В итоге, бизнес-карточки сотрудников можно было получить проще, чем доступ к Wi-Fi в офисе. Исследователь с энтузиазмом колледж-студента тестирует JavaScript — и вуаля, один маленький обход, и весь список сотрудников открывается как меню в столовой✅
🙈 "Грустная" переписка с Intel
Мораль: если вдруг увидел уязвимость на сайте Intel, не жди благодарности — даже открытку не пришлют.
💼 Какие данные утекли
Крупные корпорации — мастера в железе, но когда речь о веб-сайтах, все превращается в квест "найди hardcoded пароль". В итоге баги закрыли (через год!), ну а исследователь получил опыт, лайки и знание, что Intel — outside, и только inside знает, как закрыть баги молча.
#IntelOutside #ДыраГода #Пароль1234 #HRКвест #БезБагБаути
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥3
Forwarded from Георгий Руденко | Кибербез & Бизнес
Список самых популярных постов канала за последние два месяца:
1️⃣ Базовые меры для защиты малого и среднего бизнеса
Как защитить бизнес, применяя принцип 20/80: что действительно дает эффект при минимальных затратах.
2️⃣ Эволюция подходов к построению ИБ
Какие подходы к построению информационной безопасности ускоряют развитие бизнеса, а какие — тормозят.
3️⃣ Первичный анализ ожиданий руководства
Как выстроить работу с ожиданиями руководства компании в первые 3–6 месяцев на новом месте.
4️⃣ Классификация CISO по уровням
Как меняется роль и приоритеты руководителя ИБ по мере роста компании, и о чем следует помнить, чтобы не снижать эффективность своей команды.
5️⃣ Комплексная диагностика текущего состояния
Как проводить анализ перед стартом разработки стратегии информационной безопасности.
#Топ_5_постов
💬 Подписаться на канал
1️⃣ Базовые меры для защиты малого и среднего бизнеса
Как защитить бизнес, применяя принцип 20/80: что действительно дает эффект при минимальных затратах.
2️⃣ Эволюция подходов к построению ИБ
Какие подходы к построению информационной безопасности ускоряют развитие бизнеса, а какие — тормозят.
3️⃣ Первичный анализ ожиданий руководства
Как выстроить работу с ожиданиями руководства компании в первые 3–6 месяцев на новом месте.
4️⃣ Классификация CISO по уровням
Как меняется роль и приоритеты руководителя ИБ по мере роста компании, и о чем следует помнить, чтобы не снижать эффективность своей команды.
5️⃣ Комплексная диагностика текущего состояния
Как проводить анализ перед стартом разработки стратегии информационной безопасности.
#Топ_5_постов
Please open Telegram to view this post
VIEW IN TELEGRAM
10👍3⚡2🔥1
Audio
👨Ведущий: - Беляев Дмитрий
В этом подкасте обсуждалась роль пиар-специалиста и стратегических коммуникаций в IT и сфере кибербезопасности: как выстраивать публичный и внутренний диалог компании, управлять репутационными рисками во время киберинцидентов, кто должен формировать антикризисные плейбуки, как сделать взаимодействие между CISO, юристами и пиаром эффективным, какие ошибки допускаются при позиционировании продуктов, а также как мотивировать экспертов на публичные выступления. В деталях разбирались реальные кейсы антикризисного пиара, даются советы по подготовке к медийному кризису и сохранению доверия клиентов после взлома.
Эпизод будет полезен руководителям IT и кибербезопасности, CISO, менеджерам по коммуникациям и пиару, а также всем, кто отвечает за публичный образ технологического бренда и взаимодействие с внешней аудиторией в условиях кризиса.
00:00 — Вступление: знакомство с гостьей и анонс темы подкаста
00:01 — Проверка связи, начало диалога
00:02 — История прихода Ники Комаровой в пиар, IT и кибербезопасность
00:04 — Переход из АНДЭК в Aladdin, особенности работы пиарщика в ИБ-контурах 2000-х
00:06 — Рынок СМИ того периода, развитие профессионального сообщества
00:07 — Опыт создания публичного имиджа интегратора СИТРОНИКС
00:09 — Вызовы и кризисы в работе, влияние СМИ и журналистов
00:11 — Переход в Asteros и работа с внутренними коммуникациями
00:12 — Внутренние задачи и эволюция пиара до стратегической функции
00:13 — Шаг к кибербезопасности: переход в Group IB и специфика работы
00:15 — Задачи по международному позиционированию, проекты в Сингапуре
00:16 — Новые требования к пиарщикам с ростом медийных каналов
00:17 — Значение анализа данных и активное изучение инструментов угроз
00:18 — Комментарии о необходимых компетенциях современного пиарщика в ИБ
00:20 — Разбор рынка аналитики кризисов и уникальной миссии PR-машины
00:23 — Взаимодействие с компаниями после публичных разборов, мотивация консультаций
00:26 — Кто чаще всего обращается к гостю, типовые задачи SEO/CISO/CMO
00:29 — Проблемы позиционирования продуктов и отсутствие экспертизы у экспертов
00:31 — Сложности согласования и бюрократии в крупных компаниях
00:33 — Роль пиарщика при работе с руководством, важность выбора спикера
00:34 — Идеальный кризисный сценарий: кризисный штаб и подготовленность
00:36 — Организация и порядок информирования разных групп при инциденте
00:37 — Практика подготовки плейбуков и обучения антикризисной команде
00:39 — Киберучения, регулярные тренировки реагирования на инциденты
00:40 — Сложности измерения влияния пиара на репутацию после киберинцидентов
00:43 — Методы посткризисного анализа и мониторинга отношения аудитории
00:44 — Позитивная реакция СМИ и пример отработки кризиса сетью 12Storeez
00:46 — Blitz-игра: короткие вопросы и юмористические ответы о профессии пиарщика
00:48 — Прощание с гостем, благодарность и завершение подкаста
#Belyaev_Podcast
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍2🔥2👏1
BELYAEV_SECURITY
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from КОД ИБ: информационная безопасность
Как CISO доказать ценность ИБ для бизнеса #опытэкспертов
Делимся опытом Дмитрия Беляева, CISO IT-компании и автора канала BELYAEV_SECURITY.
Что помогает CISO быть партнером для топ-менеджмента и показывать, что ИБ — инвестиция в устойчивость и рост бизнеса?
✔️ Говорить на языке денег, а не технологий
Руководство интересует не IDS и DLP с NGFW, а риски простоя, падение доверия клиентов и убытки в реальных цифрах. Задача CISO — перевести технологии в бизнес-показатели:
• Сколько контрактов удалось сохранить благодаря защите данных?
• Как внедрение SIEM сократило время реакции на инциденты и снизило потери?
• Какие инвестиции в ИБ дали наибольший ROI?
Пример: вложили 1,5 млн в обучение, предотвратили фишинг-атаку, потенциальный ущерб которой — 3 млн. Это аргумент, понятный CFO.
✔️ Использовать реальные кейсы и антикейсы
Показ примеров конкурентов или отраслевых инцидентов — это подкрепление аргументов:
• Атака на компанию X → потеря доли рынка
• Утечка данных у Y → снижение стоимости акций на 11%
• Недофинансирование SOC → 72 часа на устранение инцидента и 80 млн потерь
При этом важно не запугивать, а показывать причинно-следственные связи — какие риски материализовались и как их можно было предотвратить.
✔️ Визуализация и метрики: меньше букв, больше смысла
Никто не будет читать 20-страничный отчет. Топ-менеджеры ценят краткость и визуальные элементы:
• Таблицы с ROI, сравнением до/после
• Дэшборды с динамикой инцидентов
• Индексы зрелости ИБ (например, NIST CSF, ISO 27001, MITRE)
Идея: показать прогресс, точки роста и зоны риска в простой форме. Важные метрики — MTTR (время на устранение), SLA инцидентов, процент защищенных активов и вовлеченность сотрудников.
✔️ Участвовать в стратегических инициативах
CISO должен быть не просто парнем с NGFW, а бизнес-партнером. Если он участвует в запуске нового продукта, выходе на внешний рынок, внедрении ИИ — он укрепляет свою роль и вносит вклад не только в безопасность, но и в стратегию роста.
Примеры:
• CISO вовлечен в аудит SaaS-платформ еще на этапе procurement
• Безопасность встроена в DevOps (DevSecOps)
• CISO участвует в due diligence при M&A
Важно: не встраиваться «позже», а быть частью инициативы с самого начала.
✔️ Формировать культуру
Самый сильный аргумент CISO — это не техника, а культура. Когда сотрудники вовлечены, знают правила, понимают последствия — уровень рисков падает сам по себе.
• Программы повышения осведомленности (Awareness)
• Симуляция фишинга с аналитикой
• Платформы обучающих курсов в стиле «Netflix»
• Лидерство CISO не как «запретителя», а как наставника и учителя
Это работает на долгосрочную лояльность руководства и формирует образ ИБ как поддержки, а не препятствия.
⭐️ Экспертная оценка:
В современной практике CISO — это не охранник, а архитектор доверия. В каждом отчете, презентации, совещании он должен отвечать на один вопрос: «Как это влияет на бизнес?». Чем быстрее он научится синхронизировать язык киберрисков с KPI топ-менеджмента, тем устойчивее его позиция в компании.
Делимся опытом Дмитрия Беляева, CISO IT-компании и автора канала BELYAEV_SECURITY.
Что помогает CISO быть партнером для топ-менеджмента и показывать, что ИБ — инвестиция в устойчивость и рост бизнеса?
Руководство интересует не IDS и DLP с NGFW, а риски простоя, падение доверия клиентов и убытки в реальных цифрах. Задача CISO — перевести технологии в бизнес-показатели:
• Сколько контрактов удалось сохранить благодаря защите данных?
• Как внедрение SIEM сократило время реакции на инциденты и снизило потери?
• Какие инвестиции в ИБ дали наибольший ROI?
Пример: вложили 1,5 млн в обучение, предотвратили фишинг-атаку, потенциальный ущерб которой — 3 млн. Это аргумент, понятный CFO.
Показ примеров конкурентов или отраслевых инцидентов — это подкрепление аргументов:
• Атака на компанию X → потеря доли рынка
• Утечка данных у Y → снижение стоимости акций на 11%
• Недофинансирование SOC → 72 часа на устранение инцидента и 80 млн потерь
При этом важно не запугивать, а показывать причинно-следственные связи — какие риски материализовались и как их можно было предотвратить.
Никто не будет читать 20-страничный отчет. Топ-менеджеры ценят краткость и визуальные элементы:
• Таблицы с ROI, сравнением до/после
• Дэшборды с динамикой инцидентов
• Индексы зрелости ИБ (например, NIST CSF, ISO 27001, MITRE)
Идея: показать прогресс, точки роста и зоны риска в простой форме. Важные метрики — MTTR (время на устранение), SLA инцидентов, процент защищенных активов и вовлеченность сотрудников.
CISO должен быть не просто парнем с NGFW, а бизнес-партнером. Если он участвует в запуске нового продукта, выходе на внешний рынок, внедрении ИИ — он укрепляет свою роль и вносит вклад не только в безопасность, но и в стратегию роста.
Примеры:
• CISO вовлечен в аудит SaaS-платформ еще на этапе procurement
• Безопасность встроена в DevOps (DevSecOps)
• CISO участвует в due diligence при M&A
Важно: не встраиваться «позже», а быть частью инициативы с самого начала.
Самый сильный аргумент CISO — это не техника, а культура. Когда сотрудники вовлечены, знают правила, понимают последствия — уровень рисков падает сам по себе.
• Программы повышения осведомленности (Awareness)
• Симуляция фишинга с аналитикой
• Платформы обучающих курсов в стиле «Netflix»
• Лидерство CISO не как «запретителя», а как наставника и учителя
Это работает на долгосрочную лояльность руководства и формирует образ ИБ как поддержки, а не препятствия.
В современной практике CISO — это не охранник, а архитектор доверия. В каждом отчете, презентации, совещании он должен отвечать на один вопрос: «Как это влияет на бизнес?». Чем быстрее он научится синхронизировать язык киберрисков с KPI топ-менеджмента, тем устойчивее его позиция в компании.
Лучшие CISO — это те, кому звонят не «когда
случилось», а «прежде чем начать».
Please open Telegram to view this post
VIEW IN TELEGRAM
1👏3🔥2
Безопасность, если вдуматься, гораздо теснее связана с управлением, чем с технологиями. На первый взгляд, кажется, что уязвимость — это всегда «баг» внутри кода или системы. Однако практика показывает: во многих случаях источник проблем — в процессах. Например, когда решения принимаются поспешно, роли и зоны ответственности размыты, а IT-безопасность подключается уже по факту, а не на старте. Иногда хаос закладывается еще в архитектуру, почти незаметно.
Как результат — знакомые многим вопросы:
Это не следствие чьего-то злого умысла — зачастую, эти проекты просто существуют без четких процессов, ролей и границ. И безопасность в таких условиях становится второстепенной — ведь ей попросту не осталось места.
Недавно обратил внимание на одно тематическое сообщество — @techitpm. Там разбирают не столько формальные методологии, сколько реальные управленческие просчеты, с которыми сталкивались в IT. Судя по обсуждениям, часто именно эти моменты оказываются критичными для устойчивой работы. Если вдруг интересует, как обстоят дела с организационной стороной IT-проектов — возможно, канал будет полезен для самостоятельных наблюдений.
Может быть, кому-то эти рассуждения окажутся созвучны и помогут взглянуть на собственные процессы чуть шире.
💬 [Подпишись]
📺 [Rutube]
💰 [Буст Канала]
💬 [Откомментировать]
💸 [Благотворительность]
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
🎵 [Мои подкасты]
❤️ [Розыгрыш канала 1]
❤️ [Розыгрыш канала 2]
📝 Связаться с Дмитрием: @BELYAEV_SECURITY_bot
Как результат — знакомые многим вопросы:
«Почему никто не предупредил раньше?»
«Кто отвечает?»
«Сначала сделали, потом подумали».
Это не следствие чьего-то злого умысла — зачастую, эти проекты просто существуют без четких процессов, ролей и границ. И безопасность в таких условиях становится второстепенной — ведь ей попросту не осталось места.
Недавно обратил внимание на одно тематическое сообщество — @techitpm. Там разбирают не столько формальные методологии, сколько реальные управленческие просчеты, с которыми сталкивались в IT. Судя по обсуждениям, часто именно эти моменты оказываются критичными для устойчивой работы. Если вдруг интересует, как обстоят дела с организационной стороной IT-проектов — возможно, канал будет полезен для самостоятельных наблюдений.
Может быть, кому-то эти рассуждения окажутся созвучны и помогут взглянуть на собственные процессы чуть шире.
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
Совсем скоро, 6 сентября, я выступаю на Конференции: Coop Days IV/2025 (тема — «Декомпиляция стресса: разбираем тревоги на байты — гайд по стрессоустойчивости от CISO»), и событие, которое я посетил 31 августа в «ДК ГОРБУНОВА — ЛЕГЕНДА РУССКОГО РОКА», добавила мне эмоций и энергии.
Это мероприятие, где каждая группа знакома с понятием стресс-теста едва ли не лучше, чем любой security officer.
Москвичи штурмовали Горбушку ради ностальгии и перезагрузки, а CISO — ради выживания под шквалом киберугроз и дедлайнов.
🧗♀Реалии профессии: Почему CISO — это всегда на грани
Если вы считаете, что директор по ИБ просто «ставит галочки» и читает отчёты на ночь, скорее всего, вам повезло с очень скучной организацией. В реальном мире CISO:
Классика жанра — прием звонка в 3:00 утра от SOC и музыкальная подложка на фоне: «Это был очередной zero day...»
На конференции расскажу о том, что стресс CISO — это не минус, а алгоритм.
Главное не пытаться его «отключить», а грамотно декомпилировать на управляемые компоненты:
Чем больше ты автоматизируешь рутину, тем выше киберустойчивость твоих людей и меньше риск словить блюз ночного SOC.
Стресс-менеджмент: личные лайфхаки CISO 🎸
- Отключать уведомления не только на выходных, но и когда идешь на рок концерт: пусть команда решает алерты, а ты обучаешься перезагрузке.
- Делегировать тривиальные задачи не потому, что «лень», а чтобы не деградировать до ленивого чат-бота с единственной функцией.
- Поддерживать ментальное здоровье команды (и своё!), внедрять практики самообучения, устраивать внутренние академии и не бояться HR-методологий для ИБ.
🎤 Рок-фестиваль как урок для CISO
Сцена «ДК Горбунова» напомнила: иногда главное — не бояться шумных атак, а научиться ловить волну. В кибербезе, как и в роке, побеждает не тот, кто не ошибается, а тот, кто умеет смеяться над багами и вовремя апдейтить свой репертуар, к тому же, когда выступали:
Пилот, Северный флот, Тайм-аут, Эпидемия, Агата Кристи, Кипелов и многие другие артисты 🔥
Вывод: не бойтесь быть живыми
Декомпилируйте тревоги на байты, растаскивайте проблемы на треки и не забывайте: у каждого CISO должно быть своё хобби, чтобы по-настоящему «держать удар».
Стресс — это не баг, а норма бизнеса, и очень часто именно после тяжёлого дня защиты сети стоит сходить на концерт и, возможно, вдохновиться для новых побед.
#ciso_стресс
#киберустойчивость
#coopdays2025
#rocknrollsecurity
#инфобезлайфхаки
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥2
📰 Заголовки сами пишутся
Когда компанию взламывают, ей редко, когда нужны пиарщики.
СМИ сами готовы разносить новость о «героическом падении серверов» и «эпичной утечке данных миллионов пользователей».
Для некоторых брендов это бесплатная реклама, за которую отдел маркетинга позавчерапочку бы продал.
Каждый информационный повод о взломе превращается в народный мем. И вот маркетологи, которые неделю назад мучились над слоганом «Мы — лидеры в инновациях», внезапно получают идеальный бесплатный слоган:
«О нас пишут даже хакеры».
Как только начинают писать про утечку, компания моментально попадает в топ трендов, поисковики подсказывают её название даже тем, кто искал «купить картошку дешево».
Ирония судьбы: иногда люди впервые узнают о существовании фирмы именно после её великого «факапа».
🤡 Чем хуже — тем лучше?
Некоторые скептики уверены: «Взлом — это новый маркетинг». Ведь вместо скучной презентации продукта публика получает драматический сериал «Как мы потеряли базу и сохранили лицо».
Это куда веселее, чем очередной корпоративный баннер с улыбающимися людьми в костюмах.
🔥 Итог: пиар на боли
Конечно, в идеале лучше инвестировать в кибербезопасность, а не в постановочные «взломы ради хайпа». Но пока алгоритмы интернета жадно заглатывают любой скандал, у брендов есть соблазн: лучше быть «выломанным и знаменитым», чем «целым, но скучным».
#киберюмор #взломыидраматургия #пиарнаутечках #маркетинг2025
#хакерскийPR
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegram
BELYAEV_SECURITY
🤝Твой проводник в мир защищенной информации (новости, статьи, экспертиза, юмор)
📝Форма связи с администратором: @BELYAEV_SECURITY_bot
🙎♂️О владельце канала:
📌https://belyaev.expert/
Удобный поиск:
#Интервью_с_Беляевым
#Belyaev_Podcast
📝Форма связи с администратором: @BELYAEV_SECURITY_bot
🙎♂️О владельце канала:
📌https://belyaev.expert/
Удобный поиск:
#Интервью_с_Беляевым
#Belyaev_Podcast
❤1🔥1
Forwarded from PR machine
На логи я твои взгляну
О трансформации роли PR-специалиста в кибербезопасности, как познакомилась с хакером (нет) и приходят ли ко мне компании после моих разборов в тг-канале — в свежем выпуске подкаста Belyaev_Security Димы Беляева.
~ 45 минут говорили об антикризисной подготовке, сохранении доверия к бизнесу после инцидента и я даже... сформулировала свою миссию! А вы думали я просто постики тут пишу и консультирую?🎉
Передаю привет всем друзьям и просто хорошим людям, с кем работали бок о бок из Group-IB, F6, Андэк, Аладдин, СИТРОНИКС и Астерос и всем кого упомянула в подкасте💜
⏩ Слушать на mave
⏩ Слушать на Yandex
⏩ Смотреть на Rutube
Всем 3 сентября! Напишите, какой из подкастов вам ближе про PR или про кибербезный PR?
👍 — за PR в целом
❤️ — кибербез и ИТ ван лав
😄 — пиши лучше тексты, а
О трансформации роли PR-специалиста в кибербезопасности, как познакомилась с хакером (нет) и приходят ли ко мне компании после моих разборов в тг-канале — в свежем выпуске подкаста Belyaev_Security Димы Беляева.
~ 45 минут говорили об антикризисной подготовке, сохранении доверия к бизнесу после инцидента и я даже... сформулировала свою миссию! А вы думали я просто постики тут пишу и консультирую?
Передаю привет всем друзьям и просто хорошим людям, с кем работали бок о бок из Group-IB, F6, Андэк, Аладдин, СИТРОНИКС и Астерос и всем кого упомянула в подкасте
Таймкоды:
00:02 — Тернистый путь пиарщика в ИТ и кибербезе, СМИ того периода, смена медийного ландшафта
00:07 — Опыт создания публичного имиджа интегратора СИТРОНИКС ИТ
00:09 — Вызовы и кризисы в работе, влияние СМИ и журналистов
00:11 — Переход в Астерос и эволюция пиара до стратегической функции
00:13 — Шаг к кибербезопасности: переход в Group-IB, новые требования к пиарщикам, рост медийных каналов
00:17 — Значение анализа данных и изучение угроз, как компетенция современного пиарщика в ИБ
00:20 — Что такое Cybersecurity PR и в чем миссия PR-машины
00:23 — Кто чаще всего приходит за консалтингом, каковы задачи CEO, CISO, CMO и PR
00:29 — Проблемы позиционирования ИТ-продуктов, сложности согласования и бюрократия в крупных компаниях
00:33 — Идеальный кризисный сценарий, практика подготовки плейбуков и обучения антикризисной команды
00:40 — Сложности измерения влияния PR на репутацию после киберинцидентов
00:44 — Позитивная реакция СМИ и пример отработки кризиса сетью 12Storeez
00:46 — Blitz-игра, где я пытаюсь серьёзно шутить
Всем 3 сентября! Напишите, какой из подкастов вам ближе про PR или про кибербезный PR?
👍 — за PR в целом
❤️ — кибербез и ИТ ван лав
😄 — пиши лучше тексты, а
Please open Telegram to view this post
VIEW IN TELEGRAM
❤3👍3
🛳️ HTTP/1.1 Smuggling: когда старые протоколы учат новые трюки
🕵️♂️ Суть атаки и почему она вообще существует
🔵 HTTP/1.1 был придуман, когда айтишники ещё гоняли на динозаврах — а теперь внезапно выясняется, что весь рынок облака, прокси и хостингов работает на протоколе, который охотно принимает “контрабандные” запросы.
🔵 Свежая техника Smuggling позволяет злоумышленнику протолкнуть зловредный запрос через связку прокси и бэкенд, словно просто гость на вечеринке, где никто не проверяет пригласительные.
🙂 Что реально происходит с инфраструктурой
Виновата банальная рассинхронизация: фронтенд и бэкенд по-разному считывают границы HTTP-запросов — и если прокси считает, что у него лёгальный запрос, сервер уже готов выполнить вредоносную операцию, заложенную злоумышленником.
🔵 В индустрии было принято: “Включил HTTP/2 на edge серверах — и живи спокойно!” Но нет.
🔵 На upstream бэкенд-соединениях многие хостинги, облачные платформы и балансы всё равно держат HTTP/1.1 — отсюда и лазейка для атак.
🔵 Даже мегакорпорации вроде Netflix, AWS и Atlassian попали под дудку смугглеров: можно вести кражу куки, авторизационных данных, внедрять JS-код и подменять редиректы на “чёрный рынок”.
🔬 Эксплойты и настоящая “контрабанда”
🔵 Особенно круто выглядит разновидность h2c smuggling: тут атакующий проводит Upgrade-соединение и, пользуясь нестыковками парсинга между фронтендом и бэкендом, получает привилегированный доступ к апи и внутренней сети.
🔵 Иногда атаки вообще не видны пользователям — но их сессии, данные или внутренняя логика приложения полностью на ладонях у хакера.
Пример для стартапа: “к вам случайно приехал кредит… но вы уже давно уехалиили отъехали 😀
💁♂Что делать и почему “HTTP/1.1 Must Die”
🔵 Исследователи предлагают одно лекарство: окончательно отказаться от старого протокола на всех узлах, включая внутренние коннекты.
🔵 Оставишь HTTP/1.1 — и рискуешь сыграть в лотерею с отказом всей платформы, выносом токенов и корпоративных секретов.
#HTTPSmuggling #КонтрабандаЗапросов #СтарыйПротокол #БэкендБезГраниц #УжасыCDN
🎙 [Новый проект BST]
💬 [Подпишись]
📺 [Rutube]
💰 [Буст Канала]
💬 [Откомментировать]
💸 [Благотворительность]
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
🎵 [Мои подкасты]
❤️ [Розыгрыш канала]
📝 Связаться с Дмитрием: @BELYAEV_SECURITY_bot
🕵️♂️ Суть атаки и почему она вообще существует
Виновата банальная рассинхронизация: фронтенд и бэкенд по-разному считывают границы HTTP-запросов — и если прокси считает, что у него лёгальный запрос, сервер уже готов выполнить вредоносную операцию, заложенную злоумышленником.
Ловкость — уровень “магия”: ваш CDN или балансировщик раздаёт не только кеш и статику, но и сюрпризы хакеров с редиректами, XSS и внедрением чужих файлов.🚦 Почему даже HTTP/2 не всегда спасает
🔬 Эксплойты и настоящая “контрабанда”
Пример для стартапа: “к вам случайно приехал кредит… но вы уже давно уехали
💁♂Что делать и почему “HTTP/1.1 Must Die”
#HTTPSmuggling #КонтрабандаЗапросов #СтарыйПротокол #БэкендБезГраниц #УжасыCDN
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2❤1👍1
👨🏻💻Гость: Артемий Новожилов | @Hymn_Of_The_Firstborn
👨🏼💻Гость: Игорь Кривонос | @AndroidDevSec
👨🏻💻Гость: Рома Лопатин | @LopatinRoman
👨🏻💻Гость: Валера Котелов | @KValerko
👩💻Гость: Ника Комарова | @NikaSuperstar
#Belyaev_Podcast
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2🥰2
Друзья, я решил разделить свой контент на несколько частей, в этом канале я буду писать обзор новостей и подавать юмор, в другом своём канале будет сугубо деловой контент, в котором я буду делиться мыслями, знаниями, опытом. Более того, во второй части сентября (после определенных торжественных событий) я запущу свой новый проект БЕСПЛАТНОГО менторства, и в канале буду делиться результатами.
Во втором канале контент будет не часто, он будет отборный.
Добро пожаловать всем, кому это интересно. Обнял, приподнял.👍
Во втором канале контент будет не часто, он будет отборный.
Добро пожаловать всем, кому это интересно. Обнял, приподнял.👍
Telegram
Belyaev Security Talks 🎙
🧠 Знания, которые спасают бизнес и данные
📨 Редкий экспертный контент:
💻 Оригинальные статьи;
🕵🏻♂️ Разборы;
💼 Кейсы;
🧙🏻♂️ Личная экспертиза;
👨💻 Менторство.
https://t.me/belyaevsec
📝Форма связи с администратором: @BELYAEV_SECURITY_bot
📨 Редкий экспертный контент:
💻 Оригинальные статьи;
🕵🏻♂️ Разборы;
💼 Кейсы;
🧙🏻♂️ Личная экспертиза;
👨💻 Менторство.
https://t.me/belyaevsec
📝Форма связи с администратором: @BELYAEV_SECURITY_bot
👍4
BELYAEV_SECURITY
🎙Итоговые места конкурсантов в номинации: — «Киберпросветитель - 2025»; № 1 - Масалович Андрей: Победитель 🥇 🏆 № 2 - Алексей Федулаев: Приз зрительских симпатий 🥈 № 3 - Роман Панин: Приз зрительских симпатий 🥉 __ 🔝 ТОП-5: № 4 - 💪 Алексей Дрозд и 💪 Карасев Павел…
Вот и прошло торжественное вручение наград за 1-е и 2-е места.
За 3-и места, награды ждут, своих хозяев😉
Помимо прочего пообщались с коллегами в неформальной обстановке, поделились опытом и отлично провели время 😉
Так же, удалось собрать обратную связь по конкурсу, так что, в следующем году будет еще интересней 🎉
За 3-и места, награды ждут, своих хозяев😉
Помимо прочего пообщались с коллегами в неформальной обстановке, поделились опытом и отлично провели время 😉
Так же, удалось собрать обратную связь по конкурсу, так что, в следующем году будет еще интересней 🎉
1👏9❤5🔥5
💥 Wytec: когда телеком превращается в мишень для цифровых "художников"
👮♂️ Сайт, которого дважды взломали — и никто не знает, кто виноват
🔵 Неизвестные хакеры устроили телеком-компании глобальный дефейс: сначала один раз “разукрасили” сайт, а потом решили, что шедевр надо оставить на вечные недели.
🔵 Теперь вся отрасль вторую неделю ищет нужную кнопку “Восстановить доверие”, но на главной всё ещё свежий след креатива неизвестных скриптеров.
🌪️ Инцидент уровня “разрушили не только интерфейс, но и репутацию”
🔵 Для клиентов и партнёров Wytec новость получилась максимально демотивирующей: уйти на главную страничку и вместо привычных услуг увидеть “приветик от даркнетика”.
🔵 IT-директор теряет сон, PR-менеджер учит термины “рекогносцировка” и “форензика”, а пользователи обмениваются мемами про последнюю успешную авторизацию на сайте Wytec (которая была, кажется, до эпохи динозавров).
🔍 Что известно технически, кроме глубокой печали
🔵 Эксперты подтверждают: дефейс сопровождался утечкой части клиентских данных и внутренней документации.
🔵 Восстановить доступ пока не удалось, фиксируются попытки нового взлома через старые баги CMS и уязвимости в системах автоматизации. Сам сайт теперь стал редким экспонатом — так часто его в этом году ещё никто не “обновлял”.
🖕 Мир телекомов взял Wytec как урок на будущее
🔵 Если твой сервер принимает гостей из интернета — не забывай дважды закрыть дверь на пароль и менять замки хотя бы раз в четверть века
#WytecFail #Дефейс2025 #ХакерыХудожники #ПотеряДоверия #CMSПлачут
🎙 [Новый проект BST]
💬 [Подпишись]
📺 [Rutube]
💰 [Буст Канала]
💬 [Откомментировать]
💸 [Благотворительность]
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
🎵 [Мои подкасты]
❤️ [Розыгрыш канала]
📝 Связаться с Дмитрием: @BELYAEV_SECURITY_bot
Wytec оказался не тем местом, где можно поставить галочку “У меня всё стабильно!”
🌪️ Инцидент уровня “разрушили не только интерфейс, но и репутацию”
#WytecFail #Дефейс2025 #ХакерыХудожники #ПотеряДоверия #CMSПлачут
🎙 [Участие в подкасте]
🤝 [Участие в проекте: Два мнения]
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥1👏1