центр, а верифицировать операции, которые покажутся банку подозрительными, можно будет не по звонку, а с помощью биометрии. Удобно? Бесспорно. Но насколько безопасно?
Кража цифровой личности
Кража цифровой личности
Развитие соцсетей привело к появлению новых видов мошенничества. Один из них связан с кражей цифровой личности. Злоумышленники подделывают аккаунты пользователей, копируя их персональные данные из открытых анкет. Чем может обернуться появление такого клона в соцсети, "Российской газете" рассказала Елена Агеева, эксперт Центра информационной безопасности "Инфосистемы Джет".
Эпичная сага о сведениях Threat Intelligence
Эпичная сага о сведениях Threat Intelligence
Мы решили поделиться своим видением TI в Jet CSIRT и рассказать о попытках адаптации различных потенциально полезных подходов к управлению сведениями о киберугрозах.
LockerGoga: что именно произошло с Norsk Hydro
LockerGoga: что именно произошло с Norsk Hydro
В ночь с понедельника на вторник (примерно в 23:00 UTC 18.03.2019) специалисты Norsk Hydro заметили сбои в функционировании сети и ряда систем. Вскоре стало понятно, что сбои вызваны массовым заражением систем шифровальщиком, которое очень быстро распространялось по объектам инфраструктуры.
10 лучших техник веб-хакинга 2018
10 лучших техник веб-хакинга 2018
Каждый год сообщество экспертов по веб-безопасности выбирает TOP-10 техник атак на веб-приложения. Организатором конкурса выступает компания Portswigger, разрабатывающая один из лучших инструментов для тестирования на проникновение веб-приложений — Burp Suite.
OWASP Proactive Controls: cписок обязательных требований для разработчиков ПО
OWASP Proactive Controls: cписок обязательных требований для разработчиков ПО
Предлагаем вашему вниманию Top 10 Proactive Controls for Software developers – 10 аспектов безопасности, на которых должны сосредоточиться разработчики ПО. Данная статья содержит список техник по обеспечению безопасности, обязательных для реализации при разработке каждого нового проекта.
SITIS CTF: как тюлень помог CTF выиграть
SITIS CTF: как тюлень помог CTF выиграть
27 января 2019 года состоялось мероприятие SITIS CTF — соревнование по информационной безопасности для школьников и студентов техникумов. В турнире приняли участие около 80 молодых специалистов и один тюлень.
Состоялся релиз Metasploit Framework 5.0
Состоялся релиз Metasploit Framework 5.0
Metasploit Framework — это наиболее известный инструмент для создания, тестирования и использования эксплоитов. Позволяет производить эксплуатацию и постэксплуатацию уязвимостей, доставку «полезной нагрузки» (payloads) на атакуемую цель. Metasploit Framework 5.0 — наиболее крупное обновление фреймворка с 2011 года.
Подмена поисковой выдачи Google
Подмена поисковой выдачи Google
Эксперт по информационной безопасности Wietze Beukema обнаружил довольно простую логическую уязвимость в формировании поисковой выдачи Google, позволяющую производить манипуляцию результатами выдачи. Несмотря на простоту уязвимости, последствия от ее применения могут быть довольно серьезными.
Нестареющая классика, или обзор новых векторов атак через Microsoft Office
Нестареющая классика, или обзор новых векторов атак через Microsoft Office
Мы попробуем разобраться, как устроены три новые техники выполнения кода в офисных приложениях, обнаруженные в этом году, и какие способы защиты от них существуют.
Кто продает ваши аккаунты?
Кто продает ваши аккаунты?
В начале 2016 года злоумышленник, действующий под псевдонимом tessa88, выставил на продажу широкий список скомпрометированных баз пользователей «Вконтакте», Mobango, Myspace, Badoo, QIP, Dropbox, Rambler, LinkedIn, Twitter и др. Недавно данные злоумышленника были раскрыты специалистами компании Insikt Group.
Be a security ninja: secret level
Be a security ninja: secret level
Информационная безопасность — одна из дисциплин, набирающих бешеную популярность в последние годы. Мы решили помочь всем желающим и организовали цикл бесплатных вебинаров по ИБ. Сегодня мы публикуем видеозаписи заключительного цикла вебинаров, посвященных практической информационной безопасности.
Как я чуть не подхватил вирус, пытаясь продать сапоги
Как я чуть не подхватил вирус, пытаясь продать сапоги
Загрузил фотографии, указал ненастоящее имя (информационная безопасность же), выставил сапоги, пару других вещей и пошёл спать. Откуда мне было знать, что это обернётся длительным анализом приложения на предмет скрытых угроз?
Be a security ninja: запись вебинаров и бонусный уровень
Be a security ninja: запись вебинаров и бонусный уровень
Информационная безопасность – одна из дисциплин, набирающих бешеную популярность в последние годы. Мы решили помочь всем желающим и организовали цикл бесплатных вебинаров по информационной безопасности. Сегодня мы публикуем видеозаписи и анонсируем бонусный уровень, посвященный практической информационной безопасности.
Открыть нельзя игнорировать
Открыть нельзя игнорировать
Моя работа связана с тем, что я вру людям и эксплуатирую их доверчивость, любопытство, жадность и так далее. Работу я свою люблю и стараюсь подходить к ней творчески. Специфика моей деятельности связана с проведением атак методом социальной инженерии. И в этом посте я бы хотела рассказать о вредоносных вложениях.
Использование offensive-методов для обогащения Threat Intelligence
Использование offensive-методов для обогащения Threat Intelligence
Повышению эффективности и улучшению качества TI может способствовать применение OSINT (разведка на основе открытых источников) и offensive-методов (то есть методов, характерных не для защищающейся, а для нападающей стороны) в информационной безопасности, о которых и пойдет речь в данной статье.