InfoSec VK Hub
2.65K subscribers
248 photos
20 videos
152 links
Новости, митапы и вакансии от команды информационной безопасности VK и, конечно, программа Bug Bounty.
Download Telegram
Павел Таратынов поделился опытом перехода команды VK SOC на подход Detection as Code для управления правилами корреляции

В статье — разбор реального кейса:
— почему решили отказаться от ручного управления правилами,
— как выстроили инфраструктуру под DAC,
— что это дало в плане масштабирования, гибкости и прозрачности,
— и пришли ли в итоге к тому, чего ожидали.

Материал будет особенно полезен тем, кто работает с корреляцией, автоматизацией в SOC или задумывается о внедрении инженерных практик в detection-процессы.

👉 Перейти к статье

VK Security | Буст этому каналу!

#эксперты #VKSIEM #разбор
🔥843👍2😁1
Технологии безопасности Big Tech #2. Что такое VKey?

🔹 В новом выпуске поговорим о том, как в рамках подхода Zero Trust мы в VK отказались от паролей и перешли на аутентификацию на основе криптографических ключей.

Для реализации этой концепции мы разработали VKey — технологию, которая позволяет безопасно входить в корпоративные ресурсы по отпечатку пальца, подключаться к VPN в одно касание и удобно работать с SSH-ключами.

🔹 Разобраться в деталях помогут:
Дмитрий Куколев, руководитель VK SOC
Никита Иванов, руководитель направления защиты конечных устройств

Обсудим:
🔹как VKey использует TPM и Secure Enclave;
🔹зачем проводится аттестация ключей;
🔹как решение помогает минимизировать риски, связанные с TOFU, утерей ключей и компрометацией устройств;
🔹и многое другое.

💙 Смотреть второй выпуск

VK Security | Буст этому каналу!

#технологии #эксперты #VKey
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥1743👏3
Автоматизация в VK SOC: как сократить рутину

🔎В процессе мониторинга мы столкнулись с типичной, но болезненной проблемой: почти половина алертов в SIEM — false positive, которые всё равно требуют ручного подтверждения от аналитика.

В новом видео Алексей Кудрявцев, аналитик первой линии SOC, рассказал, как мы решили эту задачу: создали бота 🤖, который взял на себя сбор логов, оформление сообщений, доставку пользователям и обработку ответов.

➡️ Вместе с нашим экспертом разберем, как всё работает: от архитектуры до интеграции с VK Teams и DataLens, обработки ошибок и первых шагов в ML.

💙 Смотреть видео

VK Security | Буст этому каналу!

#эксперты #разбор #SOC
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥94👍21
🥳 VK x OFFZONE BB Party

Пока все готовятся к OFFZONE, мы параллельно собираем самую горячую вечеринку для багхантеров!

22 августа приглашаем на VK x OFFZONE BB Party — встречаемся после конференции, чтобы обсудить доклады, кейсы и просто хорошо провести время!

Как попасть:
С 1 по 18 августа отправьте оплачиваемый отчет в программу VK Bug Bounty на платформе BI.ZONE Bug Bounty — и получите приглашение на мероприятие.

🔹 До встречи на VK x OFFZONE BB Party

VK Security | Буст этому каналу!

#bugbounty #reports
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥139🎉6🤩3
Security Gate: попробуйте в демо-режиме

Чтобы Dev и Sec-команды могли работать синхронно, мы создали VK Security Gate платформу для автоматизации анализа безопасности в процессе разработки.

⚙️ По мере роста продуктов VK, увеличения объёмов кода и количества технологий, стало понятно, что нашей компании требуется централизованное и масштабируемое решение, объединяющее лучшие практики — так и появилась платформа Security Gate.

VK Security Gate уже несколько лет используется внутри VK и обрабатывает десятки тысяч репозиториев. Теперь платформа доступна в демонстрационном режиме — её можно протестировать в личном кабинете на сайте VK Cloud.

🎯 Кому будет особенно полезно:

Если вы — инженер или менеджер из Dev, IT или security-команды, и хотите наладить процессы безопасной разработки, демо Security Gate — это способ понять, как можно упростить жизнь команде и усилить безопасность продукта.

🔹 Попробуйте VK Security Gate

VK Security | Буст этому каналу!

#технологии #appsec
#devsecops #VKSecurityGate
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥16👍6👏31
Август создан не только для отпусков, но и для больших решений

Например — присоединиться к команде, где действительно круто. Мы собрали свежие вакансии в ИБ в одном месте. Ждём твое резюме!

Ведущий специалист по аудиту, Москва
Ищем специалиста по ИБ с опытом аудита архитектуры, кода и инфраструктуры, пониманием DevSecOps и современных стандартов (ISO 27k, NIST, PCI DSS).

Архитектор информационной безопасности в RuStore, Москва
Ищем специалиста по ИБ с опытом анализа архитектуры веб- и мобильных приложений, знанием OWASP и инструментов вроде Burp Suite и MobSF.

AppSec ВКонтакте, Санкт-Петербург
Ищем специалиста в области AppSec или DevSecOps с опытом от 2 лет, пониманием OWASP и практик безопасной разработки.

Go-разработчик в VK ID, Москва
Ищем Go-разработчика с опытом создания высоконагруженных сервисов (от 3 лет), хорошим пониманием сетевых протоколов и работы с СУБД (MySQL, ClickHouse и др.).

Специалист по безопасности инфраструктуры в Информационная безопасность, Москва
Ищем специалиста по инфраструктурной безопасности с опытом работы с *nix-системами, контейнеризацией и сетевым стеком TCP/IP.

Системный программист в команду ИБ VK, Москва
Ищем разработчика с опытом на Go, C/C++ или Rust (от 3 лет), глубоким пониманием Windows/Linux internals, сетевых протоколов и криптографии (в т.ч. PKI). Важно уметь самостоятельно проводить исследования и разрабатывать решения для защиты конечных устройств.

Контакт: @lisenkova_a

VK Security | Буст этому каналу!

#вакансии
16🔥12👍6👏2
Кейс VK Рекламы: миграция сервиса в корпоративное облако. Service Mesh

Миграция инфраструктуры в корпоративное облако — это не только про скорость и масштабируемость, но и про новые вызовы для безопасности. Когда мы в VK Рекламе начали переезд сервисов в One-cloud — внутреннее корпоративное облако VK, созданное для унифицированного и безопасного размещения сервисов внутри компании, — стало ясно: это отличная возможность пересмотреть подход к защите межсервисных взаимодействий и внедрить более гибкие механизмы контроля.

Так в нашем стеке появился Service Mesh — инструмент, который позволяет управлять взаимодействием между сервисами по правилам, понятным команде ИБ.

В этом посте расскажем, как мы встроили безопасность в Mesh, с какими задачами столкнулись и какие решения нашли.

🔹 Цели по безопасности:
🔹 Аутентификация между сервисами
🔹Управление политиками доступа
🔹mTLS
🔹Разграничение доступа к компонентам меша
🔹Аудит всех действий
🔹Гибкие настройки и интеграции
🔹Видимость сервисов

Как устроена безопасность в Service Mesh 🔹

1️⃣ Идентификация сервиса — присвоение уникального ID для контроля доступа.
Используется сервисный JWT токен с ограниченным TTL, который автоматически монтируется при деплое.

2️⃣ Выпуск x.509 сертификата с уникальным ID сервиса.
Преимущества: возможность построения mTLS и устойчивость к утечкам/перехвату.
Перед выпуском проверяется соответствие CSR и JWT.

🔹 Применение сертификата:
• Взаимная аутентификация
• Шифрование
• Разграничение доступа

🔹 Политики доступа:
L4 — управление сетевыми соединениями
L7 — детальный контроль HTTP-запросов (ручки, заголовки, методы и др.)
По умолчанию — deny, нужные взаимодействия указываются явно.

💙 Смотреть видеоверсию кейса

В следующей части расскажем, как мы работаем с Control Plane, ACL токенами и Dataplane.

VK Security | Буст этому каналу!

#эксперты #разбор
Please open Telegram to view this post
VIEW IN TELEGRAM
👍11👏32😎2
This media is not supported in your browser
VIEW IN TELEGRAM
Время летит — мы и не успели опомниться, а до афтепати VK x OFFZONE BB Party осталась всего неделя!

Ещё есть время отправить оплачиваемый отчёт в нашу программу ❤️ на платформе BI.ZONE Bug Bounty до 18 августа включительно и получить приглашение на громкую вечеринку конца лета🥁

Не откладывайте — будем рады увидеться! 💙

VK Security | Буст этому каналу!

#bugbounty #reports
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥6🤩42👍2
Выступления недели

🔹 OFFZONE | 21 августа

11:00–12:00 «Мы сканировали, сканировали… а потом внезапно поняли», Максим Казенков, эксперт направления DevOps.

Представьте компанию с тысячами открытых портов, сервисов и баннеров. Нужно охватить всё, разгрести сотни тысяч баннеров, уложиться в SLA… и понять, а нужен ли тут вообще ML. Максим расскажет, как мы это делаем и остаёмся в здравом уме.

🔹 Arch.Meetup by Sber | 21 августа

18:30«Путь архитектора: безопасно смещаемся влево», Александра Молоденова, архитектор информационной безопасности VK

Как замкнуть новые фичи на ИБ без удлинения TTM, какие практики и инструменты сработали, а какие ошибки лучше обойти стороной.
🔹 Зарегистрироваться

🔥 если идёте на OFFZONE
✍️ если будете на Arch.Meetup by Sber
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥1442
Кейс по миграции VK Рекламы и внедрению Service Mesh

Если пропустили
начало, читайте первую часть — здесь.

В этом посте расскажем, как мы выстроили взаимодействие сервисов с Control Plane, настроили ACL токены и обеспечили безопасность Dataplane.

🔹 Взаимодействие с Control Plane
• Каждый сервис получает уникальный ACL токен с минимальными правами.
• Токен имеет ограниченный TTL и автоматически ротируется.
• Планируется привязка токена к сервису, чтобы исключить использование извне.

Такая стратегия позволяет минимизировать риск несанкционированного доступа, обеспечивая дополнительный уровень безопасности через уникальные и временные токены.

🔹 Dataplane — клиентская часть меша (включая Envoy), которая реализует:
• Маршрутизацию
• Балансировку
• Аутентификацию и авторизацию
• Шифрование
• Применение политик доступа

Dataplane хранит приватные ключи, конфигурации и секреты, это делает его защиту приоритетной задачей. Надежная безопасность Dataplane необходима для поддержания целостности и функциональности всей сети.

🔹 Вывод:
Service Mesh не делает систему безопасной «из коробки». Он даёт инструменты, которые нужно правильно настраивать, проверять и адаптировать под архитектуру.

Если вы работаете с меш в контексте безопасности — будем рады обменяться опытом 👋

VK Security | Буст этому каналу!

#эксперты #разбор
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥4👌3👨‍💻2
Приглашаем в команду Центра Безопасности MAX DevSecOps-инженера, чтобы вместе делать защищённым новый суперапп, в котором будет всё: от звонков и чатов до записи в поликлинику и бронирования столика в ресторане.

Мы ищем специалиста, который:

🔹обладает навыками в контейнеризации и оркестрации (Docker, Kubernetes, Helm)
🔹имеет опыт работы с системами мониторинга и логирования (Prometheus, Grafana, ELK Stack).
🔹знает принципы работы CI/CD-инструментов (Jenkins, GitLab CI/CD) и облачных платформ (AWS, Azure, Google Cloud Platform).

Также приветствуется понимание принципов Zero Trust Architecture, опыт работы с микросервисной архитектурой и знание методов тестирования безопасности приложений (SAST, DAST, IAST).

🔹 Подробнее о вакансии

Контакт: @lisenkova_a

#вакансии
Please open Telegram to view this post
VIEW IN TELEGRAM
👍16🔥12😁12🤪4🌚3🤩2💔2
VK Security Confab — ИИ в безопасности, безопасность ИИ

🔊 1 октября (ср) встречаемся на митапе VK Security Confab, посвящённом искусственному интеллекту!

🤖 Приглашаем инженеров и архитекторов ИБ, специалистов по AI Security, AI/ML и всех, кто работает с искусственным интеллектом! Обсудим современные угрозы, методы защиты и реальные кейсы применения искусственного интеллекта в безопасности.
После докладов — традиционный нетворкинг: пообщаемся в неформальной обстановке и обменяемся мнениями.

➡️ Детальная программа и спикеры — скоро. А пока сохраните дату в календаре!

До встречи 💙

VK Security | Буст этому каналу!

#confab #митап #AI
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥129👍51
VK Security Confab: митап про ИИ
Регистрация открыта!

«Машины должны работать, люди — думать». А ещё люди должны встречаться и делиться крутыми идеями! Приходите думать вместе 🙂

Встречаемся 1 октября в офисе 💙 (Москва).

🗒️ Программа докладов:

19.00 - 19.40 - Cекреты (и) LLM, Илья Сидельников (VK)

19:40 - 20:20 - Агентный подход для анализа безопасности OpenAPI-схем, Руслан Бомин-Кулаков (Т-Банк)

20:35 - 21:15 - Использование ИИ для автоматической классификации конфиденциальных данных, Игорь Дмитриев (WB tech)

21:15 - 21:55 - MLSecOps в продакшене: как построить безопасный ML-инференс, Павел Литиков (VK)

22:00 - 23:00 - Афтепати

🤖 Есть опасение, что ИИ скоро заменит специалистов по информационной безопасности! Но пока он не научился ходить на крутые ивенты,
👉 регистрируемся!

Только офлайн. Количество мест ограничено!

VK Security | Буст этому каналу!

#confab #митап #AI
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥7🤩7🎉3👍2
Технологии безопасности Big Tech #3. Что такое VK ZTA?

Классическая модель защиты периметра больше не справляется с вызовами: распределённые инфраструктуры, удалённая работа и усложнение атак требуют новых решений.

🔹Так появилась VK ZTA — наша реализация архитектуры нулевого доверия.

🔹О её создании расскажет Дмитрий Куколев, руководитель VK SOC.

🔹Из выпуска вы узнаете:
🔹почему классическая модель защиты периметра больше не работает;

🔹из чего состоит VK ZTA: NAC-агенты для контроля устройств, аппаратные криптомодули для защиты ключей, ZTA-прокси для динамической авторизации;

🔹как VK ZTA обеспечивает непрерывную проверку контекста и отказ от паролей в пользу биометрии и сертификатов;

🔹результаты: тысячи сотрудников VK ежедневно работают через VK ZTA, совмещая высокий уровень защиты с удобством доступа.

🎥Смотреть полное видео

VK Security | Буст этому каналу!

#технологии #эксперты #VKZTA
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥643👏2🤔1
👋 Привет всем багхантерам в этом чатике!

Делимся с вами крутой новостью и отличной мотивацией перед выходными!

Один из наших самых активных багхантеров @brain_offsec уже получил суперповышенную выплату — более 4 млн рублей за найденную уязвимость! 🤩🔥

💬 В своём канале он подробно рассказал, как у него это получилось:
Всем привет! У меня отличная новость и я хочу ей поделиться — недавно я побил свой личный рекорд по выплатам в Bug Bounty благодаря команде VK 🚀
И я крайне доволен работой с ребятами из VK и вот почему: 
1. Качество триажа. Всё быстро и объективно: даже недавний спорный крит пересмотрели после моих аргументов и выплату подняли в 2 раза.
2. Работа с сообществом. В прошлом году были крутые приватные тусовки, а в этом я выиграл на ивенте, съездил в Санкт-Петербург за счёт VK и впервые побывал на VK Fest с вездеходкой. Это было незабываемо🔥
3. Bounty Pass. Сначала сомневался, но когда видишь удвоенную табличную выплату хочется искать баги только у VK🤓
И вот после очередного крита мои 2.4 млн выросли до выплаты в более чем 4 млн. рублей! Очень рад, что есть возможность ломать и получать больше за предыдущие заслуги❤️
P.S. Пошел ломать дальше) 


👉Хотите так же? Присоединиться!
 
P.S. Поздравляем нашего героя и ждём новых рекордов!

VK Security | Буст этому каналу!

#bugbounty #bountypass #reports
🔥194🏆3👏1
👋 Коллеги, а как у вас обстоят дела с автоматизацией security в пайплайнах?

В новой статье на Хабре руководитель направления защиты приложений VK Игорь Игнатьев подробно рассказал, как мы выстроили систему отслеживания уязвимостей и создали платформу Security Gate.

⏱️ За 7 минут чтения вы узнаете о ключевых аспектах системы:

▪️Как работает мультианализаторная архитектура с автоматическим подбором инструментов под стек технологий проекта
▪️ Как реализован кроссветочный триаж для дедупликации уязвимостей между ветками
▪️ Как динамическая приоритизация пересчитывает CVSS с учетом контекста приложения
▪️ Какие варианты интеграции доступны: API, CI/CD plugins, GitLab WebHooks и full inventory mode
▪️ Как работает контейнерный сканер с оценкой критичности для runtime-окружения

Бета-версия платформы доступна в VK Cloud с бесплатным лимитом на первые сканирования.

👉 Читать полную статью

VK Security | Буст этому каналу!

#технологии #appsec
#devsecops #VKSecurityGate
6👍2🔥2👏2💯1