Пятница — идеальный день, чтобы напомнить о главном событии следующей недели.

26 ноября встречаемся на ZeroNights! Мы ждём вас в VK Bug Bounty Lounge — нашем закрытом пространстве, созданном специально для сообщества багхантеров.

В программе:

🔹захватывающий CTF с нетривиальными задачами;
🔹эксклюзивный мерч и промокоды, которые увеличат выплаты за ваши следующие отчёты.
🔹расслабленная атмосфера: прохладительные напитки, вкусные угощения и ароматные кальяны.

А пока готовимся к конференции — не забываем про главное!

Го сдавать ваши отчеты в программы VK Bug Bounty на платформах Standoff, BI.ZONE и Bugbounty.ru!

До встречи!

VK Security | Буст этому каналу!

#bugbounty #bountypass

Вечер вторника — самое время, чтобы посмотреть вакансии.

А вот и они 🔹🔹🔹

Старший специалист в команду безопасности сетей в VK, Москва
Ищем эксперта по сетевой безопасности для защиты инфраструктуры, реагирования на инциденты, аудита и автоматизации процессов.

Руководитель направления antifraud в VK ID, Москва
Ожидаем глубокое понимание мошеннических схем, уверенные навыки работы с данными: SQL, BI-инструменты, лог-аналитика и опыт построения Roadmap и CJM.

Эксперт продуктовой безопасности в VK Tech, Москва
Ищем эксперта по продуктовой безопасности для внедрения Security-by-Design, проведения SAST/SCA/DAST и анализа защищённости архитектуры на всех этапах жизненного цикла разработки SDLC.

Аналитик антифрода (L2) в MAX
Ключевая задача — преобразование сырых данных из различных источников (логи, метрики, события) в эффективные детектирующие правила и модели для противодействия сложным мошенническим атакам.

А всем, кто лайкнул эту подборку, +100 к удаче на этой неделе! 💫

Контакт для связи: @lisenkova_a

VK Security | Буст этому каналу!

#вакансии

Как цены-то выросли…

🔹И у нас тоже! Повышаем выплаты до x2 за уязвимости в программе MAX — теперь можно получить до 10 млн рублей за находку.

Ищем везде:

🔹все домены: *.max.ru, *.oneme.ru;
🔹официальные боты VK;
🔹мобильные приложения (RuStore, Google Play, AppStore);
🔹десктоп: Windows, Linux и Mac.

Ждём ваши отчёты:

🔹 Standoff Bug Bounty
🔹 BI.ZONE Bug Bounty
🔹Bugbounty.ru

И не забывайте про Bounty Pass: чем больше уязвимостей вы находите, тем выше выплаты!

VK Security | Буст этому каналу!

#bugbounty #bountypass #MAX

ТОП-10 VK Bug Bounty 🏆

В рамках конференции ZeroNights 2025 наградили лучших багхантеров года! Ребята, вы — Легенды! Всем огромное спасибо за вашу работу! А тем, кто не смог быть с нами, уже готовим посылки с подарками!

ТОП-10:
1. brain
2. lobity
3. cutoffurmind
4. otuken
5. rolegiv
6. kedr
7. Slift
8. ratel_xx
9. Eptascript
10. fakeostap

Как формируется рейтинг?
Наш рейтинг — это не просто количество отчётов. Мы используем комплексный подход, в котором учитываются:

🔹критичность найденной уязвимости;
🔹размер назначенного вознаграждения;
🔹регулярность и качество отчётов.

🔥 Следить за рейтингом в реальном времени можно 👉 на нашем сайте.

Хотите ворваться в ТОП в следующем году? Сейчас — лучшее время. Одна серьёзная находка может изменить многое...

VK Security | Буст этому каналу!

#bugbounty #bountypass

Представьте, что у вас десятки сервисов и постоянный поток изменений в проде, поэтому одни и те же уязвимости регулярно «всплывают» снова и снова.

Так, в свободное от основных задач время, началась разработка первого MVP. Это был, по сути, набор скриптов, они обходили сайты, подставляли в поля разные тестовые пейлоады с помощью популярного инструмента Nuclei и смотрели, что на выходе. Такой подход дал ожидаемый, но неутешительный результат: уровень шума и ложных срабатываний оказался очень высоким, а доля действительно полезных находок — минимальной.

Смена парадигмы

Мы сели и переосмыслили подход. Зачем сканировать тысячи одинаковых ручек API по общему списку? Гораздо полезнее была бы автоматизация для решения конкретных задач. Так родилась ключевая идея «регрессивного DAST».

Суть проста:
1. На аудите или пентесте мы находим реальную уязвимость.
2. Тестировщик, который её нашёл, описывает чёткие шаги для воспроизведения.
3. Эти шаги превращаются в шаблон (тест-кейс) для нашего инструмента.
4. Этот тест мы можем запускать снова и снова, чтобы проверить: а исправлена ли уязвимость после патча? Не просочилась ли она обратно после обновления кода?

Проблемы роста

С первыми результатами пришли и первые сложности. Пока тесты гоняли сами авторы на своих проектах — всё работало. Но для масштабирования на десятки продуктов VK нужно было решить проблему авторизации. Как агенту легитимно зайти под пользователя в каждый сервис?

Мы пробовали разные пути, но в итоге элегантное решение нашлось внутри компании — VK ID. Почти все наши сервисы его поддерживают. Мы научили нашего агента работать с ним: создавать тестовые учётные записи, получать сессии и использовать их для проверок. Это стало универсальным решением.

Архитектура платформы

В процессе проектирования было принято решение реализовать единую платформу для DAST-сканирований, которую по факту можно разделить на две части:

🔹Центр — VK Security Gate. Единый планировщик, который ставит задачи, принимает и обрабатывает результаты. Общий интерфейс, где можно настраивать проверки, цели и расписания.
🔹Агенты (исполнители). Их может быть много, и они могут быть разными. Мы сделали центрального агента для базовых нужд. Команда ВКонтакте, столкнувшись со спецификой своих продуктов и написала своего агента с поддержкой нужных им фреймворков и протоколов.

Главное правило простое: если агент умеет общаться с центральным планировщиком по единому API и присылать результаты в нужном формате — он часть платформы.

От ручных шаблонов к генерации ИИ

С агентом и платформой появился новый вопрос: а что, собственно, проверять? Ручное написание шаблонов для каждой уязвимости — трудоёмко. Мы пошли дальше и начали пытаться упростить себе жизнь через LLM.

Мы взяли базу из тысяч найденных за годы уязвимостей (описания из Jira) и научили цепочку ИИ-агентов делать из них валидные шаблоны для Nuclei. Один агент классифицирует тип уязвимости, другой вытаскивает параметры (URL, пейлоады), третий генерирует код, четвёртый — проверяет его работоспособность. Это позволило почти автоматически создать базу регресс-тестов.

Что в итоге?

🔹 DAST — это контроль, а не только находка багов. Его главная ценность — в том, чтобы не допустить возврата уже исправленных уязвимостей. Это страховка от регрессий, которая работает постоянно.
Гибкость важнее «универсального решения». В большой и разнородной компании попытка сделать один идеальный инструмент для всех обречена. Сработала модель платформы: общий центр и простая возможность допиливать своих агентов под задачи конкретных команд.

VK Security | Буст этому каналу

#VKSecurityGate #DAST

Технологии безопасности Big Tech #7: как мы создали свой идеальный сканер

В новом выпуске Максим Казенков, специалист команды DevOps VK, расскажет о нашем собственном инструменте для мониторинга безопасности сети — Nmon.

🔹 Почему потребовался собственный сканер? Современные коммерческие решения оказались неэффективны для огромной инфраструктуры VK: они не обеспечивают необходимой точности и быстрого действия при обработке массивных объёмов данных.

Основные задачи Nmon

🔹Устранение устаревших сервисов и потерянных фрагментов инфраструктуры.
🔹Обеспечение оперативной идентификации угроз и снижение риска вторжений.
🔹Решение проблем неправильного конфигурирования оборудования.

В видео — подробно про архитектуру, принципы распределённого сканирования и методы автоматической аналитики и приоритетности обработки сигналов.

🍿 Смотреть