Топ Кибербезопасности Батранкова

Кофе, SOC и логи. Эпизод №61, прямой эфир

Через несколько минут начинаем, подключайте ваши безопасные интернет-приёмники с TLS 1.3, музыка уже играет здесь 🗣 https://itradio.su/streaming
и тут 🗣 https://stream.itradio.su

О чём:
Обсуждение лучших новостей инфобеза за неделю с 19 по 25 октября 2026 г.

Ведущие:
Александр Антипов,
Денис Батранков,
Александр Копылов,
Антон Клочков.

Специальный гость:
Антон Бочкарев, экс-редтимер, фанат социальной инженерии, создатель проектов 3side (https://t.me/By3side) и 4sec (https://4security.ru/), пытающийся защищать малый и средний бизнес.

Когда: 25.10.2026 11:00 – ссылка на наш календарь (https://sharing-calendars.mail.ru/?calendar=d516d2bd-c9fd-4ce7-bf3b-8396f9e1b15e)

Задаём свои вопросы в чате подкаста (https://t.me/ITRadiosu_chat) с тегом #csl61

🚩Если у вас есть сайт на WordPress, Битриксе или самописном движке, сегодня вечером ваш сервер могут взломать без всяких паролей.

В PHP вскрыли две критические дыры (оценка критичности 9.2 из 10). Эксплойты уже утекли в сеть, Cloudflare видит первые атаки. Ошибки позволяют удаленно выполнять чужой код на сервере и читать закрытые данные из оперативной памяти.

Главная ловушка: обновлять админку сайта бесполезно. Дыра не в плагинах, а в самом интерпретаторе PHP. Пока хостер не обновит пакеты и не перезапустит демоны, сайт открыт для взлома.

Что делать прямо сейчас:

Если сервер ваш (VPS/VDS): немедленно ставьте свежие апдейты пакетов PHP и жестко перезапускайте php-fpm и nginx/apache. Без перезапуска старый код продолжит висеть в памяти.

Если обычный виртуальный хостинг: копируйте текст ниже и шлите в техподдержку тикетом с высоким приоритетом.

Шаблон для запроса у хостинга:

Здравствуйте! В связи с уязвимостями PHP (CVSS 9.2) уточните: установлена ли на моем тарифе исправленная версия PHP, когда был перезапущен PHP и включен ли WAF?

Кто уже написал своему хостеру? Делитесь в комментариях, что ответили.

#Кибербезопасность #ДляВсех

Если сертификат отозвали или он истек. Что у вас перестанет работать?

Принял участие в съёмке встречи с командой Clearway Integration. Мы разобрали, как в компаниях устроено управление сертификатами, ключами и секретами.

Сертификат не всегда просто заменить. Надо знать, где он используется, какие сервисы от него зависят и найти того кто сделает замену. А если всё держится на опыте сотрудника, который уже уволился?

Поговорили о вполне земных вещах:
🔹 Почему сертификаты заканчиваются "неожиданно", хотя дата всегда известна заранее.
🔹 Как Kubernetes и микросервисы создают свой "теневой PKI".
🔹 Где живут API-ключи, пароли и SSH-ключи бывших сотрудников.
🔹 Как разделить ответственность между ИТ и ИБ, чтобы ключи не оказались ничьими.

Предлагаю простой тест: найдите самый старый забытый секрет в своей инфраструктуре. Кто его создал? Он ещё нужен? Кто может его отозвать?
Нашли интересную историю про забытый секрет? Сам секрет оставьте при себе 🙂
Присылайте до 21.10 сюда: форма (https://forms.yandex.ru/u/6ad0f31149af476a43b7c916/).

▶️ Запись: YouTube (https://www.youtube.com/watch?v=EjbTB67QyMk) | Rutube (https://rutube.ru/video/500ac782ad3708eff8329fd5a79d424e/)

📋 Чек-лист «Инфраструктура доверия: что проверить завтра утром» (https://docs.google.com/document/d/1h90-jL4BTJ0sW08CS-WspwtjexpsgY3r/edit). Clearway Integration собрали по итогам разговора 7 вопросов про сертификаты, ключи, СКЗИ и секреты.

#Сертификаты

В текущей ситуации опасно держать электронные деньги. Утром вы можете проснуться и ваш банк не работает. Снимите необходимую для жизни сумму, которой хватит хотя бы на неделю.

Забавная атака на меня через MAX

Как такие распознавать:
1. Пытались сыграть на эмоции - выдохните после того как прочитали
2. Знали номер квартиры - не ведемся, базы все украдены
3. Прислали вредоносную ссылку под видом ссылки на видео - не кликаем

Что происходит, когда мы поручаем задачу AI-агенту?

Например, посмотрите на этот промпт для агента
Подготовь утреннюю сводку SOC
Одна фраза для нас и целая цепочка действий для программы.

Вот что происходит внутри:
🔹 Приложение собирает контекст: задание, инструкции, доступные инструменты и нужные данные.
🔹 Модель предлагает следующий шаг: например, получить из SIEM инциденты за сутки.
🔹 Программная обвязка проверяет запрос и запускает инструмент. Сама SIEM проверяет права учётной записи, от имени которой пришло обращение.
🔹 Результат возвращается модели. Если инцидент еще идет, а связанная заявка закрыта, модель может предложить дополнительную проверку.
🔹Цикл повторяется, пока данных не хватит или не сработает ограничение по времени и числу действий.
🔹 Агент создает готовый документ.

Здесь легко перепутать три вещи: модель предложила, система разрешила, инструмент выполнил. Это отдельные события.

И ещё одна тонкость. У агента может не быть инструмента "удалить заявку", но быть доступ к браузеру с кнопкой "Удалить". Поэтому права нужно ограничивать и в самой системе заявок.

Я бы начал проверку любого агента с простого вопроса: от чьего имени он действует и что эта учётная запись действительно может сделать?

16 октября, 12:00 МСК мы обсудим кибербезопасности ИИ на встрече с автором книги "Архитектура безопасного ИИ" и CISO телеком-оператора.

Прочитайте подробности, запишитесь и поставьте в календарь здесь:
batrankov.ru/go/aiwebinar

@SafeBDV
#Вебинар #Кибербезопасность #ИИ

Читать статью →

NGFW не обнаружил обращений к ChatGPT. Значит ли это, что в компании нет Shadow AI? Нет.

Сетевой шлюз не видит:
🔹 локальную модель на ноутбуке, ведь внешнего трафика у неё нет;
🔹 ИИ-агента на локальной модели, который ходит только во внутренние системы;
🔹 расширение браузера или IDE, которое обращается к модели через домен разработчика, а не через домен из категории «генеративный ИИ»;
🔹 личный смартфон сотрудника на 4G, поскольку его трафик идет мимо корпоративной сети;
🔹 API-ключ, спрятанный в скрипте или в CI/CD.

Под описание Shadow AI попадают разные ситуации: от сотрудника, который вставил таблицу в чат, до агента с доступом к GitLab, CRM и боевой базе. Одним способом их не выявить и не закрыть.

Если вы как безопасник отвечаете за это, то лучше всего начать с трёх вопросов бизнесу:
🔹 Какие данные для нас действительно критичны?
🔹 Что будет, если они окажутся у поставщика модели? Google, OpenAI, Сбербанка или Deepseek..
🔹 Что дороже: запретить ИИ или разрешить его под контролем, например, с маскированием?

И только потом: бороться за защиту: включать на NGFW категорию генеративного ИИ в режиме наблюдения, проверить расширения браузеров и локальные модели на устройствах, поискать API-ключи в репозиториях и составить реестр сервисов, которыми уже пользуются.

В новой статье разделил Shadow AI на пять уровней и написал, что можно сделать для выявления AI за ближайший квартал.

@safebdv
#CISO #AISecurity #NGFW

Индекс пиццы Пентагона

Вы уже знаете, что перед военными операциями Пентагона аналитики фиксируют аномальное число заказов пиццы в их округе. И взлом базы данных пиццерии в таком месте может повысить национальную безопасность страны, которая под угрозой атаки США. Это еще называют "Индексом пиццы Пентагона". Впервые эту закономерность публично подтвердил владелец Domino's Pizza в Вашингтоне.

Посмотрите официальный сайт PENTAGON PIZZA INDEX

Помимо пиццы, аналитики спецслужб и независимые расследователи следят за другими бытовыми маркерами.

Индекс парковок

Если парковки у Пентагона, ЦРУ или Белого дома забиты в 3 часа ночи в воскресенье, то где-то в мире происходит или готовится что-то серьезное. В эпоху спутников этот уже автоматизировано подсчитывают.

Индекс светящихся окон

С помощью спутниковых снимков или камер ночного видения аналитики смотрят, сколько окон горит в штаб-квартирах министерств. Массово горящие окна Лэнгли (ЦРУ) или Брюсселя (НАТО) — верный признак международной эскалации.

Индекс фитнес-трекеров

Военные и агенты спецслужб часто забывают отключать геолокацию на умных часах во время пробежек. В итоге на публичных картах фитнес-приложений Strava "подсвечиваются" идеальные контуры секретных военных баз США в Африке или Сирии, а по изменению интенсивности пробежек можно понять, когда на базу прибыло подкрепление.

НО. Чиновники могут специально симулировать активность и заказывать сотни пицц или включать свет в пустых кабинетах, чтобы запутать разведку противника.

#OSINT

Семь процентов сотрудников кликнут по фишингу всегда. Сколько их ни учи

Не потому, что не знают про фишинг. Потому что в момент получения письма человек не думает: спешит, напуган или делает десятое дело сразу. Мозг принимает такие решения на автопилоте, и мошенник не спорит с вашим анализом — он просто не даёт ему включиться.

Из этого следует неприятное для отчётности: программа обучения, которая обещает руководству ноль кликов, провалена заранее. Мерить надо другое — сколько людей дошло до ввода пароля, за сколько минут пришло сообщение в службу безопасности и какая доля получателей вообще сообщила.

И не наказывать за клик. Штраф учит не осторожности, а молчанию: в следующий раз сотрудник просто не скажет, и вы узнаете об инциденте позже и от кого-то другого.

Собрал разбор в отдельный раздел:
🔹механика обмана,
🔹шесть частей программы обучения сотрудников и
🔹три способа её испортить.

Читать 🔹 Смотреть YouTube 🔹 Смотреть RuTube

@safebdv
#Кибербезопасность #ДляВсех