Для тех, кто ищет работу 🔎

Товарищи безопасники! Знаю, что на рынке сейчас нелегко, поэтому надеюсь, что следующее поможет многим из вас.

В CyberED мы помогаем с подбором специалистов и ведём открытый канал с вакансиями. Сейчас у моих друзей несколько открытых позиций, на которые они очень хотят найти толковых инженеров.

Рассмотрите обязательно, если ищете себе хорошее место 👇

🛡 Сетевой архитектор (Network Security), Управление информационной безопасности
200 000 - 450 000 ₽
https://xn--r1a.website/CyberEd_Jobs/68

⚔️ Технический директор направления кибериспытаний
от 250 000 ₽
https://xn--r1a.website/CyberEd_Jobs/67

💳 Специалист по ИБ в международном финтех-проекте
300 000 - 600 000 ₽
https://xn--r1a.website/CyberEd_Jobs/69

Обсудим-с

Я подготовил ещё целую серию вопросов, которые собирают мнение аудитории - мне оно тоже, конечно же, любопытно.

Этот был разогревочный. И выглядит так, что результаты закономерны.

35% - все трое. 34% - опытный, все руками, без AI. 26% - средний уровень, вширь, всегда с AI. 5% - в хакинге с 2024-го, хакинг = AI.

1. Среди коллег много тех, кто считает, что хакать надо в первую очередь при помощи своих гипотез, знаний и навыков, а AI ослабляет, не усиливает тебя лично, и ведёт к большему непониманию.

2. Объективно, эффективность применения AI хакером кратно выше, чем без него. И даже если сейчас их эффективность сравнялась, то дальше она неизбежно будет трагически отличаться.

3. Согласен, что третий тип тоже хакер, а значит, все трое. Ведь какая разница, какие у него инструменты, если важно только то, что они все ищут.

А теперь про то, кого брать в отдел пентеста. Точно нет смысла сегодня брать к себе на галеру тех, кто не думает, как работу сделать результативнее. Луддитам место найдётся, но не в этой профессии. Моё мнение - если человек принципиально отрицает полезность использования AI в хакинге, он просто тратит наше общее время, за деньги работодателя.

В конце концов, даже с AI хакеры не станут равными между собой. Будут гении, будут таланты, будут трудяги и аутсайдеры.

И даже если у каждого из нас появится имплант с доступом к абсолюту знаний мира, этот принцип, я убежден, не изменится.

Жду результатов следующего пятничного опроса.

Продолжаем рубрику "Пятничный опрос"!

Кнопка на столе. Нажимаешь - AI не существует и никогда не существовал. Ни в вашей работе, ни у ваших атакующих, ни у вендоров, ни в отчетах.

Нажмете?

В комментариях: ради чего в первую очередь?

Продолжаем обсуждать результаты "Пятничных опросов"!

Ситуация патовая.

35% нажмут кнопку не думая, еще 17% нажмут, но с сожалением. 30% не нажмут вообще. И 18% не нажмут, но хотят другую кнопку - которая отбирает AI только у конкурентов.

То есть чуть больше половины готовы отменить существующие достижения прогресса, остальные либо смирились, либо готовы продолжать играть.

К этой ситуации на ум приходит мой недавний опыт игры: "Наш айсберг тает" по книге Джона Коттера про управление изменениями.

Один из участников и партнеров нашего фонда сделал особенное мероприятие: позвал целый круг различных игроков индустрии кибербеза под понятную тему. Кибербез меняется, надо что-то делать вместе, чтобы не придумали за нас.

Но перед самим размышлением эти же участники 4 часа спасали пингвинов на тонущем айсберге. Ты наблюдательный пингвин, ты заметил трещину, но ты не глава племени и даже не самый заметный пингвин. У тебя 60 дней и ограниченный бюджет действий, чтобы спасти популяцию. Игра классная, особенно для топ-менеджмента, да и в целом для сотрудников.

Но самая важная мысль из той игры вот какая:

когда изменение неизбежно, наш мозг понимает, что ему придется потратить энергию на приспособление. И он априори этого делать не хочет. А чтобы такие вызовы стали не так неприятны, нужно, чтобы они превратились в рутинные.

То есть если ваш айсберг начинает таять, лучший выбор - стать кочевым племенем пингвинов, у которых эта проблема решается как рутинная задачка по переезду.

Только вот куда бы нам мигрировать?

P.S. Честно сказать, Коттер говорит, что рутина в конце, а не в начале, но в кибербезе с AI мы уже проскочили фазу срочности: она была в 2023-м, все напугались и на этом остановились.

Сегодня в 19.00 c Ваней Булавиным разговариваем о том, как ИИ меняет хакинг и как Standoff и CyberED адаптируются к изменениям вместе!

Продолжаем рубрику "Пятничный опрос"!

Давайте начистоту. Сколько в месяц уходит на AI-подписки из своего кармана?

Считаем все: чаты, копайлоты, API, ассистенты в IDE.

В комментариях: На каких задачах упираешься в лимиты?

Кому платить?

После инцидента у компании появляется два адресата: государство и вымогатель. А дилемма в том, что чем больше угрожает первый, тем привлекательнее выглядит второй.

С существованием оборотных штрафов атакующему больше не надо угадывать, сколько вы отдадите. Он открывает КоАП и получает удобную "вилку оплат".

Навел на эту мысль отчет УЦСБ SOC за полугодие и недавние дискуссии с вопросом: что делать?

Почему схема продается, видно по двум кейсам из отчета: Юкидсу отказали в замене штрафа предупреждением из-за сроков уведомления РКН. Еще одному гос. органу не дали переложить вину на подрядчика, у которого и произошел взлом, и отдельно отметили, что об утечке ведомство узнало после запроса регулятора, а не само.

К тому же единственный, кто мог объяснять руководству ситуацию (CISO), теперь крайне заинтересован подать ее в правильном виде и уладить тихо. Адресатом наказания является не только компания, но и он сам: правоприменительная практика сместилась с единичных дел против злодеев по 272 и 273 к 274.1, то есть к ответственным за защищенность КИИ.

Если подумать, в спорах со следствием нюансов для CISO сильно больше, чем в вопросах договоренностей со злодеями.

Маятник, впрочем, отводят обратно: 76-ФЗ от 9 апреля ввел освобождение от ответственности за содействие расследованию и сохранение следов. Но смягчение за содействие это половина конструкции. Нужна вторая: чтобы своевременное уведомление и подтвержденные меры реально снижали санкцию, а не зависели от настроения суда.

Отчет целиком, там же топ-10 уязвимостей полугодия и хроника утечек: https://soc.ussc.ru/threat-landscape-2026

Продолжаем рубрику "Пятничный опрос"!

Как вы думаете, сколько времени в день вам экономит AI?

Не по ощущениям от удачных дней, а в среднем за неделю: с учетом перепроверки, переписывания промптов и тех случаев, когда проще было сделать руками.

А в комментах с вас поделиться уточнением: на каких задачах экономия самая серьезная?

А вот и турниры для агентов в РФ, как и пророчили на последних встречах в онлайне..

Запускаем BlueSec — открытые соревнования ИИ-агентов по расследованию атак

Каждый день в SOC приходят тысячи алертов о подозрительной активности, и каждый нужно проверить. Часть этой работы уже можно доверить ИИ-агентам, но насколько хорошо они с ней справляются?

Способности ИИ к атаке проверяют уже несколько лет: есть CTF и бенчмарки, где модели ищут и эксплуатируют уязвимости. А этим летом вышло много новостей о том, что с такими задачами они справляются даже слишком хорошо.

При этом для защитных ИИ-агентов бенчмарки только начинают появляться, а открытых соревнований практически нет.

Наша ML-команда вместе с другими экспертами Позитива решила это исправить — и запускает соревнования BlueSec

Задачи выглядят так: агент начинает с одной улики, например с алерта о подозрительном процессе. Дальше все как у аналитика SOC: он запрашивает события, ищет связи и шаг за шагом восстанавливает картину атаки.

Какие устройства скомпрометированы? Какие учетки затронуты? Что успел сделать атакующий? В конце агент должен вынести вердикт. Всего мы подготовили несколько десятков заданий (простых, сложных и спецзаданий от Standoff Defend).

При этом важен не только правильный ответ, но и путь к нему. Каждый лишний запрос стоит баллов: в реальном SOC время работает на атакующего, поэтому скорость расследования тоже имеет значение.

Как участвовать 🤖

1️⃣ Зарегистрируйтесь на сайте соревнований.

2️⃣ Подготовьте агента.

• Не хотите начинать с нуля? Берите нашего базового: он уже умеет подключаться к платформе и отправлять ответы — вам останется сделать его умнее.

• Хотите своего? Собирайте его на чем угодно. Подойдет любая модель, которая умеет вызывать инструменты и отвечать в структурированном формате.

3️⃣ Тренируйтесь. С сегодняшнего дня открыты задания, на которых можно обкатать своего агента.

4️⃣ 10 октября — финал. Подключайтесь онлайн или приходите вживую: в «Котельную» на московском Хлебозаводе или в наш офис в Санкт-Петербурге.

Подробнее о механике соревнований и о том, как мы сначала провели их у себя, рассказали на Хабре.

@Positive_Technologies

Сегодня без опроса, не успел подготовить 🙃

Вместо него есть кое-что поинтереснее. Выступил на форуме "Цифровые решения" в панельной дискуссии о профессии специалиста по ИБ: из чего она состоит сейчас, какие навыки будут нужны и куда все движется до 2030 года.

📍 9 октября, 13:00-14:15, Конгресс-зал
"Профессия специалиста по информационной безопасности: содержание, навыки и карьерные перспективы до 2030 года"

Запись стоит посмотреть, если вы нанимаете безопасников, учите их, руководите командой или сами думаете, куда расти дальше.

▶️ Запись: https://vkvideo.ru/video-210353863_456239412
📋 Программа: https://форумцифровыерешения.рф/program/17/

Раз опроса сегодня нет, вопрос в комментарии: А какие у вас представления о кибербезнике в 2030ом?

Лучший DR-тест - тот, который ты не планировал. Наш случился в воскресенье.

Так много хотелось рассказать по итогам форума в прошлую пятницу (как минимум там было мое второе выступление на тему "Институт 'белого хакинга' как элемент стратегической киберустойчивости государства и бизнеса" с представителями Минцифры и Госдумы), но выпал на пару дней. Проснулся в воскресенье и первым делом увидел, что доставка сегодня не работает, а значит, что-то произошло...
И это "что-то" зацепило CyberED, поэтому рабочая неделя началась в воскресенье.

Большая часть инфраструктуры лабораторий работала на серверах Яндекса и гибко масштабировалась под потребности наших учеников.

К вечеру понедельника основное подняли в другом managed K8s. Какая-никакая гигиена в компании, которая учит кибербезопасности, все-таки была 😏

Про ситуацию в целом скажу одно: суверенные и импортозамещенные облака не спасают, когда оппонент хостится в любом облачке Европы. Люди в теме говорят, что все было очевидно заранее. Подготовки при этом не было.

Выход, похоже, в том, чтобы децентрализоваться и ставить ЦОД в каждое бомбоубежище под каждой школой, больницей и ТЦ. А лучше сразу в метро 😅

Пока все массово ломятся в ЦОДы Новосибирска, Владивостока и Хабаровска (а кто-то и под крыло Alibaba), хочу про другое. Наш переезд натолкнул на мысль, что disaster recovery скоро сильно поменяется.

Как DR выглядел до сих пор: снапшот системы в типовой конфигурации -> такая же конфигурация в другом месте -> переключение. Работает, если у тебя есть второй идентичный контур. У среднего бизнеса его обычно нет.

Что поменялось с агентами: переносить можно не копию, а систему вместе со знанием о ней. Манифесты, Helm-чарты, Terraform, конфиги, схемы БД, runbook'и - это контекст, который агент читает и пересобирает под другую площадку. Другие storage classes, ingress, IAM-модель, реестр образов, квоты, аннотации балансировщиков. То, что раньше требовало отдельной команды и запасного контура "один в один", сейчас вытягивает инженер общего профиля, который нормально умеет встраивать агентов в работу.

Отсюда может вырасти новый класс решений: бэкап, который хранит не только данные, но и машиночитаемое описание системы, плюс агент, который умеет развернуть это у любого доступного провайдера. Ценность смещается со снапшота на качество описания инфраструктуры.

И сразу ложка дегтя 🙃 Агент с правами на деплой в два облака и доступом к секретам - самый жирный service account в компании. Скомпрометировали его до инцидента - у атакующего и карта всей инфраструктуры, и ключи от запасного аэродрома.

Что думаете: это новый класс продуктов или очередная обертка над Terraform + LLM? Если кто-то уже такое строит или видел у вендоров - кидайте в комментарии.

С кем меньше всего хотели бы иметь дело после инцидента? 216 голосов, 70% - со следствием 👮

Большинство скорее сядет за стол с вымогателями, чем к следователю. И это объяснимо: у группировки правила игры хотя бы понятны - прайс, дедлайн, декриптор, торг. У следствия прогноз хуже: заранее неясно, кто в итоге окажется виноватым и не станешь ли им ты сам.

Публично у нас, правда, все выбирают третий вариант - никому не платить.

Винлаб, июль 2025. Шифровальщик кладет инфраструктуру Novabev, атакующие просят выкуп, компания заявляет, что даже не рассматривает выплату. Цена принципиальности: акции -5,5% в моменте и больше месяца до полного восстановления сервисов. Сеть больше 2000 магазинов, где одна точка в день делает от полумиллиона.

А теперь статистика RED Security SOC за последний год: 8 из 10 атакованных компаний вступают в переговоры. Средний стартовый запрос - около 50 млн руб., обычно сбивают до 15-20 млн.

То есть Винлаб - это то, что мы видим. Восемь из десяти - то, о чем не рассказывают.

И у тихой сделки в РФ есть отягчающее обстоятельство, которого нет в западных кейсах. Часть шифровальщиков, по мнению экспертов, связана с проукраинскими группами, признанными у нас террористическими. Тогда перевод крипты превращается из "решения бизнес-проблемы" в потенциальное финансирование терроризма. И это уже не про оборотный штраф.

Выходит, у CISO после инцидента не два адресата, а три. Регулятор с КоАП, следствие с 274.1 и вымогатель, платеж которому может стать отдельной статьей.

Опрос, кстати, честно показал, кого боятся больше. Вопрос только в том, кому из этих троих вы в итоге будете объяснять свое решение.

Всем хорошей недели и чтобы выбирать из этих троих не пришлось никому ☕️

Про удары по ЦОДам Яндекса за две недели написали все. Мне интересно другое: а что в это время происходит у самих ЦОДов? Как реагируют операторы и что реально поменялось на рынке за эти 14 дней?

Собрал топ-3 факта о происходящем:

1. Физика. Операторы модернизируют защиту внешнего инженерного оборудования и закупают средства против БПЛА. Требования расплывчатые, поэтому каждый делает по своему пониманию и бюджету. Минцифры с Минобороны решают вопрос прикрытия объектов. Счет за все это, по оценкам рынка, придет клиентам ростом цен на облака.

2. Договор. 10 октября, между второй и третьей атакой, Яндекс внес атаки БПЛА и ракет в форс-мажор пользовательского соглашения. Юридически риск физического уничтожения площадки теперь ваш.

3. Кооперация. Яндекс договорился с VK Cloud, Selectel и K2Cloud об ускоренном переезде пострадавших клиентов: выделенные команды, гибкие условия, минимум согласований. Cloud.ru подтверждает рост спроса. Конкуренты впервые сработали как общий резервный контур.

А теперь неприятное. Яндекс в целом выстоял, потому что заранее разносил нагрузку по регионам и проводил учения с отключением ЦОДов. С клиентами вышло хуже. У кого все стояло в одной зоне, переносили ресурсы сами: автоматически между зонами ничего не переезжает. Квоты облако перевело на ручное управление. Часть малого бизнеса потеряла и сайты, и бэкапы, потому что бэкапы лежали в той же инфраструктуре.

Топ-3 совета среднему бизнесу:

1. Выпишите, без каких сервисов вы встаете, и где они живут. Сюда же входят чужие SaaS, платежи и почта: "Вкусно - и точка" легла не потому, что хостилась у Яндекса напрямую.

2. Держите копию данных у другого провайдера. Хотя бы самого критичного, и хотя бы раз проверьте, что из нее реально можно подняться.

3. Разнесите рабочую связь и прод. Если корпоративная почта, мессенджер и созвоны живут в том же облаке, что и главный сервис, при аварии вы теряете и сервис, и возможность договориться, как его поднимать. Яндекс 360 в эти дни тоже работал с ограничениями. Нужен хотя бы запасной канал у другого провайдера, о котором команда знает заранее.

SOC Forum 27-28 октября в "Ломоносове" - отличное место, чтобы обсудить ситуацию вживую и послушать, как с этим справляются коллеги. Я там буду, приглашаю увидеться 🤝

Что в программе ближе всего к теме:

- 27.10, 12:45, зал Кинетика - "Российское облако изнутри: что показал анализ 40 000 виртуальных машин", Михаил Захряпин. Первое исследование реальной защищенности публичных облаков: у 83% ВМ критические уязвимости, 48% учеток без MFA. То есть пока мы обсуждаем дроны, логическая гигиена в облаках тоже не в порядке
- 28.10, 16:45, зал Архангельск - "Последний километр к бизнесу: почему атака на ERP начинается далеко от ERP", Кирилл Никитенков. Как сотрудники, избыточные права и интеграции складываются в цепочку до простоя 1С или SAP, даже если они не торчат в интернет. Тот же вопрос про зависимости, только изнутри периметра

А до 1 ноября на сайте форума собирают вопросы к НКЦКИ и ФСТЭК. Вопрос "что считать достаточной физической защитой ЦОДа и кто за это отвечает" там точно не будет лишним.

Регистрация: https://forumsoc.ru/