Открываем четвертый шаг марафона Standoff Defend

Ключевое нововведение онлайн-полигона — это разработанный нами модуль Archer, который симулирует пользовательскую активность и имитирует действия реальных хакеров и APT-группировок. Мы приготовили тест, в котором вы узнаете, атаку какой группировки будете расследовать 16 апреля.

💡 Пока вы ждете открытия атаки, на сайте можно прочитать статью и узнать больше о нашем Archer и о том, как он воспроизводит сложные атаки вплоть до 25 шагов.

Первые три участника, которые исследуют атаку на 100%, получат:

🔹Билет на PHDays Fest с проходом на кибербитву Standoff.
🔹Мерч Standoff.
🔹Уникальные ачивки на платформе Standoff 365.

Ждем тебя и желаем успехов на марафоне!

🔥 Напоминаем про стрим с хакерами из Synack и HackerOne!

Который пройдет 15 апреля в 19:00 (мск) в нашем канале коммуникации. На ваши вопросы ответят хакеры Hussein Daher и Nikhil "Niksthehacker" Shrivastava.

На стриме гости расскажут, как они пришли в багбаунти, на каких уязвимостях они фокусируются, и поделятся самыми впечатляющими инсайтами и лайфхаками.

А пока прикрепляем видео от гостей, в котором они приглашают вас на стрим!

Четвертый шаг марафона — тот самый, которого вы ждали!

☀️ Самый сложный и интересный этап марафона открыт — время расследовать атаку APT-группировки Charming Kitten, смоделированную с помощью модуля Archer.

Вчера мы раскрыли особенности группировки — если пропустили, срочно изучайте карточку, чтобы не растеряться!

💡 А 25 апреля в 11:00 (мск) ждем всех на разборе атаки с ментором. Она пройдет прямом эфире на сайте марафона. Ментор ответит на ваши вопросы, поэтому готовьтесь — это отличная возможность прокачать свои скиллы и узнать больше!

И не забывайте про конкурс! Первые три участника, которые расследуют атаку на 100% до 23 апреля, получат:

✔️ Билет на PHDays Fest с доступом на кибербитву Standoff.
✔️ Крутой мерч — чтобы все знали, кто тут чемпион.
✔️ Эксклюзивные ачивки на Standoff 365 — чтобы можно было заслуженно похвастаться перед коллегами.

Вы давно готовились к этому этапу — время показать, на что вы способны!

🔥 Закрытый митап для багхантеров

Собираем комьюнити, чтобы без лишней официальщины, камер и трансляций поговорить о главном — багах и настоящей практике. Никакой воды. Только свои.

Митап пройдет 24 апреля, в 18:00 (мск) в Москве. Формат только офлайн, без трансляций и записей, а главное — лампово, свободно и по делу.

☀️ Что в программе?

• Анатолий Иванов с вводным словом о том, куда движется багбаунти и что нового будет в этом году.
• Представители компаний, которые вышли на платформу, — расскажут о том, как работают с репортами и на что стоит обращать внимание при поиске багов.
• А также приглашенные талантливые багхантеры ratel_xx, топовый исследователь и специалист, и Михаил Ключников (n1), автор многих CVE и 0-деев, который сейчас работает в PT SWARM. Они расскажут о своем опыте и выступят с техническими докладами.

💬 Для кого?

Для активных участников багбаунти-программ, пентестеров и тех, кто живет в мире уязвимостей.

💡 Как попасть?

Нужно зарегистрироваться.

👉 Количество мест ограничено — 50 человек. Если мест не хватит — не переживайте, мы никого не забудем! Это только первый митап, серия продолжится. Всем, кто не попал, дадим приоритет в следующий раз.

Хотите выступить или есть вопросы? Тогда пишите на почту meetup-bb@standoff365.com, (Толю не мучайте).

🚨 На радаре багхантера — «Инфосистемы Джет»!

Они строят сложные ИТ-системы. А ты находишь в них красивые баги.

Это одна из крупнейших ИТ-компаний страны, которая специализируется на системной интеграции и информационной безопасности. И теперь она на Standoff Bug Bounty!

Скоуп большой, поэтому вот только некоторая его часть:

*.jet.su
*.jetinfosystems.com
*.jetinfo.ru
*.jetinfo.com
*.jetinfo.su
*.jetcybercamp.ru

Остальные домены можно пощупать на странице программы.

Максимальная выплата — 250 000 рублей.

Пробуй себя — и к лету обязательно устроишь себе шикарный отпуск.

Как вычислить багхантера при первом знакомстве?

Спросить у него, где он живет, чего боится и сколько часов в неделю хочет работать.

Мы провели исследование — опросили IT-специалистов и багхантеров, чтобы узнать, кто они, как они находят свой путь, как живут и с какими трудностями встречаются.

⭐️ Что мы выяснили?

🔹 По рабочей занятости среди багхантеров лидируют бэкендеры, тестировщики и пентестеры (хотя аудитория опроса вышла разнообразной — есть учащиеся в школах).
🔹 В основном опрошенных останавливает от багхантинга неуверенность в собственных навыках и знаниях (у вас все получится! Главное — попробовать).
🔹 Самыми любимыми сферами для багхантинга оказались потребительский сектор (маркетплейсы, доставки, магазины) и финтех.
🔹 Как стереотипные хакеры, опытные багхантеры работают вечером и ночью. Утро оказалось наименее популярным временем. Некоторые ищут баги даже из отпуска.

Но это только начало. Как IT-специалисты становятся багхантерами? Почему CTF — это лучший трамплин в багбаунти? Какие площадки любят хакеры?

Читайте полный разбор — внутри вас также ждет еще больше статистики и три портрета таких разных, но таких объединенных страстью к уязвимостям багхантеров.

Итак, тебе удалось расследовать атаку APT-группировки Charming Kitten...

Но остались вопросы? Или не хватило времени? А может, просто хочется новых инсайтов?

Именно для этого 25 апреля в 11:00 (мск) на сайте марафона Standoff Defend в прямом эфире наши эксперты проведут воркшоп с эталонным расследованием атаки. Если не пропустишь, то сможешь набраться опыта и задать все самые каверзные вопросы, которые пришли тебе в голову.

💡 Зарегистрируйтесь — и точно не потеряетесь. Обо всем напишем, обо всем расскажем, главное — освободите время.

Мы рады, что проходим этот путь вместе с вами и становимся только сильнее! Спасибо, что вы со Standoff Defend 🌸

Начинаем в багбаунти: как найти уязвимость, за которую тебе заплатят

В новом выпуске «Начинаем в багбаунти» Петр Уваров, руководитель направления VK Bug Bounty, и Анатолий Иванов aka c0rv4x, руководитель направления Standoff Bug Bounty, обсудят, как же находить уязвимости, которые реально приносят деньги.

Видео будет полезно тем, кто хочет узнать о типовых ошибках новичков, критериях импакта и подводных камнях. В конце выпуска будут советы о том, где практиковаться и на чем учиться искать самые популярные уязвимости.

💬 Что еще?

• Почему одни баги засчитывают, а другие — нет?

• Что делать, если отчет отклонили, но ты уверен в его ценности?

• Как раскрутить уязвимость, чтобы ее приняли и за нее заплатили?

В общем, отличный контент для тех, кто хочет попробовать себя в багбаунти или освежить свои знания.

Смотрите ролик на любой удобной платформе:

📺 YouTube 📺 Rutube 📺 VK Видео

Новый скоуп в программе VK Bug Bounty

Познакомь сервисы с их уязвимостями, а программу — со своими отчетами.

🔥 На платформе Standoff Bug Bounty пополнение: теперь в скоупе программы VK Bug Bounty есть Сервисы Знакомств VK, куда войдут два приложения:

🔹«VK Знакомства».
🔹«ОК Знакомства».

А максимальное вознаграждение — целых 1 млн рублей!

Самое время обратить внимание на программу и поймать как можно больше красивых багов!

Итоги Международных игр по кибербезопасности

Два дня, сотни участников, десятки инфраструктур и сотни часов напряженной работы — и вот весенний сезон МИК завершен.

🔥 Кто ворвался в топ?

Атакующие (Red):
🥇 LiL Cringē (Россия) — 56 400 баллов.
🥈 FR13NDS TEAM (Казахстан) — 56 400 баллов.

Эти команды получают право принять участие в финале кибербитвы Standoff 15, до которой остается меньше месяца. Совсем скоро мы узнаем, кто станет сильнейшим в этом сезоне!

🛡 Защитники (Blue):
🥇 Ransom_abcd ( Россия) — 6000 баллов.
🥈 SOC Добрый ( Россия) — 6000 баллов.

Участники из этих команд получают билеты на киберфестиваль PHDays!

Все результаты, баллы и списки команд можете посмотреть здесь.

Напоминаем: у всех финалистов есть возможность попасть на стажировку — в программу PT Start или в команду Совкомбанк Технологии. Используйте шанс проявить себя не только в игре, но и в реальных задачах.

❗️И хотим обратить ваше внимание, что в ходе битвы нами были зафиксированы нарушения со стороны команды атакующих Team8. Были изменены пароли от учетных записей на контроллерах домена, что строго запрещено правилами битвы. Эти действия повлияли на работу инфраструктуры и помешали другим командам продолжить борьбу.

Такая практика не соответствует духу честной игры и основным принципам Международных игр по кибербезопасности.
В связи с нарушением правил команда Team8 получила штраф — снятие 30% от набранных баллов.

Спасибо всем, кто был с нами: участникам, партнерам, техподдержке и тем, кто следил за играми! Мы верим, что такие соревнования — это не только про навыки, но и про комьюнити, взаимопомощь, рост и желание развиваться 🙌🏻

Следи за новостями, общайся с другими участниками, заходи в наш канал коммуникации и готовься к новым вызовам.

Финальный вызов — мини-кибербитва!

Марафон Standoff Defend выходит на финишную прямую.
Последний шаг пользователя на нашем онлайн-полигоне — онлайн-мини-кибербитва.

🛡 Что ждет пользователей Standoff Defend:
• Два дня мини-кибербитвы в режиме реального времени.
• Регулируемые атаки Archer: моделирование реальных угроз по всем канонам атак APT-группировок.
• Атаки белых хакеров из сообщества Standoff: не просто симуляция, а действия людей, которые проверят команду защитников на прочность.

🎯 Специально для участников марафона:

VeeZy, один из топовых белых хакеров на платформе Standoff 365, проанализировал атаку группировки Charming Kitten и подготовил альтернативные сценарии атаки.

Это разбор не из учебников, а реальные варианты сценариев, которые стоит учитывать в мини-кибербитве.
Проверь, сможешь ли ты справиться со всеми векторами атак!

Удачи в защите 🚀

Марафон «Испытай себя на Standoff Defend» завершен

Спасибо всем, кто прошел этот путь! Вы проверили свои знания, нашли свои слабые и сильные стороны, переняли экспертизу от наших менторов и разобрали сценарии атак. Надеемся, марафон был для вас полезным и дал возможность получить новый опыт и развить свои навыки.

Теперь онлайн-полигон официально обновлен: он будет помогать специалистам по киберзащите прокачивать компетенции, а бизнесу — готовиться к реальным угрозам. На Standoff Defend воссоздана виртуальная ИТ-инфраструктура, где специалисты по ИБ в комфортном режиме комплексно развивают навыки выявления и расследования атак при поддержке менторов.

💬 На сайте марафона вышло интервью с Александром Дорофеевым, начальником отдела мониторинга и реагирования на инциденты ИБ банка «Санкт-Петербург», который расскажет, за что крупный бизнес ценит Standoff Defend.

Будем благодарны, если вы пройдете опрос и поделитесь впечатлениями о марафоне: ваш фидбэк важен!

С вами было очень круто 🚀