🚀 Друзья, я вернулся!

Прошу прощения, что пропал на такой срок — просто всё навалилось разом, и до канала руки не доходили. Сейчас по порядку расскажу, чем жил последнее время 😎

🏆 Главная новость

В этом году состав сборной Дагестана прошёл отборочный этап на Кубке России 2026 и теперь мы приглашены в Финал! 🔥

🌐 Свои ТРИ буквы и охота за VPS

Решил наконец развернуть себе такую историю и параллельно удалось пощупать разные VPS-хостинги. Прошёлся по нескольким — кто-то реально приятно удивил по соотношению цена/качество, кто-то откровенно разочаровал, но для себя выделил кое-кого)

🤖 Локальная LLM на своей машине

Захотелось поднять свою модель локально — чтобы потестить и работать с чувствительными данными. Залетел сразу с амбициями и выбрал модель, которая для моей видеокарты явно великовата... 🥴
Тормозит, если держать у себя Firefox, Chrome, пару терминалов и подобные штуки. Грустно, но на ту, что послабее, переходить как-то не хочется

🧠 RAG — хочу, но лень

Думаю прикрутить к ней RAG, чтобы модель шарила по моим заметкам, репам и writeup'ам. Проблема в том, что для нормального RAG надо собрать кучу всего, и пока руки не доходят, а может и вовсе заброшу)
Для эмбеддингов смотрю в сторону bge-m3 — слышал, что в русском контексте отрабатывает прилично 👀

🛠 Кастом системы и хотелки по железу

Параллельно потихоньку допиливаю свою систему — что-то добавляю, что-то убираю, ищу баланс между «красиво» и «работает». Очень хочу взять дополнительную память на 1–2 ТБ, но цены сейчас сильно кусаются.

А пока у меня всё. Если уедем, то ждите различные кадры с Финала, а сейчас надеюсь радовать вас годной инфой 😺

😹 Privacy-settings — руководство по настройкам конфиденциальности для большинства программ и сервисов

Stay tuned 📻

🛡 DDoS в 2026: rate limiting мёртв, и вот почему

Современные L7-атаки выглядят так: ботнет из тысяч IP, каждый делает 10-15 запросов и уходит. Следующий пул — и по новой. География размазана: US, DE, NL, BR — не заблочишь по странам.

Для rate limiting'а это просто "обычные пользователи". Бэкенд в потолок, сайт лежит, а защита думает что всё нормально.

Почему старые методы не работают?

🔸 Rate limiting — бесполезен. 15 запросов с одного IP? Это обычный пользователь. Бот это знает и больше не отправляет.

🔸 Блокировка по GEO/ASN — костыль. Хостеры перепродают подсети, GeoIP-базы отстают, а реальный пользователь за VPN на Hetzner выглядит так же, как бот.

Что реально работает — поведенческий анализ:

— JS-challenge: отдаёшь клиенту JS, он должен выполнить его и вернуться с cookie. Браузер справится, curl/python — нет.
— TLS fingerprinting (JA3/JA4): у скриптовых HTTP-клиентов TLS-отпечаток отличается от настоящего браузера.
— Проверка "полноты" сессии: бот запрашивает HTML, но не грузит CSS/JS/шрифты/картинки. Настоящий браузер — грузит всё.

Что делать, если сайт лежит прямо сейчас?

1. Требовать от провайдера защиты AntiBot/поведенческий анализ, а не только rate limiting
2. Для РФ: DDoS-Guard, StormWall, EdgeCenter — антибот в базе, без проблем с блокировками РКН
3. Self-hosted: CrowdSec — современный fail2ban с краудсорсинговой базой плохих IP + bouncer для nginx

Протестировать свою защиту:

k6 и locust — тест производительности, не имитация DDoS.
Для реалистичной проверки — раскидать по нескольким VPS в разных подсетях, либо заказать стресс-тест.

Главный урок: не фильтруй по IP — фильтруй по поведению.
В 2026 году IP — расходный материал.

Rust для малвари - хайп или реальное преимущество перед C++?

На Codeby разобрали шеллкод-лоадер на Rust в сравнении с C++. Бинарь весит вдвое больше, но зато антивирусы его хуже опознают, он не похож на известные вредоносы, которые почти все написаны на C/C++. Плюс при попытке декомпилировать Rust-бинарь в Ghidra аналитик получает нечитаемое месиво вместо понятного кода.

Но есть нюанс: если защита работает на уровне ядра и следит за поведением программы, неважно, на чём она написана. Подозрительные вызовы палятся одинаково.

Отдельно автор проходится по конкретным защитным решениям: CrowdStrike, SentinelOne, Elastic, Kaspersky, что именно каждый из них ловит и на каком уровне.

🔗 Статья

🔖 Немного практики для тех, кто лезет в ИБ

Собрал несколько нормальных ресурсов, которые можно закинуть в закладки и потихоньку проходить 👀

1. Hacker101 CTF

CTF от HackerOne с упором на веб-безопасность.
XSS, SQLi, IDOR, SSRF и куча других вещей, которые пригодятся будущему баг-хантеру.

🔗 Hacker101 CTF

2. HackThisSite

Старая, но всё ещё годная платформа для практики веба.

Есть SQL-инъекции, XSS, обход аутентификации, анализ JavaScript и разные задачки, где можно руками потыкать то, что обычно читаешь только в статьях.

🔗 HackThisSite

3. PentestIT Lab

Тут уже повеселее 😺

Полноценные корпоративные лаборатории: Active Directory, внутренняя инфраструктура, эксплуатация уязвимостей, lateral movement и всякие сценарии, приближенные к реальному пентесту.

🔗 PentestIT Lab

4. Kubernetes The Hard Way

Если хочется разобраться с Kubernetes не по принципу «скопировал команду, вроде работает», то можно глянуть этот русскоязычный гайд.

Много практики, готовых скриптов, alias'ов и всяких нюансов эксплуатации кластеров.

🔗 Kubernetes The Hard Way

Я бы начинал с Hacker101 / HackThisSite, потом уже лез в PentestIT.
А Kubernetes можно оставить отдельной веткой, если интересна инфраструктура.

В общем, сохраняйте, на пару вечеров занятий точно хватит)

#cybersecurity #pentest