Настоящий хоррор: кибербезопасность в автомобильной индустрии
#car_hacking

➡️Коллеги из Бастион продолжают радовать хорошими статьями)

Автопром сделал первый шаг в цифровую эпоху еще в 1967 году, когда в Германии выпустили Volkswagen Typ 3 с электронной системой впрыска D-Jetronic от Bosch. Сегодня же компьютерные системы управляют почти всеми функциями большинства авто — от режимов работы двигателя до стеклоочистителей.

Как всегда, технический прогресс имеет свою оборотную сторону: чем больше роль ПО в работе техники, тем серьезнее угрозы информационной безопасности. Риски стали выше с появлением так называемых подключенных автомобилей — connected cars. Дошло до того, что хакеры могут дистанционно перехватить контроль над машиной в реальности: теперь это не просто фантазии сценаристов «Форсажа».

В статье рассмотрим основные виды автомобильных кибератак и связанные с ними риски. Также поговорим о том, как в мире и в России пытаются бороться с такими угрозами и какие это приносит результаты.

➡️ Читать далее

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

ИБ в космосе. Что может случиться, если разработчики спутниковых систем будут игнорировать киберугрозы
#спутники #satellite

Данная статья без уклона в техничку, но всё равно было интересно почитать)

Современная жизнь стала бы невозможной без спутников на орбите. Мы редко их замечаем, но если кто-то взломает и отключит космические навигационные системы GPS и ГЛОНАСС, это вызовет на Земле настоящую катастрофу. Навигация в смартфонах перестанет работать, корабли в море потеряют «дорогу», перевозчики не смогут фиксировать маршруты, пропадет возможность устанавливать точное время — а это очень важно для финансистов, ученых, военных и некоторых предприятий.

Меня зовут Саша, я работаю в спецпроектах МТС Диджитал, а изучение космоса — мой пет-проект. Сегодня обсудим, как злоумышленники могут взломать спутники и как от этого можно защититься.

➡️ Читать далее

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Обновление по сайту Мерч Похека 🌚:

➡️InSales система странная и багованная (кстати у неё есть своё бб). Поэтому пришлось купить новый домен poxek-shop.ru, но shop.poxek.cc никуда не делся. Просто теперь будет редирект с shop.poxek.cc > poxek-shop.ru. Предупредил, чтобы не пугались, когда увидите не тот домен))

➡️RCE для сердца черная одна штука всего осталась 🥲. Остальных пока достаточно, так что успейте купить))

➡️Новый мерч в разработке. Одна единица будет на постоянку, другое на осень-зима коллекция, причем все очень качественное. Перед продажей вам всё тщательно тестирую. Если у вас есть идеи по принту или есть идея по новой единице мерча, пишите @szybnev)

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Попались на удочку: как мы заплатили 100 тысяч рублей за фишинг
#недопустимое_событие #innostage #фишинг

➡️Данная статья написана в виду того, что одному из нашего комьюнити удалось всё таки зафишить Innostage. А как и что компания делала, вы узнаете далее)

Сейчас в программе открытых кибериспытаний Innostage есть одно главное недопустимое событие и три промежуточных с меньшим вознаграждением. И вот 19 июля этичный хакер prorok забрал положенные 100 тысяч рублей за компрометацию учётной записи. Как ему удалось это сделать? Рассказываем подробнее.

Чтобы забраться к нам в инфраструктуру, prorok использовал старый добрый фишинг.

➡️ Читать далее

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Взлом ИИ (jailbreak): как обходятся фильтры
#ИИ #jailbreak #bypass

Атаки и методы взлома продолжают эволюционировать и следовать за технологиями. Развитие AI принесло с собой совершенно новые вызовы, с которыми мы не сталкивались ранее. Технологии, которые должны были облегчить жизнь и повысить ее качество, становятся объектами и целями для злоумышленников, стремящихся найти и использовать уязвимости в системах ИИ.

Мы вошли в новую эпоху безопасности, где старые методы защиты уже не работают. С каждым днем появляются новые способы взлома, обхода фильтров защит, и специалисты по кибербезопасности должны постоянно адаптироваться к меняющемуся ландшафту угроз.

Статья от уважаемого админа CakesCats и моих друзей 😎 CyberMedia :)
https://securitymedia.org/info/vzlom-ii-jailbreak-kak-obkhodyatsya-filtry.html

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Официально планка в 10.000 подписчиков пробита. Пока очень активно занимаюсь монтажом выпуска, поэтому пост красивый напишу потом.
Пока что просто скажу всем, что вы красавчики, без вас не было бы такого стойкого сообщества, которое стало таким живым и большим за последний год. Всех люблю ❤️ А хейтеров ещё больше :)

p.s. дабы не было вопросов. Подавать в РКН буду в следующем году, я не анонимная личность последние 2 года, поэтому смысла прятаться не вижу

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Что будет с Bug Bounty в 2025 году? Андрей Лёвкин BI.ZONE Bug Bounty
#bugbounty #багбаунти #bizone

Третий выпуск Poxek Podcast с Андреем Лёвкиным, product owner'ом BI.ZONE BugBounty и естественно мы обсудили насущные проблемы в багбаунти и вообще получилось очень душевно)

Вот что там обсудили:
➡️История Андрея. Из Пентестера в Продукт Овнера
➡️Багбаунти 2025
➡️Пентест VS Багбаунти. Почему оба процессы важны
➡️Ивенты для багхантеров
➡️Инсайды развития багбаунти сферы
➡️Пожелания Андрея по развитию багбаунти в РФ

Если вы багхантер, пентестер или вам интересна тема багбаунти и кибербезопасности, слушайте подкаст на любимых платформах:
📹 YouTube
📺 RuTube
💙 VK Видео
🎵 Apple Podcasts
🎵 Яндекс.Музыка
☕️ Mave

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

DevSecOps Assessment Framework (DAF)
#devsecops #assesment

От себя скажу сразу, что пока не тестил, но хорошие знакомые сказали, что штука годная. Если выбираете какой фреймворк использовать, можете начать обкатку с этого. Если что, в чате есть несколько Джетовцев, можно будет направить вопрос в нужный отдел)

Есть множество полезных фреймворков, позволяющих оценить процессы безопасной разработки, например, SAMM, BSIMM, DSOMM, MSDL. Также есть лучшие практики, бенчмарки, рекомендуемые подходы к защите контейнеров и сред контейнерной оркестрации, такие как NSA Kubernetes Hardening Guide, или, например CIS for Kubernetes. Помимо этого, существует множество инструментов, повышающих защищенность при формировании и совершенствовании процессов DevSecOps (SAST, DAST, SCA, Container security, Secret management и другие) со своими рекомендациями по настройкам и их использованию. Но нет чего-то одного, описывающего, что конкретно и в какой последовательности нужно делать, чтобы выстроить процесс безопасной разработки, а также чтобы объективно оценить существующий уровень зрелости безопасной разработки и понять, куда двигаться дальше.

Эту проблему призван решить DevSecOps Assessment Framework (DAF). Он включает в себя не просто набор рекомендаций и лучших подходов из разных областей DevSecOps, но еще и большой экспертный опыт нашего сообщества, структурированный и адаптированный под современные реалии. Некоторые практики из общеизвестных фреймворков не добавлены в DAF, но при этом сформированы новые и более детальные. Все модели, домены, поддомены и практики описаны понятным языком во избежание двусмысленностей и разных толкований.

В открытый доступ выложены не все наши наработки по DAF. Но мы считаем, что основная часть фреймворка DAF все же должна быть публичным достоянием

💻 Github repo

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек