Beched's thoughts

СМЕРТЕЛЬНЫЙ НОМЕР: МОЖНО ЛИ НАВАЙБКОДИТЬ КЛАССНЫЙ АПП ЗА СУТКИ?

Мы с Ильей Красильщиком в эту субботу проведем 9-часовой стрим, где попытаемся придумать, навайбкодить и запустить мобильное приложение подкастов студии Либо/Либо за один день.

Помогут нам в этом крутой технический директор Егор Хмелев и эксперт по безопасности Омар Ганиев. А ещё на стрим заскочат Лика Кремер и Андрей Борзенко — они заказчики всего этого безобразия.

Хочется не просто плеер для подкастов, каких миллион, а что-то про сообщество, и у нас есть пара интересных идей. Мы не знаем, получится ли сделать приложение за день, но кажется, что попробовать уже можно.

В общем, будет весело! Подключайтесь с 11 утра до 8 вечера по Москве. Если шарите в вайбкодинге — подключайтесь тем более, будем учиться друг у друга.

Ставьте колокольчик на ютубе, чтобы не пропустить!

И ещё кефир 👇

📣 Этичный хакер из мирового топа и ex-CTO Яндекса — 2 эфира, которые ты точно не захочешь пропустить

На этой неделе мы планируем два эфира, и каких! Невероятно интересные гости вас (нас) ждут!

📆 Вторник, 21 апреля • 11:00 МСК
Просто искать работу сложно: пентестерам с Омаром Ганиевым

👋 Омар Ганиев — этичный хакер с 15+ годами опыта. Основатель DeteAct (пентест и анализ защищённости) и сооснователь Decurity (безопасность DeFi и смарт-контрактов), участник CTF-команды LC↯BC (мировой топ). Топ-5 пентест-команд мира по Hack The Box, топ-50 багхантеров HackerOne.

О чём поговорим:

• Как ИИ меняет профессию пентестера — от разведки и поиска уязвимостей до Red Teaming

• Правда ли, что джуниор-пентестер в 2026 году — уже вымирающий вид

• Какие навыки и направления в кибербезопасности останутся за людьми, а какие заберут AI-агенты

📆 Пятница, 24 апреля • 10:00 МСК
Просто искать работу сложно: CTO с Григорием Бакуновым (bobuk)

👋 Григорий Бакунов (bobuk) — Group CTO с 20+ годами в tech-лидерстве. Ex-директор по распространению технологий Яндекса — запустил SpeechKit и голосовые технологии компании. Сооснователь подкаста «Радио-Т».

О чём поговорим:

• Как ИИ трансформирует роль CTO — от технической стратегии до управления командами, которые пишут код вместе с AI

• Какими теперь будут команды разработки по размеру и функционалу

• Новые роли в разработке: от Chief AI Officer до Product Engineer

• Как вообще успевать за AI

👉 Регистрация на эфиры

Если ты в РФ и страница не открывается — попробуй по этой ссылке

Yi Wu Wan

Когда меняешь страны с разными валютами, часто переключаешься из одной системы отсчёта в другую.
Делая это, только недавно осознал, что поддаюсь примитивному когнитивному искажению: разница между 1 и 5 выглядит не такой большой, как разница между 10 и 50, хотя речь может идти об одних и тех же значениях в разных системах отсчёта.

Например, мне кажется, что 5-10 млрд. руб. не сильно далеко от 1 млрд. В контексте бизнеса кажется, что дойдя до выручки в единицу, легко дойти и до 5.
При этом разница между 10 и 50 млн. долларов/евро/фунтов уже кажется гораздо более существенной и трудно преодолимой.

А у китайцев вот есть единица wan (万), означающая 10 тысяч.
Сравните: рост с 10k до 50k vs рост с 1万 до 5万.

Интересно, можно ли это когнитивное искажение использовать во благо?
Ну, понятно, что это можно использовать для манипуляций в продажах (0.5л или 500 мл?) или питчдеках. Но ещё можно манипулировать самим собой и своими планами.
Можно вооружить слабоумие и отвагу, чтобы ставить дерзкие планы в той системе отсчёта, где задача кажется более простой.
При этом надо отделять верхнеуровневую постановку целей и мечтание от практики.
При реальном финансовом планировании лучше, конечно, иметь более детальную шкалу.

А ещё интересно, насколько деноминация валют и национально-лингвистические различия в обозначении чисел влияет на экономику через психологию восприятия этих чисел.

А вы попадаетесь на такую ошибку?

Чтоб вы понимали степень абсурда этой индустрии и понимали, насколько там более дикий запад, нежели в традиционном web2 cyber security: 1 апреля некий проект Hyperbridge написал твит о том, что проект похакан.

Оказалось, что это у них такая шутка 🤡
Причём в тот же день из другого протокола Drift реально украли $285M, и им пришлось особенно подчёркивать, что это НЕ первоапрельская шутка 😂

Многих возмутил такой юмор, а фаундер Hyperbridge стал высокомерно писать, что протокол невозможно взломать, а если сомневаетесь, ну давайте хакните)00
Он ещё писал, что аудиты скам, а ещё хвастался, какие они в команде крутые ресёрчеры по ZK и всякому матану.

Штош... Сегодня, спустя 12 дней после шутки, их таки хакнули через баг в ZK-имплементации, заминтив астрономическое кол-во бриджанутых токенов DOT (да, полька).
Атаку быстро скопировали многие другие, и пошёл вал скопированных эксплойтов.

На удивление экономический эффект получился ограниченный, автор атаки украл всего несколько сот тыщ.
Кажется, потому что атакующие недостаточно грамотно распорядились токенами, но я сильно не разбирался.

[Web3 UPD]

Рынок web3 сейчас в кризисе, много DeFi-проектов закрылось, нарративов прям новых нет, всё те же prediction markets и perps.
Когда нет новых нарративов, нет новых проектов. Нет новых проектов — нечего аудировать.

Это помножается на хайп вокруг ИИ-аудиторов, которые уже очень хорошо умеют искать уязвимости.
Но у нас в Decurity интересное.

За последние 1.5-2 месяца мы сделали 2 интересные вещи, далее о них по порядку.

1) Whitehat Rescue
2 месяца назад вечером я уже собирался ложиться спать, как увидел в нашем канале алерт о хаке на $100k. Такое происходит каждый день, ничего особенного.
Но следом я вижу комментарий нашего CTO Арсения о том, что жертва — протокол CrossCurve.
Ещё через пару минут наш AI-агент подтверждает, что это хак, и описывает примерную механику.

Тут я уже в некотором ахере, поскольку у нас с этими ребятами есть чат, в котором мы как раз за неделю до этого обсуждали возможное сотрудничество по аудитам.
Срочно пишу в чат, тегаю фаундера проекта, поначалу он не совсем понимает масштаб и говорит, что завтра будут разбираться. Но мы смотрим баланс хакнутого контракта на Debank и видим, что там лежит ещё $3M в других токенах, которые ещё не вывели.

В течение следующих 30-60 минут фаундер протокола пытался разбудить своего CTO, чтобы стопнуть протокол, а деньги тем временем утекали и были почти полностью похищены на наших глазах.

Глядя на это, мы задумались, что вообще-то наш агент, вооружённый Defimon, мог не только верифицировать алерт, но и реплицировать атаку, чтобы спасти оставшиеся в протоколе средства до того, как их похитят злоумышленники.
Было обидно, что мы этого не сделали в тот раз, и не смогли помочь ребятам.
Но сказано — сделано. Вскоре у нас заработал AI-бот, спасающий средства.

В первую же неделю мы вмешались в 3 хака: сначала спасли пару тыщ баксов, потом около $20k, а затем — более $1.8M!
С тех пор мы в автономном режиме спасли деньги более 10 жертв. Например, на днях спасли $512k какой-то трейдинг-фирмы, стратегия которой ошибочно выдала approval'ы на неправильный адрес. Всего в апреле спасли уже почти $700k.

Все эти операции мы делаем безоговорочно без каких-либо требований с нашей стороны, некоторым пострадавшим проектам мы отправили средства вообще без какой-либо коммуникации с ними, многие жертвы полностью анонимны.
Однако, некоторые проекты всё же по своей инициативе благодарят нас и выплачивают bounty.

2) Web2.5 Pwn
Второй наш недавний вклад в безопасность наших с вами денег — это исследование безопасности механизмов депонирования средств в различные CEX, платёжные системы и прочие кастодиальные продукты с приёмом платежей в крипте.

Мы давно в этой теме, и у нас уже в запасе был ряд малоизвестных или уникальных векторов атак, которые мы нарыли в ходе аудитов.
Но теперь мы прицельно занялись этим направлением и нашли множество различных способов поломать приём крипто-платежей на разных блокчейнах.
В результате мы отправили более 100 отчётов в различные проекты и программы bug bounty.

Мы нашли способы поломать самый главный механизм во всем известных проектах: tier-1 биржах, финтех-стартапах, custody-сервисах.
Потенциальный ущерб от таких атак, если бы до них до нас догадались блекхеты, — буквально миллиарды USD.

Правда, сами проекты не до конца это осознают или не хотят признавать =)
Так что награды команда получила пока скромные, будем стараться донести до всех, что это непаханное поле, и надо всерьёз заняться аудитами web2.5-систем, пока этим не занялись нехорошие ребята.

Кстати, и в этом деле не обошлось без AI: сами идеи векторов атак придумывала команда, но конкретные способы реализации в разных чейнах помогали искать ИИ-агенты, эксплойты писали тоже они, как и отчёты для BB, конечно же.

Русский кибербез на глобальном рынке

У людей, выросших в России/СНГ, очень мало успехов на глобальном cybersecurity-рынке.
Да даже в принципе очень успешных IT-компаний они создают не очень много, не натурализовавшись полноценно в другой стране.
Есть примеры россиян (РСФСРян), которые уехали ещё в детстве, а потом создали очень крупные компании. Это, например, Брин, Суцкевер, Бутерин.
Хватает и украинцев и белорусов — Левчин, Кум, Блаватник.

Кто есть из таких в кибербезе? Навскидку — в первую очередь вспоминается, конечно, урождённый москвич Дмитрий Альперович (фаундер Crowdstrike).
А ещё можно найти много фаундеров с русскими корнями, которые родились уже Израиле, учитывая, что это кузница cybersecurity-стартапов, и при этом там больше 15% населения — русские.
Например, натыкался на стартап Cider Security (фаундер — Даниэль Кривелевич), купленный полупальто за 200 млн, или юникорн Armis (фаундер — Евгений Дибров) с капой больше 4 млрд.

Если же посмотреть на более поздних эмигрантов, есть Ратмир Тимашев и Андрей Баронов с компанией Veeam, проданной за 5 лярдов. Есть Сергей Белоусов с Acronis, от которой никак не дождутся IPO.
Что примечательно, и у тех, и у других ключевой продукт — про бекапы, я бы сказал, что это на стыке IT и безопасности. При этом у них к тому же на момент создания Veeam/Acronis уже был опыт крупного бизнеса и экзитов, а Белоусов ещё в 90-е получил гражданство Сингапура.

Напоследок остаются самые релевантные примеры для большинства людей из России, у которых нет другого паспорта или крупного бизнеса за плечами, — это Wallarm (фаундер Иван Новиков) и Kaspersky Lab (фаундер в представлении не нуждается).

Касперы — уникальная компания. Продукт, созданный чекистом практически в СССР, довольно успешно продаётся по всему миру и до сих пор продаётся с Северной Америке и Европе по крайней мере на десятки млн, это в условиях целенаправленных санкций и изгнания.
Повторить этот опыт, конечно, уже невозможно, эпоха становления интернета уже прошла, как и время лояльного отношения к русским вендорам. И даже самим Касперам повторить опыт по сути не удалось, продаются у них только старые продукты, компания находится в стагнации последние 10-15 лет.

Wallarm — первый и единственный(?) стартап, созданный в России и относительно успешно экспортированный в США, прошедший YCombinator в 2016. Из России ушли только в 2022. Основной фаундер — офигенно талантливый хакер и исследователь.
Несколько лет мне казалось, что компания в упадке, не сумев набрать социальный капитал в США (несмотря на YC и переезд фаундеров) и не выдержав конкуренции с израильскими и американскими вендорами (в первую очередь Imperva).
Но этим летом Ваня поднял новый раунд на 55 млн., очень круто, и надеюсь, что им удастся дойти до серьёзного экзита.

Какие выводы?
Та какие выводы. В ИБ много параноиков, и вообще крайне важен вопрос доверия, из-за чего рынок достаточно фрагментирован.
Люди любят местечковых вендоров, покупают у тех, с кем дружат.

Таким образом, даже без дополнительного контекста b2b-продажи в cybersecurity — это задача сложнее, чем во многих других нишах.
А если у тебя красный паспорт, и ты делаешь сайберсек-стартап, то ты вообще по умолчанию шпион.
Приходится учитывать это, принимая решение о запуске продукта на американском рынке (или какой-то ещё неродной для вас географии).
Легко попасть в ситуацию, когда ты вроде бы делаешь продукт на глобальном рынке, но в итоге и инвесторы и клиенты у тебя русские.
Такой вот b2b Брайтон Бич.

Редтим в стиле Pwn2Own

Новый блогпост — про то, как иногда на проектах могут пригодиться навыки бинарной эксплуатации.

Расскажите, приходилось ли вам писать сплойты под бинарные баги на проектах по пентесту?

Читать 👉 https://blog.deteact.ru/red-teaming-pentest-pwn2own/

Почти 4 года в туду висело накатать этот блогпост, а столько ещё всего осталось висеть!

🎙 Гость этого выпуска — Омар Ганиев: специалист по кибербезопасности, чемпион в CTF, предприниматель и человек, который умеет смотреть на технологии под разными углами.

Мы поговорили о его пути в секьюрити. Обсудили, что он думает о будущем AI в безопасности, а так же о пользе CTF для настоящих хакеров.

Об этом и о многом другом — в нашем выпуске с @beched. Спасибо, Омар, за откровенность и вдохновляющий разговор!

📝 P.S. Нам очень важна ваша обратная связь!
Оставляйте комментарии и реакции под выпуском — это помогает нам продолжать делать интересные подкасты и приглашать ещё больше крутых гостей 🙌

Как PAM модуль создает дополнительный вектор для подключения к БД?

В новой статье рассказываем, как нюанс в интеграции систем, позволил получить доступ к основной продуктовой базе данных.
Читайте детали необычной реализации бизнес-риска:

https://blog.deteact.ru/kak-pam-modul-pozvolil-poluchit-dostup-k-bd/

Как несколько low-impact недостатков может привести к атаке с высоким уровнем риска?

Читайте в нашем блогпосте, где логические уязвимости и атаки на client-side, достойные CTF-таска за 300, мастерски скомбинированы для захвата аккаунта:

https://blog.deteact.ru/open-redirect-to-account-takeover/

P.S. Обещаем теперь чаще и системнее делиться опытом с наших проектов по тестированию на проникновение и анализу защищённости!

DPRK

От локального ИБ-болотца к крипто-ИБ-болотцу: как вы думаете, что является одним из основных драйверов рынка безопасности блокчейн-проектов?

===

Год назад, в феврале 2024 г., в сообществе энтузиастов блокчейн-безопасности завёлся новый персонаж, некий Nick L. Franklin. Несмотря на нарочито американское имя, Ник не очень-то хорошо выражался по-английски, использовал британскую орфографию, пропускал артикли.

Франклин занимался разбором хаков, происходящих в блокчейне, вёл твиттер и блог, активно контактировал с известными в индустрии людьми. Практически сразу он в довольно навязчивой форме написал и нам в Decurity сначала в Твиттер, а потом и в Телеграм.

Мы кратко обсудили возможное трудоустройство, и он даже обещал предоставить детали о своей личности, но общался он странно, мы поиронизировали и забили.
В течение всего года он набирал аудиторию и обрастал связями, регулярно вёл блоги и писал разборы хаков. В последний раз мы списывались по поводу одного хака, разбор которого мы сами готовили и просили его не выкладывать детали слишком рано.

И тут, спустя больше чем год, Ник Франклин пишет фаундеру проекта 1inch Антону Букову и просит посмотреть на статью, вот только "статью" он скидывает в виде .app-файла.
Антон поднял шум, и выяснилось, что в файле был троян, Франклин сначала отмазывается, а потом удаляет все аккаунты.

Внезапно люди осознают, что всё это время всё сообщество общалось не с Ником Франклином, а с людьми из северокорейских спецслужб, и задним числом это было совершенно очевидно.
Тут же обнаруживается даже прямая связь между "Франклином" и взломом Radiant на $53 млн. в октябре 2024 г.

===

Итак, конечно же главным драйвером крипто-ИБ является солнцеликий Ким Чен Ын и его Lazarus Group!

Что только не делают его подданные: ломают DeFi-протоколы через уязвимости смарт-контрактов, устраивают атаки на цепочки поставок и бекдорят инфраструктуру для дальнейших хищений, выманивают разработчиков крупных компаний на собеседования и подсовывают им бекдоры, сами устраиваются на работу в компании и т. д.

Недавно произошёл самый крупный хак за всю историю — северокорейцы поломали тачку разработчика из проекта Safe и подменили фронтенд мультисиг-кошелька Safe App для всех клиентов, но при этом их бекдор таргетировал всего лишь одного клиента — биржу Bybit. Украли $1.4 млрд. и уже практически целиком отмиксовали и отмыли.

В отмыве северокорейцы чемпионы. Индивидуальные хакеры не могут сравниться с ними в решительности и отточенности действий.
Для корейцев буквально действует мем: "что ты мне сделаешь, я в другом городе".

===

1) Регулярно происходят холивары на тему атрибуции, многие подозревают, что большинство хаков атрибутируют DPRK/Lazarus, просто потому что это легко, и корейцы стали просто козлами отпущения.
Тем не менее, похоже, что атрибуция верна, и сейчас у исследователей есть достаточное количество IoC, достоверно указывающих именно на корейские группировки.

2) Это лишний повод вспомнить, что модель нарушителя и угроз — это легко, но это не просто формальность.
В вашей модели угроз должны быть и хактивисты, которым денег не надо, и тихие иностранные разведки, и собственное государство, и корейцы, которые вас обокрадут, и вы ничего не поделаете, хоть и будете точно знать, что это они.

3) Для редтимеров это всё тоже интересные кейсы — какие техники и тактики можно позаимствовать нам, как пентестерам?
В арсенале лазарус не так много уникальных инструментов, и для них не столь важна бесшумность и анонимность, но социальная инженерия у них работает отлично.
Мы давно пробуем тренировать заказчиков противостоять таким угрозам, направленным именно на разработчиков, а не только проводить стандартные фишинговые рассылки.
Похоже, что стоит это делать активнее.

ИБ-базар

Ну что, отчётность почти в РФ все сдали, видно, что на российской ИБ-полянке произошло за год.
Пишут, что весь рынок недоперформил миллиардов на 20-30, оценивается в 300 млрд (вроде бы в деньгах поставщиков, ещё 20-30 млрд. как раз в деньгах заказчиков ушли на дистрибуторов).

Причём Позитивы недоперформили свои прогнозы собственно на ту же сумму 20-30 млрд. руб.!
Кажется, что это создало интересные возможности для мелких вендоров:
1) В экономике ситуация не очень, крупные заказчики режут расходы, ищут более гибких подрядчиков и вендоров.
2) ПТ, будучи публичной компанией, наобещали слишком много. Я вообще не понимал, как они физически предполагают рост с 8% до 14-15% всего рынка ИБ в стране, это же означает необходимость отжима долей рынка у других ребят, которые совсем не собираются с этими долями расставаться, особенно когда речь идёт об экосистемных компаниях, являющихся частью холдинга (Солар, Бизон, ГИС, ИКС и т. д.).
3) В крупных компаниях не только экономический, но и инновационный кризис: принципиально новые продукты они не придумывают, смежные продукты делают слишком долго и неэффективно, кормовая база в виде давно взлетевшего продукта по сути продолжает их кормить.
В таких условиях основным источником роста является повышение цен и фикция в виде отгрузки пожизненных лицензий или отгрузки лицензий на несколько лет или вообще просто в канал.

Что в итоге? Недобранные грандами миллиарды не только испаряются, но и проливаются на рынок каплями, которые для стартапов означают многократный рост.
Среди знакомых мне молодых предпринимателей в ИБ-сообществе в последние пару лет идёт рост хоккейной клюшкой. Это не 1-2 примера, а прямо паттерн среди дюжины стартапов.
Искренне рад и уважаю их за выдержку, многие ребята много лет разрабатывали продукты, собирая крохи и обивая пороги заказчиков, а теперь разбогатели.

В абсолютном выражении это, конечно, не такие большие деньги, что такое потерянный контракт в 100 млн. для ПТ или Солара? Да ничего. А для стартапа это х2-3 выручки и выход на новую орбиту.

В общем, тем, кто много и хорошо работал над своими продуктами, повезло.
Готовьтесь к везению, и вам повезёт =)

На этом фоне становится совершенно непонятным, чему учиться людям, которые начинают выбор или смену профессии.
Есть ли смысл учиться программированию? Уровень джуна уже никому на фиг не нужен.
А пока человек от джуна дорастёт до миддла, агентские системы прокачаются так, что и миддлы уже будут никому не нужны.

Какую стратегию принять?
Что делать новичкам, что делать старичкам? Как быть на волне прогресса, а не за его бортом?

Walking Dead

В 2020 задавался вопросом о том, что же будет такое новое через 10 лет, что сильно поменяет технологии, и что изучать, чтобы быть релевантными и крутыми к тому времени. Но новое возникло через уже 2 года после этого, и для большинства это чёрный лебедь, как и для меня.

Впрочем, для меня и лет 15 назад было очевидным, что людей полностью можно будет заменить ИИ.
Думал я так, потому что принял тезис Чёрча-Тьюринга, который говорит о том, что любое конечное вычисление, которое только можно придумать, реализуемо при помощи машин Тьюринга, т.е. обычных компьютеров.

Это значит, что при помощи компьютеров можно смоделировать любой физический процесс и любые алгоритмы, включая те, которые возникают у нас в голове.
Ясно, что если человек путём каких-то умозаключений придумывает решение какой-то задачи, то и компьютер мог бы провести такие же размышления и решить задачу.
(Оговорка: конечно, тут можно попытаться поспорить, и я даже не про философию и эзотерику, а про какие-нибудь физические соображения типа того, что есть случайность и квантовые эффекты, а ещё инженерные соображения типа того, что на кремнии это может оказаться слишком дорого.)

При этом я ошибался в оценках сложности создания ИИ и в приоритетах. Например, когда ИБ-блогеры рассуждали о том, как скоро ИИ заменит пентестеров, я скептически объяснял, что это полная чушь, и в первую очередь заменят самих блогеров, потому что для замены пентестеров ИИ должен обладать общим интеллектом, уметь читать документацию, взаимодействовать с человеко-компьютерными интерфейсами и т. д.
Таким образом, основной мой аргумент был в том, что для решения частной задачи тестирования безопасности нужно сначала решить более общую задачу NLP, чтоб ИИ мог читать текст и понимать его, ну и программирования, а ещё кучу инженерных задач.

И что же? Про блогеров я был прав, конечно же, но я думал, что до ИИ, хорошо умеющего обрабатывать тексты, ещё очень далеко, а оказалось, что гораздо ближе.
LLM умеют читать и понимать документацию получше большинства людей, и такой прогресс было сложно представить ещё 5 лет назад. Наверное, более внимательные люди, которые читали пейперы по GPT, знали уже довольно давно, но даже для них это наверняка сюрприз.

При этом я вижу, как почти все вокруг продолжают жить, игнорируя тот факт, что они уже мертвы. Их профессии почти исчезли, и практически все, кто выполняет работу за компьютером, могут быть заменены в ближайшие годы. Остальные могут быть заменены позже, когда получат развитие роботы.
"Спасти" нас может только стагнация в развитии ИИ, связанная, например, с энергетическим кризисом или регуляцией.

Может, есть и фундаментальные ограничения, но пока это выглядит как мем про "вы находитесь здесь". Люди пробуют какой-нибудь инструмент разработки или даже генерации картинок или текстов, видят косяки и говорят "пфф, полная фигня, ещё далеко до уровня человека".
Проходит полгода, и инструмент за это время прогрессирует колоссальным образом.

По мере обрастания LLM различными обёртками RPA и агентскими системами, а также по мере развития самих моделей, это станет всё более и более заметно.
Вдруг окажется, что ИИ-менеджер может 24/7 решать вопросы оптимальным образом, никогда ничего не забывая, никогда не опаздывая и применяя индивидуальные методы и стиль коммуникации с каждым из сотрудников или клиентов.
Вдруг окажется, что всю юридическую работу, документооборот, дизайн, рекламу и прочее ИИ выполняют лучше и на порядки быстрее, чем люди.
Вдруг окажется, что кредиты на использование API Anthropic стоят меньше, чем зарплаты целых отделов.

Если вы сегодня не пользуетесь ChatGPT/Perplexity/Claude в работе каждый день, то вы уже ретроград и очень сильно отстаёте от жизни.
Если вы не пользуетесь Cursor IDE или аналогом в разработке, то скорее всего вы теряете человеко-часы или десятки человеко-часов ресурсов еженедельно.
Вы умрёте первым.

Че как дела

Мнения и мысли по разным темам, а особенно — по горячим, я обычно успеваю высказать (зачастую в крайне грубо-сатирической форме) друзьям-знакомым, после чего запал писать об этом куда-то ещё пропадает.

Вот и не пишу ни фига никакие мысли, даже посраться не о чем в канале. Ну посраться-то ладно, это негатив, но я и позитивных вещах не пишу, а потом забывается, какие были важные мысли и идеи, которыми было бы интересно поделиться.

Чтоб попытаться ещё раз переломить эту тягу не перекладывать мысли в структурированный текст, напишу пару слов про то, о чём в эти недели интенсивно думаю.
Это, наверное, скучновато, потому что не про политику и даже не про AI, а про безопасность в сфере web3, где в 2024-м году всё ещё происходит треш и угар с миллиардными взлётами, падениями, инновациями и мошенничеством.

Кстати, я же даже ни разу и не писал сюда о компании Decurity, которую мы с Арсением Реутовым стартанули 2 года назад.
Компания разрабатывает продукты и решения в области кибербезопасности для децентрализованных систем.
Речь про DeFi, смарт-контракты, бриджи, блокчейны, L2 и прочие временами хайповые слова.

Мы сразу выделили для себя 2 основных принципа:
1) Продавать безопасность, а не маркетинг: на этом рынке колоссальное количество скам-проектов, которые приходят за аудитами безопасности ради штампа и маркетинга, а не ради безопасности. Нам нужно их избегать.
2) Делать ставку не на транзакционные услуги, а на капитализацию компетенций в виде продуктов и сложных сервисов: с первых дней мы начали писать код и экспериментировать, заложив таким образом стартап внутри прибыльного бизнеса.

Эта новая компания, не связанная с другим моим бизнесом (DeteAct, про новости о нём тож надо отдельно написать), да и смысла их связывать маловато, поскольку рынок совершенно иной, и при приходе в него репутация обнуляется, надо заново доказывать компетентность, нарабатывать имя, формировать нетворк. Никакие ваши сертификаты OSCP или российские лицензии ФСТЭК не котируются 😁

При этом рынок сразу глобальный, ведь на то это и децентрализованные системы, что суть их в работе во всём мире, а не в конкретной юрисдикции.
Помимо маркетинга с нуля, многим приходится и заново изучать технологии, поскольку средний пентестер, который занимается анализом веб-приложений или инфраструктуры, не умеет делать аудиты смарт-контрактов или блокчейнов.

За это время мы наработали репутацию и портфолио из солидных проектов, а кроме того, прошли несколько итераций продуктовых исследований в поисках Product-Market-Fit.
Основная технология, которую мы разработали, — это DeFiMon.

DeFiMon умеет детектировать взломы смарт-контрактов в блокчейне по различным признакам, что позволяет среагировать на взлом сразу после или ещё до того, как он произойдёт. Фактически это web3-аналог IDS/IPS и SOC, и в этот класс продуктов синхронно влетело 10-20 стартапов, в том числе с венчурным финансированием.

Если вам будет интересно, я расскажу, какие есть успехи у вайтхетов вообще и у таких систем мониторинга в частности в этом тёмном лесу блокчейна, полном хищных блекхатов, наивных дегенов, зловещих северокорейцев, серьёзных инвест-фондов и школьников-хакеров.

Ниже репост по просьбе оргов одного из региональных студенческих CTF-соревнований:

☀️KubanCTF продлевает лето!

Мы открываем регистрацию на KubanCTF, который пройдет в рамках международной конференции по информационной безопасности KubanCSC в Красной Поляне! Общий призовой фонд составит 1.3 миллиона рублей. Отборочный этап пройдет онлайн по правилам jeopardy. В финале вам предстоит показать свои навыки в defense.

В финал смогут отобраться 7 команд, показавших лучший результат в отборочном онлайн турнире, три команды пройдут с offline битвы в формате jeopardy. В offline будут участвовать студенческие команды с 1 - 5 курс по приглашению ВУЗа. Для отобравшихся команд дополнительно будет оплачено проживание и питание на территории курорта. Приезжайте, будет жарко!

Отборочный этап пройдет 23 сентября. Финал 12 октября в Сочи!

Форма регистрации: https://forms.yandex.ru/u/64edae862530c204359ed4d8
Вопросы можно задать: в тг - @kubctf
Ссылка на чат – https://t.me/KubanCSC

Запуск завтра

На прошлой неделе вышел подкаст запуск завтра с моим участием.

Тайминг:
01:53 Начало, виды пентестов, Red Team, анализ защищённости
11:12 Методология пентеста, разведка, поверхность атаки
18:16 Социальная инженерия, Bug Bounty
21:00 Как обычно удаётся пробить, примеры
24:30 Сколько стоят пентесты, вероятность взлома, и сколько нужно тратить на ИБ
30:10 Тренды, крипта, разница хищений в TradFi и в блокчейне
35:28 Индустрия web3 security и её отличия от web2
41:28 Схемы обмана крипто-пользователей и инструменты анализа
45:19 Применение AI для атак и атаки на AI-системы
50:35 Личная безопасность и защита iOS, беспарольная аутентификация
57:15 Финал, пентест пентестеров