❗️5 проблем, из-за которых пентест не приносит должных результатов, и ✅ решения для них

Опытом делится пентестер 🌟Кросс технолоджис Василий Коровицын.

⚠️ 1. Установка «сделайте быстро и дёшево»
Итог: поверхностный скан, уязвимости нулевого дня не найдены, заказчик получает «всё ОК» вместо реальных уязвимостей.
🔧 Решение: выбирать пентестеров не по цене, а по качеству, фиксировать объём работ + бюджет + сроки в договоре.

⚠️ 2. Не предоставлять пентестерам доступ к документации
Итог: атакующие работают вслепую — упускают из виду бизнес-логику, получают много ложных срабатываний. Заказчик думает, что атака невозможна, а она реализуется через скрытый функционал.
🔧 Решение: подготовить за 3 дня до старта проекта обязательный набор: схемы, спецификации API, доступы.

⚠️ 3. Разработчики говорят: «Не ломайте прод!»
Итог: тестируем в sandbox или вообще без эксплойтов. Через месяц — реальный взлом.
🔧 Решение: создать тестовую среду (mirror prod) + согласовать окна для нагрузки.

⚠️ 4. Следовать убеждению «Мы же PCI DSS, прошли все чек-листы, всё безопасно»
Итог: пентестеры тратят время на опровержение мифов, а не на поиск 0-day.
🔧 Решение: принять тот факт, что Комплаенс ≠ Безопасность. Пентестеры мыслят шире чек-листов и стандартов, они находят реальные векторы атак, о которых авторы стандартов в год из выпуска даже не могли подумать.

⚠️ 5. При обнаружении уязвимостей решать «Исправим после следующего релиза»
Итог: пентест из инвестиции в защиту превращается в проверку «для галочки», уязвимости в инфраструктуре годами остаются незакрытыми.
🔧 Решение: прежде всего, выбирать подрядчика, который не только укажет на уязвимости, но и предложит план их устранения. Также важно закладывать в договор с пентестерами время и бюджет на перепроверку после устранения уязвимостей.

Ставьте 🔥, если сталкивались с такими проблемами. Чем вы бы дополнили бы список?

#Экспертиза

4 шага, которые стоит забюджетировать, чтобы повысить уровень зрелости ИБ

Четвертый квартал — время планирования бюджета. Руководитель департамента развития и архитектуры 🌟Кросс технолоджис Евгений Балк напоминает о ключевых шагах, которые помогают развивать культуру безопасности в компании.

1️⃣ Проведение независимого аудита ИТ и ИБ — поможет понять, какие активы есть у компании, каков контекст угроз, какова зависимость от цепочки поставок. У крупной географически распределенной компании и небольшого бизнеса, подходы к кибербезопасности будут различаться.

2️⃣ Тестирование на проникновение — проведение внешнего и внутреннего пентеста покажет, насколько инфраструктура уязвима к действиям потенциального нарушителя.

3️⃣ Разработка или корректировка стратегии ИТ и ИБ — шаги 1 и 2 подсветят проблемные зоны, чтобы на шаге 3 определить цели и дорожную карту их достижения.

4️⃣ Внедрение/харденинг средств защиты информации и внедрение/доработка процессов — позволит противостоять актуальным угрозам, не стать жертвой мошенников, социальной инженерии и оборотного штрафа.

Можно сказать, что это ⌛️ цикл повышения уровня зрелости ИБ: 1-2-3-4 — повторить сначала раз в 1-2 года. Для аудита и тестирования на проникновение частота зависит от отрасли и соответствующих требований регулятора.

#экспертиза

3 вида атак, для защиты от которых эффективно применять ИИ

Рассказывает руководитель группы по безопасной разработке 🌟Кросс технолоджис Антон Редько.

1️⃣ Атаки на цепочки поставок (Supply Chain)

В отличие от людей, ИИ-сканеры постоянно мониторят репозитории зависимостей (например, в npm, PyPI), анализируя не только известные CVE, но и подозрительные изменения в поведении пакетов, например, внезапное появление сетевых вызовов, изменение прав доступа, выявляя потенциально вредоносные обновления.

2️⃣ Атаки ботов

Защита от ботов — одна из самых сильных сторон ИИ. Системы вроде Cloudflare Bot Management анализируют сотни параметров запросов (темп кликов, поведение мыши, отпечаток браузера, IP-репутацию) и с высочайшей точностью отделяют действия реальных пользователей от скриптов, блокируя скальпирование, кардинг и DDoS.

3️⃣ Атаки с использованием искусственного интеллекта

Здесь работает принцип «клин клином вышибают». ИИ защищает от ИИ-атак несколькими способами:

➡️ Обнаружение дипфейков: нейросеть анализирует аудио и видео на предмет артефактов и неестественности, характерных для генеративных моделей.

➡️ Борьба с ИИ-социальной инженерией: нейронка анализирует фишинговые письма и сообщения в мессенджерах на предмет стилистических маркеров, свойственных языковым моделям вроде ChatGPT.

➡️ Защита от «отравления» данных для моделей ИИ: Специализированные алгоритмы следят за целостностью и качеством данных, на которых обучаются нейросети компании, выявляя попытки манипуляции.

По статистике, ИИ может усилить более 50% техник защиты, предлагаемых в матрице мер MITRE D3FEND, поэтому список будет расширяться.

#тренды

Челябинск 🌟 Красноярск 🌟 Мы в Липецке!

Приняли участие в финальной в 2025-м году партнерской конференции МТС «Отраслевые импортонезависимые решения для бизнеса». Коротко рассказываем о ней и не только.

🌟В кадре: руководитель направления развития услуг Ильдар Галиев и эксперты коммерческого департамента — Павел Двуреченский и Владимир Дубинин.

#кросс_новости

Как найти скрытую угрозу? Последние крупные взломы компаний показывают, что злоумышленники месяцами остаются незамеченными внутри сети. 11 декабря на вебинаре компании @garda_ai обсудим, как с этим бороться. Специальный гость встречи — архитектор 🌟Кросс технолоджис Егор Норкин.

Среди тем вебинара:
🌟Как современные атаки маскируются под обычную активность и используют легитимные инструменты для продвижения по сети
🌟В чем преимущества NDR и Deception с точки зрения качества детектирования
🌟Что на самом деле хочет видеть бизнес, когда говорит о проактивной защите

🌟 Узнать больше

#кросс_новости

🎁 К Новому году в сети активизируются как покупатели, так и мошенники. Сергей Трухачев, руководитель сервиса 🌟Smart Business Alert (SBA), выделил 7 неочевидных угроз для ритейлеров, особенно актуальных в «горячий сезон».

1️⃣ Утечки через Telegram-ботов, которых сотрудники компании могут создать для продажи конфиденциальных данных.
2️⃣ Фишинг, нацеленный на подрядчиков, у которых есть доступ к инфраструктуре ритейлера.
3️⃣ Повторное использование ранее утекших данных — чаще всего, паролей.
4️⃣ Мошеннические действия с участием бывших сотрудников, у которых не отозвали доступы.
5️⃣ Фейковые ресурсы, имитирующие сайты популярных магазинов.
6️⃣ Стиллер-логи, крадущие логины, пароли и данные карт.
7️⃣ Фейковые собеседования с сотрудниками ИТ-отделов.

Детали в статье Сергея на нашем сайте.

Также напоминаем, что быстро оценить угрозы для вашего домена можно с помощью нашего бесплатного сервиса 🌟 https://sbalert.ru/ Он выявляет фишинговые «копии» сайта, утечки кода, паролей и персональных данных.

#экспертиза

Большой разговор о SOC

Директор по сервису ГК "Кросс технолоджис" Михаил Назаров в интервью @cisoclub ответил на вопросы:

🌟 Как компании выбирают между разными моделями построения SOC — on-premise, аутсорсом и гибридной схемой?

🌟 Какие трудности чаще всего возникают в работе SOC?

🌟Почему важно объединять мониторинг СЗИ с анализом сетевой активности?

🌟Как меняется подход к защите IoT-устройств, когда они становятся частью общей системы мониторинга безопасности?

🌟Почему SOC уже не может ограничиваться только инцидентами ИБ?

Смотрите полную версию 🌟 https://cisoclub.ru/mihail-nazarov-kross-tehnolodzhis-pro-jevoljuciju-soc-modeli-trudnosti-i-zony-otvetstvennosti/

#экспертиза

Кросс технолоджис — на 11 строчке рейтинга «TAdviser Security 100: Крупнейшие ИБ-компании в России»! За год мы улучшили позиции на 8 пунктов.

В дополнение к рейтингу эксперты TAdviser выпустили обзор развития рынка ИБ, выделив 7 ключевых вызовов:
1️⃣Рост количества целевых атак, заточенных под конкретную компанию.
2️⃣Рост количества атак через цепочку поставок, при которых малые и средние компании становятся «точкой входа» в инфраструктуру их заказчиков из крупного бизнеса.
3️⃣Усиление требований законодательства и регуляторов, включая защиту персональных данных, стандарты КИИ и обязательства по импортозамещению до конца 2025 года.
4️⃣Импортозамещение западных решений, в том числе для промышленности.
5️⃣Фрагментация рынка: в России на сегодняшний день более 300 вендоров, в каждом классе решений присутствуют по 10-20 игроков, что создает трудности для интеграции.
6️⃣Кадровый голод: найти специалистов с узкой экспертизой все сложнее, стоят они дорого. Выгоднее оказывается аутсорсинг, например, SOC и DevSecOps.
7️⃣Применение ИИ в атаках и защите от них.

Мы ✅уже помогаем клиентам справляться с этими вызовами. Продолжаем работу, чтобы бизнес развивал 🌟кибериммунитет к все более разнообразным угрозам.

#кросс_новости

Прогнозируем рост спроса на защиту IoT на  🌟30% в 2026 году. Руководитель направления развития услуг 🌟Кросс технолоджис Ильдар Галиев объясняет:

«Вопрос защиты IoT переходит в ранг стратегического. От интернета вещей все чаще зависит связность процессов, зачастую физическая безопасность, например, на промышленных производствах. Бесконтрольное внедрение устройств без предварительных работ по информационной безопасности все еще крайне распространено, что делает бизнес и государственные организации крайне уязвимыми».

Как защитить IoT, читайте в материале CNews 🌟 https://www.cnews.ru/news/line/2025-12-17_spros_na_zashchitu_iot_vyrastet

#тренды

🌟Утечки данных: подводим итоги 2025 года

➡️Утекло более 145 млн строк.
➡️73% (105 млн) пришлось на госсектор,
19% — на ритейл,
6,5% — на сферу услуг, куда входят, например, образование, онлайн-сервисы, медицина.

Такие данные представили эксперты нашего DRP-сервиса Smart Business Alert (SBA), который позволяет отслеживать утечки. Сервис разработан в компании ЕСА ПРО, которая входит в ГК Кросс технолоджис.

Эксперты отмечают, что по сравнению с 2024 количество утечек снижается. Об этом и других трендах читайте в статье «Коммерсантъ» 🌟 https://www.kommersant.ru/doc/8313330

#Экспертиза

Еще 2 дня — и разблокируется 🎆 Новый год!

Дорогие подписчики, желаем, чтобы в 2026 году кибербезопасность была для вашего бизнеса таким же неотъемлемым свойством, как иммунитет для человека: защищала главное и делала устойчивым к неожиданным вызовам.

Желаем вам крепкого кибериммунитета в Новом году!

А мы будем рядом, чтобы еще на старте продумать защиту для смелых проектов или поддержать делом в трудные моменты.

С праздником! 🌟

#Кейс о том, как комбинация трех несложных проблем, позволила полностью перехватить управление платформой для обучения Reezonly LMS.

Сначала наши пентестеры нашли проблему в процедуре авторизации. Казалось бы, типичная ситуация, но быстро стало ясно, что она становится отправной точкой сразу для двух векторов атаки.

Итог — 3 уязвимости, зарегистрированные во ФСТЭК (вплоть до критического уровня опасности), и обновление системы.

Детали — в статье пентестера 🌟Кросс технолоджис Тимофея Каткова в нашем блоге на CISOCLUB 🌟 https://cisoclub.ru/put-k-polnomu-zahvatu-upravlenija-nachalsja-s-prostoj-problemy/