NGENIX: Всё о веб-безопасности

Привет! 👋

Мы уже на OFFZONE! 🙌 И стартуем с нашим квестом «Я не робот» 🤖

Подходите на стенд №9, выполняйте задания, получайте штампы и участвуйте в розыгрыше призов.

⏰Первый розыгрыш состоится сегодня в 17:00. За 15 минут напомним!

Также за выполнение некоторых заданий мы будем вручать offcoin, которые можно будет обменять на классный мерч.

Желаем интересного дня и ждем встречи! 🙌

В комментариях добавили схему конференции, чтобы вам было легко нас найти 👇

Привет! Это Аня ✨

Давно меня здесь не было — исправляюсь и сразу зову вас на OFFZONE 2025 🙌

21–22 августа будем ждать вас на стенде №9 большой командой NGENIX.

Что будет?

💬 Поговорим о трендах и инсайтах рынка.
🚀 Расскажем о наших новых фичах.
🤖 Еще раз проведем популярный аналоговый квест «Я не робот».
🎁 Разыграем классные призы (напечатали новую партию футболок, а еще у нас появились стикеры💙).

У нас на стенде вы сможете получить offcoin — специальную валюту OFFZONE. Для этого нужно успешно справиться с заданиями «Эшелоны защиты» и «Пройди капчу» из нашего квеста. Заработанные offcoin вы сможете обменять на эксклюзивный мерч.

Где встречаемся?

📍Москва, ул. Большая Почтовая, д. 40, стр. 7. Наш стенд №9 находится на крыше 🔝

Увидимся! 🙌

🤖 ИИ-боты: мы не договорили!

Привет, это снова Денис 👋

Недавно мы с вами уже обсуждали горячую тему — ИИ-ботов, которые сканируют сайты для обучения моделей. Тогда я рассказывал про инициативу Cloudflare и то, как компании выбирают блокировать или пропускать таких гостей.

Коллеги решили копнуть глубже и подготовили подробный материал про краулинг — от классических поисковых ботов до ИИ-агентов, которые уже не просто собирают данные, а выполняют целые сценарии.

В статье:
🔍 разница между поисковыми и ИИ-ботами;
⚖️ как найти баланс между защитой контента и GEO-продвижением;
🛡 зачем бизнесу вообще нужен краулинг и какие от него риски;
🛠 как мы в NGENIX помогаем управлять доступом.

Если для вас важно и защитить данные, и остаться видимыми в цифровой среде — материал точно стоит вашего внимания 👇

📄 Читать статью: «Блокировать нельзя пропустить: куда поставить запятую, если речь идет об ИИ-ботах»

Повышенная нагрузка на API: причины и способы защиты

Привет, это Гена.

Когда API «захлёбывается» от запросов, это не всегда просто рост популярности. Часто за всплесками скрываются тонкие атаки на бизнес-логику, баги или ошибки интеграций. И если пропустить тревожный момент — можно потерять деньги, клиентов и нервы.

Собрали краткий гайд, как отличить реальную угрозу от «шумного» трафика, и что поможет вовремя закрыть уязвимости 👆

Как замеряют скорость — и почему Speedtest показывает только половину картины 🎢

Привет, это Денис 👋

Вы уже точно слышали новость про блокировку Speedtest. Это тот самый сервис, который проверяет качество подключения между вами и ближайшим тестовым узлом. Аналоги есть — «Интернетометр» от Яндекса, QMS от «Ростелекома», «ПроСеть», «Мегабитус» и другие. В общем, потеря на самом деле не критичная.

Но вот в чём нюанс: эти тесты отражают сетевую скорость, но не говорят ничего о том, как ощущается работа сайта для живого человека. Потому что скорость — это не только про сеть.

А реальный пользовательский опыт — это целая цепочка:
🔹 DNS-резолвинг
🔹 Установка TCP- и TLS-соединений
🔹 Серверная обработка
🔹 TTFB (время до первого байта)
🔹 Загрузка HTML и ассетов (JS, CSS, шрифты)
🔹 Рендеринг и выполнение JS
🔹 Строительство DOM и CSSOM и т.д.

Чтобы всё это замерить, используют RUM — Real User Monitoring — технологию, при которой в браузере пользователя запускается лёгкий скрипт, который фиксирует:
📍TCP/TLS — сколько заняло подключение
📍 TTFB — когда пришёл первый байт
📍 LCP — когда загрузился основной контент
📍 TBT — сколько было блокировок потока
📍 TTI — насколько быстро можно начать взаимодействовать

В нашем случае мы еще смотрим DNS lookup time (начало и конец DNS-запроса) и Request time (общее время запроса).

Это и часть данных агрегируются в общей статистике — так мы снимаем «температуру по больнице» и видим, как сайт работает у разных аудиторий (разные устройства, браузеры, сети) в реальных условиях (с учётом лагов, железа и контекста). Синтетика, как Speedtest, не даст такого объёма живых замеров.

Почему это важно?

Потому что в онлайне медленный сервис = потерянный пользователь. Каждая секунда задержки — это снижение конверсии, рост отказов и падение удовлетворённости. А главное — вы можете даже не узнать, что у пользователя всё тормозит, если не смотрите на реальную скорость загрузки глазами клиента.

❓А как вы думаете, чем адекватнее замерять скорость?

Про виртуальные кластеры, разработчиков и немного магии K3S

Привет, это Гена.

Когда в компании десятки команд, сотни разработчиков и всё это в кубах, dev-окружения могут быстро превратиться в хаос. Представляете, всё в одном кластере, а разделение по namespace формальное: кто-то запускает тестовую сборку и случайно задевает чужой сервис 🤯 В какой-то момент отладка превращается в квест — где чей под, кто что задеплоил и почему что-то снова работает не так.

Мы в NGENIX тоже через это прошли. Сначала разворачивали окружения вручную, потом автоматизировали, а затем встал вопрос безопасности: как ограничить права, не мешая разработке, и навести порядок в кластере. Решение нашли в vCluster — виртуальных Kubernetes-кластерах. Теперь у каждого разработчика есть своё изолированное окружение. И больше никакой борьбы за namespace.

О том, как это все происходило, рассказал наш замтехдира по эксплуатации Павел Козлов в своем выступлении на DevOpsConf 2025. Добыли для вас видео, потому что лучше один раз увидеть все схемы Павла, чем визуализировать в голове.

В видео все по делу, без маркетинга и воды:
🔹 как разруливали хаос с dev-стендами;
🔹 почему выбрали vCluster, а не какой-то аналог;
🔹 как теперь живём: CI/CD, безопасность, кастомные версии Kubernetes — всё работает.

👉СМОТРЕТЬ ВЫСТУПЛЕНИЕ

🤖 ИИ-боты: блокировать нельзя пропустить?

Привет, это Денис! 👋

Тут Cloudflare недавно объявила, что будет по умолчанию блокировать ботов, которые парсят сайты для обучения ИИ — без разрешения владельца. А открывать доступ – за доплату. Новость громкая, но тренд ожидаемый. Особенно на фоне истории с Reddit, NYT и другими крупными площадками, которым надоело «кормить» ИИ бесплатно.

А как у нас?
Пока «акции» в защиту создателей контента не наблюдал, но несколько месяцев назад ЦМУ ССОП рекомендовал по умолчанию закрывать из соображений безопасности доступ к веб-ресурсу юзер-агентам всяких GPT – но, опять же, рекомендовал.

Где справедливость?
С одной стороны, контент стоит денег и усилий, почему кто-то должен использовать его без спроса? С другой — давайте честно: краулинг был и будет. С появлением ИИ поиск информации трансформировался: парсинг контента веб-страниц ИИ-агентами стал нужен тем, кто хочет попасть в поле зрения потребителей контента, которые уже сначала спрашивают ИИ, а потом уже Гугл.

Я считаю, что ИИ-краулинг должен быть контролируемым. Спросил у старших коллег, они согласны:

«Боты для обучения ИИ относятся к категории автоматизированного трафика, как и краулеры поисковиков. Разработчики часто маркируют их (например, через UserAgent или IP-адреса), но финальное решение — блокировать или нет — всегда за владельцем ресурса».

Инструменты для тонкой настройки фильтрации ботов есть и у нас в NGENIX – блокируйте нежелательных ботов и управляйте доступом к данным. Можно самостоятельно принимать такие решения, исходя из бизнес-цели.

Так что, имхо, вопрос не в том, пропускать или запрещать, а в том, кто контролирует доступ. Я не думаю, что это должна быть Cloudflare, – но это другая юрисдикция, да и наверняка есть другие мнения.

🗯Кто что думает? Похоливарим в комментах?😅

Продуктовый дайджест NGENIX: что нового за апрель–июнь 2025?

Привет, на связи Денис 👋

Каждый квартал я рассказываю, как команда NGENIX улучшает платформу — добавляет новый функционал и повышает удобство работы с сервисами. Во II квартале появились важные обновления, которые дают больше контроля и гибкости нашим клиентам.

🛡DDoS Protection: большая прозрачность режима работы сервиса
Теперь в клиентском портале доступны три режима работы системы защиты от DDoS: «Обучение», «Мониторинг» и «Блокировка». Пользователи могут самостоятельно переключаться между режимами «Мониторинг» и «Блокировка», чтобы точнее настраивать защиту от нежелательного трафика.

🤖Bot Detection: новый пакет обслуживания для пользователей сервиса
Ввели дополнительный пакет обслуживания и поддержки — «Управляемый антибот». Пользователи с таким пакетом обслуживания и сервисом Bot Detection могут обратиться к команде специалистов NGENIX для индивидуальной настройки сервиса в сложных кейсах. Доступен в тарифе Ultimate.

📈Real-time Analytics

🔹Выгрузка метрик в формате Prometheus
Раньше для просмотра графиков интенсивности пользователям приходилось настраивать экспорт статистики через API в свои системы мониторинга или заходить в клиентский портал. По многочисленным просьбам теперь статистика доступна в формате метрик Prometheus.

🔹Включение функции сглаживания графиков
Теперь на некоторых графиках можно включать и отключать опцию сглаживания, чтобы отображались максимальные значения.

Подробнее про каждую фичу можно узнать в нашем блоге: «Продуктовый дайджест NGENIX: апрель-июнь 2025»

Самый опасный удар - это удар, который вы не видите!

В новом выпуске интервью с Владимиром Зайцевым, заместителем техдиректора NGENIX, мы поговорили об актуальных угрозах и рабочих решениях в области защиты веб-ресурсов и приложений.

В выпуске обсудили:
— Как распознать и отразить атаки на бизнес-логику
— Почему бот-трафик — не всегда зло, и как его фильтровать грамотно
— Ошибки, которые совершают даже крупные заказчики
— Как защитить устаревшие приложения без боли и убытков
— Что выбрать: аутсорс или облако?
— Как протестировать провайдера безопасности до атаки

Модератор — Екатерина Ярцева, креативный продюсер АМ Медиа

Смотрите выпуск там, где удобно:

📺 ВК Видео

📺 YouTube

📺 RuTube

Самые опасные атаки — те, которые вы не видите.

Привет, это Ник! 👋

Обычный HTTP GET-запрос. На первый взгляд — безобидное обращение к сайту. Но если их десятки тысяч в секунду? Или если за каждым стоит бот, который точно копирует поведение реального пользователя — кликает, ждет, перемещается по страницам? Именно так сегодня выглядит нелегитимная активность на сайте — ее все сложнее отделить от действий реального пользователя.

При этом вектор атак всё чаще уходит в сторону бизнес-логики: парсинг контента, скальпинг, подбор учётных записей. Такие атаки могут быть даже незаметны на графиках в вашем мониторинге, но могут нести прямой и отложенный ущерб. Их сложно типизировать, потому что они зависят от индивидуальных особенностей конкретного приложения. И здесь нужны не просто инструменты, а опыт и постоянное наблюдение.

Мой коллега Владимир Зайцев — один из ведущих экспертов в этой области — в интервью для AM Live подробно рассказал, с какими вызовами мы сталкиваемся сегодня и какие подходы помогают строить надёжную защиту в российских реалиях. Всеми любимую тему импортозамещения тоже не обошли стороной.

Смотрите интервью Владимира ниже 👇

«В сеть слили 16 миллиардов записей»: чем опасны утечки и как защитить данные

Всем привет! На связи Ник 👋

Раньше многие думали, что утечки данных — это редкие сбои, которые случаются только с теми, у кого пароль от аккаунта qwerty123. На самом же деле утечки — системная и растущая угроза с серьёзными последствиями. Помните, как мы все, мягко говоря, были обескуражены, когда в начале 2022 произошел крупный слив персональных данных из «Яндекс. Еды»?

А вот из последнего: в сеть слили рекордные 16 миллиардов записей с логинами и паролями пользователей Apple, Google, Telegram и других сервисов. В базе — много повторов и устаревшей инфы, но объём бешеный, а значит, риск для пользователей все еще значительный.

Под эту актуалочку мои коллеги структурировали информацию по поводу утечек:
🔹почему они так опасны, а их масштабы растут с каждым днем;
🔹как ваши данные могут оказаться в сети и что сделать, чтобы защитить себя. 

Читайте прямо сейчас, а потом все-таки обновите пароли. И это не паранойя, а цифровая гигиена.