Security Lab

Наверняка должен быть способ сделать секреты контейнеров менее опасными?

Дорогой читатель, я несколько месяцев искал решение этой проблемы и теперь обращаюсь к интернету в поисках идей о том, как сделать секреты контейнеров менее опасными. Особенно в эпоху ежедневных эксплойтов в цепочках поставок и ошибок, связанных с повышением привилегий, это кажется слабым звеном.

Это так странно - иметь хорошо известный каталог, /run/secrets который находится в каждом контейнере и ждет, когда какой-нибудь бездельник войдет и все это прочитает. Я чувствую, что файлы там должны быть прочитаны один раз, а затем каким-то образом недоступны, но я не смог понять, как убедить ядро Linux сделать это с файлами. Это сводит меня с ума!
https://dalmatian.life/2026/04/11/surely-there-must-be-a-way-to-make-container-secrets-less-dangerous/

Принципы безопасности, лежащие в основе подхода 1Password к ИИ (5 минут чтения)

Семь основных принципов безопасности для интеграции ИИ: шифрование секретов, использование детерминированной авторизации вместо вероятностных решений LLM, предотвращение использования необработанных учётных данных в контексте LLM, обеспечение контролируемости, обеспечение прозрачности, реализация принципа минимальных привилегий и баланс безопасности и удобства использования. Агенты ИИ должны следовать строгим правилам доступа, аналогичным правилам людей, предоставляя учётные данные безопасно (например, OAuth), а не через запросы LLM, поддерживая архитектуру с нулевым разглашением. Эти принципы показывают, что традиционное изолированное управление привилегированным доступом неадекватно для эпохи ИИ, которая потребует унифицированных фреймворков для взаимодействия как человека, так и ИИ. https://blog.1password.com/security-principles-guiding-1passwords-approach-to-ai

Исследователи описывают цепочку эксплойтов, отравленных Windows EPM, которая приводит к повышению привилегий домена (1 минута чтения)

Исследователи безопасности обнаружили цепочку эксплойтов в системе управления привилегиями конечных точек Windows (EPM), которая позволяет злоумышленникам повышать привилегии до уровня администратора домена. Эта атака использует политики EPM для обхода средств безопасности и повышения привилегий. Организациям, использующим Windows EPM, следует пересмотреть свои настройки и обновить меры безопасности. https://thehackernews.com/2025/08/researchers-detail-windows-epm.html

Как работает SSH | Ключи, шифрование и реальные примеры

https://www.youtube.com/watch?v=s-vhqtyUF4I

Firecrawl (репозиторий GitHub)
Firecrawl — это API-сервис, который принимает URL-адрес, сканирует его и преобразует в чистый Markdown или структурированные данные, которые затем могут быть обработаны LLM или другим инструментом.

https://github.com/mendableai/firecrawl

Создание дорожной карты безопасности облака: инструменты по уровням и когда они вам нужны (часть 1)
Понимание ключевых инструментов безопасности на каждом уровне облака и того, что наиболее важно для зрелости вашей организации
https://groundedcloudsecurity.substack.com/p/building-a-cloud-security-roadmap

Prophet AI (запуск продукта)
Prophet AI for Security Operations фильтрует входящие оповещения и для каждого из них собирает, сопоставляет и анализирует данные из нескольких источников, чтобы предоставить решение и подробный отчет о расследовании. https://www.prophetsecurity.ai/


SockTail (репозиторий GitHub)
SockTail — это легкий двоичный файл, который подключает устройство к сети Tailscale и предоставляет локальный прокси-сервер SOCKS5.
https://github.com/Yeeb1/SockTail

Топ-10 OWASP для LLM
Поскольку большие языковые модели (LLM) меняют подход к разработке программного обеспечения, они также создают новые проблемы безопасности. В этом докладе представлен рейтинг OWASP Top 10 для LLM , подробно остановившись на ключевых уязвимостях и поделившись практическими стратегиями обеспечения безопасности разработки с использованием ИИ в реальных условиях.

https://go.snyk.io/owasp-top-10-llm.html

Как я случайно поучаствовал в Bug Hunting Яндекса и взломал почти все умные колонки и ТВ

https://habr.com/ru/articles/910308/

Для защиты своего сервера я использую zip-бомбы

https://habr.com/ru/articles/905776/

Бесплатные ресурсы для изучения PenTesting в 2025 году

https://infosecwriteups.com/free-resources-to-learn-pentesting-in-2025-ebeba2a5960d

Они взломали пылесос, принтер и даже зубную щетку: пять реальных кейсов

Ваш дом полон шпионов, и это не сценарий бондианы. Когда мы покупаем умный робот-пылесос или принтер с Wi-Fi, мы думаем о комфорте. Но что если ночью, пока вы спите, эти IoT-устройства начинают работать против вас? Стиральная машина майнит криптовалюту, принтер тайно перегружает сеть, а пылесос картографирует квартиру и передает планы незнакомцам. Звучит как сюжет дешевого сериала, но это реальные кейсы, с которыми столкнулись пользователи по всему миру.

Как хакеры превращают обычную технику в цифровых шпионов? И почему даже ваш умный чайник может стать звеном в цепи глобальной кибератаки? Добро пожаловать в эру бытового хакинга, где каждая розетка — потенциальная ловушка. https://habr.com/ru/companies/selectel/articles/896430/

Как Apple Pay безопасно обрабатывает 41 миллион транзакций в день 💸

https://newsletter.systemdesign.one/p/how-does-apple-pay-work

Справочник по криптографии: изучение RSA PKCSv1.5, OAEP и PSS

https://www.freecodecamp.org/news/the-cryptography-handbook-rsa-algorithm

Вам бы сервер проведать

Для начинающего админа (или программиста, пошагово повторяющего по гайду известного ютубера покупку VPS на известном провайдере таких услуг) настройка Linux‑сервера может показаться чёрным колдунством или тарабарщиной в чистом виде. «Работает же.... как‑то...». А всё совсем не так просто как бы того хотелось....

В недавнем исследовании «Tunneling into the Unknown» отмечено, что из 4 000 протестированных туннелей 3 211 (80,3%) предоставляют доступ по SSH на стандартном порту 22, причём с возможностью входа под root и без элементарных ограничений.

https://habr.com/ru/articles/895718/

Как найти IDOR как профессионал

https://medium.com/@bxrowski0x/how-to-find-idors-like-a-pro-158cf23baf23

Расшифровка зашифрованных файлов программы-вымогателя Akira (Linux/ESXi 2024) с использованием набора GPU

https://habr.com/ru/articles/891258/

Секреты Kubernetes: создание, управление и защита секретов k8s

https://www.strongdm.com/blog/kubernetes-secrets

Как эффективно контролировать Nginx и предотвращать простои

https://last9.io/blog/monitor-nginx

#вакансия #job #vacancy #remote #parttime #руководитель #educator #databases #security

Компания: OTUS – EdTech платформа.

Вакансия: Руководитель онлайн-курса «Безопасность баз данных».

Вакансия предполагает дополнительную частичную занятость. Требуется практический опыт по тематике курса. Можно без опыта преподавания. Мы с удовольствием поможем Вам освоить Best Practices преподавания: для этого у нас есть вводный курс по преподаванию и пробные уроки с методистом.

Руководитель - это эксперт, который играет ключевую роль на курсе - разрабатывает программу курса, ведёт часть занятий, работает в команде с преподавателями, методистом и продюсером курса.

Условия:
✅ удаленное сотрудничество, занятость part-time.
✅ темы по программе курса и комфортную нагрузку можно выбирать.
✅ ставка за проведение одного занятия (полтора часа) от 3000 до 5000 руб., плюс отдельно оплачивается разработка программы, разработка материалов к занятиям, проведение открытых уроков и другие активности.
✅ уроки проводятся в онлайн формате на mts-link ru.
✅ на занятиях используется презентация с теорией и практические примеры, чтобы раскрыть тему урока.
✅ наши методисты помогают освоить лучшие инструменты и практики преподавания.

Еще Вы сможете:
✅ внести свой вклад в развитие IT.
✅ структурировать свой опыт и знания.
✅ развивать личный бренд.
✅ прокачать софт-скиллы.

Бонусы:
✅ наши курсы со скидкой/бесплатно.
✅ воркшопы и конференции для наших руководителей и преподавателей.

Подробнее в telegram: @ElenaAlias