Новый инструмент для безопасности известного автономного ИИ агента OpenClaw.
Опенсорс под лицензией MIT.
Пока как и сам агент подходит больше для личных экспериментов.
https://zenitysec.github.io/openclaw-security-platform/
Опенсорс под лицензией MIT.
Пока как и сам агент подходит больше для личных экспериментов.
https://zenitysec.github.io/openclaw-security-platform/
zenitysec.github.io
OpenClaw Security Platform
Bring-your-own-security for OpenClaw AI agents
🤝1
https://www.cisecurity.org/insights/blog/cis-benchmarks-march-2026-update
Обновились до новых мажорных версий рекомендации CIS по безопасной настройке Win 11, Server 2019, Server 2025.
Упустил момент когда появились рекомендации CIS для Github, в марте они доросли до версии 1.2.
Обновились до новых мажорных версий рекомендации CIS по безопасной настройке Win 11, Server 2019, Server 2025.
Упустил момент когда появились рекомендации CIS для Github, в марте они доросли до версии 1.2.
CIS
CIS Benchmarks March 2026 Update
Here is an overview of the CIS Benchmarks that the Center for Internet Security (CIS) updated or released for March 2026.
6_20 Александр Леонов PT Security Summit.pdf
5.9 MB
26 марта посетил новое для себя мероприятие Security Summit . Хороший отель, приятная организация, небезынтересная программа с дискуссиями.
С согласия 2 докладчиков делюсь с вами презентациями, которые мне показались любопытными.
1. Управление экспозициями как эволюция управления уязвимостями Александр Леонов, Positive Technologies. Александр посвятил свой доклад новому термину из области уязвимостей проникающему на наш рынок - экспозиции (exposure).
2. Практика применения больших языковых моделей в задачах продуктовой безопасности: категоризация данных, контроль критичных изменений, оптимизация рулсета и триаж результатов сканеров. Дмитрий Марюшкин, Ozon Fintech
Дмитрий поделился 3 практическими кейсами использования ИИ в кибербезопасности Озон.
Возможно получится дополнить слайдами от коллег из Московской биржи.
С согласия 2 докладчиков делюсь с вами презентациями, которые мне показались любопытными.
1. Управление экспозициями как эволюция управления уязвимостями Александр Леонов, Positive Technologies. Александр посвятил свой доклад новому термину из области уязвимостей проникающему на наш рынок - экспозиции (exposure).
2. Практика применения больших языковых моделей в задачах продуктовой безопасности: категоризация данных, контроль критичных изменений, оптимизация рулсета и триаж результатов сканеров. Дмитрий Марюшкин, Ozon Fintech
Дмитрий поделился 3 практическими кейсами использования ИИ в кибербезопасности Озон.
Возможно получится дополнить слайдами от коллег из Московской биржи.
Коллеги любезно поделились частью презентации Вадима Гриценко с Security Summit про практики защиты ИИ в Московской Бирже.
👏1
VP Cybersecurity Brief pinned «Всем привет! На случай проблем с ТГ - резервная ссылка на приватный канал в Max. Канал в Max полноценно оживет только в случае значительных проблем с ТГ. А пользователям Max рекомендую для частичной минимизации рисков использования приложения: 1. В настройках…»
Forwarded from SecAtor
В результате крупной атаки на цепочку поставок, направленной против широко используемой библиотеки JavaScript Axios, разработчики на короткое время подверглись воздействию скрытого RAT.
Инцидент произошел в период с 30 по 31 марта 2026 года, когда злоумышленники получили контроль над учетной записью npm, принадлежащей сопровождающему проекта Axios jasonsaayman.
Исследователи из Socket и независимые аналитики выявили, что два измененных релиза, axios@1.14.1 и axios@0.30.4, были опубликованы с разницей в 39 минут, оба вне обычного рабочего процесса релизов проекта на основе GitHub.
Злоумышленник изменил адрес электронной почты учетной записи на ProtonMail и использовал украденный токен npm для обхода механизма доверенной публикации репозитория.
Axios - один из наиболее распространенных HTTP-клиентов в экосистеме JavaScript, насчитывающий сотни миллионов загрузок в месяц и широко используемый во фронтенд-фреймворках, бэкенд-сервисах и корпоративных приложениях.
Его популярность значительно усилила потенциальный ущерб, поскольку проекты, использующие разрешительные диапазоны версий, могли автоматически загружать вредоносные обновления во время обычной установки.
Примечательно, что злоумышленники не модифицировали исходный код Axios. Вместо этого они добавили единственную «фантомную» зависимость, plain-crypto-js@4.2.1, которая никогда не импортируется легитимной библиотекой.
Этот пакет, опубликованный незадолго до атаки с отдельного временного аккаунта (nrwise@proton.me), был разработан исключительно для выполнения скрипта postinstall во время установки npm.
Анализ показал, что вредоносная зависимость развернула многоступенчатую цепочку заражения. Встроенный в неё дроппер (setup.js) использовал многоуровневую обфускацию для сокрытия функциональности, а затем связался с сервером C2 по адресу sfrclak[.]com:8000 для получения платформоспецифических полезных нагрузок.
Вредоносное ПО доставило:
- Mach-O RAT на macOS, замаскированный под файл системного кэша (/Library/Caches/com.apple.act.mond);
- Вредоносную ПО на основе PowerShell для Windows, выполняемую с помощью скрытого скрипта VBScript и переименованного интерпретатора (%PROGRAMDATA%\wt.exe);
- Бэкдор на основе Python для Linux, сохраненный в /tmp/ld.py.
В итоге была получена полностью функциональная удаленная вредоносная программа (RAT), способная осуществлять разведку системы, выполнять команды и развертывать полезную нагрузку, а также периодически отправлять сигналы на инфраструктуру злоумышленника.
Чтобы избежать обнаружения, вредоносная ПО использовала методы противодействия, удалив себя, свой вредоносный файл package.json и заменив его чистым файлом-приманкой. Фактически это позволило стереть видимые следы из папки node_modules, сделав традиционные проверки ненадежными.
Во многих случаях единственным оставшимся индикатором компрометации является неожиданное присутствие каталога plain-crypto-js или артефактов на уровне ОС, оставленных полезной нагрузкой второго этапа.
Атака была тщательно спланирована. Сначала была опубликована безобидная версия plain-crypto-js для подтверждения её безопасности, а через несколько часов - версия, предназначенная для атаки.
Затем вредоносные релизы Axios были выпущены после того, как зависимость достаточно устарела, чтобы избежать подозрений со стороны автоматизированных сканеров.
Обе скомпрометированные версии Axios были удалены npm примерно за три часа, а вредоносная зависимость была заменена на заполнитель безопасности.
Однако короткого периода уязвимости оказалось достаточно, чтобы представлять серьезную угрозу, особенно для конвейеров CI/CD и автоматизированных сборок.
Разработчикам рекомендуется проверить наличие axios@1.14.1, axios@0.30.4 или plain-crypto-js, и если они обнаружены, сменить все учетные данные и выполнить полную очистку системы.
Инцидент произошел в период с 30 по 31 марта 2026 года, когда злоумышленники получили контроль над учетной записью npm, принадлежащей сопровождающему проекта Axios jasonsaayman.
Исследователи из Socket и независимые аналитики выявили, что два измененных релиза, axios@1.14.1 и axios@0.30.4, были опубликованы с разницей в 39 минут, оба вне обычного рабочего процесса релизов проекта на основе GitHub.
Злоумышленник изменил адрес электронной почты учетной записи на ProtonMail и использовал украденный токен npm для обхода механизма доверенной публикации репозитория.
Axios - один из наиболее распространенных HTTP-клиентов в экосистеме JavaScript, насчитывающий сотни миллионов загрузок в месяц и широко используемый во фронтенд-фреймворках, бэкенд-сервисах и корпоративных приложениях.
Его популярность значительно усилила потенциальный ущерб, поскольку проекты, использующие разрешительные диапазоны версий, могли автоматически загружать вредоносные обновления во время обычной установки.
Примечательно, что злоумышленники не модифицировали исходный код Axios. Вместо этого они добавили единственную «фантомную» зависимость, plain-crypto-js@4.2.1, которая никогда не импортируется легитимной библиотекой.
Этот пакет, опубликованный незадолго до атаки с отдельного временного аккаунта (nrwise@proton.me), был разработан исключительно для выполнения скрипта postinstall во время установки npm.
Анализ показал, что вредоносная зависимость развернула многоступенчатую цепочку заражения. Встроенный в неё дроппер (setup.js) использовал многоуровневую обфускацию для сокрытия функциональности, а затем связался с сервером C2 по адресу sfrclak[.]com:8000 для получения платформоспецифических полезных нагрузок.
Вредоносное ПО доставило:
- Mach-O RAT на macOS, замаскированный под файл системного кэша (/Library/Caches/com.apple.act.mond);
- Вредоносную ПО на основе PowerShell для Windows, выполняемую с помощью скрытого скрипта VBScript и переименованного интерпретатора (%PROGRAMDATA%\wt.exe);
- Бэкдор на основе Python для Linux, сохраненный в /tmp/ld.py.
В итоге была получена полностью функциональная удаленная вредоносная программа (RAT), способная осуществлять разведку системы, выполнять команды и развертывать полезную нагрузку, а также периодически отправлять сигналы на инфраструктуру злоумышленника.
Чтобы избежать обнаружения, вредоносная ПО использовала методы противодействия, удалив себя, свой вредоносный файл package.json и заменив его чистым файлом-приманкой. Фактически это позволило стереть видимые следы из папки node_modules, сделав традиционные проверки ненадежными.
Во многих случаях единственным оставшимся индикатором компрометации является неожиданное присутствие каталога plain-crypto-js или артефактов на уровне ОС, оставленных полезной нагрузкой второго этапа.
Атака была тщательно спланирована. Сначала была опубликована безобидная версия plain-crypto-js для подтверждения её безопасности, а через несколько часов - версия, предназначенная для атаки.
Затем вредоносные релизы Axios были выпущены после того, как зависимость достаточно устарела, чтобы избежать подозрений со стороны автоматизированных сканеров.
Обе скомпрометированные версии Axios были удалены npm примерно за три часа, а вредоносная зависимость была заменена на заполнитель безопасности.
Однако короткого периода уязвимости оказалось достаточно, чтобы представлять серьезную угрозу, особенно для конвейеров CI/CD и автоматизированных сборок.
Разработчикам рекомендуется проверить наличие axios@1.14.1, axios@0.30.4 или plain-crypto-js, и если они обнаружены, сменить все учетные данные и выполнить полную очистку системы.
socket.dev
Supply Chain Attack on Axios Pulls Malicious Dependency from npm
A supply chain attack on Axios introduced a malicious dependency, plain-crypto-js@4.2.1, published minutes earlier and absent from the project’s GitHub releases.
Forwarded from PWN AI (Artyom Semenov)
Давно не делился находками. Не awesome-списками, которых уже и так много, включая моих, а конкретными штуками, которые можно открыть, потрогать и применить в работе без привязки к конкретному вендору и затратам.
Набралось четыре, и каждая закрывает свой кусок реальности, которая кажется нам подвластной.
AI Agents Gone Rogue – живой (пока ещё) реестр инцидентов с AI-агентами от Oso. Не аналитика, не мнения, а каталог задокументированных провалов с источниками, импактом и последствиями. Я раньше пользовался базами, такими как: AIVD, AIID, OCED, но кажется, что они В С Ё. А тут есть пара интересных случаев: Агент, реализованный в Meta без спроса, публикует ответ на внутреннем форуме. OpenClaw засыпает жену инженера пятьюстами iMessage. Амазоновский помощник Kiro роняет прод AWS на 13 часов. Всё рассортировано по трём категориям: Uncontrolled (агент сходит с ума без твоей помощи), Tricked (его обманули через промпт-атаку), Weaponized (его целенаправленно превратили в оружие, как в кейсе с китайской APT через Claude Code). Вполне идеальный ресурс, чтобы показать менеджменту, что «ну у нас же агент локально работает» это не аргумент безопасности, а скорее повод пересмотреть свою стратегию.
Если после этого реестра катастроф хочется понять, что OWASP вообще предлагает делать со всем этим безумием, есть OWASP AI Security Visualizer. Интерактивный граф на D3.js, который визуализирует весь ландшафт OWASP-документов по ИИ-безопасности: гайды, стандарты, читшиты, инструменты и связи между ними. Чистый статик на GitHub Pages, данные курируются вручную (ну я так думаю). Штука минималистичная, но именно такой навигации и не хватало, когда нужно быстро сориентироваться в OWASP-зоопарке, а не утонуть в нём.
Теперь от карт к оружию. agent-audit это ещё один SAST для AI-агентов, и SAST тут – ключевое слово: он только читает код. 53 правила, все замаплены на OWASP Agentic Top 10 (2026). Умеет в taint analysis разных сущностей: от анализа инструментов до опасных вызовов функций типа eval и subprocess, аудит MCP-конфигов (парсит claude_desktop_config.json на отсутствие аутентификации, возможность отравления описания инструмента), обнаружение секретов со скорингом по энтропии, который работает в 3 стадии. Работает с LangChain, CrewAI, AutoGen, AgentScope. Разработчики прогнали на почти 19 тысячах скиллах из OpenClaw - находит 94.6% уязвимостей, которые в целом подтверждены. Ложных срабатываний около 12%. По сути, это линтер для кода AI-агента, только вместо пропущенной точки с запятой он находит путь от пользовательского ввода до выполнения команд через шелл. Умеет в SARIF, втыкается в CI за пять минут.
И наконец, если agent-audit проверяет код до запуска, то nono контролирует агента уже в рантайме, причём на уровне ядра. Песочница на Rust с изоляцией на основе разрешений. Каждому агенту свой профиль доступа к файловой системе, сети и процессам, откат при нарушении политик, криптографически защищённый неизменяемый лог аудита каждой сессии. Есть готовые профили для Claude Code, Codex, OpenClaw. Подключаешь через
Реестр инцидентов, карта OWASP-зоопарка, сканер кода агентов и рантайм-песочница. Ни один не требует подписки, все открыты. Можно юзать.
Набралось четыре, и каждая закрывает свой кусок реальности, которая кажется нам подвластной.
AI Agents Gone Rogue – живой (пока ещё) реестр инцидентов с AI-агентами от Oso. Не аналитика, не мнения, а каталог задокументированных провалов с источниками, импактом и последствиями. Я раньше пользовался базами, такими как: AIVD, AIID, OCED, но кажется, что они В С Ё. А тут есть пара интересных случаев: Агент, реализованный в Meta без спроса, публикует ответ на внутреннем форуме. OpenClaw засыпает жену инженера пятьюстами iMessage. Амазоновский помощник Kiro роняет прод AWS на 13 часов. Всё рассортировано по трём категориям: Uncontrolled (агент сходит с ума без твоей помощи), Tricked (его обманули через промпт-атаку), Weaponized (его целенаправленно превратили в оружие, как в кейсе с китайской APT через Claude Code). Вполне идеальный ресурс, чтобы показать менеджменту, что «ну у нас же агент локально работает» это не аргумент безопасности, а скорее повод пересмотреть свою стратегию.
Если после этого реестра катастроф хочется понять, что OWASP вообще предлагает делать со всем этим безумием, есть OWASP AI Security Visualizer. Интерактивный граф на D3.js, который визуализирует весь ландшафт OWASP-документов по ИИ-безопасности: гайды, стандарты, читшиты, инструменты и связи между ними. Чистый статик на GitHub Pages, данные курируются вручную (ну я так думаю). Штука минималистичная, но именно такой навигации и не хватало, когда нужно быстро сориентироваться в OWASP-зоопарке, а не утонуть в нём.
Теперь от карт к оружию. agent-audit это ещё один SAST для AI-агентов, и SAST тут – ключевое слово: он только читает код. 53 правила, все замаплены на OWASP Agentic Top 10 (2026). Умеет в taint analysis разных сущностей: от анализа инструментов до опасных вызовов функций типа eval и subprocess, аудит MCP-конфигов (парсит claude_desktop_config.json на отсутствие аутентификации, возможность отравления описания инструмента), обнаружение секретов со скорингом по энтропии, который работает в 3 стадии. Работает с LangChain, CrewAI, AutoGen, AgentScope. Разработчики прогнали на почти 19 тысячах скиллах из OpenClaw - находит 94.6% уязвимостей, которые в целом подтверждены. Ложных срабатываний около 12%. По сути, это линтер для кода AI-агента, только вместо пропущенной точки с запятой он находит путь от пользовательского ввода до выполнения команд через шелл. Умеет в SARIF, втыкается в CI за пять минут.
И наконец, если agent-audit проверяет код до запуска, то nono контролирует агента уже в рантайме, причём на уровне ядра. Песочница на Rust с изоляцией на основе разрешений. Каждому агенту свой профиль доступа к файловой системе, сети и процессам, откат при нарушении политик, криптографически защищённый неизменяемый лог аудита каждой сессии. Есть готовые профили для Claude Code, Codex, OpenClaw. Подключаешь через
nono run --profile claude-code -- claude и агент работает в своём пузыре, где не может тихо прочитать ~/.ssh или слить .env куда-нибудь в закат. Каждая команда, код завершения, сетевое событие пишется в структурированный JSON. Проект в ранней альфе и полный аудит ещё впереди, но архитектура видится правильной. Нулевое доверие для агента.Реестр инцидентов, карта OWASP-зоопарка, сканер кода агентов и рантайм-песочница. Ни один не требует подписки, все открыты. Можно юзать.
С сегодняшнего числа канал присоединяется к лучшим мировым безопасным практикам.
Теперь все посты канала будут выходить написанными на безопасном RUST!
fn main() {
let status = "Active";
let message = "С сегодняшнего числа канал присоединяется к лучшим мировым безопасным практикам.";
let news = "Теперь все посты канала будут выходить написанными на безопасном RUST!";
if status == "Active" {
println!("{}", message);
println!("{}", news);
}
}
Теперь все посты канала будут выходить написанными на безопасном RUST!
fn main() {
let status = "Active";
let message = "С сегодняшнего числа канал присоединяется к лучшим мировым безопасным практикам.";
let news = "Теперь все посты канала будут выходить написанными на безопасном RUST!";
if status == "Active" {
println!("{}", message);
println!("{}", news);
}
}
👏2
Одно из знаковых мероприятий для CIO подмосковные вечера сформулировало основные ожидания и ситуацию для ИТ.
Это хорошая пища для размышления. С поправкой на использованный ИИ.😆
Ниже поделюсь своими размышлениями.
Это хорошая пища для размышления. С поправкой на использованный ИИ.😆
Ниже поделюсь своими размышлениями.
Forwarded from Клуб 4СИО
Продолжаем фиксировать ключевые смыслы Конгресса — и на этот раз попросили ИИ собрать саммари первого пленарного заседания.
Это уже разговор не про отдельные роли или инструменты, а про всю отрасль сразу.
Про давление, в котором сейчас работает ИТ: меньше ресурсов, больше неопределённости, сложнее решения.
И ощущение от дискуссии очень точное — CIO сегодня всё чаще отвечает не за то, что делать, а за то, чего не делать.
Вот как это увидел ИИ.
Основные мысли и идеи сессии
1. Контекст: денег меньше, неопределённости больше
Санкции, высокая ставка и бюджетные ограничения привели к сокращению доступных ресурсов. Горизонт планирования уменьшается, а уровень неопределённости растёт.
В этих условиях CIO работает не столько в логике развития, сколько в логике минимизации ошибок.
2. Приоритеты становятся ключевой компетенцией
В условиях ограниченных ресурсов невозможно делать всё.
Основная задача — выбрать:
что критично,
что можно отложить,
от чего отказаться.
Планирование превращается в центральную функцию управления.
3. Возвращение к вопросу «зачем»
Ключевой вопрос для IT-функции — не «что внедрять», а «зачем это нужно».
Автоматизация без понимания целей приводит к росту затрат без реального эффекта.
4. Риск автоматизации неэффективных процессов
Автоматизация фиксирует существующие процессы и может закреплять их недостатки.
Если процесс неэффективен, его автоматизация лишь ускоряет распространение проблем.
5. Импортозамещение как возможность
Несмотря на ограничения, импортозамещение открывает возможность пересобрать IT-ландшафт и переосмыслить процессы.
Речь идёт не о прямой замене решений, а о трансформации архитектуры.
6. Искусственный интеллект становится обязательным элементом
AI перестаёт быть экспериментом и становится частью продуктовой и технологической стратегии.
Необходимость развития соответствующих компетенций становится очевидной.
7. Риск превращения CIO в ограничивающую функцию
Из-за требований безопасности и контроля CIO может начать играть роль «блокера», ограничивая внедрение новых инструментов.
Это создаёт риск торможения цифрового развития.
8. Рост теневого IT
Бизнес всё чаще использует облачные и AI-инструменты без участия IT.
Запретительная позиция усиливает этот тренд и снижает управляемость.
9. Новая роль CIO
CIO оказывается между двумя ролями:
обеспечение безопасности и стабильности,
поддержка развития и внедрения новых технологий.
Длительное нахождение в исключительно контролирующей роли становится неэффективным.
Ключевые инсайты
Кризис создаёт условия для пересмотра архитектуры и процессов.
Автоматизация без переосмысления процессов не даёт эффекта.
CIO должен управлять не только технологиями, но и смыслом изменений.
Избыточные ограничения ведут к росту теневого IT.
Искусственный интеллект становится обязательной частью стратегии.
Ключевые противоречия
Контроль vs развитие
Автоматизация vs качество процессов
Безопасность vs удобство
Ключевые вопросы
Что сейчас важнее: стабильность или развитие?
Какие инициативы можно остановить без ущерба?
Мы автоматизируем процессы или их проблемы?
Где проходит граница между безопасностью и ограничением бизнеса?
Как управлять ростом теневого IT?
Как использовать AI, не создавая новых рисков?
Краткий вывод
В условиях ограниченных ресурсов CIO становится тем, кто определяет, какие инициативы не стоит реализовывать.
Это уже разговор не про отдельные роли или инструменты, а про всю отрасль сразу.
Про давление, в котором сейчас работает ИТ: меньше ресурсов, больше неопределённости, сложнее решения.
И ощущение от дискуссии очень точное — CIO сегодня всё чаще отвечает не за то, что делать, а за то, чего не делать.
Вот как это увидел ИИ.
Основные мысли и идеи сессии
1. Контекст: денег меньше, неопределённости больше
Санкции, высокая ставка и бюджетные ограничения привели к сокращению доступных ресурсов. Горизонт планирования уменьшается, а уровень неопределённости растёт.
В этих условиях CIO работает не столько в логике развития, сколько в логике минимизации ошибок.
2. Приоритеты становятся ключевой компетенцией
В условиях ограниченных ресурсов невозможно делать всё.
Основная задача — выбрать:
что критично,
что можно отложить,
от чего отказаться.
Планирование превращается в центральную функцию управления.
3. Возвращение к вопросу «зачем»
Ключевой вопрос для IT-функции — не «что внедрять», а «зачем это нужно».
Автоматизация без понимания целей приводит к росту затрат без реального эффекта.
4. Риск автоматизации неэффективных процессов
Автоматизация фиксирует существующие процессы и может закреплять их недостатки.
Если процесс неэффективен, его автоматизация лишь ускоряет распространение проблем.
5. Импортозамещение как возможность
Несмотря на ограничения, импортозамещение открывает возможность пересобрать IT-ландшафт и переосмыслить процессы.
Речь идёт не о прямой замене решений, а о трансформации архитектуры.
6. Искусственный интеллект становится обязательным элементом
AI перестаёт быть экспериментом и становится частью продуктовой и технологической стратегии.
Необходимость развития соответствующих компетенций становится очевидной.
7. Риск превращения CIO в ограничивающую функцию
Из-за требований безопасности и контроля CIO может начать играть роль «блокера», ограничивая внедрение новых инструментов.
Это создаёт риск торможения цифрового развития.
8. Рост теневого IT
Бизнес всё чаще использует облачные и AI-инструменты без участия IT.
Запретительная позиция усиливает этот тренд и снижает управляемость.
9. Новая роль CIO
CIO оказывается между двумя ролями:
обеспечение безопасности и стабильности,
поддержка развития и внедрения новых технологий.
Длительное нахождение в исключительно контролирующей роли становится неэффективным.
Ключевые инсайты
Кризис создаёт условия для пересмотра архитектуры и процессов.
Автоматизация без переосмысления процессов не даёт эффекта.
CIO должен управлять не только технологиями, но и смыслом изменений.
Избыточные ограничения ведут к росту теневого IT.
Искусственный интеллект становится обязательной частью стратегии.
Ключевые противоречия
Контроль vs развитие
Автоматизация vs качество процессов
Безопасность vs удобство
Ключевые вопросы
Что сейчас важнее: стабильность или развитие?
Какие инициативы можно остановить без ущерба?
Мы автоматизируем процессы или их проблемы?
Где проходит граница между безопасностью и ограничением бизнеса?
Как управлять ростом теневого IT?
Как использовать AI, не создавая новых рисков?
Краткий вывод
В условиях ограниченных ресурсов CIO становится тем, кто определяет, какие инициативы не стоит реализовывать.
1. Для ИБ тенденция такая же - меньше ресурсов, больше неопределенности. Для ИБ важно не выпасть из каналов коммуникации с ИТ, а лучше ускорить их для минимизации рисков принятия решения без использования мер ИБ.
2. В условиях ограничения горизонта планирования, навык планирования с ограниченными данными будет важен и для ИБ. Опять важна коммуникация с ИТ и бизнесом.
3,4. Любая автоматизация должна быть направлена на конкретные результаты. Исключение безусловно хайп и базз ворды типа ИИ - для них всегда будут на первом этапе исключения. Этот пункт можно использовать. при обсуждении с ИТ неоднозначных новых автоматизаций. Расчеты эффективности ИИ начнутся в этом году. Важно, наблюдать, чтобы в гонке оптимизации процессов не была "оптимизированы" подпроцессы ИБ.
5. Для ИБ импортозамещение возможно будет использовать как сильное основание для полного пересмотра\ресертификации правил. Например правил межсетевого экранирования на новом МЭ или роутере ядра. Также импортозамещение, при правильном подборе курсов и вендоров, можно использовать для борьбы за бюджет обучения персонала ИБ. И иногда импортозамещение может помочь пересмотреть небезопасные архитектуры которые "исторически сложились". Есть безусловно и вызовы- некоторые функции которые ты воспринимал как стандартную типа TLS VPN могут оказать лишь в роадмапе вендора на 30+ год.
6. По моей оценке ИИ совершенно точно будет ключевым словом на этот и следующие года. Критично важно иметь регулярные встречи для обмена лучшими практиками и новыми решениями для их своевременной защиты.
7.Усиление ограничивающей роли для CIO создаст больше общих тем для обсуждения с CISO. Важно иметь прямой коммуникации с ИТ и бизнесом для оперативного принятия решений и корректного донесения возможных рисков для избегания ситуации когда ИБ окажется назван виновником снижения KPI\OKR.
8. Теневой ИТ для ИБ это также общая точка взаимодействия и для улучшения понимания. Фундаментальным вызовом является сильный разрыв в возможностях облачных инструментов, например ИИ, и тех которые уже доступны и проверены ИБ. Важно оценить эти риски и проговорить их с представителями бизнеса.
9. Возможна ковергенция ролей CIO и CISO. Возможные переходы работников между этими ролями т.к. необходимый уровень знаний становится очень похожим. В организациях с государственным участием тренд будет слабее.
2. В условиях ограничения горизонта планирования, навык планирования с ограниченными данными будет важен и для ИБ. Опять важна коммуникация с ИТ и бизнесом.
3,4. Любая автоматизация должна быть направлена на конкретные результаты. Исключение безусловно хайп и базз ворды типа ИИ - для них всегда будут на первом этапе исключения. Этот пункт можно использовать. при обсуждении с ИТ неоднозначных новых автоматизаций. Расчеты эффективности ИИ начнутся в этом году. Важно, наблюдать, чтобы в гонке оптимизации процессов не была "оптимизированы" подпроцессы ИБ.
5. Для ИБ импортозамещение возможно будет использовать как сильное основание для полного пересмотра\ресертификации правил. Например правил межсетевого экранирования на новом МЭ или роутере ядра. Также импортозамещение, при правильном подборе курсов и вендоров, можно использовать для борьбы за бюджет обучения персонала ИБ. И иногда импортозамещение может помочь пересмотреть небезопасные архитектуры которые "исторически сложились". Есть безусловно и вызовы- некоторые функции которые ты воспринимал как стандартную типа TLS VPN могут оказать лишь в роадмапе вендора на 30+ год.
6. По моей оценке ИИ совершенно точно будет ключевым словом на этот и следующие года. Критично важно иметь регулярные встречи для обмена лучшими практиками и новыми решениями для их своевременной защиты.
7.Усиление ограничивающей роли для CIO создаст больше общих тем для обсуждения с CISO. Важно иметь прямой коммуникации с ИТ и бизнесом для оперативного принятия решений и корректного донесения возможных рисков для избегания ситуации когда ИБ окажется назван виновником снижения KPI\OKR.
8. Теневой ИТ для ИБ это также общая точка взаимодействия и для улучшения понимания. Фундаментальным вызовом является сильный разрыв в возможностях облачных инструментов, например ИИ, и тех которые уже доступны и проверены ИБ. Важно оценить эти риски и проговорить их с представителями бизнеса.
9. Возможна ковергенция ролей CIO и CISO. Возможные переходы работников между этими ролями т.к. необходимый уровень знаний становится очень похожим. В организациях с государственным участием тренд будет слабее.
Forwarded from DevSecOps Talks
Безопасная работа с npm
Всем привет!
В GitHub-репозитории собраны лучшие практики, позволяющие повысить уровень информационной безопасности при работе с
Глобально материал «разбит» на разделы:
🍭
🍭 Secure Local Development Best Practices
🍭
🍭
Каждый из описанных выше разделов состоит из набора рекомендаций, перечень которых варьируется.
Для каждой рекомендации приводятся некоторые советы и набор команд, в которых указано как её можно реализовать на практике.
Кратко, по делу и ничего лишнего. Рекомендуем!
Всем привет!
В GitHub-репозитории собраны лучшие практики, позволяющие повысить уровень информационной безопасности при работе с
npm.Глобально материал «разбит» на разделы:
🍭
npm Security Best Practices🍭 Secure Local Development Best Practices
🍭
npm Maintainer Security Best Practices🍭
npm Package Health Best PracticesКаждый из описанных выше разделов состоит из набора рекомендаций, перечень которых варьируется.
Для каждой рекомендации приводятся некоторые советы и набор команд, в которых указано как её можно реализовать на практике.
Кратко, по делу и ничего лишнего. Рекомендуем!
GitHub
GitHub - lirantal/npm-security-best-practices: Collection of npm package manager Security Best Practices
Collection of npm package manager Security Best Practices - lirantal/npm-security-best-practices
Фреймворк для теста api
https://github.com/praetorian-inc/hadrian
https://github.com/praetorian-inc/hadrian
GitHub
GitHub - praetorian-inc/hadrian: API security testing framework for REST, GraphQL, and gRPC that validates authorization logic…
API security testing framework for REST, GraphQL, and gRPC that validates authorization logic using role-based testing and YAML-driven templates - praetorian-inc/hadrian