Атаки на цепочки поставок не новая угроза, но в последние годы она становится всё более масштабной и сложной.

По данным исследований до 2025 года:
✓ Количество supply-chain-инцидентов выросло на 68% за год.
✓ В 2024 году 90% российских продовольственных компаний столкнулись с атаками через подрядчиков.
✓ Средний ущерб в финсекторе — 3,6 млн ₽ на инцидент.

🔺 Злоумышленники используют доверительные отношения между поставщиками и заказчиками:
→ заражают обновления,
→ подменяют библиотеки,
→ проникают в CI/CD-процессы.

В итоге один компонент может заразить десятки тысяч систем.

Способы атаки. Угроза может быть активна по триггеру, скрыта до релиза или ориентирована на конкретные системы. И это делает её особенно опасной.

Как атакуют:

➡️ Через CI/CD — добавляют вредоносный код на этапе сборки.

➡️ Через зависимости — публикуют модифицированные библиотеки в PyPI, npm, NuGet.

➡️ Через подрядчиков — получают доступ к крупным компаниям, скомпрометировав аккаунты мелких поставщиков.

➡️ Через популярные репозитории.

Что делать. Защититься от атак на цепочки поставок можно, если выстроить непрерывный контроль, автоматизировать процессы и больше не считать «доверие по умолчанию» безопасной моделью.

✅ Проводить инвентаризацию зависимостей — и автоматизировать её.

✅ Изолировать CI/CD, включите DevSecOps-подход и подпись артефактов.

✅ Применять MFA и минимум привилегий для подрядчиков.

✅ Реализовать сегментацию, мониторинг, настроить SIEM/SOC.

✅ Включать поставщиков в планы бизнес-непрерывности.

✅ Строить культуру настороженности — внутри и снаружи.

Как обезопасить цепочку поставок

Зовем на наш вебинар 26 февраля, если вы работаете с артефактами в облаке и хотите обезопасить их хранение и доставку.

✔️ От способа хранения контейнерных образов, пакетов и бинарных файлы зависит скорость разработки, стабильность поставок и безопасность инфраструктуры.

Мы покажем, как выстроить безопасную цепочку поставок артефактов и централизованно управлять ими в продакшн-среде с помощью Cloud Registry, которым можно пользоваться в том числе на платформе SourceCraft.

После вебинара вы сможете:

🫆 понимать базовые сценарии работы с registry и артефактами;

🫆 создавать и настраивать реестры под разные типы артефактов и команды;

🫆 управлять доступами и политиками хранения без лишних ручных операций;

🫆 использовать Cloud Registry в Kubernetes-сценариях с привычным workflow.

Также вы узнаете больше о планируемой миграции с Container Registry на Cloud Registry и ее архитектуре.

⭐️ Cloud Registry в Yandex Cloud — это единое безопасное хранилище артефактов для разработки и развертывания приложений. Сервис вышел в статус General Availability, что гарантирует устойчивость к нагрузкам, возможность работы с большими объемами данных и готовность к продакшн-сценариям.

Вебинар состоится:
26 февраля
12:00 мск

▪️Регистрация →

Команда разработки Cloud Registry, Никита Сатин и Анастасия Полякова, ждут всех, кто знает, как хранение артефактов может превратиться в хаос.

Завтра в 12:00 (мск) они покажут, как с помощью сервиса Cloud Registry сделать жизнь проще, а хранение артефактов более эффективным.

До встречи!

Зарегистрироваться →

Что теперь умеет Yandex Cloud Detection and Response (YCDR) 🦾

Зовем на вебинар, где покажем самые важные обновления в сервисе YCDR.

Разберем:

🫆 какие новые облачные и on-premises источники событий доступны и как расширяется покрытие мониторинга;

🫆 как выстраиваются сценарии детекта для гибридной инфраструктуры с учётом Kubernetes и пользовательской активности;

🫆 какую роль играют расширенные события Audit Trails в расследованиях и анализе инцидентов;

🫆 как алерты обогащаются контекстом из Security Deck и модуля контроля данных (DSPM) для более точной приоритизации;

🫆 каким образом телеметрия из разных источников объединяется в единую картину инцидента;

🫆 за счет чего достигается снижение MTTR при использовании централизованной корреляции событий и готовых сценариев реагирования с участием экспертов Yandex Cloud.

Вебинар будет полезен CISO, руководителям SOC, архитекторам безопасности, SOC-аналитикам (L1–L3), ИБ-специалистам и DevOps-инженерам, которые отвечают за мониторинг, обнаружение и реагирование на инциденты информационной безопасности.

⭐️ Дата: 3 марта
Время: 12:00 мск

Регистрация →

Новые правила тарификации Yandex Security Deck

Со 2 марта модуль контроля конфигураций (CSPM) в Yandex Security Deck переходит на платную модель тарификации.

⭐️ Актуальные цены опубликованы в документации →

Объявляем дату Cloud Security Day. И вы узнаёте ее первыми!

🫧 В этом году ждем вас 16 апреля, онлайн и офлайн.

В этот раз мы выходим за рамки облака:

✔️ Расскажем о защите информации, веб‑приложений, инфраструктуры и учетных данных пользователей в любых средах.

✔️ Поделимся практическими кейсами и реальными сценариями.

✔️ Представим новые технологии и продукты для рынка ИБ.

❕ Регистрируйтесь на сайте, чтобы не пропустить начало →

Приходите, чтобы узнать, как:
▪️ Выстраивать стратегию безопасности для on‑premises и гибридной инфраструктуры и управлять рисками в облаке и за его пределами.

▪️Применять современные подходы и решения для защиты распределенных инфраструктур и адаптироваться к новым типам угроз.

И чтобы получить практические знания, участвовать в разборе кейсов и сценариев внедрения решений безопасности.

Следующий пост — о подробной программе Cloud Security Day. Ее вы тоже узнаете первыми 🖤

Near-realtime-защита внутри облака — как победить лавину ИБ-событий и превратить ее в полезные данные.

Об этом на Хабре рассказывают Владислав Архипов, архитектор команды разработки security‑сервисов в Yandex Cloud, и Юрий Наместников, руководитель Security Operation Center, Yandex Cloud.

🫧 Для команды Yandex Cloud автоматизация ИБ уже давно must have, а не желательная опция, учитывая такие факты:

Аналитик Security Operation Center (SOC) должен знать о происходящем в каждом из более 75 сервисов Yandex Cloud.

Необходимо анализировать потоковые источники данных, а не выгрузки.

Количество типовых событий безопасности, которые обрабатывала наша команда к середине 2025 года — 28 млрд в день.

Рост ИБ-событий за год составил 20%.

В статье делимся нашим опытом:

✔️ Как хронологическое хранилище помогает справляться с растущими потоками данных и что у него под капотом.

✔️ Как мы превращаем разрозненные события в стейт и храним в хронологической базе данных

✔️ В чем отличие нашего запатентованного решения от других на уровне архитектуры.

Читать на Хабре →

👀 Пойдем читать
🦄 В следующий раз рассказывайте подробности прямо здесь