Belyaev Security Talks 🎙

Разработка уже давно не ограничивается тем, кто лучше знает Python, Java или умеет писать чистый код. На этой неделе OpenAI объявила о планах приобрести Pierre Computer — компанию, которая развивает инструменты для работы с кодом и разработки ПО. Codex постепенно превращается из помощника для написания кода в полноценную среду для работы разработчиков. И это довольно показательно: IT-индустрия меняется быстрее, чем успевают обновляться некоторые технические стеки. Но за всеми громкими релизами, новыми фреймворками и AI-инструментами по-прежнему стоят люди, которые всё это проектируют, собирают, тестируют и запускают в прод. Собрали с коллегами папку каналов  тех, кто живёт разработкой, технологиями и IT: • Backend и Frontend • Python, Java, Go и другие языки • DevOps, Linux и инфраструктура • системная аналитика и архитектура • тестирование, автоматизация и инженерные практики • продуктовая разработка и технические разборы Если хочется держать руку на пульсе индустрии, находить полезные технические материалы и быть в контексте того, что происходит в разработке, — забирайте подборку. Сохранить подборку себе 👨‍💻

Разработка уже давно не ограничивается тем, кто лучше знает Python, Java или умеет писать чистый код. На этой неделе OpenAI объявила о планах приобрести Pierre Computer — компанию, которая развивает инструменты для работы с кодом и разработки ПО. Codex постепенно превращается из помощника для написания кода в полноценную среду для работы разработчиков. И это довольно показательно: IT-индустрия меняется быстрее, чем успевают обновляться некоторые технические стеки. Но за всеми громкими релизами, новыми фреймворками и AI-инструментами по-прежнему стоят люди, которые всё это проектируют, собирают, тестируют и запускают в прод. Собрали с коллегами папку каналов тех, кто живёт разработкой, технологиями и IT: • Backend и Frontend • Python, Java, Go и другие языки • DevOps, Linux и инфраструктура • системная аналитика и архитектура • тестирование, автоматизация и инженерные практики • продуктовая разработка и технические разборы Если хочется держать руку на пульсе индустрии, находить полезные технические материалы и быть в контексте того, что происходит в разработке, — забирайте подборку. Сохранить подборку себе 👨‍💻

Спасибо за присланное видео. Сыграли в Мафию, отлично разгрузило от работы.

🪩 Последние IT & AI новости в одной ленте 🔎 Мониторить каналы про нейросети поштучно долго — свежие инструменты, обновления и материалы удобнее держать в одной подборке.

Внутри: – новые сервисы и рабочие фишки; – обзоры инструментов AI и IT; – карьера и HR Tech: как найти работу по специальности.

🔗 Сохранить [ подборку ]     📩 Записаться в папку

📂 Подборка новых интересных каналов по IT & AI Каналы для тех, кто работает в области IT и хочет держать руку на пульсе без мониторинга сотни источников ✔️

Внутри - IT & AI: свежие сервисы, рабочие фишки и материалы, которые помогают быстрее разбираться в новых технологиях и найти работу по специальности.

Добавляй [ подборку ] в свой актив и делись с друзьями! 📌 * здесь есть что выбрать (!)                               📩 Запись в папку

В пятом выпуске «Кибергероев России», «Умный домофон», Асе приходит сообщение от «управляющей компании»: в доме меняют домофон, и чтобы привязать новый ключ к телефону, нужно продиктовать «мастеру» код из SMS. Звучит буднично и правдоподобно: звонящий знает адрес и даже номер подъезда, и соседи один за другим называют коды. Но вместо ключа от подъезда мошенники получают ключи от чужих аккаунтов: приходят уведомления о входе с нового устройства и смене пароля. Никита напоминает главное: сначала разрываем навязанный сценарий, потом сами находим официальный контакт. А Игорь вешает в подъезде короткий протокол проверки: код из SMS не сообщаем никому, даже «мастеру», телефон управляющей компании берём только с квитанции, а при сомнении звоним сами. Ведь, как говорит Ася, «ключ к подъезду оказался ключом от чужого аккаунта». Журнал с пятью выпусками - по ссылке, подписывайтесь на канал BELYAEV_SECURITY, чтобы не пропустить следующие истории.

🔥[Belyaev_Podcast]🔥 - Выпуск №29: "Что изменилось в ИБ за 20 лет,а что осталось неизменным" 🔜🔜🔜🔜🔜 🤝🤝🤝 📺 [YouTube] 💙 [VK Video] 🎵 [Яндекс Музыка] 💬 [Mave в Tg] 📺 [RuTube] - Нажми кнопку «В ТОП🚀» 🎬 [Другие платформы] 🔜🔜🔜🔜🔜 🤝[О партнерах]: 1️⃣Генеральный медиа-партнер:😎КИБЕР Медиа 2️⃣ Медиа-партнер:🔊Global Digital Space 3️⃣ Медиа-партнер:☁️Компьютерра 4️⃣Медиа-партнер:🙂CISOCLUB 〰️〰️〰️〰️〰️ 💌Стать партнером 🔜🔜🔜🔜🔜 Гость:🔥Антон Карпов, вице-президент по безопасности VK. 🔜🔜🔜🔜🔜 🔥 Соведущий: Анастасия Федорова, заместитель руководителя Центра практического обучения Positive Technologies 〰️〰️〰️ 🔥 ТОП цитат с выпуска: 1. 💬 «Просто много сидите за компьютером. Не ходите гулять, не тусите в клубах.» — Антон Карпов 00:10:27 · ироничный совет о карьере; 2. 💬 «Нельзя быть полноценным специалистом по информационной безопасности, если ты только находишься на стороне вендора, потому что ты жизни не знаешь.» — Антон Карпов 00:11:51 · о работе на стороне заказчика 3. 💬 «Главная задача безопасника — это не запрещать, какие-то бумажки писать, а в первую очередь — это найти общий язык с айтишниками, подружиться.» — Антон Карпов 00:14:07 · о роли ИБ; 4. 💬 «На самом деле две вещи: здравый смысл и человеческие отношения.» — Антон Карпов 00:17:42 · о принципах управления 5. 💬 «Я ушёл от микроменеджмента. Абсолютно, потому что многие воспринимают микроменеджмент как недоверие.» — Антон Карпов 00:20:11 · о доверии команде 6. 💬 «Право на ошибку очень важно.» — Антон Карпов 00:21:58 · об ответственности без страха 7. 💬 «Не все обязаны 100% соответствовать твоим идеалам.» — Антон Карпо 00:22:54 · об ожиданиях руководителя 8. 💬 «Не нужно быть незаметным, нужно быть прозрачным.» — Антон Карпов 00:24:38 · о видимости работы ИБ 9. 💬 «Весь риск-менеджмент — это грёбанная чёрная магия.» — Антон Карпов 00:25:33 · полемическая позиция гостя, не универсальная рекомендация 10. 💬 «Два простых вопроса: а что тебе нужно? И как ты будешь меня оценивать?» — Антон Карпов 00:30:52 · что спросить у CEO 11. 💬 «Я буду считать успехом, если к тебе будут приходить. Если к тебе будут приходить люди.» — Антон Карпов 00:31:40 · цитирует своего первого руководителя в Яндексе; 12. 💬 «Для безопасника самая страшная история — это не знать, что где-то плохо.» — Антон Карпов 00:33:00 · о слепых зонах 13. 💬 «Я ни минуты в жизни не работал там, где мне неинтересно.» — Антон Карпов 00:38:43 · о выборе работы 14. 💬 «Если у тебя их нет, скорее всего, ты просто их не замечаешь.» — Антон Карпов 00:44:38 · речь об инцидентах; 15. 💬 «Пентест — это самый неправильно используемый инструментарий в ИБ.» — Антон Карпов 00:46:10 · о подмене защиты проверкой; 16. 💬 «Поставьте себя в коммуникации на место того человека, с которым вы общаетесь.» — Дмитрий Беляев 00:36:01 · о диалоге с администраторами и бизнесом 17. 💬 «Главное, чтобы эти ошибки не нашли первыми злоумышленники.» — Дмитрий Беляев 01:10:10 · о пользе проверок 18. 💬 «Это человек, который, мне кажется, хочет стать партнёром для бизнеса.» — Анастасия Фёдорова 00:09:00 · о новом образе специалиста ИБ 19. 💬 «Хорошо, мне кажется, как раз-таки в умении услышать этот компромисс.» — Анастасия Фёдорова 01:05:03 · о балансе безопасности и релизов 20. 💬 «Обратная связь — завтрак для чемпионов.» — Анастасия Фёдорова 01:10:20 〰️〰️〰️ 📝Связаться с Дмитрием 💪 [Стикеры] 〰️〰️〰️ 💥Почему нужно попасть на проект [Belyaev_Security]💥 〰️〰️〰️ #кибербезопасность #информационнаябезопасность #ИБ #CISO #cybersecurity #АнтонКарпов #ДмитрийБеляев #БеляевПодкаст #VK #Яндекс #PositiveTechnologies #управлениеИБ #командаИБ #пентест #bugbounty #ИИ #AIsecurity #securityculture #riskmanagement #подкаст

Скоро 🎉

Токен под рукой. И это уже проблема ⌨️

Недавно заходил за напитком в одно заведение, что из этого вышло, читайте ниже...

Если говорить честно, многие инциденты начинаются не с сложной атаки, а с очень бытовой халатности. Не через zero day, не через APT, а через кассу, к которой можно просто подойти и получить доступ к тому, что должно быть под контролем. Именно такую картину я увидел в одном из городских кафе. На рабочем месте, доступном из клиентской зоны, в USB порт подключён токен с биркой, на которой читается «ГА ЕГАИС». Сам адрес я намеренно не привожу, потому что здесь важен не конкретный объект, а типовая управленческая ошибка. 🔵Проблема не в токене Важно не путать наличие средства защиты с реальной безопасностью. Сам по себе токен может использоваться как элемент контроля доступа или подтверждения операций, но когда он физически доступен любому посетителю, он перестаёт быть средством защиты и превращается в источник риска. Если судить по маркировке на бирке, речь, вероятно, идёт о носителе, связанном с ЕГАИС, то есть с процессами учёта продукции. Гипотетически такой токен может использоваться для аутентификации, подписания операций, обмена данными с кассовым или учётным ПО. Но даже без точного знания его полномочий уже очевидно главное: критичный носитель находится там, где до него может дотянуться посторонний человек. 🔵Почему это опасно: На практике я вижу другое: бизнес часто недооценивает физический доступ как вектор атаки. Всем кажется, что главные угрозы живут где то в сети, а между тем человек у стойки иногда получает больше возможностей, чем удалённый злоумышленник без опоры внутри объекта. 🔵Что это даёт на практике: - Токен можно просто извлечь и забрать. - Его можно временно отключить для срыва операций. - Его можно изучить как ориентир для дальнейшей атаки, потому что сама подпись уже подсказывает назначение устройства. - Само рабочее место рядом с токеном может стать точкой для подключения постороннего USB устройства или для иных действий с кассовым компьютером. Самое опасное здесь в том, что такие истории редко воспринимаются как инцидент до первого серьёзного сбоя. Пока всё работает, владельцу кажется, что риска нет. На мой взгляд, это одна из самых дорогих иллюзий в операционной безопасности. Безопасность не должна быть оператором шлагбаума. Но она обязана отделять удобство от беспечности. Если устройство участвует в значимом бизнес процессе, оно не должно висеть в открытом доступе как брелок на витрине. 🔵Для такого объекта базовые меры очевидны: - Убрать системный блок и носители из зоны доступа клиентов. - Не оставлять токен подключённым постоянно, если он нужен только для отдельных операций. - Проверить, кто и как использует PIN код или иные реквизиты доступа. - Ограничить права на кассовом рабочем месте. - Разделить бытовое удобство сотрудников и требования к защите критичных операций. - Сменить PIN код с дефолтного, на стойкий. Это не история про большие бюджеты. Это история про минимальную дисциплину, которая стоит дешевле любого простоя, разбирательства или потери доверия. 🔵Ошибка выглядит маленькой только до инцидента Проблема не в том, что в кафе используют токен. Проблема в том, что контроль, который должен подтверждать доверенную операцию, визуально и физически доступен любому человеку рядом со стойкой. Я часто говорю, что защищённость надо оценивать не по наличию коробок, лицензий и регламентов, а по тому, насколько сложно нарушить процесс в реальной жизни. Здесь ответ, к сожалению, выглядит слишком простым. Хороший вопрос для владельца такого бизнеса звучит не так: «Есть ли у нас токен?». Правильный вопрос другой: «Кто может воспользоваться им раньше, чем это заметит сотрудник?».

На следующей неделе планирую выпуск 29-го подкаста с Антоном Карповым. А пока немного выходных в ленту

В деревне Вилларибо однажды решили: хватит искать инфосек между рецептом пасты и спором о том, чей Wi-Fi безопаснее. Собрали папку «ИБ», добавили в нее интересных каналов: аналитика, новости, разборы. И теперь утром открывают не хаос, а спокойный дайджест. В Вилларибо на каналы в этой папке подписаны. В деревне Виллабаджо папку не завели и на ИБ папку подписаны не были. Там до сих пор считают, что «двухфакторка» - это когда пароль ввели дважды. Поэтому в Вилларибо пьют кофе и читают разборы, а в Виллабаджо после странного письма дружно меняют пароль и говорят, что «так и было задумано». Мораль простая: папка в Telegram - это не паранойя, а гигиена. Посмотрите папку и сделайте вашу жизнь безопасней 🫶 https://t.me/addlist/CAYQNePynGIzMWFi

━━━━━━━━━━━━━━━━ Знаете, что сильнее всего экономит время и нервы в IT?

💡 Чужой опыт, за который уже заплатили другие.

Когда кто-то уже обжегся на новой технологии, исправил критическую уязвимость в безопасности или наладил процессы в команде так, чтобы все не выгорали к концу спринта. Именно ради такого обмена опытом мы с коллегами по цеху объединились в общую папку. Я сразу поддержал эту идею своим каналом, потому что внутри нет говорящих голов и теоретиков, а собрались спецы, которые прямо сейчас отвечают головой за работающий прод, безопасность систем и выпуск сложных продуктов. В папке плотная выжимка по всем фронтам:

— от жесткого бэкенда, DevOps и кибербезопасности — до системного анализа, искусственного интеллекта и внутренней кухни управления разработкой

Читаешь чужие разборы, подсматриваешь неочевидные заходы, забираешь готовые схемы себе в проекты и экономишь кучу времени на тестах. ━━━━━━━━━━━━━━━━ Саму папку можно добавить в один клик.

━━━━━━━━━━━━━━━━ Знаете, что сильнее всего экономит время и нервы в IT?

💡 Чужой опыт, за который уже заплатили другие.

Когда кто-то уже обжегся на новой технологии, исправил критическую уязвимость в безопасности или наладил процессы в команде так, чтобы все не выгорали к концу спринта. Именно ради такого обмена опытом мы с коллегами по цеху объединились в общую папку. Я сразу поддержал эту идею своим каналом, потому что внутри нет говорящих голов и теоретиков, а собрались спецы, которые прямо сейчас отвечают головой за работающий прод, безопасность систем и выпуск сложных продуктов. В папке плотная выжимка по всем фронтам:

— от жесткого бэкенда, DevOps и кибербезопасности — до системного анализа, искусственного интеллекта и внутренней кухни управления разработкой

Читаешь чужие разборы, подсматриваешь неочевидные заходы, забираешь готовые схемы себе в проекты и экономишь кучу времени на тестах. ━━━━━━━━━━━━━━━━ Саму папку можно добавить в один клик.

━━━━━━━━━━━━━━━━ Знаете, что сильнее всего экономит время и нервы в IT?

💡 Чужой опыт, за который уже заплатили другие.

Когда кто-то уже обжегся на новой технологии, исправил критическую уязвимость в безопасности или наладил процессы в команде так, чтобы все не выгорали к концу спринта. Именно ради такого обмена опытом мы с коллегами по цеху объединились в общую папку. Я сразу поддержал эту идею своим каналом, потому что внутри нет говорящих голов и теоретиков, а собрались спецы, которые прямо сейчас отвечают головой за работающий прод, безопасность систем и выпуск сложных продуктов. В папке плотная выжимка по всем фронтам:

— от жесткого бэкенда, DevOps и кибербезопасности — до системного анализа, искусственного интеллекта и внутренней кухни управления разработкой

Читаешь чужие разборы, подсматриваешь неочевидные заходы, забираешь готовые схемы себе в проекты и экономишь кучу времени на тестах. ━━━━━━━━━━━━━━━━ Саму папку можно добавить в один клик.

Microsoft разрабатывает собственные ИИ-чипы, NVIDIA усиливает позиции на рынке процессоров, а IT-инфраструктура становится отдельным полем конкуренции технологических гигантов. За такими новостями интересно следить, даже если ты не работаешь над очередным суперсложным продуктом. Они показывают, куда движется индустрия и что может измениться в работе разработчиков, инженеров и IT-компаний. Мы с коллегами как раз собрали папку, чтобы интересные источники были под рукой, а не терялись среди случайных рекомендаций. 🔗Сохранить папку себе

На день отца угощаю доченьку мороженым 🍨

Друзья, вышел новый, третий номер ИБ комикса 🔥 читаем, делимся с близкими 🫶