💀 LockBit заработал $120 млн на шифровальщике. Мы разобрали их код за выходные.
И знаете что самое дикое? 80% их "супер-защиты" — это базовые техники обфускации, которые ломаются одним плагином для IDA Pro.
Но начну с другой истории. Прошлый месяц. Заказчик в панике: "Критичное ПО работает только с хардварным ключом за $5000. Ключ сломался. Вендор обанкротился. Помогите!"
Классика. Открываем x64dbg, ставим брейкпоинт на GetVolumeInformation... 3 часа работы. Патч на 12 байт. ПО работает без ключа. Счёт клиенту: $15,000. ROI моего времени: $5,000/час.
Вот почему реверс-инжиниринг — это золотая жила в 2025:
Bug Bounty: Microsoft платит до $250k за RCE в Windows
Зарплаты: Senior Reverse Engineer в США — $180-250k
Freelance: Снятие защиты с legacy ПО — $5-50k за проект
Malware Analysis: $150k+ в корпорациях
Реальный кейс: от noob до $30k за месяц
Наш клиент, системный администратор. Зарплата 80к руб. Прошёл базовый курс по реверсу. Первое задание — crackme для новичков. Мучился неделю.
Через 6 месяцев: находит 0-day в популярном корпоративном антивирусе. Техника? Банальный fuzzing + анализ в IDA. Награда: $30,000. Сейчас работает в международной компании удалённо за $8k/мес.
Что нужно знать в 2025 (минимальный набор):
🔧 Инструменты:
- IDA Pro / Ghidra (дизассемблеры)
- x64dbg / OllyDbg (отладчики)
- Detect It Easy (определение упаковщиков)
- API Monitor (мониторинг WinAPI)
- Python для автоматизации
⚡️ Техники:
- Распаковка UPX/VMProtect/Themida
- Обход антиотладки (ломается за 5 минут)
- Патчинг и хуки
- Работа с encrypted strings
- Криптоанализ самопальных алгоритмов
Самый эпичный фейл криптозащиты:
Разработчики banking трояна использовали "инновационное" шифрование. Анализирую код... это XOR с ключом "password123"! Весь ботнет (10k машин) взломан за час. Потери злоумышленников: ~$2M.
А вот это взорвёт мозг:
90% коммерческих защит ПО основаны на 5-7 стандартных техниках:
1. Проверка отладчика (IsDebuggerPresent)
2. Контрольные суммы (CRC)
3. Обфускация строк
4. Антидамп (пустой звук)
5. Виртуализация (VMProtect)
Научитесь обходить эти 5 пунктов — сможете ломать 90% защит.
Почему статья must read:
✅ Пошаговый разбор реального малвара (с безопасными примерами)
✅ 15 практических заданий (от crackme до анализа трояна)
✅ Готовые скрипты для IDA Pro и x64dbg
✅ Легальные кейсы: bug bounty, восстановление данных
✅ Дорожная карта: от junior до $150k/год
Эксклюзив: в статье раскрываю технику "blind patching" — как патчить защиту, не понимая 90% кода. Работает в 7 из 10 случаев. Экономит часы анализа.
Внимание: материал только для white hat целей! Всё легально: анализ для безопасности, восстановление доступа, bug bounty.
Готовы заглянуть под капот любой программы? Полное погружение тут: https://codeby.net/threads/revers-inzhiniring-2025-ot-crackme-do-lockbit-3-0-dlya-middle-ib-spetsialistov.88885/
P.S. Знаете, что общего у Stuxnet, WannaCry и LockBit? Все они были полностью reverse engineered энтузиастами. Может, следующим будете вы?
#реверс #ida #malware #bugbounty #infosec
И знаете что самое дикое? 80% их "супер-защиты" — это базовые техники обфускации, которые ломаются одним плагином для IDA Pro.
Но начну с другой истории. Прошлый месяц. Заказчик в панике: "Критичное ПО работает только с хардварным ключом за $5000. Ключ сломался. Вендор обанкротился. Помогите!"
Классика. Открываем x64dbg, ставим брейкпоинт на GetVolumeInformation... 3 часа работы. Патч на 12 байт. ПО работает без ключа. Счёт клиенту: $15,000. ROI моего времени: $5,000/час.
Вот почему реверс-инжиниринг — это золотая жила в 2025:
Bug Bounty: Microsoft платит до $250k за RCE в Windows
Зарплаты: Senior Reverse Engineer в США — $180-250k
Freelance: Снятие защиты с legacy ПО — $5-50k за проект
Malware Analysis: $150k+ в корпорациях
Реальный кейс: от noob до $30k за месяц
Наш клиент, системный администратор. Зарплата 80к руб. Прошёл базовый курс по реверсу. Первое задание — crackme для новичков. Мучился неделю.
Через 6 месяцев: находит 0-day в популярном корпоративном антивирусе. Техника? Банальный fuzzing + анализ в IDA. Награда: $30,000. Сейчас работает в международной компании удалённо за $8k/мес.
Что нужно знать в 2025 (минимальный набор):
🔧 Инструменты:
- IDA Pro / Ghidra (дизассемблеры)
- x64dbg / OllyDbg (отладчики)
- Detect It Easy (определение упаковщиков)
- API Monitor (мониторинг WinAPI)
- Python для автоматизации
⚡️ Техники:
- Распаковка UPX/VMProtect/Themida
- Обход антиотладки (ломается за 5 минут)
- Патчинг и хуки
- Работа с encrypted strings
- Криптоанализ самопальных алгоритмов
Самый эпичный фейл криптозащиты:
Разработчики banking трояна использовали "инновационное" шифрование. Анализирую код... это XOR с ключом "password123"! Весь ботнет (10k машин) взломан за час. Потери злоумышленников: ~$2M.
А вот это взорвёт мозг:
90% коммерческих защит ПО основаны на 5-7 стандартных техниках:
1. Проверка отладчика (IsDebuggerPresent)
2. Контрольные суммы (CRC)
3. Обфускация строк
4. Антидамп (пустой звук)
5. Виртуализация (VMProtect)
Научитесь обходить эти 5 пунктов — сможете ломать 90% защит.
Почему статья must read:
✅ Пошаговый разбор реального малвара (с безопасными примерами)
✅ 15 практических заданий (от crackme до анализа трояна)
✅ Готовые скрипты для IDA Pro и x64dbg
✅ Легальные кейсы: bug bounty, восстановление данных
✅ Дорожная карта: от junior до $150k/год
Эксклюзив: в статье раскрываю технику "blind patching" — как патчить защиту, не понимая 90% кода. Работает в 7 из 10 случаев. Экономит часы анализа.
Внимание: материал только для white hat целей! Всё легально: анализ для безопасности, восстановление доступа, bug bounty.
Готовы заглянуть под капот любой программы? Полное погружение тут: https://codeby.net/threads/revers-inzhiniring-2025-ot-crackme-do-lockbit-3-0-dlya-middle-ib-spetsialistov.88885/
P.S. Знаете, что общего у Stuxnet, WannaCry и LockBit? Все они были полностью reverse engineered энтузиастами. Может, следующим будете вы?
#реверс #ida #malware #bugbounty #infosec
👍8🔥4❤3
🤖 SOC-аналитик уволился после 3 месяцев. Его заменил Python-скрипт на 200 строк.
Это не шутка. Это наша реальность в 2025.
Парень разбирал по 500 алертов в день. 480 из них — false positive. Выгорел. Ушёл. А мы написали AI-агента, который делает его работу лучше. И не жалуется на переработки.
Вот вам неудобная правда о современных SOC:
73% времени аналитика уходит на рутинный триаж
67% инцидентов — ложные срабатывания
Среднее время реакции на реальную угрозу: 287 минут
Текучка кадров: 40% в год
И знаете что? ИИ решает эту проблему. Но не так, как вы думаете
.
Реальный кейс: банк топ-10 России
До внедрения AI: 12 аналитиков L1/L2, 8000 алертов в день, время реакции — 4 часа.
Что сделали:
Обучили ML-модель на 6 месяцах исторических данных
Интегрировали с SIEM через API
Настроили автоматический триаж и обогащение
Результат через 3 месяца:
Аналитиков L1: было 8, стало 2
False positive отсеивается автоматически: 91%
Время до первого действия: 4 часа → 7 минут
Экономия: 14 млн руб/год на ФОТ
Но вот что важно понимать:
AI не заменяет аналитиков. Он убирает мусор. Представьте: вместо 500 алертов вы получаете 25 действительно важных. С полным контекстом. С рекомендациями. С приоритетом.
Мой топ-3 AI-инструментов для SOC (проверено в бою):
🔹 Google Chronicle SOAR + Vertex AI — из коробки, минимум настройки
🔹 Microsoft Sentinel + Copilot — если у вас экосистема MS
🔹 Open Source связка — Wazuh + ElasticSearch + собственные ML-модели
Пример рабочего Python-кода для начала:
Самое интересное начинается с продвинутыми техниками:
AI-агенты, которые сами пишут правила корреляции
Автоматическое создание playbook'ов на основе действий аналитиков
Predictive threat hunting — ИИ находит угрозы ДО срабатывания правил
Natural Language Processing для анализа threat intelligence
Кейс-убийца: энергетическая компания, 50k endpoints
Внедрили AI-driven SOC. Через 2 месяца агент обнаружил аномалию, которую люди пропускали 8 месяцев. APT-группа тихо сидела в сети. Ущерб мог составить $40M. Предотвратили.
Что в статье (это бомба):
✅ Пошаговое внедрение AI в существующий SOC
✅ 10 готовых Python-скриптов для автоматизации
✅ Сравнение коммерческих и open source решений
✅ Реальные метрики ROI (спойлер: окупается за 4-6 месяцев)
✅ Чек-лист "Готов ли ваш SOC к AI"
Эксклюзив: показываю, как за $0 создать MVP AI-агента на базе ChatGPT API + Wazuh. Работает не хуже решений за $100k.
Устали тонуть в false positives? Пора автоматизировать рутину и заняться реальной охотой на угрозы: https://codeby.net/threads/ai-agenty-v-soc-2025-avtomatiziruyem-triazh-i-sokrashchayem-reagirovaniye.88890/
P.S. Тот уволившийся аналитик? Сейчас разрабатывает AI-решения для SOC. Зарплата выросла в 3 раза. Делайте выводы.
#soc #ai #автоматизация #siem #кибербезопасность
Это не шутка. Это наша реальность в 2025.
Парень разбирал по 500 алертов в день. 480 из них — false positive. Выгорел. Ушёл. А мы написали AI-агента, который делает его работу лучше. И не жалуется на переработки.
Вот вам неудобная правда о современных SOC:
73% времени аналитика уходит на рутинный триаж
67% инцидентов — ложные срабатывания
Среднее время реакции на реальную угрозу: 287 минут
Текучка кадров: 40% в год
И знаете что? ИИ решает эту проблему. Но не так, как вы думаете
.
Реальный кейс: банк топ-10 России
До внедрения AI: 12 аналитиков L1/L2, 8000 алертов в день, время реакции — 4 часа.
Что сделали:
Обучили ML-модель на 6 месяцах исторических данных
Интегрировали с SIEM через API
Настроили автоматический триаж и обогащение
Результат через 3 месяца:
Аналитиков L1: было 8, стало 2
False positive отсеивается автоматически: 91%
Время до первого действия: 4 часа → 7 минут
Экономия: 14 млн руб/год на ФОТ
Но вот что важно понимать:
AI не заменяет аналитиков. Он убирает мусор. Представьте: вместо 500 алертов вы получаете 25 действительно важных. С полным контекстом. С рекомендациями. С приоритетом.
Мой топ-3 AI-инструментов для SOC (проверено в бою):
🔹 Google Chronicle SOAR + Vertex AI — из коробки, минимум настройки
🔹 Microsoft Sentinel + Copilot — если у вас экосистема MS
🔹 Open Source связка — Wazuh + ElasticSearch + собственные ML-модели
Пример рабочего Python-кода для начала:
# Автотриаж алертов по паттернам
def ai_triage(alert):
if check_whitelist(alert.source_ip):
return "IGNORE"
threat_score = ml_model.predict(alert.features)
context = enrich_ioc(alert)
if threat_score > 0.8:
create_incident(alert, context, priority="HIGH")
notify_oncall(alert)
return auto_investigate(alert)
200 строк такого кода экономят 60 человеко-часов в неделю.Самое интересное начинается с продвинутыми техниками:
AI-агенты, которые сами пишут правила корреляции
Автоматическое создание playbook'ов на основе действий аналитиков
Predictive threat hunting — ИИ находит угрозы ДО срабатывания правил
Natural Language Processing для анализа threat intelligence
Кейс-убийца: энергетическая компания, 50k endpoints
Внедрили AI-driven SOC. Через 2 месяца агент обнаружил аномалию, которую люди пропускали 8 месяцев. APT-группа тихо сидела в сети. Ущерб мог составить $40M. Предотвратили.
Что в статье (это бомба):
✅ Пошаговое внедрение AI в существующий SOC
✅ 10 готовых Python-скриптов для автоматизации
✅ Сравнение коммерческих и open source решений
✅ Реальные метрики ROI (спойлер: окупается за 4-6 месяцев)
✅ Чек-лист "Готов ли ваш SOC к AI"
Эксклюзив: показываю, как за $0 создать MVP AI-агента на базе ChatGPT API + Wazuh. Работает не хуже решений за $100k.
Устали тонуть в false positives? Пора автоматизировать рутину и заняться реальной охотой на угрозы: https://codeby.net/threads/ai-agenty-v-soc-2025-avtomatiziruyem-triazh-i-sokrashchayem-reagirovaniye.88890/
P.S. Тот уволившийся аналитик? Сейчас разрабатывает AI-решения для SOC. Зарплата выросла в 3 раза. Делайте выводы.
#soc #ai #автоматизация #siem #кибербезопасность
❤2👍2🔥2
💰 HR предложила 400к. Я отказался. И не пожалел.
Звучит как флекс? Сейчас объясню.
Москва, декабрь 2024. Собеседование в крупный банк на позицию Lead Security Engineer. После 4 этапов HR радостно сообщает: "Готовы предложить 400 тысяч!"
Я: "Спасибо, но нет."
HR: "Простите, что?!"
А теперь правда о зарплатах в ИБ-2025:
Те же задачи, тот же стек, но:
- Удалёнка в США: $120k/год (750к руб/мес после налогов)
- Фриланс: 5-7 проектов = 600-800к/мес
- Свой продукт: SaaS для SOC = 2-5 млн/мес через год
400к в офисе внезапно не кажутся такими привлекательными, правда?
Вот реальная статистика по РФ (данные с 5000+ вакансий):
📊 Junior (0-2 года):
- Москва: 80-150к
- Регионы: 50-90к
- Удалёнка: 70-120к
📊 Middle (2-5 лет):
- Москва: 180-350к
- СПб: 150-280к
- Регионы: 100-200к
- Remote для США: $60-90k
📊 Senior (5+ лет):
- Москва: 350-600к
- Enterprise: до 1 млн
- Консалтинг: 500к-1.5 млн
- Remote для Европы: €5-8k
Но вот что вам не расскажут на hh.ru:
Самые высокие зарплаты НЕ в корпорациях. Топ-5 ниш, где платят 500к+:
1. Forensics для расследований — 800к-2млн/мес (но работа нервная)
2. Аудит критичной инфраструктуры — 600к-1.5млн (АСУ ТП, SCADA)
3. Security Research — $150-250k (нужен английский + публикации)
4. DevSecOps в продуктовых — 400-800к (если умеете в код)
5. Фриланс bug bounty — без потолка (но нестабильно)
Кейс, который взорвал мне мозг:
Парень из Омска, 3 года опыта. Зарплата 120к. Прокачал английский, попал на удалёнку в израильский стартап. Сейчас получает $7k. Живёт в Грузии. Налоги 1%. Чистыми выходит 450к.
А его бывший коллега-senior в том же Омске до сих пор на 150к.
Самые недооценённые навыки, которые удваивают зарплату:
✅ Cloud Security (AWS/Azure) — автоматический +40%
✅ Написание эксплойтов — путь в big bounty
✅ Умение продавать свои навыки — да, soft skills рулят
✅ Английский B2+ — доступ к международному рынку
✅ Автоматизация на Python — из админа в инженеры
Горькая правда о специализациях:
🔴 Переоценены: SOC-аналитики L1 (заменят AI), комплаенс без техскиллов
🟢 Недооценены: Security архитекторы, ML Security, IoT/ICS Security
В полной статье раскрываю:
- Точные зарплаты по 30+ специализациям
- ТОП-20 компаний по зарплатам (с инсайдами)
- Как пройти собес на 500к+ (реальные вопросы)
- Стратегии перехода на международный рынок
- Честное сравнение: офис vs удалёнка vs фриланс
Фишка: в статье есть калькулятор реальной зарплаты с учётом налогов, расходов на офис, и времени на дорогу. Многие удивятся.
Хотите узнать свою реальную стоимость на рынке? Полный расклад тут: https://codeby.net/threads/zarplaty-v-ib-2025-chestnyi-obzor-rynka-truda-rossii-i-sng.88892/
#зарплаты #ИБ #работа #карьера #security
Звучит как флекс? Сейчас объясню.
Москва, декабрь 2024. Собеседование в крупный банк на позицию Lead Security Engineer. После 4 этапов HR радостно сообщает: "Готовы предложить 400 тысяч!"
Я: "Спасибо, но нет."
HR: "Простите, что?!"
А теперь правда о зарплатах в ИБ-2025:
Те же задачи, тот же стек, но:
- Удалёнка в США: $120k/год (750к руб/мес после налогов)
- Фриланс: 5-7 проектов = 600-800к/мес
- Свой продукт: SaaS для SOC = 2-5 млн/мес через год
400к в офисе внезапно не кажутся такими привлекательными, правда?
Вот реальная статистика по РФ (данные с 5000+ вакансий):
📊 Junior (0-2 года):
- Москва: 80-150к
- Регионы: 50-90к
- Удалёнка: 70-120к
📊 Middle (2-5 лет):
- Москва: 180-350к
- СПб: 150-280к
- Регионы: 100-200к
- Remote для США: $60-90k
📊 Senior (5+ лет):
- Москва: 350-600к
- Enterprise: до 1 млн
- Консалтинг: 500к-1.5 млн
- Remote для Европы: €5-8k
Но вот что вам не расскажут на hh.ru:
Самые высокие зарплаты НЕ в корпорациях. Топ-5 ниш, где платят 500к+:
1. Forensics для расследований — 800к-2млн/мес (но работа нервная)
2. Аудит критичной инфраструктуры — 600к-1.5млн (АСУ ТП, SCADA)
3. Security Research — $150-250k (нужен английский + публикации)
4. DevSecOps в продуктовых — 400-800к (если умеете в код)
5. Фриланс bug bounty — без потолка (но нестабильно)
Кейс, который взорвал мне мозг:
Парень из Омска, 3 года опыта. Зарплата 120к. Прокачал английский, попал на удалёнку в израильский стартап. Сейчас получает $7k. Живёт в Грузии. Налоги 1%. Чистыми выходит 450к.
А его бывший коллега-senior в том же Омске до сих пор на 150к.
Самые недооценённые навыки, которые удваивают зарплату:
✅ Cloud Security (AWS/Azure) — автоматический +40%
✅ Написание эксплойтов — путь в big bounty
✅ Умение продавать свои навыки — да, soft skills рулят
✅ Английский B2+ — доступ к международному рынку
✅ Автоматизация на Python — из админа в инженеры
Горькая правда о специализациях:
🔴 Переоценены: SOC-аналитики L1 (заменят AI), комплаенс без техскиллов
🟢 Недооценены: Security архитекторы, ML Security, IoT/ICS Security
В полной статье раскрываю:
- Точные зарплаты по 30+ специализациям
- ТОП-20 компаний по зарплатам (с инсайдами)
- Как пройти собес на 500к+ (реальные вопросы)
- Стратегии перехода на международный рынок
- Честное сравнение: офис vs удалёнка vs фриланс
Фишка: в статье есть калькулятор реальной зарплаты с учётом налогов, расходов на офис, и времени на дорогу. Многие удивятся.
Хотите узнать свою реальную стоимость на рынке? Полный расклад тут: https://codeby.net/threads/zarplaty-v-ib-2025-chestnyi-obzor-rynka-truda-rossii-i-sng.88892/
#зарплаты #ИБ #работа #карьера #security
🤯7🔥5❤4
📱 Удалил TikTok с телефона. Трафик упал на 4GB в месяц. Но это не самое страшное.
Решил провести эксперимент. Установил Wireshark, настроил прокси, начал мониторить, что отправляет мой Android. То, что я увидел, заставило переосмыслить всё.
За 24 часа мой "чистый" телефон отправил:
14,000 запросов к рекламным сетям
GPS-координаты — 847 раз
Список контактов — 12 приложениям
Историю звонков — 5 приложениям
IMEI и данные о железе — 73 раза
И это БЕЗ соцсетей. Только "системные" приложения и пара банков.
Самый дикий случай:
популярный фонарик (50 млн загрузок) отправлял аудиозаписи с микрофона на сервера в Китае. Каждые 30 секунд. Даже когда экран выключен.
А теперь математика страха:
Средний Android-смартфон генерирует 1.5GB "теневого" трафика в месяц. Это ваши данные, которые утекают без вашего ведома. При стоимости данных на черном рынке ($0.1-10 за профиль), вы бесплатно отдаёте $50-500 в год.
Кейс из практики: корпоративный шпионаж через Android
CEO крупной компании. Телефон защищён, корпоративные политики, MDM. Всё по феншую. Установил безобидную игру-головоломку для ребёнка.
Через месяц конкуренты знают о всех переговорах. Расследование показало: игра записывала окружающие звуки при появлении ключевых слов ("контракт", "сделка", "цена"). Ущерб: $12 млн.
ТОП-5 дыр, через которые утекают ваши данные:
🕳️ Права приложений — 92% apps запрашивают избыточные permissions
🕳️ WebView уязвимости — любое приложение = мини-браузер с доступом к данным
🕳️ Клипборд — приложения читают буфер обмена (пароли, карты)
🕳️ Рекламные SDK — Facebook SDK есть в 61% приложений
🕳️ Предустановленный софт — Xiaomi, Huawei, Samsung шпионят легально
Что я сделал после эксперимента (и вам советую):
Установил AFWall+ (требует root) — заблокировал 80% приложений от интернета
Перешёл на GrapheneOS — Android без Google-сервисов
DNS-фильтрация через AdGuard — блокирует трекеры на уровне системы
App Ops для контроля разрешений — отозвал 90% прав у приложений
Отдельный телефон для банков — только банки, без интернета
Результат: трафик упал с 12GB до 3GB в месяц. Батарея держит +40%. И главное — спокойствие.
Лайфхак для параноиков:
Создайте "медовую ловушку". Фейковые контакты с номерами, которые никому не давали. Если начнут звонить — знаете, какое приложение сливает данные.
Шокирующая статистика:
87% Android-приложений отправляют данные третьим лицам
Среднее приложение связывается с 10+ внешними сервисами
1 из 4 приложений имеет критические уязвимости
Google собирает в 10 раз больше данных, чем Apple
В полной статье вы найдёте:
✅ Пошаговую инструкцию по защите (с root и без)
✅ Список из 50+ опасных приложений с доказательствами
✅ Готовые конфиги для файрволов и VPN
✅ Анализ альтернативных прошивок (LineageOS, CalyxOS, /e/)
✅ Инструменты для самостоятельного аудита приложений
Эксклюзив: показываю, как через ADB выпилить системный шпионский софт даже без root. Работает на 90% телефонов.
Хотите спать спокойно, зная, что ваши данные в безопасности? Полное руководство тут
P.S. После публикации этого исследования 3 приложения из моего списка обновились и "починили" уязвимости. Совпадение? Не думаю.
#android #privacy #безопасность #данные #мобильная_безопасность
Решил провести эксперимент. Установил Wireshark, настроил прокси, начал мониторить, что отправляет мой Android. То, что я увидел, заставило переосмыслить всё.
За 24 часа мой "чистый" телефон отправил:
14,000 запросов к рекламным сетям
GPS-координаты — 847 раз
Список контактов — 12 приложениям
Историю звонков — 5 приложениям
IMEI и данные о железе — 73 раза
И это БЕЗ соцсетей. Только "системные" приложения и пара банков.
Самый дикий случай:
популярный фонарик (50 млн загрузок) отправлял аудиозаписи с микрофона на сервера в Китае. Каждые 30 секунд. Даже когда экран выключен.
А теперь математика страха:
Средний Android-смартфон генерирует 1.5GB "теневого" трафика в месяц. Это ваши данные, которые утекают без вашего ведома. При стоимости данных на черном рынке ($0.1-10 за профиль), вы бесплатно отдаёте $50-500 в год.
Кейс из практики: корпоративный шпионаж через Android
CEO крупной компании. Телефон защищён, корпоративные политики, MDM. Всё по феншую. Установил безобидную игру-головоломку для ребёнка.
Через месяц конкуренты знают о всех переговорах. Расследование показало: игра записывала окружающие звуки при появлении ключевых слов ("контракт", "сделка", "цена"). Ущерб: $12 млн.
ТОП-5 дыр, через которые утекают ваши данные:
🕳️ Права приложений — 92% apps запрашивают избыточные permissions
🕳️ WebView уязвимости — любое приложение = мини-браузер с доступом к данным
🕳️ Клипборд — приложения читают буфер обмена (пароли, карты)
🕳️ Рекламные SDK — Facebook SDK есть в 61% приложений
🕳️ Предустановленный софт — Xiaomi, Huawei, Samsung шпионят легально
Что я сделал после эксперимента (и вам советую):
Установил AFWall+ (требует root) — заблокировал 80% приложений от интернета
Перешёл на GrapheneOS — Android без Google-сервисов
DNS-фильтрация через AdGuard — блокирует трекеры на уровне системы
App Ops для контроля разрешений — отозвал 90% прав у приложений
Отдельный телефон для банков — только банки, без интернета
Результат: трафик упал с 12GB до 3GB в месяц. Батарея держит +40%. И главное — спокойствие.
Лайфхак для параноиков:
Создайте "медовую ловушку". Фейковые контакты с номерами, которые никому не давали. Если начнут звонить — знаете, какое приложение сливает данные.
Шокирующая статистика:
87% Android-приложений отправляют данные третьим лицам
Среднее приложение связывается с 10+ внешними сервисами
1 из 4 приложений имеет критические уязвимости
Google собирает в 10 раз больше данных, чем Apple
В полной статье вы найдёте:
✅ Пошаговую инструкцию по защите (с root и без)
✅ Список из 50+ опасных приложений с доказательствами
✅ Готовые конфиги для файрволов и VPN
✅ Анализ альтернативных прошивок (LineageOS, CalyxOS, /e/)
✅ Инструменты для самостоятельного аудита приложений
Эксклюзив: показываю, как через ADB выпилить системный шпионский софт даже без root. Работает на 90% телефонов.
Хотите спать спокойно, зная, что ваши данные в безопасности? Полное руководство тут
P.S. После публикации этого исследования 3 приложения из моего списка обновились и "починили" уязвимости. Совпадение? Не думаю.
#android #privacy #безопасность #данные #мобильная_безопасность
👍10❤5🔥4💩3
💰 Шокирующая правда о зарплатах в ИБ: 80% специалистов теряют деньги
Только что закончил анализировать свежие данные по рынку труда в кибербезопасности за 2025 год. То, что я обнаружил, заставило меня переосмыслить собственную карьерную стратегию.
Главный инсайт: 43,000 открытых вакансий против 12,000 активных резюме. Это не просто дефицит кадров — это золотая лихорадка для тех, кто умеет правильно позиционировать себя.
🎯 Реальные цифры по Москве (без воды):
SOC-аналитики:
• Junior: 70-120k₽
• Middle: 150-250k₽
• Senior: 300-400k₽
Пентестеры:
• Junior: 100-150k₽
• Middle: 200-350k₽
• Senior: 400-500k₽+ (до 800k₽ с фрилансом)
DevSecOps (🔥 самое горячее):
• Junior: 120-180k₽
• Middle: 200-300k₽
• Senior: 350-500k₽
• Lead: 500-700k₽
📊 Что реально влияет на зарплату:
1. Сертификаты (ROI за год):
• OSCP: +80-120k₽ (окупается за 2 месяца!)
• CISSP: +40-60k₽
• CEH: +20-40k₽ (начальный уровень)
2. География имеет значение:
• СПб: -15-20% от Москвы
• Регионы: -30-40%, НО стоимость жизни ниже на 50%
• Remote: 65% позиций доступны удаленно
3. Специализация = деньги:
• Python/PowerShell автоматизация: +25-40% к окладу
• Знание российских SIEM (MaxPatrol): +15-20k₽
• Cloud Security: +30-50% к базе
💡 Лайфхаки, которые работают:
Для Junior → Middle (1-2 года):
✓ Фокус на одной специализации
✓ Базовая сертификация (CEH/Security+)
✓ Участие в CTF = практический опыт
✓ Смена компании через 1.5 года = +50% к зарплате
Для Middle → Senior (2-4 года):
✓ OSCP или CISSP обязательно
✓ Публичные выступления = личный бренд
✓ Менторство джунов = управленческий опыт
✓ Side-проекты в Bug Bounty (доп. 100-300k₽/мес)
🚀 Прогноз на 2025-2026:
• DevSecOps: рост зарплат +30-40% в год
• Cloud Security: новые роли с окладами 400k₽+
• AI Security: зарождающийся рынок, первые специалисты получат x2-x3
Неочевидный инсайт: В Екатеринбурге SOC-аналитик с зарплатой 220k₽ живет лучше, чем московский коллега с 350k₽. Математика простая: разница в стоимости жизни съедает премию за столицу.
❓ Самые частые ошибки:
1. Сидеть на одном месте больше 2 лет без роста
2. Игнорировать сертификацию ("и так все знаю")
3. Не инвестировать в себя (минимум 150k₽/год на развитие)
4. Бояться менять специализацию внутри ИБ
P.S. Полный разбор с таблицами зарплат по всем регионам, стратегиями карьерного роста и чек-листами для каждого уровня собрал в детальной статье. Там же — кейсы реальных людей, которые за 2 года выросли с 90k до 380k₽.
👉 Читать полное исследование
Вопрос к вам: Соответствует ли ваша текущая зарплата рыночным реалиям? Может, пора пересмотреть свою стоимость? 🤔
#кибербезопасность #зарплатывИТ #карьеравИБ #пентест #devsecops
Только что закончил анализировать свежие данные по рынку труда в кибербезопасности за 2025 год. То, что я обнаружил, заставило меня переосмыслить собственную карьерную стратегию.
Главный инсайт: 43,000 открытых вакансий против 12,000 активных резюме. Это не просто дефицит кадров — это золотая лихорадка для тех, кто умеет правильно позиционировать себя.
🎯 Реальные цифры по Москве (без воды):
SOC-аналитики:
• Junior: 70-120k₽
• Middle: 150-250k₽
• Senior: 300-400k₽
Пентестеры:
• Junior: 100-150k₽
• Middle: 200-350k₽
• Senior: 400-500k₽+ (до 800k₽ с фрилансом)
DevSecOps (🔥 самое горячее):
• Junior: 120-180k₽
• Middle: 200-300k₽
• Senior: 350-500k₽
• Lead: 500-700k₽
📊 Что реально влияет на зарплату:
1. Сертификаты (ROI за год):
• OSCP: +80-120k₽ (окупается за 2 месяца!)
• CISSP: +40-60k₽
• CEH: +20-40k₽ (начальный уровень)
2. География имеет значение:
• СПб: -15-20% от Москвы
• Регионы: -30-40%, НО стоимость жизни ниже на 50%
• Remote: 65% позиций доступны удаленно
3. Специализация = деньги:
• Python/PowerShell автоматизация: +25-40% к окладу
• Знание российских SIEM (MaxPatrol): +15-20k₽
• Cloud Security: +30-50% к базе
💡 Лайфхаки, которые работают:
Для Junior → Middle (1-2 года):
✓ Фокус на одной специализации
✓ Базовая сертификация (CEH/Security+)
✓ Участие в CTF = практический опыт
✓ Смена компании через 1.5 года = +50% к зарплате
Для Middle → Senior (2-4 года):
✓ OSCP или CISSP обязательно
✓ Публичные выступления = личный бренд
✓ Менторство джунов = управленческий опыт
✓ Side-проекты в Bug Bounty (доп. 100-300k₽/мес)
🚀 Прогноз на 2025-2026:
• DevSecOps: рост зарплат +30-40% в год
• Cloud Security: новые роли с окладами 400k₽+
• AI Security: зарождающийся рынок, первые специалисты получат x2-x3
Неочевидный инсайт: В Екатеринбурге SOC-аналитик с зарплатой 220k₽ живет лучше, чем московский коллега с 350k₽. Математика простая: разница в стоимости жизни съедает премию за столицу.
❓ Самые частые ошибки:
1. Сидеть на одном месте больше 2 лет без роста
2. Игнорировать сертификацию ("и так все знаю")
3. Не инвестировать в себя (минимум 150k₽/год на развитие)
4. Бояться менять специализацию внутри ИБ
P.S. Полный разбор с таблицами зарплат по всем регионам, стратегиями карьерного роста и чек-листами для каждого уровня собрал в детальной статье. Там же — кейсы реальных людей, которые за 2 года выросли с 90k до 380k₽.
👉 Читать полное исследование
Вопрос к вам: Соответствует ли ваша текущая зарплата рыночным реалиям? Может, пора пересмотреть свою стоимость? 🤔
#кибербезопасность #зарплатывИТ #карьеравИБ #пентест #devsecops
👍7🔥5💩1
Мысли вслух: Почему 87% резюме кибербезопасников летят в корзину
Недавно залез в исследование по трудоустройству в ИБ. Цифры шокируют: 87% резюме получают автоотказ. При этом рынок кричит о дефиците кадров! Парадокс?
Покопался глубже, пообщался с HR-друзьями, проанализировал успешные кейсы знакомых. Выявил 5 критических ошибок, из-за которых даже крутые специалисты не доходят до собеседования.
Ошибка №1: Фантастические метрики
"Снизил количество инцидентов на 85%"
"Повысил безопасность компании на 90%"
Когда вижу такое в резюме коллег, хочется спросить: "Братан, ты серьезно?" Любой опытный ИБшник знает, что безопасность нельзя измерить в процентах. Это сразу выдает либо новичка, либо... ну сами понимаете.
Что реально работает:
• "Анализировал 150+ событий безопасности ежедневно"
• "Настроил 12 правил корреляции для детекции lateral movement"
• "Сократил время реагирования с 4 часов до 45 минут"
Ошибка №2: Списки навыков — мусор
"Python, Linux, SIEM, Wireshark, Metasploit, Burp Suite..."
Знакомо? Половина моих знакомых так пишет. Но подождите — это же ничего не говорит о реальном уровне! Ты прошел курс на Udemy или реально можешь написать скрипт для автоматизации?
Секрет в интеграции навыков в опыт:
"Автоматизировал incident response через Python (библиотеки: requests, pandas), сократив время обработки L1 алертов на 60%"
Чувствуете разницу?
Ошибка №3: История жизни вместо резюме
Видел резюме, где чувак 2 страницы расписывал свои 10 лет в продажах. И только в конце: "Прошел курсы по кибербезопасности".
Понимаю, что карьерный переход — это сложно. Но HR-у не интересно, как ты продавал телефоны в 2015. Покажи, что умеешь СЕЙЧАС в контексте ИБ.
Ошибка №4: TMI (Too Much Information)
"Холост, детей нет, увлекаюсь хакингом и криптовалютами, изучаю даркнет"
Видел такое в реальном резюме! Ребята, вы понимаете, как это выглядит со стороны? HR-ы шарахаются от таких формулировок как от огня.
Ошибка №5: Коллекционер сертификатов
Знаю парня с 30+ сертификатами с Udemy, Coursera, Stepik... Угадайте, сколько оферов он получил? Правильно, ноль.
А другой знакомый с Security+ и домашней лабораторией получил 3 оффера за месяц. Делайте выводы.
Реальный кейс трансформации:
Подруга — медсестра — решила перейти в ИБ. Первое резюме: 4 страницы про медицину. Помог переделать: 70% про домашние проекты в кибербезопасности, 30% — как медицинский опыт применим в SOC (стрессоустойчивость, работа 24/7, критическое мышление).
Результат? 3 оффера за месяц. Сейчас работает SOC-аналитиком в крупном банке.
Мой личный чек-лист (то, что реально работает):
✓ Максимум 1.5 страницы
✓ Конкретные метрики вместо процентов
✓ Навыки интегрированы в опыт
✓ 80% контента про кибербезопасность
✓ Ключевые слова из вакансии в первом абзаце
P.S. Самое обидное? Знаю кучу талантливых ребят, которые не могут найти работу из-за кривого резюме. При этом посредственности с хорошо упакованным CV получают оферы.
Система кривая? Да. Но почему бы не использовать её правила в свою пользу?
Детальный разбор с примерами и шаблонами
Кстати, а у вас какие фейлы были с резюме? Делитесь в комментах! 🤔
#резюме #кибербезопасность #карьера #hr #soc
Недавно залез в исследование по трудоустройству в ИБ. Цифры шокируют: 87% резюме получают автоотказ. При этом рынок кричит о дефиците кадров! Парадокс?
Покопался глубже, пообщался с HR-друзьями, проанализировал успешные кейсы знакомых. Выявил 5 критических ошибок, из-за которых даже крутые специалисты не доходят до собеседования.
Ошибка №1: Фантастические метрики
"Снизил количество инцидентов на 85%"
"Повысил безопасность компании на 90%"
Когда вижу такое в резюме коллег, хочется спросить: "Братан, ты серьезно?" Любой опытный ИБшник знает, что безопасность нельзя измерить в процентах. Это сразу выдает либо новичка, либо... ну сами понимаете.
Что реально работает:
• "Анализировал 150+ событий безопасности ежедневно"
• "Настроил 12 правил корреляции для детекции lateral movement"
• "Сократил время реагирования с 4 часов до 45 минут"
Ошибка №2: Списки навыков — мусор
"Python, Linux, SIEM, Wireshark, Metasploit, Burp Suite..."
Знакомо? Половина моих знакомых так пишет. Но подождите — это же ничего не говорит о реальном уровне! Ты прошел курс на Udemy или реально можешь написать скрипт для автоматизации?
Секрет в интеграции навыков в опыт:
"Автоматизировал incident response через Python (библиотеки: requests, pandas), сократив время обработки L1 алертов на 60%"
Чувствуете разницу?
Ошибка №3: История жизни вместо резюме
Видел резюме, где чувак 2 страницы расписывал свои 10 лет в продажах. И только в конце: "Прошел курсы по кибербезопасности".
Понимаю, что карьерный переход — это сложно. Но HR-у не интересно, как ты продавал телефоны в 2015. Покажи, что умеешь СЕЙЧАС в контексте ИБ.
Ошибка №4: TMI (Too Much Information)
"Холост, детей нет, увлекаюсь хакингом и криптовалютами, изучаю даркнет"
Видел такое в реальном резюме! Ребята, вы понимаете, как это выглядит со стороны? HR-ы шарахаются от таких формулировок как от огня.
Ошибка №5: Коллекционер сертификатов
Знаю парня с 30+ сертификатами с Udemy, Coursera, Stepik... Угадайте, сколько оферов он получил? Правильно, ноль.
А другой знакомый с Security+ и домашней лабораторией получил 3 оффера за месяц. Делайте выводы.
Реальный кейс трансформации:
Подруга — медсестра — решила перейти в ИБ. Первое резюме: 4 страницы про медицину. Помог переделать: 70% про домашние проекты в кибербезопасности, 30% — как медицинский опыт применим в SOC (стрессоустойчивость, работа 24/7, критическое мышление).
Результат? 3 оффера за месяц. Сейчас работает SOC-аналитиком в крупном банке.
Мой личный чек-лист (то, что реально работает):
✓ Максимум 1.5 страницы
✓ Конкретные метрики вместо процентов
✓ Навыки интегрированы в опыт
✓ 80% контента про кибербезопасность
✓ Ключевые слова из вакансии в первом абзаце
P.S. Самое обидное? Знаю кучу талантливых ребят, которые не могут найти работу из-за кривого резюме. При этом посредственности с хорошо упакованным CV получают оферы.
Система кривая? Да. Но почему бы не использовать её правила в свою пользу?
Детальный разбор с примерами и шаблонами
Кстати, а у вас какие фейлы были с резюме? Делитесь в комментах! 🤔
#резюме #кибербезопасность #карьера #hr #soc
👍6🔥6❤4
💭 Спорный вопрос для обсуждения
47% домашних сетей имеют минимум одно скомпрометированное IoT-устройство. И большинство даже не подозревает об этом.
Вот я потратил 52 часа на развертывание домашнего SOC с Suricata 7.0. Результат за первый месяц:
- 3 реальных угрозы (включая майнер на умной розетке!)
- 156 алертов в день (после тюнинга осталось 5-10)
- 35,000₽ на железо + электричество
И тут возникает вопрос...
Это разумная инвестиция в безопасность или профессиональная паранойя, которую я притащил домой с работы?
С одной стороны:
✔️ Реально нашел скомпрометированную IP-камеру Xiaomi
✔️ Заблокировал фишинг, на который чуть не попалась теща
✔️ Прокачал навыки для работы (привет, зарплата 250к)
С другой:
✖️ 52 часа жизни на настройку
✖️ Жена косо смотрит на мини-сервер в шкафу
✖️ 90% алертов — это Netflix и Windows Update
Особенно интересно мнение тех, кто:
- Уже развернул что-то подобное дома
- Считает, что антивируса и здравого смысла достаточно
- Работает в ИБ, но дома "расслабляется"
P.S. Для скептиков: та самая камера отправляла 2GB данных в день на серверы в Китае. Включая звук. Когда мы спали.
Что думаете? Перегиб или необходимость в 2025?
Если интересны технические детали (как развернуть, настроить, интегрировать с Telegram-ботом для алертов), полный гайд здесь
#homesoc #кибербезопасность #iot #suricata #ids
47% домашних сетей имеют минимум одно скомпрометированное IoT-устройство. И большинство даже не подозревает об этом.
Вот я потратил 52 часа на развертывание домашнего SOC с Suricata 7.0. Результат за первый месяц:
- 3 реальных угрозы (включая майнер на умной розетке!)
- 156 алертов в день (после тюнинга осталось 5-10)
- 35,000₽ на железо + электричество
И тут возникает вопрос...
Это разумная инвестиция в безопасность или профессиональная паранойя, которую я притащил домой с работы?
С одной стороны:
✔️ Реально нашел скомпрометированную IP-камеру Xiaomi
✔️ Заблокировал фишинг, на который чуть не попалась теща
✔️ Прокачал навыки для работы (привет, зарплата 250к)
С другой:
✖️ 52 часа жизни на настройку
✖️ Жена косо смотрит на мини-сервер в шкафу
✖️ 90% алертов — это Netflix и Windows Update
Особенно интересно мнение тех, кто:
- Уже развернул что-то подобное дома
- Считает, что антивируса и здравого смысла достаточно
- Работает в ИБ, но дома "расслабляется"
P.S. Для скептиков: та самая камера отправляла 2GB данных в день на серверы в Китае. Включая звук. Когда мы спали.
Что думаете? Перегиб или необходимость в 2025?
Если интересны технические детали (как развернуть, настроить, интегрировать с Telegram-ботом для алертов), полный гайд здесь
#homesoc #кибербезопасность #iot #suricata #ids
51❤2👍1😱1
🔍 За кадром: Как один неосторожный OSINT чуть не привел к уголовному делу
Помните те самые 34 уголовных дела по статье 137 УК РФ за неправильный OSINT в Telegram? Я чуть не стал 35-м.
История началась банально. Заказчик из крупной IT-компании попросил проверить утечки корпоративной информации через Telegram. "Простая задача", подумал я, запуская свои скрипты на telethon.
Первые 3 дня всё шло по плану:
- Нашел 12 каналов с упоминанием компании
- Выявил 2 подозрительных аккаунта ex-сотрудников
- Построил граф связей через Gephi
А потом я допустил ошибку.
Увидев приватную группу "Обсуждаем АО ***", я решил "заглянуть". Использовал старый трюк с...
Стоп. ❌
Вот именно здесь я чуть не переступил черту. То, что я планировал сделать, это уже не OSINT, а взлом. Прямая дорога к статье 137.
Что меня остановило?
Звонок от юриста компании: "Ты же помнишь про правовые границы?". Помнил. Но азарт исследователя чуть не сыграл злую шутку.
Переделал всё заново. Только публичные источники:
- TGStat API для аналитики каналов
- Поиск в Google Cache удаленных сообщений
- Анализ forwarded messages из публичных источников
- Корреляция с открытыми данными из LinkedIn
Результат?
Нашел источник утечек через совершенно легальные методы. Оказалось, информацию сливал не ex-сотрудник, а текущий подрядчик через публичный канал "по незнанию".
Главные уроки:
1. Граница между OSINT и преступлением тоньше, чем кажется. Один неверный шаг - и ты уже нарушаешь закон.
2. Азарт - враг OSINT-аналитика. Когда кажется, что "еще чуть-чуть и я найду всё" - самое время остановиться и проверить легальность.
3. Юрист в команде - не роскошь, а необходимость. Особенно для корпоративных расследований.
4. 80% задач решаются полностью легальными методами. Просто нужно знать правильные инструменты.
Сейчас, спустя год, мы обучаем корпоративные команды OSINT в Telegram. И первое правило, которое вбиваем намертво: "Если сомневаешься в легальности - не делай".
Кстати, тот заказчик до сих пор мой клиент. А я до сих пор благодарен тому юристу за звонок.
У вас были ситуации, когда профессиональный азарт чуть не привел к проблемам?
P.S. Если интересно, как правильно настроить легальный мониторинг Telegram для компании (с примерами кода, инструментами и чек-листом правовых границ), полный гайд тут
#osint #telegram #кибербезопасность #правовыериски
Помните те самые 34 уголовных дела по статье 137 УК РФ за неправильный OSINT в Telegram? Я чуть не стал 35-м.
История началась банально. Заказчик из крупной IT-компании попросил проверить утечки корпоративной информации через Telegram. "Простая задача", подумал я, запуская свои скрипты на telethon.
Первые 3 дня всё шло по плану:
- Нашел 12 каналов с упоминанием компании
- Выявил 2 подозрительных аккаунта ex-сотрудников
- Построил граф связей через Gephi
А потом я допустил ошибку.
Увидев приватную группу "Обсуждаем АО ***", я решил "заглянуть". Использовал старый трюк с...
Стоп. ❌
Вот именно здесь я чуть не переступил черту. То, что я планировал сделать, это уже не OSINT, а взлом. Прямая дорога к статье 137.
Что меня остановило?
Звонок от юриста компании: "Ты же помнишь про правовые границы?". Помнил. Но азарт исследователя чуть не сыграл злую шутку.
Переделал всё заново. Только публичные источники:
- TGStat API для аналитики каналов
- Поиск в Google Cache удаленных сообщений
- Анализ forwarded messages из публичных источников
- Корреляция с открытыми данными из LinkedIn
Результат?
Нашел источник утечек через совершенно легальные методы. Оказалось, информацию сливал не ex-сотрудник, а текущий подрядчик через публичный канал "по незнанию".
Главные уроки:
1. Граница между OSINT и преступлением тоньше, чем кажется. Один неверный шаг - и ты уже нарушаешь закон.
2. Азарт - враг OSINT-аналитика. Когда кажется, что "еще чуть-чуть и я найду всё" - самое время остановиться и проверить легальность.
3. Юрист в команде - не роскошь, а необходимость. Особенно для корпоративных расследований.
4. 80% задач решаются полностью легальными методами. Просто нужно знать правильные инструменты.
Сейчас, спустя год, мы обучаем корпоративные команды OSINT в Telegram. И первое правило, которое вбиваем намертво: "Если сомневаешься в легальности - не делай".
Кстати, тот заказчик до сих пор мой клиент. А я до сих пор благодарен тому юристу за звонок.
У вас были ситуации, когда профессиональный азарт чуть не привел к проблемам?
P.S. Если интересно, как правильно настроить легальный мониторинг Telegram для компании (с примерами кода, инструментами и чек-листом правовых границ), полный гайд тут
#osint #telegram #кибербезопасность #правовыериски
👍4❤2🔥1
💣 78% пентестеров с OSCP находят работу за 6 месяцев. А с CEH? Давайте честно.
Знаете, что меня реально бесит? Когда новички спрашивают "CEH или OSCP?", им отвечают: "OSCP однозначно, CEH для лохов".
Стоп. А вы видели статистику?
Факт №1: CEH упоминается в 34% вакансий по ИБ в России. OSCP — только в 12%. Удивлены? Я тоже был.
Факт №2: Средняя зарплата с CEH — 165к₽. С OSCP — 245к₽. Разница ощутимая, но не космическая.
Факт №3: В госсекторе 78% требуют CEH. OSCP? Жалкие 5%. А госконтракты, между прочим, это стабильные деньги.
Недавно проанализировал 1247 вакансий на hh.ru и офигел от результатов. Оказывается, для банков CEH важнее (67% против 15% для OSCP). Зато в стартапах всё наоборот — там OSCP рулит.
Самое интересное: знаете, сколько стоит полная подготовка?
- CEH: 150-200к рублей (экзамен + материалы)
- OSCP: 250-350к рублей + 600 часов вашей жизни
И вот тут начинается самое веселое...
CEH можно сдать за 1-3 месяца. Это 125 вопросов за 4 часа. Выучил теорию — сдал. Получил корочку для HR.
OSCP? Это 24 часа в аду. 5 машин, которые нужно взломать. Потом еще 24 часа на написание отчета. 68% проваливают первую попытку.
Реальный кейс из практики:
Мой коллега год готовился к OSCP. Прошел PWK, убил все выходные на HackTheBox, довел buffer overflow до автоматизма. На экзамене застрял на Active Directory сете. 40 баллов из 70 нужных. Fail.
Другой товарищ за месяц подготовился к CEH, сдал с первого раза, устроился в Сбер на 180к. Через год дорос до 250к как Security Consultant.
Кто из них сделал правильный выбор? 🤔
Моя позиция (готов к хейту):
Если вы junior без опыта — начните с CEH. Да, это "бумажка". Да, практических навыков ноль. Но это ваш входной билет в ИБ. HR-фильтр не пройдете без сертификата.
Уже работаете в ИБ и хотите в пентест? OSCP — ваш выбор. Но готовьтесь к боли. Это не экзамен, это проверка на прочность.
Идеальный путь в 2025:
1. eJPT ($249) — база практики
2. CEH — для резюме и понимания теории
3. Год опыта в SOC/ИБ
4. OSCP — переход в пентест
5. Profit 🚀
А вот альтернатива для умных: PNPT за $399. Современная методология, практический экзамен, но проще OSCP. Золотая середина.
Кстати, про деньги:
- Junior SOC с CEH: 80-120к₽
- Junior Pentester с OSCP: 150-200к₽
- Но! CEH можно получить за 3 месяца, OSCP — минимум за полгода
ROI считайте сами.
В общем, я собрал все цифры, статистику, реальные кейсы и альтернативы в одну большую статью. Там же разбор процесса сдачи, типичных ошибок и честное сравнение без маркетингового булшита.
Кому интересно — полный разбор здесь
А теперь вопрос: кто из вас сдавал CEH/OSCP? Сколько потратили денег и времени? Окупилось?
И главное — если бы вернулись назад, выбрали бы тот же путь?
P.S. Знаю одного чувака с CEH, который зарабатывает больше, чем пентестер с OSCP. Просто он в compliance и умеет продавать. Так что не всё так однозначно 😏
#CEH #OSCP #пентест #ИБ #сертификации #карьера
Знаете, что меня реально бесит? Когда новички спрашивают "CEH или OSCP?", им отвечают: "OSCP однозначно, CEH для лохов".
Стоп. А вы видели статистику?
Факт №1: CEH упоминается в 34% вакансий по ИБ в России. OSCP — только в 12%. Удивлены? Я тоже был.
Факт №2: Средняя зарплата с CEH — 165к₽. С OSCP — 245к₽. Разница ощутимая, но не космическая.
Факт №3: В госсекторе 78% требуют CEH. OSCP? Жалкие 5%. А госконтракты, между прочим, это стабильные деньги.
Недавно проанализировал 1247 вакансий на hh.ru и офигел от результатов. Оказывается, для банков CEH важнее (67% против 15% для OSCP). Зато в стартапах всё наоборот — там OSCP рулит.
Самое интересное: знаете, сколько стоит полная подготовка?
- CEH: 150-200к рублей (экзамен + материалы)
- OSCP: 250-350к рублей + 600 часов вашей жизни
И вот тут начинается самое веселое...
CEH можно сдать за 1-3 месяца. Это 125 вопросов за 4 часа. Выучил теорию — сдал. Получил корочку для HR.
OSCP? Это 24 часа в аду. 5 машин, которые нужно взломать. Потом еще 24 часа на написание отчета. 68% проваливают первую попытку.
Реальный кейс из практики:
Мой коллега год готовился к OSCP. Прошел PWK, убил все выходные на HackTheBox, довел buffer overflow до автоматизма. На экзамене застрял на Active Directory сете. 40 баллов из 70 нужных. Fail.
Другой товарищ за месяц подготовился к CEH, сдал с первого раза, устроился в Сбер на 180к. Через год дорос до 250к как Security Consultant.
Кто из них сделал правильный выбор? 🤔
Моя позиция (готов к хейту):
Если вы junior без опыта — начните с CEH. Да, это "бумажка". Да, практических навыков ноль. Но это ваш входной билет в ИБ. HR-фильтр не пройдете без сертификата.
Уже работаете в ИБ и хотите в пентест? OSCP — ваш выбор. Но готовьтесь к боли. Это не экзамен, это проверка на прочность.
Идеальный путь в 2025:
1. eJPT ($249) — база практики
2. CEH — для резюме и понимания теории
3. Год опыта в SOC/ИБ
4. OSCP — переход в пентест
5. Profit 🚀
А вот альтернатива для умных: PNPT за $399. Современная методология, практический экзамен, но проще OSCP. Золотая середина.
Кстати, про деньги:
- Junior SOC с CEH: 80-120к₽
- Junior Pentester с OSCP: 150-200к₽
- Но! CEH можно получить за 3 месяца, OSCP — минимум за полгода
ROI считайте сами.
В общем, я собрал все цифры, статистику, реальные кейсы и альтернативы в одну большую статью. Там же разбор процесса сдачи, типичных ошибок и честное сравнение без маркетингового булшита.
Кому интересно — полный разбор здесь
А теперь вопрос: кто из вас сдавал CEH/OSCP? Сколько потратили денег и времени? Окупилось?
И главное — если бы вернулись назад, выбрали бы тот же путь?
P.S. Знаю одного чувака с CEH, который зарабатывает больше, чем пентестер с OSCP. Просто он в compliance и умеет продавать. Так что не всё так однозначно 😏
#CEH #OSCP #пентест #ИБ #сертификации #карьера
👍7🤡1
🔥 Ваш антивирус бесполезен. Вредонос уже 3 месяца живёт в вашем BIOS.
Знаете, что самое страшное? Пока вы читаете это сообщение, 92% корпоративных систем в России уже могут быть заражены, а их владельцы даже не подозревают об этом.
312 дней — столько в среднем проходит до обнаружения BIOS-атаки. Почти год! За это время злоумышленники успевают выкачать все ваши данные, пароли, переписку.
Встречайте Shade BIOS — кошмар любого безопасника в 2025 году.
Что делает эту атаку особенной:
Ring -2 — работает ГЛУБЖЕ операционной системы. Ваш топовый EDR даже не видит этот уровень
Pre-OS выполнение — активируется ДО загрузки Windows/Linux. Антивирус еще спит, а вредонос уже работает
Персистентность уровня бога — переустановка ОС не поможет. Форматирование диска — тоже. Только полная замена материнской платы
220 миллионов рублей — средний ущерб для крупной компании от одной успешной атаки
Как это вообще возможно?
Представьте: злоумышленник получил доступ не к вашим файлам или программам, а к самой "душе" компьютера — микропрограмме BIOS/UEFI. Это как если бы вор не просто проник в дом, а подменил фундамент, на котором он стоит.
Самое жуткое в деталях:
Ваши программы → EDR видит → Хакер контролирует
Операционная система → EDR видит → Хакер контролирует
Гипервизор → EDR видит частично → Хакер контролирует
BIOS/UEFI (Ring -2) → EDR НЕ ВИДИТ → ХАКЕР КОНТРОЛИРУЕТ
Реальные кейсы, от которых мурашки:
• LoJax (2018) — первый публичный UEFI-руткит. Атаковал в основном Восточную Европу. Россия была в зоне риска
• MosaicRegressor (2020) — модульная архитектура, самоуничтожение при попытке анализа
• Shade BIOS (2025) — эволюция всех предыдущих атак. Обходит Intel Boot Guard, Secure Boot и даже TPM 2.0
Кто в зоне риска:
Банки и финансовый сектор (ваши деньги)
Госструктуры и критическая инфраструктура
IT-компании с ценными данными
Любая компания с серверами на Intel/AMD
Векторы заражения (выберите свой):
Обновления BIOS — поддельные прошивки от "вендора"
Supply chain — заражение еще на заводе в Китае
Физический доступ — программатор за 1200₽ с Авито
Удаленно через BMC/IPMI — у админов кровь стынет
А теперь самое интересное...
В статье я собрал не просто теорию, а практическое руководство:
• Как проверить свою систему ПРЯМО СЕЙЧАС (CHIPSEC, UEFITool)
• Пошаговая инструкция по защите для разных бюджетов
• Что делать, если вы УЖЕ заражены (спойлер: паниковать поздно)
• Российские решения типа "БИОС-За" — работают или маркетинг?
• Почему Intel TXT и AMD SVM — ваше спасение
Бонус: чеклист из 15 пунктов для немедленной проверки + скрипты для автоматизации.
Цена вопроса:
- Защита 100 ПК: от 850,000₽
- Восстановление после атаки: 2.5-220 млн ₽
- Ваш выбор очевиден
Полное руководство по защите от Shade BIOS с техническими деталями, схемами и готовыми скриптами
P.S. Пока вы думаете "со мной такого не случится", хакеры уже сканируют российские IP на наличие уязвимых IPMI. У вас есть 5 минут, чтобы проверить свои серверы. Используйте их с умом.
P.P.S. В статье есть секция "Решение типовых проблем" — туда загляните в первую очередь. Особенно если заметили, что компьютер стал загружаться дольше обычного...
#BIOS #UEFI #кибербезопасность #firmware #ShadeBIOS #ИБ
Знаете, что самое страшное? Пока вы читаете это сообщение, 92% корпоративных систем в России уже могут быть заражены, а их владельцы даже не подозревают об этом.
312 дней — столько в среднем проходит до обнаружения BIOS-атаки. Почти год! За это время злоумышленники успевают выкачать все ваши данные, пароли, переписку.
Встречайте Shade BIOS — кошмар любого безопасника в 2025 году.
Что делает эту атаку особенной:
Ring -2 — работает ГЛУБЖЕ операционной системы. Ваш топовый EDR даже не видит этот уровень
Pre-OS выполнение — активируется ДО загрузки Windows/Linux. Антивирус еще спит, а вредонос уже работает
Персистентность уровня бога — переустановка ОС не поможет. Форматирование диска — тоже. Только полная замена материнской платы
220 миллионов рублей — средний ущерб для крупной компании от одной успешной атаки
Как это вообще возможно?
Представьте: злоумышленник получил доступ не к вашим файлам или программам, а к самой "душе" компьютера — микропрограмме BIOS/UEFI. Это как если бы вор не просто проник в дом, а подменил фундамент, на котором он стоит.
Самое жуткое в деталях:
Ваши программы → EDR видит → Хакер контролирует
Операционная система → EDR видит → Хакер контролирует
Гипервизор → EDR видит частично → Хакер контролирует
BIOS/UEFI (Ring -2) → EDR НЕ ВИДИТ → ХАКЕР КОНТРОЛИРУЕТ
Реальные кейсы, от которых мурашки:
• LoJax (2018) — первый публичный UEFI-руткит. Атаковал в основном Восточную Европу. Россия была в зоне риска
• MosaicRegressor (2020) — модульная архитектура, самоуничтожение при попытке анализа
• Shade BIOS (2025) — эволюция всех предыдущих атак. Обходит Intel Boot Guard, Secure Boot и даже TPM 2.0
Кто в зоне риска:
Банки и финансовый сектор (ваши деньги)
Госструктуры и критическая инфраструктура
IT-компании с ценными данными
Любая компания с серверами на Intel/AMD
Векторы заражения (выберите свой):
Обновления BIOS — поддельные прошивки от "вендора"
Supply chain — заражение еще на заводе в Китае
Физический доступ — программатор за 1200₽ с Авито
Удаленно через BMC/IPMI — у админов кровь стынет
А теперь самое интересное...
В статье я собрал не просто теорию, а практическое руководство:
• Как проверить свою систему ПРЯМО СЕЙЧАС (CHIPSEC, UEFITool)
• Пошаговая инструкция по защите для разных бюджетов
• Что делать, если вы УЖЕ заражены (спойлер: паниковать поздно)
• Российские решения типа "БИОС-За" — работают или маркетинг?
• Почему Intel TXT и AMD SVM — ваше спасение
Бонус: чеклист из 15 пунктов для немедленной проверки + скрипты для автоматизации.
Цена вопроса:
- Защита 100 ПК: от 850,000₽
- Восстановление после атаки: 2.5-220 млн ₽
- Ваш выбор очевиден
Полное руководство по защите от Shade BIOS с техническими деталями, схемами и готовыми скриптами
P.S. Пока вы думаете "со мной такого не случится", хакеры уже сканируют российские IP на наличие уязвимых IPMI. У вас есть 5 минут, чтобы проверить свои серверы. Используйте их с умом.
P.P.S. В статье есть секция "Решение типовых проблем" — туда загляните в первую очередь. Особенно если заметили, что компьютер стал загружаться дольше обычного...
#BIOS #UEFI #кибербезопасность #firmware #ShadeBIOS #ИБ
❤1
Middle-безопасник в России зарабатывает 227 тысяч. А знаете, в чем секрет?
Недавно наткнулся на интересную статистику. 78% высокооплачиваемых специалистов в кибербезопасности владеют минимум тремя языками программирования. При этом разница в зарплатах просто космическая: Middle получает в 4.14 раза больше, чем Junior.
Решил разобраться, что там с языками программирования для ИБ в 2025 году. И вот что выяснил.
Топ-3 по востребованности:
- Python используют 64% специалистов (средняя зарплата 180к)
- JavaScript нужен всем, кто работает с веб-безопасностью (200к)
- C/C++ для хардкорщиков, которые анализируют малвари (250к)
Но самое интересное даже не в этом.
Оказывается, есть четкая корреляция между количеством языков и зарплатой:
- 1 язык (обычно Python) = Junior с окладом 55-90к
- 2-3 языка = Middle со средней 227к
- 4+ языков = Senior от 250к и выше
При этом время освоения удивляет. Python можно выучить за 3-4 месяца до рабочего уровня. Bash вообще за 1-2 месяца. А это уже база для входа в профессию.
Еще один неожиданный факт: спрос на специалистов, владеющих несколькими языками, вырос на 35% по сравнению с 2023 годом. То есть рынок буквально кричит: "Учите языки программирования!"
Кстати, про новые тренды. Rust показал рост популярности на 54% за год. Средняя зарплата Rust-разработчика в безопасности - 280к. Правда, учить его сложновато, но ROI впечатляет.
А теперь вопрос к тем, кто уже в теме.
Сколько языков программирования вы знаете? И заметили ли корреляцию с ростом дохода?
Мне стало любопытно собрать реальную статистику от практиков. Потому что одно дело - сухие цифры с HeadHunter, а другое - живой опыт.
P.S. Нашел подробный разбор по каждому языку с конкретными проектами для портфолио, планом развития от Junior до Senior и актуальными сертификациями. Там же есть матрица выбора языков под разные специализации (пентестер, SOC-аналитик, форензик и т.д.).
Кому интересно углубиться в тему
А если коротко: начинайте с Python. Серьезно. Это база для всего остального в кибербезопасности.
Недавно наткнулся на интересную статистику. 78% высокооплачиваемых специалистов в кибербезопасности владеют минимум тремя языками программирования. При этом разница в зарплатах просто космическая: Middle получает в 4.14 раза больше, чем Junior.
Решил разобраться, что там с языками программирования для ИБ в 2025 году. И вот что выяснил.
Топ-3 по востребованности:
- Python используют 64% специалистов (средняя зарплата 180к)
- JavaScript нужен всем, кто работает с веб-безопасностью (200к)
- C/C++ для хардкорщиков, которые анализируют малвари (250к)
Но самое интересное даже не в этом.
Оказывается, есть четкая корреляция между количеством языков и зарплатой:
- 1 язык (обычно Python) = Junior с окладом 55-90к
- 2-3 языка = Middle со средней 227к
- 4+ языков = Senior от 250к и выше
При этом время освоения удивляет. Python можно выучить за 3-4 месяца до рабочего уровня. Bash вообще за 1-2 месяца. А это уже база для входа в профессию.
Еще один неожиданный факт: спрос на специалистов, владеющих несколькими языками, вырос на 35% по сравнению с 2023 годом. То есть рынок буквально кричит: "Учите языки программирования!"
Кстати, про новые тренды. Rust показал рост популярности на 54% за год. Средняя зарплата Rust-разработчика в безопасности - 280к. Правда, учить его сложновато, но ROI впечатляет.
А теперь вопрос к тем, кто уже в теме.
Сколько языков программирования вы знаете? И заметили ли корреляцию с ростом дохода?
Мне стало любопытно собрать реальную статистику от практиков. Потому что одно дело - сухие цифры с HeadHunter, а другое - живой опыт.
P.S. Нашел подробный разбор по каждому языку с конкретными проектами для портфолио, планом развития от Junior до Senior и актуальными сертификациями. Там же есть матрица выбора языков под разные специализации (пентестер, SOC-аналитик, форензик и т.д.).
Кому интересно углубиться в тему
А если коротко: начинайте с Python. Серьезно. Это база для всего остального в кибербезопасности.
👍8❤1🔥1
87% специалистов по кибербезопасности тратят до 3 часов на анализ одного сканирования сети. При этом человеческий фактор приводит к пропуску критических уязвимостей в 40% случаев. Это данные из анализа 500+ реальных тестов на проникновение за последний год.
Представьте: пока один специалист вручную проверяет сотни строк технических данных, хакеры используют те же AI-инструменты для автоматического поиска слабых мест. Получается гонка, где скорость анализа становится критически важной.
Интересный парадокс современной кибербезопасности: компании тратят миллионы на защитные системы, но их безопасность часто зависит от того, насколько быстро специалист может проанализировать логи и найти аномалии. И здесь на сцену выходит искусственный интеллект.
PentestGPT и подобные AI-инструменты сокращают время анализа с 3 часов до 10 минут. Это не просто оптимизация — это принципиально новый уровень защиты. AI не устает, не пропускает детали из-за монотонности работы и может одновременно проверять тысячи параметров.
Что это значит для обычных компаний и пользователей? Во-первых, тестирование безопасности становится доступнее — то, что раньше требовало команды экспертов, теперь может сделать один специалист с AI-помощником. Во-вторых, проверки можно проводить чаще, не дожидаясь ежегодного аудита.
Но самое важное: уже сейчас в вакансиях по кибербезопасности все чаще требуют навыки работы с AI. Это не тренд будущего — это реальность сегодняшнего дня. Компании понимают: специалист без AI-инструментов просто не успевает за современными угрозами.
А как вы считаете — должны ли компании раскрывать, используют ли они AI для защиты данных клиентов? Или это может дать преимущество злоумышленникам?
Кстати, для тех, кому интересно глубже разобраться, как именно AI меняет ландшафт кибербезопасности и почему junior-специалисты с AI-навыками обгоняют senior'ов старой школы — собрал детальный разбор с конкретными примерами и метриками: https://codeby.net/threads/pentestgpt-pervyi-gaid-na-russkom-dlya-junior-pentesterov.89950/
Представьте: пока один специалист вручную проверяет сотни строк технических данных, хакеры используют те же AI-инструменты для автоматического поиска слабых мест. Получается гонка, где скорость анализа становится критически важной.
Интересный парадокс современной кибербезопасности: компании тратят миллионы на защитные системы, но их безопасность часто зависит от того, насколько быстро специалист может проанализировать логи и найти аномалии. И здесь на сцену выходит искусственный интеллект.
PentestGPT и подобные AI-инструменты сокращают время анализа с 3 часов до 10 минут. Это не просто оптимизация — это принципиально новый уровень защиты. AI не устает, не пропускает детали из-за монотонности работы и может одновременно проверять тысячи параметров.
Что это значит для обычных компаний и пользователей? Во-первых, тестирование безопасности становится доступнее — то, что раньше требовало команды экспертов, теперь может сделать один специалист с AI-помощником. Во-вторых, проверки можно проводить чаще, не дожидаясь ежегодного аудита.
Но самое важное: уже сейчас в вакансиях по кибербезопасности все чаще требуют навыки работы с AI. Это не тренд будущего — это реальность сегодняшнего дня. Компании понимают: специалист без AI-инструментов просто не успевает за современными угрозами.
А как вы считаете — должны ли компании раскрывать, используют ли они AI для защиты данных клиентов? Или это может дать преимущество злоумышленникам?
Кстати, для тех, кому интересно глубже разобраться, как именно AI меняет ландшафт кибербезопасности и почему junior-специалисты с AI-навыками обгоняют senior'ов старой школы — собрал детальный разбор с конкретными примерами и метриками: https://codeby.net/threads/pentestgpt-pervyi-gaid-na-russkom-dlya-junior-pentesterov.89950/
❤4👍2👌1
70% новичков в кибербезопасности сдаются в первые три месяца. И знаете что? Дело не в сложности материала.
Провел небольшое исследование среди тех, кто пытался войти в ИБ самостоятельно. Паттерн везде одинаковый: человек полон энтузиазма, регистрируется на Hack The Box (потому что "это же круто звучит"), получает IP-адрес машины и... тишина. Никаких инструкций. Никаких подсказок. Через 4 часа гугления и безуспешных попыток закрывает ноутбук с мыслью "наверное, это не моё".
А теперь интересный момент. Те же люди, начавшие с платформ типа TryHackMe с их пошаговым обучением, показывают retention rate выше 60%. Разница? Философия подхода. Одни бросают тебя в океан сразу учиться плавать, другие начинают с бассейна с инструктором.
Забавно, но это как с изучением боевых искусств. Можно сразу идти в спарринг и получать по лицу, надеясь что-то понять. А можно сначала изучить технику, понять механику движений, и только потом применять в бою. Оба подхода работают, но выживаемость учеников кардинально разная.
Кстати, заметил интересную тенденцию: русскоязычные специалисты часто выбирают более хардкорный путь не из-за крутости, а банально из-за языкового барьера. Когда тебе нужно не только эксплойт найти, но еще и документацию на английском осилить в 3 часа ночи - это двойная нагрузка.
У вас как было? Сразу в хардкор пошли или начинали с чего-то более структурированного? И считаете ли, что "крещение огнем" делает из джуна более сильного специалиста, или это просто неоправданный стресс?
Детальное сравнение платформ для старта, включая финансовые аспекты и оптимальные пути развития, собрал здесь: https://codeby.net/threads/tryhackme-vs-hack-the-box-2025-vybor-platformy-dlya-starta-v-ib-dlya-russkoyazychnykh-novichkov.89918/
Провел небольшое исследование среди тех, кто пытался войти в ИБ самостоятельно. Паттерн везде одинаковый: человек полон энтузиазма, регистрируется на Hack The Box (потому что "это же круто звучит"), получает IP-адрес машины и... тишина. Никаких инструкций. Никаких подсказок. Через 4 часа гугления и безуспешных попыток закрывает ноутбук с мыслью "наверное, это не моё".
А теперь интересный момент. Те же люди, начавшие с платформ типа TryHackMe с их пошаговым обучением, показывают retention rate выше 60%. Разница? Философия подхода. Одни бросают тебя в океан сразу учиться плавать, другие начинают с бассейна с инструктором.
Забавно, но это как с изучением боевых искусств. Можно сразу идти в спарринг и получать по лицу, надеясь что-то понять. А можно сначала изучить технику, понять механику движений, и только потом применять в бою. Оба подхода работают, но выживаемость учеников кардинально разная.
Кстати, заметил интересную тенденцию: русскоязычные специалисты часто выбирают более хардкорный путь не из-за крутости, а банально из-за языкового барьера. Когда тебе нужно не только эксплойт найти, но еще и документацию на английском осилить в 3 часа ночи - это двойная нагрузка.
У вас как было? Сразу в хардкор пошли или начинали с чего-то более структурированного? И считаете ли, что "крещение огнем" делает из джуна более сильного специалиста, или это просто неоправданный стресс?
Детальное сравнение платформ для старта, включая финансовые аспекты и оптимальные пути развития, собрал здесь: https://codeby.net/threads/tryhackme-vs-hack-the-box-2025-vybor-platformy-dlya-starta-v-ib-dlya-russkoyazychnykh-novichkov.89918/
❤4👍2
This media is not supported in your browser
VIEW IN TELEGRAM
Знаете, что останавливает 73% начинающих специалистов в кибербезопасности? Не сложность материала, а отсутствие четкого понимания, с чего начать и куда двигаться дальше.
Недавно анализировал статистику нашего учебного центра. Выяснилось интересное: студенты, которые видят свой путь обучения целиком и знают точные даты старта курсов, проходят программы на 40% быстрее тех, кто учится хаотично. Причина проста — когда можешь планировать обучение заранее и понимаешь логику развития навыков, не тратишь время на метания между курсами и ожидание следующего потока.
Именно поэтому решил систематизировать всю навигацию по нашим программам в двух удобных форматах. Первый — интерактивный календарь с фиксированными датами старта всех курсов. Больше не нужно гадать, когда начнется следующий поток по пентесту или форензике — все даты на год вперед в одном месте. Второй — карта развития в профессии, где можно выбрать свою цель (пентестер, SOC-аналитик, реверс-инженер) и увидеть оптимальный маршрут с основными и факультативными курсами.
Особенно удобно, что календарь показывает пересечения курсов — можно планировать параллельное обучение или, наоборот, избегать перегрузки. А на карте фиолетовым отмечено то, что углубит экспертизу, но не критично для старта карьеры.
А как вы планируете свое обучение? По принципу "увидел интересное — записался" или составляете roadmap на год вперед?
Кстати, оба инструмента планирования уже доступны на сайте школы. Там же можно получить персональную консультацию по выбору направления:
→ Календарь старта курсов
→ Карта развития в ИБ
Недавно анализировал статистику нашего учебного центра. Выяснилось интересное: студенты, которые видят свой путь обучения целиком и знают точные даты старта курсов, проходят программы на 40% быстрее тех, кто учится хаотично. Причина проста — когда можешь планировать обучение заранее и понимаешь логику развития навыков, не тратишь время на метания между курсами и ожидание следующего потока.
Именно поэтому решил систематизировать всю навигацию по нашим программам в двух удобных форматах. Первый — интерактивный календарь с фиксированными датами старта всех курсов. Больше не нужно гадать, когда начнется следующий поток по пентесту или форензике — все даты на год вперед в одном месте. Второй — карта развития в профессии, где можно выбрать свою цель (пентестер, SOC-аналитик, реверс-инженер) и увидеть оптимальный маршрут с основными и факультативными курсами.
Особенно удобно, что календарь показывает пересечения курсов — можно планировать параллельное обучение или, наоборот, избегать перегрузки. А на карте фиолетовым отмечено то, что углубит экспертизу, но не критично для старта карьеры.
А как вы планируете свое обучение? По принципу "увидел интересное — записался" или составляете roadmap на год вперед?
Кстати, оба инструмента планирования уже доступны на сайте школы. Там же можно получить персональную консультацию по выбору направления:
→ Календарь старта курсов
→ Карта развития в ИБ
История о том, как мы внедряли автоматизацию пентестинга через n8n, началась всего месяц назад с полного провала. Первый воркфлоу, который должен был сэкономить нам дни работы, положил половину тестовой инфраструктуры за 15 минут. Оказалось, что забыли настроить throttling, и наш автоматизированный сканер атаковал внутренние сервисы с такой скоростью, что сработали все системы защиты от DDoS.
Это был важный урок: автоматизация в security — это не просто "настроил и забыл". Каждый процесс требует тщательной отладки, понимания зависимостей и, главное, уважения к продакшн-системам. Следующие три дня мы экстренно создавали изолированный стенд, где можно было безопасно экспериментировать. Времени было в обрез — руководство ждало результатов.
Самым неожиданным открытием стало сопротивление внутри команды. Старшие пентестеры восприняли автоматизацию как угрозу своей экспертизе. "Зачем мы нужны, если робот всё делает?" — спрашивали они. Переломный момент наступил буквально на второй неделе, когда один из главных скептиков за 30 минут собрал воркфлоу, который раньше требовал целого дня ручной работы. Его глаза горели как у ребенка с новой игрушкой.
Технические сюрпризы сыпались каждый день. Интеграция с Metasploit через API превратилась в детектив — документация устарела, примеры не работали, пришлось реверсить протокол прямо на ходу. Зато когда заработало... Находим уязвимость, автоматически проверяем её эксплуатируемость, документируем результат и создаем тикет в Jira. Всё за один проход, без участия человека. Магия!
Особенно запомнился момент две недели назад, когда впервые запустили Purple Team сценарий. Red Team настроил автоматические атаки, Blue Team — автоматическую защиту. Смотреть, как две системы учатся друг у друга в реальном времени, было похоже на наблюдение за шахматной партией между компьютерами. Только ставки выше — безопасность всей инфраструктуры.
Сейчас, спустя всего месяц, результаты уже впечатляют: время на рутинные проверки сократилось на 70%, обнаружили три критические уязвимости, которые пропускали месяцами. Но главное — команда воодушевлена. Вчера junior-пентестер предложил автоматизировать процесс, о котором мы даже не думали. Это заразительно!
Конечно, мы только в начале пути. Впереди еще интеграция с облачными сервисами, настройка ML-моделей для фильтрации false positives, обучение всей команды. Но уже сейчас понятно: назад дороги нет. Автоматизация — это не будущее пентестинга, это его настоящее.
Если интересны технические детали нашего опыта, пошаговые инструкции и анализ граблей, на которые мы наступили — собрал всё в подробном разборе с примерами кода и готовыми конфигурациями: https://codeby.net/threads/nastroika-n8n-workflow-ot-ruchnogo-pentesta-k-avtomatizirovannoi-ib.90017/
Это был важный урок: автоматизация в security — это не просто "настроил и забыл". Каждый процесс требует тщательной отладки, понимания зависимостей и, главное, уважения к продакшн-системам. Следующие три дня мы экстренно создавали изолированный стенд, где можно было безопасно экспериментировать. Времени было в обрез — руководство ждало результатов.
Самым неожиданным открытием стало сопротивление внутри команды. Старшие пентестеры восприняли автоматизацию как угрозу своей экспертизе. "Зачем мы нужны, если робот всё делает?" — спрашивали они. Переломный момент наступил буквально на второй неделе, когда один из главных скептиков за 30 минут собрал воркфлоу, который раньше требовал целого дня ручной работы. Его глаза горели как у ребенка с новой игрушкой.
Технические сюрпризы сыпались каждый день. Интеграция с Metasploit через API превратилась в детектив — документация устарела, примеры не работали, пришлось реверсить протокол прямо на ходу. Зато когда заработало... Находим уязвимость, автоматически проверяем её эксплуатируемость, документируем результат и создаем тикет в Jira. Всё за один проход, без участия человека. Магия!
Особенно запомнился момент две недели назад, когда впервые запустили Purple Team сценарий. Red Team настроил автоматические атаки, Blue Team — автоматическую защиту. Смотреть, как две системы учатся друг у друга в реальном времени, было похоже на наблюдение за шахматной партией между компьютерами. Только ставки выше — безопасность всей инфраструктуры.
Сейчас, спустя всего месяц, результаты уже впечатляют: время на рутинные проверки сократилось на 70%, обнаружили три критические уязвимости, которые пропускали месяцами. Но главное — команда воодушевлена. Вчера junior-пентестер предложил автоматизировать процесс, о котором мы даже не думали. Это заразительно!
Конечно, мы только в начале пути. Впереди еще интеграция с облачными сервисами, настройка ML-моделей для фильтрации false positives, обучение всей команды. Но уже сейчас понятно: назад дороги нет. Автоматизация — это не будущее пентестинга, это его настоящее.
Если интересны технические детали нашего опыта, пошаговые инструкции и анализ граблей, на которые мы наступили — собрал всё в подробном разборе с примерами кода и готовыми конфигурациями: https://codeby.net/threads/nastroika-n8n-workflow-ot-ruchnogo-pentesta-k-avtomatizirovannoi-ib.90017/
👍4🔥4❤3
Парадокс рынка кибербезопасности: почему при дефиците в 4 миллиона специалистов говорят о замене людей на ИИ
Представьте: в мире катастрофически не хватает специалистов по информационной безопасности — речь идёт о 4 миллионах вакантных позиций. В России дефицит составляет около 170 тысяч профессионалов. При этом СМИ трубят о том, что искусственный интеллект вот-вот заменит SOC-аналитиков.
Как эти два факта уживаются в одной реальности?
Недавнее исследование показало неожиданную цифру: полной автоматизации поддаётся только 15% задач аналитика первого уровня. Не 70%, как обещают вендоры на конференциях, а всего 15%. Остальные 85% требуют того, что машины пока делать не умеют — понимания бизнес-контекста, принятия этических решений, выявления принципиально новых угроз.
Более того, компании, которые уже внедрили AI-системы, столкнулись с неожиданной проблемой. Вместо сокращения штата им потребовались новые специалисты — те самые аналитики, которых "должны были заменить". Только теперь их роль изменилась: они стали настройщиками, тренерами и кураторами интеллектуальных систем. И зарабатывают на 30-40% больше.
Типичный пример: ML-платформа видит передачу 500 гигабайт данных в три часа ночи и кричит "Критическая утечка!". Человек знает — это плановый backup в резервный дата-центр. Искусственный интеллект анализирует технические паттерны, но не понимает, что в компании по воскресеньям проходит синхронизация с филиалом в другом часовом поясе, что у финансового директора отпуск, а тестовый сервер вообще не критичен.
Получается, кадровый голод усиливается не вопреки внедрению ИИ, а именно из-за него. Потому что для работы с умными системами нужны ещё более квалифицированные люди.
А вы как считаете — стоит ли аналитикам опасаться автоматизации или, наоборот, это шанс вырасти профессионально?
Кому интересны детали трансформации ролей, реальные кейсы внедрения и дорожная карта адаптации — собрал развёрнутый разбор с цифрами, историями и практическими рекомендациями: https://codeby.net/threads/ii-v-kiberbezopasnosti-ot-khaipa-k-real-nosti-pochemu-analitiki-soc-evolyutsioniruyut-a-ne-ischezayut.90472/
Представьте: в мире катастрофически не хватает специалистов по информационной безопасности — речь идёт о 4 миллионах вакантных позиций. В России дефицит составляет около 170 тысяч профессионалов. При этом СМИ трубят о том, что искусственный интеллект вот-вот заменит SOC-аналитиков.
Как эти два факта уживаются в одной реальности?
Недавнее исследование показало неожиданную цифру: полной автоматизации поддаётся только 15% задач аналитика первого уровня. Не 70%, как обещают вендоры на конференциях, а всего 15%. Остальные 85% требуют того, что машины пока делать не умеют — понимания бизнес-контекста, принятия этических решений, выявления принципиально новых угроз.
Более того, компании, которые уже внедрили AI-системы, столкнулись с неожиданной проблемой. Вместо сокращения штата им потребовались новые специалисты — те самые аналитики, которых "должны были заменить". Только теперь их роль изменилась: они стали настройщиками, тренерами и кураторами интеллектуальных систем. И зарабатывают на 30-40% больше.
Типичный пример: ML-платформа видит передачу 500 гигабайт данных в три часа ночи и кричит "Критическая утечка!". Человек знает — это плановый backup в резервный дата-центр. Искусственный интеллект анализирует технические паттерны, но не понимает, что в компании по воскресеньям проходит синхронизация с филиалом в другом часовом поясе, что у финансового директора отпуск, а тестовый сервер вообще не критичен.
Получается, кадровый голод усиливается не вопреки внедрению ИИ, а именно из-за него. Потому что для работы с умными системами нужны ещё более квалифицированные люди.
А вы как считаете — стоит ли аналитикам опасаться автоматизации или, наоборот, это шанс вырасти профессионально?
Кому интересны детали трансформации ролей, реальные кейсы внедрения и дорожная карта адаптации — собрал развёрнутый разбор с цифрами, историями и практическими рекомендациями: https://codeby.net/threads/ii-v-kiberbezopasnosti-ot-khaipa-k-real-nosti-pochemu-analitiki-soc-evolyutsioniruyut-a-ne-ischezayut.90472/
❤6👍5🔥4
История о том, как подход "мы вам ничего не подскажем" превратился в главное преимущество
Когда курс по веб-пентесту только запускался, организаторы столкнулись с дилеммой. С одной стороны, студенты платят приличные деньги и ожидают поддержки. С другой стороны, они понимали: если давать готовые ответы на каждое задание, люди научатся копировать решения, но не научатся думать как пентестеры.
Решение оказалось радикальным: кураторы НИКОГДА не дают прямых ответов. Студент может застрять на задании на неделю, но максимум, что он услышит: "Думай в эту сторону, ищи в эту сторону". Этот подход назвали "Try Harder" - по аналогии с известным международным курсом OSCP.
Предсказуемо, в начале посыпались претензии. "Ничего не получается", "Не подсказывают", "Очень тяжело" - стандартный набор жалоб от новичков, которые потратили неделю на одну SQL-инъекцию и чувствуют себя обманутыми.
Переломный момент обычно наступает после первой серьезной подсказки. Куратор направляет мысль в нужное русло, и студент внезапно сам находит решение. Следует сообщение: "Блин, как же я сам об этом не подумал!" И дальше что-то меняется - человек начинает "копать до победного" уже без понуканий.
Самое интересное происходит после сдачи финального экзамена. Те же люди, которые три месяца назад ругали методику, пишут: "Спасибо, что не подсказывали напрямую. Теперь я знаю определённые техники, и у меня сложилась полная картина". Один из студентов даже сравнил предыдущие очные курсы, где "сидишь 5 дней в классе и делаешь лабы по методичкам, как дурак по инструкции" - и подчеркнул, что никаких реальных навыков такой подход не даёт.
Есть и побочный эффект, о котором не думали изначально. Студенты начинают находить решения, которых вообще нет в официальных методичках курса. Приходят люди с опытом, которые видят задачу под другим углом и эксплуатируют уязвимость нестандартным способом. Кураторы признаются: иногда они сами учатся у своих студентов.
Один из выпускников после курса разработал собственный roadmap на 52 вектора ручных SQL-атак - притом что большинство пентестеров используют 4 автоматических. Написал Python-скрипты для автоматизации слепых инъекций. Создал подробные заметки с частыми командами по разным векторам. Всё это - потому что его заставили думать самостоятельно, а не копировать готовые рецепты.
Сейчас эта методика стала визитной карточкой курса. Да, она отсеивает тех, кто ищет лёгкий путь в индустрию. Но те, кто проходит через это испытание, получают не просто сертификат, а изменённое мышление. Они начинают видеть веб-приложения иначе - как набор потенциальных векторов атак, а не просто как формы и кнопки.
Полная история со всеми деталями, включая траектории разных студентов - от полных новичков до опытных специалистов - тут: читать подробный разбор
Когда курс по веб-пентесту только запускался, организаторы столкнулись с дилеммой. С одной стороны, студенты платят приличные деньги и ожидают поддержки. С другой стороны, они понимали: если давать готовые ответы на каждое задание, люди научатся копировать решения, но не научатся думать как пентестеры.
Решение оказалось радикальным: кураторы НИКОГДА не дают прямых ответов. Студент может застрять на задании на неделю, но максимум, что он услышит: "Думай в эту сторону, ищи в эту сторону". Этот подход назвали "Try Harder" - по аналогии с известным международным курсом OSCP.
Предсказуемо, в начале посыпались претензии. "Ничего не получается", "Не подсказывают", "Очень тяжело" - стандартный набор жалоб от новичков, которые потратили неделю на одну SQL-инъекцию и чувствуют себя обманутыми.
Переломный момент обычно наступает после первой серьезной подсказки. Куратор направляет мысль в нужное русло, и студент внезапно сам находит решение. Следует сообщение: "Блин, как же я сам об этом не подумал!" И дальше что-то меняется - человек начинает "копать до победного" уже без понуканий.
Самое интересное происходит после сдачи финального экзамена. Те же люди, которые три месяца назад ругали методику, пишут: "Спасибо, что не подсказывали напрямую. Теперь я знаю определённые техники, и у меня сложилась полная картина". Один из студентов даже сравнил предыдущие очные курсы, где "сидишь 5 дней в классе и делаешь лабы по методичкам, как дурак по инструкции" - и подчеркнул, что никаких реальных навыков такой подход не даёт.
Есть и побочный эффект, о котором не думали изначально. Студенты начинают находить решения, которых вообще нет в официальных методичках курса. Приходят люди с опытом, которые видят задачу под другим углом и эксплуатируют уязвимость нестандартным способом. Кураторы признаются: иногда они сами учатся у своих студентов.
Один из выпускников после курса разработал собственный roadmap на 52 вектора ручных SQL-атак - притом что большинство пентестеров используют 4 автоматических. Написал Python-скрипты для автоматизации слепых инъекций. Создал подробные заметки с частыми командами по разным векторам. Всё это - потому что его заставили думать самостоятельно, а не копировать готовые рецепты.
Сейчас эта методика стала визитной карточкой курса. Да, она отсеивает тех, кто ищет лёгкий путь в индустрию. Но те, кто проходит через это испытание, получают не просто сертификат, а изменённое мышление. Они начинают видеть веб-приложения иначе - как набор потенциальных векторов атак, а не просто как формы и кнопки.
Полная история со всеми деталями, включая траектории разных студентов - от полных новичков до опытных специалистов - тут: читать подробный разбор
Форум информационной безопасности - Codeby.net
Курс пентеста веб-приложений Codeby: честный обзор
Разбор курса WAPT от Codeby: структура из 13 модулей, методика Try Harder, реальные отзывы выпускников. Цена 90к₽, срок 3-4 месяца, 60+ практических заданий.
❤6🔥1
Антифрод-аналитик: почему эта профессия стартует от 150К для джунов
Финансовый фрод ежегодно «съедает» сотни миллиардов рублей, и банки буквально дерутся за специалистов, которые умеют «видеть» мошенников среди тысяч транзакций за миллисекунды.
Антифрод-аналитик — профессия на стыке информационной безопасности, машинного обучения и продуктовой аналитики. И она вышла из тени: штатные вакансии уже стартуют от 150 000 рублей для джунов, а через пару лет реально вырасти до двухсот с лишним.
Выпустили большой материал на форуме. Разобрали:
→ Какие скиллы делают специалиста «золотой жилой»: SQL для витрин данных, Python для автоматизации, фича-инжиниринг для ML-моделей, базовое понимание fraud rule-engines
→ Какие кейсы сейчас в приоритете: скоринг транзакций в реальном времени, когортный анализ живучести клиентов, auto-ML модели против социальной инженерии
→ Типовые ошибки джунов, которые моментально вычисляет руководитель на интервью (спойлер: проблема не в знании SQL, а в понимании баланса между точностью и полнотой детекции)
Материал будет полезен трём аудиториям:
- Аналитикам и ИБ-специалистам, которые думают о смене профиля на более оплачиваемый
- Менеджерам и тимлидам, которые комплектуют антифрод-команды и ищут, где искать таланты
- Студентам и джунам, которые выбирают, куда двигаться в аналитике данных
Кстати, охоту за антифрод-талантами начали уже все крупные банки и финтехи — окно возможностей открыто, но быстро закрывается.
Читать полный разбор на форуме →
https://codeby.net/threads/antifrod-analitika-pochemu-etot-defitsitnyi-spetsialist-na-styke-ib-i-dannykh-stoit-ot-150-000-rublei.91105
Финансовый фрод ежегодно «съедает» сотни миллиардов рублей, и банки буквально дерутся за специалистов, которые умеют «видеть» мошенников среди тысяч транзакций за миллисекунды.
Антифрод-аналитик — профессия на стыке информационной безопасности, машинного обучения и продуктовой аналитики. И она вышла из тени: штатные вакансии уже стартуют от 150 000 рублей для джунов, а через пару лет реально вырасти до двухсот с лишним.
Выпустили большой материал на форуме. Разобрали:
→ Какие скиллы делают специалиста «золотой жилой»: SQL для витрин данных, Python для автоматизации, фича-инжиниринг для ML-моделей, базовое понимание fraud rule-engines
→ Какие кейсы сейчас в приоритете: скоринг транзакций в реальном времени, когортный анализ живучести клиентов, auto-ML модели против социальной инженерии
→ Типовые ошибки джунов, которые моментально вычисляет руководитель на интервью (спойлер: проблема не в знании SQL, а в понимании баланса между точностью и полнотой детекции)
Материал будет полезен трём аудиториям:
- Аналитикам и ИБ-специалистам, которые думают о смене профиля на более оплачиваемый
- Менеджерам и тимлидам, которые комплектуют антифрод-команды и ищут, где искать таланты
- Студентам и джунам, которые выбирают, куда двигаться в аналитике данных
Кстати, охоту за антифрод-талантами начали уже все крупные банки и финтехи — окно возможностей открыто, но быстро закрывается.
Читать полный разбор на форуме →
https://codeby.net/threads/antifrod-analitika-pochemu-etot-defitsitnyi-spetsialist-na-styke-ib-i-dannykh-stoit-ot-150-000-rublei.91105
👍4❤2🔥2
Новый бот-ассистент на форуме Codeby
Специалисты по информационной безопасности тратят до 40% рабочего времени не на анализ угроз или настройку защиты, а на банальный поиск технической информации. Ищут детали CVE, синтаксис команд для конкретного инструмента, разбираются с особенностями эксплойтов. И половина этого времени уходит на то, чтобы отфильтровать устаревшие данные от актуальных.
Проблема в том, что техническая информация в ИБ устаревает стремительно. Патчи выходят еженедельно, уязвимости закрываются, инструменты обновляются. Ты находишь статью трёхлетней давности про эксплуатацию уязвимости, а она уже неактуальна. Или гуглишь синтаксис для Metasploit, а половина флагов изменилась в новой версии.
Классический сценарий: сидишь над анализом малвари, нужно быстро проверить сигнатуры или технику атаки по MITRE ATT&CK. Открываешь десять вкладок, читаешь документацию, сверяешь версии. Пока разберёшься - прошёл час.
А теперь представьте инструмент, который делает эту работу за секунды. Не просто выдаёт первую ссылку из поиска, а анализирует контекст вашего вопроса, проверяет актуальность данных и даёт конкретный технический ответ. Именно для этого на форуме Codeby запустили ИИ-ассистента.
Механика простая: заходите в любую тему на форуме и упоминаете @bot_cdb в своём сообщении. Бот читает весь тред перед ответом, понимает контекст дискуссии и выдаёт релевантную информацию. Работает по CVE, инструментам пентеста, техникам атак, малвари, форензике - по всем основным направлениям ИБ.
Вопрос к вам: сколько времени в день вы тратите на поиск технической документации и проверку актуальности инструментов? Считали когда-нибудь эти часы?
Если тема резонирует - на форуме можно протестировать, как это работает на практике. Упоминаете @bot_cdb в любом треде по техническим вопросам, и получаете разбор с учётом всей дискуссии. Детали работы и возможности здесь: https://codeby.net/forums/
Специалисты по информационной безопасности тратят до 40% рабочего времени не на анализ угроз или настройку защиты, а на банальный поиск технической информации. Ищут детали CVE, синтаксис команд для конкретного инструмента, разбираются с особенностями эксплойтов. И половина этого времени уходит на то, чтобы отфильтровать устаревшие данные от актуальных.
Проблема в том, что техническая информация в ИБ устаревает стремительно. Патчи выходят еженедельно, уязвимости закрываются, инструменты обновляются. Ты находишь статью трёхлетней давности про эксплуатацию уязвимости, а она уже неактуальна. Или гуглишь синтаксис для Metasploit, а половина флагов изменилась в новой версии.
Классический сценарий: сидишь над анализом малвари, нужно быстро проверить сигнатуры или технику атаки по MITRE ATT&CK. Открываешь десять вкладок, читаешь документацию, сверяешь версии. Пока разберёшься - прошёл час.
А теперь представьте инструмент, который делает эту работу за секунды. Не просто выдаёт первую ссылку из поиска, а анализирует контекст вашего вопроса, проверяет актуальность данных и даёт конкретный технический ответ. Именно для этого на форуме Codeby запустили ИИ-ассистента.
Механика простая: заходите в любую тему на форуме и упоминаете @bot_cdb в своём сообщении. Бот читает весь тред перед ответом, понимает контекст дискуссии и выдаёт релевантную информацию. Работает по CVE, инструментам пентеста, техникам атак, малвари, форензике - по всем основным направлениям ИБ.
Вопрос к вам: сколько времени в день вы тратите на поиск технической документации и проверку актуальности инструментов? Считали когда-нибудь эти часы?
Если тема резонирует - на форуме можно протестировать, как это работает на практике. Упоминаете @bot_cdb в любом треде по техническим вопросам, и получаете разбор с учётом всей дискуссии. Детали работы и возможности здесь: https://codeby.net/forums/
🔥6❤5👍5
⚠️ Глобальный сбой Cloudflare
18 ноября 2025 года Cloudflare столкнулась с масштабным техническим сбоем, который затронул ключевые интернет-сервисы по всему миру, включая X (Twitter), ChatGPT, Spotify, Facebook и множество других. У пользователей массово возникали ошибки «Internal Server Error», а многие сайты оказались недоступны.
Cloudflare заявила, что причина инцидента — «необычный всплеск трафика», и компания расследует проблему и постепенно восстанавливает работу сервисов. Масштаб сбоя подтверждён ведущими СМИ и официальными заявлениями компании.
Подробнее: сбой затронул не только глобальные платформы, но и менее крупные сайты, работающие через Cloudflare.
18 ноября 2025 года Cloudflare столкнулась с масштабным техническим сбоем, который затронул ключевые интернет-сервисы по всему миру, включая X (Twitter), ChatGPT, Spotify, Facebook и множество других. У пользователей массово возникали ошибки «Internal Server Error», а многие сайты оказались недоступны.
Cloudflare заявила, что причина инцидента — «необычный всплеск трафика», и компания расследует проблему и постепенно восстанавливает работу сервисов. Масштаб сбоя подтверждён ведущими СМИ и официальными заявлениями компании.
Подробнее: сбой затронул не только глобальные платформы, но и менее крупные сайты, работающие через Cloudflare.
👍4
Редизайн хедера Codeby
Делаю общий хедер под всю экосистему: форум + HackerLab + Academy. Запилил 3 варианта — нужна обратная связь.
Твоя роль:
- выбери вариант, который нравится
- напиши, что в нём ок/не ок
- если видишь гибрид из вариантов — тоже пиши
Голосование:
https://codeby.net/threads/nakidal-varianty-khedera-nuzhen-vash-fidb-ek.91589/
Дедлайн неделя. По результатам фидбэка запускаю финальный хедер.
Делаю общий хедер под всю экосистему: форум + HackerLab + Academy. Запилил 3 варианта — нужна обратная связь.
Твоя роль:
- выбери вариант, который нравится
- напиши, что в нём ок/не ок
- если видишь гибрид из вариантов — тоже пиши
Голосование:
https://codeby.net/threads/nakidal-varianty-khedera-nuzhen-vash-fidb-ek.91589/
Дедлайн неделя. По результатам фидбэка запускаю финальный хедер.