Blackbox, greybox, whitebox: как выбрать тип пентеста
Blackbox, greybox, whitebox — три модели пентеста по объёму вводных данных. Разбираем плюсы, минусы и как выбрать под задачу и бюджет.
// статьи и исследования
Блог
SSRF: подделка запросов на стороне сервера
SSRF заставляет сервер отправлять запросы туда, куда захочет атакующий — во внутреннюю сеть, к облачным метаданным. Как работает и как защититься.
Что такое пентест и зачем он бизнесу: полное руководство
Пентест — контролируемая имитация атаки, которая находит уязвимости раньше злоумышленников. Что это, как проходит, сколько стоит и зачем бизнесу — простыми словами.
Пентест или сканирование уязвимостей: в чём разница
Пентест и сканирование уязвимостей — не одно и то же. Разбираем разницу: автоматика против ручной работы, шум против подтверждённых находок, что выбрать.
Как защитить интернет-магазин от взлома: чек-лист
Интернет-магазин теряет деньги не только от взлома сервера, но и от логических дыр. Чек-лист защиты: цены, промокоды, оплата, заказы, данные клиентов.
Безопасность API: разбор OWASP API Security Top 10
API — главная поверхность атаки современных приложений. Разбираем OWASP API Security Top 10: BOLA, сломанная аутентификация, избыточные данные и защита.
IDOR на практике: как получают доступ к чужим данным
IDOR — одна из самых частых и опасных уязвимостей веб-приложений: подмена идентификатора открывает доступ к чужим данным. Как находят, эксплуатируют и защищаются.
XSS: межсайтовый скриптинг — типы, атаки и защита
XSS позволяет выполнить чужой JavaScript в браузере жертвы — от кражи сессий до фишинга. Разбираем reflected, stored, DOM-based и защиту.
Безопасность ИИ по 152-ФЗ и требованиям регуляторов
Что регуляторика требует от ИИ-систем: защита персональных данных по 152-ФЗ, оценка рисков по NIST AI RMF и ISO 42001, подходы EU AI Act.
MLSecOps: безопасность ML-пайплайна от данных до продакшена
MLSecOps — безопасность на каждом этапе ML: данные, обучение, хранение весов, инференс. Как защитить конвейер машинного обучения от отравления, кражи и supply chain атак.