Ever Secure

Давно что-то на канале не выходили вебинары с дрючевом консоли и взломами, да? 😏

Было бы круто, если бы ржд смогла бы оказывать услуги железнодорожной связи нормально, для начала...

Кстати, в финальную лабу заложил по максимуму всего, что проходили. Вот первые отзывы 😅

🔓 Последняя неделя модуля "Уязвимости" и в субботу была опубликована итогова лаба на цепочки уязвимостей. Приложил для вас 10 лучших результатов по CTF и уже видно, кто как раскачался: лидеры перевалили за 80 очков, не знаю к чему они готовятся, но они готовы 😉 На этом модуль уязвимости закончен. 86 тасок разных уровней сложности на разные типы уязвимостей. Ну а команда Ever Secure поздравляет финалиста. Кстати, глядя на эти результаты, невольно задаёшься вопросом: а на сколько очков раскачался бы ты? 📈 В сентябре откроем двери для нового потока. Возможно, в следующий раз в этом топе будет уже ваше имя 💪 👀@ever_secure | 💪 Обучене | 💳Поддержать

спереди или сзади? 🙄

Разработке время — безопасной разработке еще больше времени В новом выпуске техно-дискуссий К2 Кибербезопасность разберем: ✅ стоит ли платить за коммерческие решения или можно жить на open source ✅ как выбрать между SAST, SCA и DAST и не утонуть в количестве инструментов ✅ Security Champions VS AppSec-команда: какой подход продуктивнее? Гости выпуска: 🎙 Максим Князев, старший системный инженер, К2 Кибербезопасность 🎙 Андрей Кулешов, руководитель разработки SourceCraft Security Яндекс. Ведущая — Анна Старшинова, ведущий менеджер по развитию практики защиты данных и приложений К2 Кибербезопасность. Когда: 16 июля, 19:00 (мск) Где: онлайн Регистрируйтесь по ссылке и присоединяйтесь к трансляции

DevSecOps должен уметь ломать? Да, должен Встроить сканеры в пайплайн не так сложно. SAST, SCA, DAST, secret detection, контейнеры, IaC, все это можно прикрутить, настроить пороги, сделать красивые дашборды и радостно наблюдать, как разработка начинает ненавидеть безопасность еще чуть сильнее. Но мне не нужен человек, который просто относит отчетики разработчикам.

• Вот тут у вас high, почините • А как починить? • Ну там в отчете написано • А это вообще эксплуатируется? • Сканер сказал • А почему это не false positive? • Ну...

Вот на этом месте DevSecOps заканчивается и начинается курьерская доставка PDF. Нормальный инженер должен понимать, что он принес разработке. Почему это уязвимость, как она работает, в каких условиях реально эксплуатируется, какой impact, как это нормально закрыть и как проверить, что закрыли. Не обязательно быть пентестером уровня «я руками переписываю шеллкод на салфетке». Но если ты работаешь на стыке разработки и безопасности, ты должен уметь хотя бы базово воспроизвести проблему, объяснить механику и не развалиться от первого вопроса разработчика. Потому что разработка не обязана верить сканеру. И часто правильно делает, что не верит. DevSecOps это не про «запустил тулзу и пошел пить кофе». Это про то, чтобы встроить безопасность в процесс так, чтобы она была полезной, понятной и доказуемой. А для этого надо не только уметь включать сканеры, но и понимать, что они нашли. И иногда уметь сломать самому, чтобы потом нормально защитить давно не было обсуждений на эту тему 😉

CTF

Вы просили позвать на подкаст молодого CISO, мы услышали и сделали 😉 Сегодня отсняли выпуск с Александром Савиным, поговорили про то, что волнует каждого, кто только заходит в роль: первые 100 дней в роли CISO 🔥 👀@ever_secure | 💪 Обучене | 💳Поддержать

Подрядчик сдал тебя хакерам, а в анкете было «все защищено» Хорошие новости: теперь ИИ отклоняет не только твое резюме, но и твою компанию 😉(шутка). А если серьезно, то огромное кол-во взломов сегодня прилетает именно через подрядчиков. Аудит третьих сторон давно перестал быть формальностью для галочки, это реально острая проблема и каждый CISO об нее спотыкается. Смотрите сами: 👉Контрагенты присылают отписки: в анкетах у всех «все защищено», а на деле внутренние процессы на нуле. 👉Активный аудит нелегален: сканировать инфру подрядчика без письменного разрешения нельзя (привет, ст. 272 УК РФ), да и агенты в свою сеть вам никто ставить не даст. 👉Ресурсы ограничены: проверить руками 200+ поставщиков силами ИБ отдела это уже фантастика. Мои друзья из CICADA8 зовут на вебинар, где без маркетингового хайпа и баззвордов разберут методологию и автоматизацию контроля внешней экосистемы. Тот случай, когда говорят по делу, а не продают воздух. 🗓 Когда: 16 июля, 11:00 (МСК) 📍 Формат: онлайн для практиков (CISO, GRC, ИБ аудиторов) О чем будут говорить (только конкретика): ❔Как уйти от «бумажной безопасности»: что требовать в качестве evidence, кроме красиво заполненной анкеты. ❔Легальный технический скоринг: как оценить защищенность партнера снаружи (OSINT, пассивный анализ, утечки, конфигурация почты и DNS), и при этом не познакомиться лично со ст. 272. ❔Где ИИ реально пашет в GRC (без нейросетей волшебников): ML для разбора сотен разнородных политик ДЗО, сверки с требованиями регуляторов (ГОСТ, КИИ, 152-ФЗ) и генерации рекомендаций. 200 подрядчиков и ни одного честного ответа в анкетах? Вам сюда 😉

ну как вы там, потомки?

Ждете новые выпуски? Мы тоже 🤝 Уже делаем новый выпуск для вас 😉

Теперь доступно и на 📺VK Video 👀@ever_secure | 💪 Обучене | 💳Поддержать

астрологи объявили неделю приключений в офисе

Задание на пару: укради 1000$ у преподавателя В новом выпуске подкаста мы ломаем привычный подход к учебе. Хватит переписывать скучные методички и зубрить теорию. Пора понять, почему настоящие ИТ-специалисты вырастают там, где разрешают легально взламывать системы и хакать однокурсников. В студии: - Керим Арнабердиев, и. о. заведующего кафедрой программных систем в Институте iSpring. - Алексей Федулаев, основатель Eversecure, эксперт в области информационной безопасности, автор канала Ever Secure Также в выпуске: - Зачем преподаватель дал студентам задание увести со своего счета 1000 долларов - Как слитые базы курьерских доставок разрушают семьи - Почему из прогульщиков и разгильдяев вырастают топовые безопасники Смотреть на Ютубе Слушать подкаст

Наш слоник 💪

Ждали новый выпуск CISO Podcast? Дождались 🚀🚀🚀 Гость нашего выпуска: Андрей Усенок (CISO Avito) рассказал, как он за 11 лет прошёл путь от обычного разработчика до руководителя ИБ одной из крупнейших компаний в России, какие знания становятся важнее с развитием ИИ, и какие навыки будут определять карьерный успех инженеров в ближайшие годы. Премьера 21 июня! 📹 Youtube Предыдущий выпуск: https://t.me/ever_secure/1200 👀@ever_secure | 💪 Академия | 💳Поддержать

А уже завтра стартует наш курс по DevSecOps 🚀 Last Call для тех, кто думал записаться https://edu.eversecure.ru/devsecops

Короткометражно о вечном Ребята из Positive Technologies сняли короткометражный фильм, где за 15 минут показали, как одна фишинговая атака может похоронить целую корпорацию. Это история на реальных событиях о том, как атака на цепочку поставок проходит путь от письма до полного паралича организации и как MaxPatrol Endpoint Security героически этому противостоит. Смотрите сами → Кстати, скоро выйдет новая версия MaxPatrol Endpoint Security 17 июня в 11:30. Подключайтесь к онлайн-трансляции Product Backstage, чтобы первыми узнать, как не ждать атаки, а опережать ее.

Как вам новый хиро курса? Кажется профессия дизайнера скоро будет мертва ⚰️