https://ecc.fail/
"A team of academics has demonstrated the first successful Rowhammer attack against server platforms using DDR4 ECC memory. They named the attack ECC.fail"
"A team of academics has demonstrated the first successful Rowhammer attack against server platforms using DDR4 ECC memory. They named the attack ECC.fail"
https://www.nist.gov/news-events/news/2025/08/nist-guidelines-can-help-organizations-detect-face-photo-morphs-deter
Рекомендации от NIST для обнаружения морфированых лиц фото- когда фотографии изменяются так, что системы распознавания могут детектировать по фото одновременно двух разных людей.
Рекомендации от NIST для обнаружения морфированых лиц фото- когда фотографии изменяются так, что системы распознавания могут детектировать по фото одновременно двух разных людей.
NIST
NIST Guidelines Can Help Organizations Detect Face Photo Morphs, Deter Identity Fraud
Face morphing software, which combines photos of different people into a single image, is being used to commit identity fraud
Forwarded from Мероприятия по ИБ
Anti-Malware:
Онлайн-конференция AMLive "Карьера в ИБ: как вырасти и заработать больше"
Рынок ИБ испытывает острую нехватку специалистов: SOC-аналитики, инженеры по защите приложений, DevSecOps и менеджеры по ИБ сегодня на вес золота. В прямом эфире AM Live мы разберём, как войти в профессию с нуля, как прокачать навыки и заработать больше, а также — какие компетенции будут наиболее востребованы в 2025-2026 годах.
Ведущие эксперты расскажут, как сделать рывок за 3-4 месяца и прокачать свою карьеру уже в этом году. Вы узнаете, где и чему учиться новичкам, опытным специалистам и менеджерам, какие курсы и практики реально работают и как компании решают проблему кадрового голода.
Ключевые вопросы:
• Карьера и рынок ИБ — как стать востребованным специалистом
• Обучение и решение кадрового голода в ИБ
• Будущее профессии в ИБ
Дата проведения:
20 августа 2025 г., | 11:00 (МСК)
Подробности и регистрация
#конференция #август
@InfoBezEvents
Онлайн-конференция AMLive "Карьера в ИБ: как вырасти и заработать больше"
Рынок ИБ испытывает острую нехватку специалистов: SOC-аналитики, инженеры по защите приложений, DevSecOps и менеджеры по ИБ сегодня на вес золота. В прямом эфире AM Live мы разберём, как войти в профессию с нуля, как прокачать навыки и заработать больше, а также — какие компетенции будут наиболее востребованы в 2025-2026 годах.
Ведущие эксперты расскажут, как сделать рывок за 3-4 месяца и прокачать свою карьеру уже в этом году. Вы узнаете, где и чему учиться новичкам, опытным специалистам и менеджерам, какие курсы и практики реально работают и как компании решают проблему кадрового голода.
Ключевые вопросы:
• Карьера и рынок ИБ — как стать востребованным специалистом
• Обучение и решение кадрового голода в ИБ
• Будущее профессии в ИБ
Дата проведения:
20 августа 2025 г., | 11:00 (МСК)
Подробности и регистрация
#конференция #август
@InfoBezEvents
Forwarded from Безопасно говоря
⚡️ 25 000 зафиксированных попыток атак за полгода: проанализировали тренды угроз для облачных и гибридных инфраструктур
Команда безопасности Yandex B2B Tech проанализировала попытки кибератак за первое полугодие 2025 года и выделила ключевые тренды.
🔹 В первом полугодии доминировала финансовая мотивация — 61% атак был нацелен на кражу или выкуп данных.
🔹 Учётные данные — главный трофей: в 54% попыток атак использовались валидные логины и пароли, добытые через утечки или взлом сторонних сервисов.
🔹 Гибридные инфраструктуры под прицелом — 38% атак приходится на облака и on-premises.
🔹 Данные — основная цель: 76% попыток кибератак направлено на базы данных и S3-хранилища.
🔹 ИИ меняет правила игры — помогает сократить время реагирования на инциденты на 30%.
В отчёте мы не только показываем статистику атак, но и разбираем конкретные техники злоумышленников. Эти данные помогут оценить риски для вашей компании и понять, как защититься от угроз.
📍 Полный отчёт с подробным разбором трендов, техник и практическими выводами — в блоге Yandex Cloud.
Команда безопасности Yandex B2B Tech проанализировала попытки кибератак за первое полугодие 2025 года и выделила ключевые тренды.
🔹 В первом полугодии доминировала финансовая мотивация — 61% атак был нацелен на кражу или выкуп данных.
🔹 Учётные данные — главный трофей: в 54% попыток атак использовались валидные логины и пароли, добытые через утечки или взлом сторонних сервисов.
🔹 Гибридные инфраструктуры под прицелом — 38% атак приходится на облака и on-premises.
🔹 Данные — основная цель: 76% попыток кибератак направлено на базы данных и S3-хранилища.
🔹 ИИ меняет правила игры — помогает сократить время реагирования на инциденты на 30%.
В отчёте мы не только показываем статистику атак, но и разбираем конкретные техники злоумышленников. Эти данные помогут оценить риски для вашей компании и понять, как защититься от угроз.
📍 Полный отчёт с подробным разбором трендов, техник и практическими выводами — в блоге Yandex Cloud.
Forwarded from Записки админа
🐧 Тем временем LKRG версии 1.0 вышел...
Всех интересующихся и причастных поздравляю☁️
Анонс и детали доступны по ссылке - https://www.openwall.com/lists/announce/2025/09/02/1
#lkrg #kernel #security
For those new to Linux Kernel Runtime Guard (LKRG), it is a kernel
module that performs runtime integrity checking of the Linux kernel and
detection of security vulnerability exploits against the kernel.
At over 7 years since its initial public release in 2018, we're finally
ready to call this project mature.
We've just released LKRG 1.0.0, available on the LKRG project website:
https://lkrg.org
Всех интересующихся и причастных поздравляю
Анонс и детали доступны по ссылке - https://www.openwall.com/lists/announce/2025/09/02/1
#lkrg #kernel #security
Please open Telegram to view this post
VIEW IN TELEGRAM
lkrg.org
LKRG - Linux Kernel Runtime Guard
Linux kernel runtime integrity checking and exploit detection
Принципы использования ИИ от PCI DSS. Написаны в основном очевидные, но все равно важные подходы.
AI systems must be deployed and managed in compliance with applicable PCI SSC requirements.
AI Systems Should Not Be:
Trusted with high-impact secrets or unprotected sensitive data.
AI Systems Should Be:
Provided with access to account data only when it is suitably protected
AI Systems May Be:
Provided with access to protected payment data.
Чуть больше деталей по ссылке.
https://blog.pcisecuritystandards.org/ai-principles-securing-the-use-of-ai-in-payment-environments
AI systems must be deployed and managed in compliance with applicable PCI SSC requirements.
AI Systems Should Not Be:
Trusted with high-impact secrets or unprotected sensitive data.
AI Systems Should Be:
Provided with access to account data only when it is suitably protected
AI Systems May Be:
Provided with access to protected payment data.
Чуть больше деталей по ссылке.
https://blog.pcisecuritystandards.org/ai-principles-securing-the-use-of-ai-in-payment-environments
👍1
Стандарт по маркировке для роботов контента на сайте, в т.ч. для обучения ИИ.
https://www.theregister.com/2025/09/11/rsl_content_grabbing_ai_digital_licensing
https://www.theregister.com/2025/09/11/rsl_content_grabbing_ai_digital_licensing
The Register
New Really Simple Licensing spec wants AI crawlers to show a license - or a credit card
: For whom the bill tolls
Forwarded from Easy Fuzzing: просто о сложном
Существует такой замечательный проект, который "относительно" недавно получил реинкарнацию под цифрой 2 - Open Security Training. Для тех, кто не знает, это ресурс с курсами по Кибербезопасности, покрывающий довольно нишевые, а часть так и называют - низкого уровня, области. К примеру, безопасная загрузка, отладчики ядра, архитектуры вроде risc-v и .т.п.
На сайте опубликованы схемы в каком порядке стоит обучаться той или иной области и... это всё бесплатно. Проект поддерживается волонтёрами и конечно партнёрами. В качестве картинки к посту привёл пример для System Security.
Но вернёмся к теме фаззинг-тестирования - на эту платформу добавили курс Fuzzing 1001: Introductory white-box fuzzing with AFL++ по основам фаззинг-тестирования и его практического применения с помощью AFL++ . Так что, если вы искали повод начать или улучшить знания в этой теме, то вот повод!
На сайте опубликованы схемы в каком порядке стоит обучаться той или иной области и... это всё бесплатно. Проект поддерживается волонтёрами и конечно партнёрами. В качестве картинки к посту привёл пример для System Security.
Но вернёмся к теме фаззинг-тестирования - на эту платформу добавили курс Fuzzing 1001: Introductory white-box fuzzing with AFL++ по основам фаззинг-тестирования и его практического применения с помощью AFL++ . Так что, если вы искали повод начать или улучшить знания в этой теме, то вот повод!
Forwarded from Порвали два трояна
От CISO ожидают, что он будет обучать свой совет директоров вопросам безопасности и при этом говорить на языке бизнеса — переводить ИБ в понятные метрики и ставить вопросы в привычном руководству ключе. Но к этому обсуждению можно подойти и с другой стороны. Как руководство должно общаться со своим CISO и о чём его спрашивать?
Нидерландский Cyber Security Council, состоящий из экспертов-практиков, научных работников и тех самых директоров, выпустил для руководителей и владельцев бизнеса полезную методичку, целиком посвященную высокоуровневым, вообще не техническим вопросам ИБ. Она охватывает вопросы от построения киберустойчивости и управления киберрисками до личной ответственности менеджмента и полезных, информативных для C-level метрик безопасности.
Небольшой спойлер из оглавления:
Важные «но» — руководство есть только на английском и голландском, а весь регуляторный ландшафт описан для ЕС и Нидерландов. Тем не менее, все общие принципы полностью применимы и в России.
#советы #CISO @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2
Forwarded from запуск завтра
Хорошая заметка про сервис уборки за вайбкодерами.
Совпадает с моими наблюдениями в том, что ИИ помогает быстро сделать прототип и писать тесты, а вот полноценная продакшен версия требует нормальной архитектуры и внимания сеньора.
К сожалению, многие получают это знание через собственные ошибки, когда навайбкоженный сервис сломался и (или) его взломали.
В такой ситуации профессия vibe code cleanup specialist («привожу в вайбкод в порядок») перестаёт быть шуткой. В статье есть ссылки на примеры и даже исследования.
Интересно, как меняются инструменты, но не меняется суть. Мы уже много лет зарабатываем на том, что приводим в порядок проекты, запущенные другими людьми. Это называют «технический перезапуск», «глобальный рефакторинг», суть та же. Только если раньше это был код, написанный другими людьми, то теперь он сгенерирован нейросетями.
Сделать первую версию недорогой командой или навайбкодить — это, кстати, не плохо. Просто этап проекта, когда нужно за минимальную сумму протестировать идею. Привести потом это в порядок — кратно более сложная задача, но к этому времени проект уже доказал осмысленность дальнейших вложений.
Технически, приводить в порядок сложнее, чем писать с нуля, потому что не достаточно реализовать продуктовую идею, нужно дополнительно разобраться в том, как устроена прошлая версия и не сломать то, что уже работает.
Похоже на то, как дешевле построить дом с нуля, чем сделать ремонт в историческом здании.
Теперь эти «исторические здания» собирают с помощью роботов. :)
Совпадает с моими наблюдениями в том, что ИИ помогает быстро сделать прототип и писать тесты, а вот полноценная продакшен версия требует нормальной архитектуры и внимания сеньора.
К сожалению, многие получают это знание через собственные ошибки, когда навайбкоженный сервис сломался и (или) его взломали.
В такой ситуации профессия vibe code cleanup specialist («привожу в вайбкод в порядок») перестаёт быть шуткой. В статье есть ссылки на примеры и даже исследования.
Интересно, как меняются инструменты, но не меняется суть. Мы уже много лет зарабатываем на том, что приводим в порядок проекты, запущенные другими людьми. Это называют «технический перезапуск», «глобальный рефакторинг», суть та же. Только если раньше это был код, написанный другими людьми, то теперь он сгенерирован нейросетями.
Сделать первую версию недорогой командой или навайбкодить — это, кстати, не плохо. Просто этап проекта, когда нужно за минимальную сумму протестировать идею. Привести потом это в порядок — кратно более сложная задача, но к этому времени проект уже доказал осмысленность дальнейших вложений.
Технически, приводить в порядок сложнее, чем писать с нуля, потому что не достаточно реализовать продуктовую идею, нужно дополнительно разобраться в том, как устроена прошлая версия и не сломать то, что уже работает.
Похоже на то, как дешевле построить дом с нуля, чем сделать ремонт в историческом здании.
Теперь эти «исторические здания» собирают с помощью роботов. :)
👍5
Forwarded from ген ИИ
Пять уровней защиты: как Яндекс предлагает обезопасить ИИ-агенты
Яндекс опубликовал AI-SAFE v1.0 — фреймворк для моделирования угроз и обеспечения безопасности ИИ-агентов и мультиагентных систем. Документ предлагает структурированный подход к их минимизации, разбивая архитектуру агента на пять логических уровней: интерфейс, исполнение, логика, инфраструктура и данные.
ИИ-агенты — не просто генераторы текста, а автономные системы, способные взаимодействовать с цифровой средой, планировать действия и использовать внешние инструменты. Это открывает новые векторы атак: от инъекций в промты и манипуляции целями агента до компрометации баз знаний и эскалации привилегий через инструменты.
Ключевые моменты:
1️⃣ Уровни угроз и рекомендации
➡️ Интерфейс (Input/Output): Prompt Injection, DoS, небезопасная обработка вывода. Рекомендации: валидация и санитизация ввода, Rate Limiting, строгая валидация вывода.
➡️ Исполнение и инструменты: Злоупотребление инструментами, эскалация привилегий, отравление метаданных. Решение: принцип минимальных привилегий, изоляция окружений, аудит инструментов.
➡️ Логика (Reasoning & Planning): Jailbreaking, манипуляция целями, зацикливание. Защита: усиление системного промта, тайм-ауты, Human-in-the-Loop.
➡️ Инфраструктура и оркестрация: Атаки на цепочку поставок, перегрузка ресурсов, межагентное отравление. Меры: SCA-сканирование, лимиты ресурсов, изоляция агентов.
➡️ Данные и знания: Отравление баз знаний, утечка конфиденциальных данных, манипуляция поиском. Контрмеры: RBAC, деперсонализация данных, проверка целостности.
2️⃣ Практический чек-лист
Документ содержит конкретные шаги для каждого уровня: от валидации входных данных и ограничения частоты запросов до изоляции инструментов и контроля доступа к базам знаний. Например, для защиты от Prompt Injection предлагается использовать Smart Web Security с кастомными правилами, а для предотвращения утечек — маскировать персональные данные перед отправкой в LLM.
3️⃣ Примеры инцидентов
Разобраны реальные кейсы: дипфейк-мошенничество в Гонконге (25 млн долларов ущерба), взлом GPT-4.1 через отравление инструментов, утечка данных DeepSeek из-за неправильной конфигурации базы данных. Для каждого случая указаны классификация по AI-SAFE и рекомендации по предотвращению.
Что на практике?
Яндекс предлагает системный подход к безопасности ИИ-агентов. Это особенно актуально для компаний, которые внедряют агенты в бизнес-процессы: от финансовых транзакций до управления инфраструктурой. Документ полезен не только специалистам по ИБ, но и ML-инженерам, архитекторам данных и руководителям, которые хотят понять, как минимизировать риски при использовании автономных ИИ-систем.
AI-SAFE — это попытка создать единый язык для обсуждения безопасности ИИ-агентов. Важно, что Яндекс приводит конкретные инструменты (например, Yandex Smart Web Security с ML WAF) и практические шаги. Однако остаётся вопрос: насколько быстро такие фреймворки будут адаптироваться к новым векторам атак, учитывая динамичность развития ИИ?
#кибербез
@gen_i_i
Яндекс опубликовал AI-SAFE v1.0 — фреймворк для моделирования угроз и обеспечения безопасности ИИ-агентов и мультиагентных систем. Документ предлагает структурированный подход к их минимизации, разбивая архитектуру агента на пять логических уровней: интерфейс, исполнение, логика, инфраструктура и данные.
ИИ-агенты — не просто генераторы текста, а автономные системы, способные взаимодействовать с цифровой средой, планировать действия и использовать внешние инструменты. Это открывает новые векторы атак: от инъекций в промты и манипуляции целями агента до компрометации баз знаний и эскалации привилегий через инструменты.
Ключевые моменты:
Документ содержит конкретные шаги для каждого уровня: от валидации входных данных и ограничения частоты запросов до изоляции инструментов и контроля доступа к базам знаний. Например, для защиты от Prompt Injection предлагается использовать Smart Web Security с кастомными правилами, а для предотвращения утечек — маскировать персональные данные перед отправкой в LLM.
Разобраны реальные кейсы: дипфейк-мошенничество в Гонконге (25 млн долларов ущерба), взлом GPT-4.1 через отравление инструментов, утечка данных DeepSeek из-за неправильной конфигурации базы данных. Для каждого случая указаны классификация по AI-SAFE и рекомендации по предотвращению.
Что на практике?
Яндекс предлагает системный подход к безопасности ИИ-агентов. Это особенно актуально для компаний, которые внедряют агенты в бизнес-процессы: от финансовых транзакций до управления инфраструктурой. Документ полезен не только специалистам по ИБ, но и ML-инженерам, архитекторам данных и руководителям, которые хотят понять, как минимизировать риски при использовании автономных ИИ-систем.
AI-SAFE — это попытка создать единый язык для обсуждения безопасности ИИ-агентов. Важно, что Яндекс приводит конкретные инструменты (например, Yandex Smart Web Security с ML WAF) и практические шаги. Однако остаётся вопрос: насколько быстро такие фреймворки будут адаптироваться к новым векторам атак, учитывая динамичность развития ИИ?
#кибербез
@gen_i_i
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
Forwarded from AlexRedSec
В нескольких слайдах приведена информация о:
Если подытожить выводы всех приведенных на слайде исследований, то в результате инцидентов акции компаний могут снизиться на 1,12–7,27%, а их показатели в течение нескольких недель после атаки могут отставать от рыночных индексов на 4,18% и более. Долгосрочные последствия включают понижение кредитных рейтингов на срок до трёх лет и устойчивое отставание от рынка, которое в отдельных секторах сохраняется даже через шесть месяцев.
#stock #business #impact
Please open Telegram to view this post
VIEW IN TELEGRAM
У живущих в ЕС появился доп 1 год на миграцию с Win10.
https://www.theverge.com/news/785544/microsoft-windows-10-extended-security-updates-free-europe-changes.
У остальных осталось чуть больше 2 недель.
https://www.theverge.com/news/785544/microsoft-windows-10-extended-security-updates-free-europe-changes.
У остальных осталось чуть больше 2 недель.
The Verge
Microsoft forced to make Windows 10 extended security updates truly free in Europe
You won’t have to enable Windows Backup to get extended Windows 10 security updates in the European Economic Area.
https://news.risky.biz/r/ba942ac8?m=08cc3506-dc8f-4e65-b1e3-acb5f228d116
Законопроект США по ИБ в сельском хозяйстве
Законопроект США по ИБ в сельском хозяйстве
U.S. Senator Ted Budd
Senators Budd, Cortez Masto Introduce Bipartisan Bill to Combat Foreign Cyberattacks Targeting American Agriculture - U.S. Senator…
Washington, D.C. — U.S. Senators Ted Budd (R-N.C.) and Catherine Cortez Masto (D-Nev.) introduced the bipartisan Cybersecurity in Agriculture Act today to enhance the cyberattack readiness, response, and recovery of American agricultural infrastructure. The…
Forwarded from Порвали два трояна
Allianz опубликовали отчёт под захватывающим названием «Cyber security resilience 2025: Claims and risk management trends».
В нём разобрана динамика киберрисков и киберугроз на основании страховых случаев, то есть ситуаций, когда атака привела к ущербу и жертва обратилась за возмещением.
Хорошие и плохие новости идут в отчёте по очереди:
В полной версии отчёта ещё много интересного — самые пострадавшие индустрии, тенденции социальной инженерии, новости регулирования и конечно применение ИИ
#статистика @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
👍1
Новый тип атаки на аппаратном уровне облаков-цодов. В этот раз лучше всего мониторить что вам поставили под видом оперативной памяти.
https://batteringram.eu/
https://batteringram.eu/
Forwarded from InfoSec VK Hub
VK Security Confab: ИИ в безопасности, безопасность ИИ
1 октября мы погрузились в самую горячую тему года — от автоматизации безопасности с помощью ИИ до защиты самих ML-систем.
Для всех, кто был с нами (и для тех, кто пропустил) — делимся презентациями спикеров.
Сохраняйте и используйте!
🔹 Материалы выступлений:
→ Секреты (и) LLM
Илья Сидельников, VK
Ссылка на презентацию
→ Агентный подход для анализа безопасности OpenAPI-схем
Руслан Бомин-Кулаков, Т-Банк
Ссылка на презентацию
→ Использование ИИ для автоматической классификации конфиденциальных данных
Игорь Дмитриев, WB tech
Ссылка на презентацию
→ MLSecOps в продакшене
Павел Литиков, VK
Ссылка на презентацию
Спасибо спикерам за глубину тем, а всем участникам — за крутые вопросы и атмосферу, где рождаются новые идеи! 💪
Следите за анонсами — готовим кое-что особенное!
VK Security | Буст этому каналу!
#confab #митап #AI
1 октября мы погрузились в самую горячую тему года — от автоматизации безопасности с помощью ИИ до защиты самих ML-систем.
Для всех, кто был с нами (и для тех, кто пропустил) — делимся презентациями спикеров.
Сохраняйте и используйте!
→ Секреты (и) LLM
Илья Сидельников, VK
Ссылка на презентацию
→ Агентный подход для анализа безопасности OpenAPI-схем
Руслан Бомин-Кулаков, Т-Банк
Ссылка на презентацию
→ Использование ИИ для автоматической классификации конфиденциальных данных
Игорь Дмитриев, WB tech
Ссылка на презентацию
→ MLSecOps в продакшене
Павел Литиков, VK
Ссылка на презентацию
Спасибо спикерам за глубину тем, а всем участникам — за крутые вопросы и атмосферу, где рождаются новые идеи! 💪
Следите за анонсами — готовим кое-что особенное!
VK Security | Буст этому каналу!
#confab #митап #AI
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM