Заметки VMщика

Накидываю про физическую безопасность ЦОД-ов и провожу параллели с VM-ом. 🛡 @avleonovlive

Делюсь впечатлениями от PSD. 🙂 @avleonovrus

Прибыл на Positive Security Day. Выступать буду в 16:00, есть трансляция (зал "Будущее"). Подключайтесь 😉 @avleonovrus

Опишу общие впечатления от посещения нового форума "Проверка на прочность". Начался форум с ключевых докладов: Алексей Качалин рассказал про историю подходов к практикам анализа защищенности через призму бизнес ограничений и поделился относительно новым подходом "сдвига вправо" . Александр Леонов сделал обзор существующих практик оценки уязвимостей и сделал краткое превью методологии оценки уязвимостей Positive Vulnerability Scoring System (PVSS). Что мне запомнилось из дальнейшей пленарной дискуссии : 1. Прошла дискуссия под влиянием очень непростой для восприятия метрики. По оценке Алексея Волкова текущее время до эксплуатации уязвимости может достигать 12 минут с момента обнаружения. Больше половины участников дискуссии заявили о готовности выдерживать SLA 24 часа на устранение критической уязвимости. 2.Звучали мысли об альтернативе уменьшению SLA на устранение уязвимостей в виде реализации подходов zero trust и повышения resilience. 3.Необходимости выстраивания подходов с подразделениями ИТ и бизнеса - от общих KPI до директивных указаний. 4.Про историческую эрозию целей кибербезопасности от "обещаем защитить полностью" через "недопустимые события не произойдут" до "ущерб от недопустимых событий будет минимизирован". 5. Важность практической демонстрации возможности реализации уязвимости для ИТ. 6. Возможному началу практике ФСТЭК предварять проверку реальным пентестом и дальнейшую проверку строить на базе итогов этого пентеста, а не документарной проверке. Эдгар Микаелян (Curator) обратил внимание, что ранее казавшиеся рекордными терабитные DDoS-атаки стали происходить по несколько раз в год и усложнения борьбы c атаками за счет использования средств блокчейна в управлении ботнетами (C2). Аркадий Прокудин (Compliance Control) указал на высокий спрос на оценку соответствия требованиям ISO 27001 как возможного драйвера реализации реальных мер безопасности в странах Средней Азии. На круглом столе VM, DETECTION&RESPONSE прозвучал такой риск для практики анализа защищенности как сканирование стыков\интеграций с органами власти и партнерами. Так же тут обсудили важность практики ведения своего реестра активов и возможного разделения ответственности за этот процесс с ИТ и фактическую безальтернативность стандартов CIS benchmark для ужесточения настроек. Форум для меня завершился на интерактивном мастер-классе от Алексея Лукацкого про восприятие метрик безопасности CISO и CEO. В целом мне мероприятия показалось с заметным потенциалом для роста. Поздравляю организаторов с почином! #Проверка_на_прочность

Написал небольшой отчёт по вчерашней конференции "Проверка на прочность". 🙂 @avleonovlive

Еду на Проверку на Прочность. Будем с Алексеем Качалиным открывать конференцию. 🙂 Мой доклад начнётся в 9:50. Следующая моя активность начнётся в 13:00 - буду модерировать круглый стол по VMDR. @avleonovrus #event #пнп #пнп2026 #breakme2026

Промпт: (Интро) (Акустический перебор скрипки и гармошки переходит в бешеный бластбит и тяжёлый гитарный рифф) (Гроулинг): А-а-а-а-а! На периметре дыра! Патчи ставить нам пора! (Куплет 1 — Шутливо-театральный вокал с переходом на скрим) На внешнем контуре — дыра, Сервер год не обновлён! В базе NVD с утра Этот веб-сервис внесён! Балл CVSS — ровно десять, В коде — чистый RCE! Но админ не стал взвешивать Риск на внешнем веб-узле! (Припев — Хоровой фолк-панк с сочным гроулингом на бэк-вокале) «Фея Мясоед» идет! WAF пробит, аларм растёт! Если вовремя не патчишь — Инцидент тебя найдёт! (Куплет 2 — Скоростной дэс-метал / бластбиты) (Низкий, угарный гроулинг) Идёт эксплойт на уязвимый веб! Поднят исходящий Reverse Shell! Из памяти LSASS выгружен секрет — Kerberos-билет попал в прицел! Через SMB пройден Pivot в домен! Контроллер сети уже под замком! В системах начался масштабный замен, И бэкапы зашифрованы кругом! (Припев — Энергичный хоровой припев) «Фея Мясоед» идет! WAF пробит, аларм растёт! Если вовремя не патчишь — Инцидент тебя найдёт! (Бридж — Театральный диалог: Мелодичный скриминг админа vs Низкий гроулинг Феи) (Админ): Я на файрволе блокирую порт! Пытаюсь изолировать хост! (Фея-Мясоед): Поздний аккорд! Канал C2 отнюдь не прост! Конфиденциальный дамп отправлен на сервер, Ключи шифрования — в наших руках! Весь твой домен скомпрометирован, А восстановление — потерпело крах! (Бешеный хохот) (Куплет 3 — Тяжёлый мясной кач) Данные слиты в DarkNet на продажу! Вся инфраструктура намертво стоит! Бизнес несет миллионные кражи, И регулятор крупным штрафом грозит! Сисадмина ждёт увольнение, SLA провален навсегда! Вот к чему ведет небрежение И незакрытая на периметре дыра! (Аутро — Грайндкор финал) (Бластбит и рычание) EDR не спас! SIEM горит! Инфраструктура полностью стоит! Патчи нужно ставить вовремя, админ! ХОЙ!

Про активно эксплуатируемую RCE-уязвимость в NGFW Check Point с публичным эксплоитом. 👾 @avleonovlive

Тоже высказался по поводу атаr БПЛА на Яндекс. 🛡 @avleonovlive

Отчитываюсь о недельном отпуске в Рязани. ✍️ @avleonovlive

Про критичную уязвимость в Telegram Desktop. 🤯 @avleonovlive

В первый раз буду выступать на Positive Security Day. 🙂 @avleonovlive

Про результаты первого дня Pwn2Own Ireland 2026. 👀 @avelonovlive

Про результаты первого дня Pwn2Own Ireland 2026. 👀 @avelonovlive

Российские компании защищены в среднем на 6,7 балла из 10 ⚫️ Аналитики CICADA8 изучили состояние внешнего периметра российского бизнеса в первом полугодии 2026 года. Главный вывод: чем больше у компании внешних цифровых активов, тем сложнее сохранять контроль над ними. Несколько цифр из исследования: ⚡️У компаний с 500 и более доступными из интернета активами средний рейтинг защищенности — 4,96 балла, а критические уязвимости обнаружены у 77%. ⚡️ У организаций с 10–20 активами средняя оценка достигает 7,89 балла, критические уязвимости есть у 24%.

При этом ситуация меняется медленно: из более чем 20 000 компаний под постоянным наблюдением только 4,9% заметно улучшили свои позиции за полгода. Полностью устранили критические уязвимости лишь 14,6% организаций, у которых они были в начале года.

Какие отрасли защищены лучше других и почему размер цифрового периметра влияет сильнее отраслевой принадлежности — читайте в новом материале CICADA8

Снова про нейрослоп и баг баунти, теперь от Google. 🫠 @avleonovlive

Про новый cKEV Index от CyberOK. 👀 @avleonovrus