Патч установлен. Инцидент завершён?
Исправление уязвимости закрывает путь для будущих атак, но не отвечает на вопрос, использовали ли его раньше.
Читать разборНовые разборы: от сигнала к проверке
Новые разборы: от сигнала к проверке
PHP2Shell: как проверить парк PHP и не перепутать версию с уязвимостью
Два критических бюллетеня PHP требуют быстрой инвентаризации, но проверка одной версии в терминале не описывает всю инфраструктуру.
Читать разборЛокальная ИИ-модель в компании: что защищать кроме весов
Локальное размещение даёт контроль над инфраструктурой, но переносит на команду ответственность за данные, доступы и проверку результата.
Читать разборНовые разборы: от сигнала к проверке
Гостиничный Wi-Fi как точка риска: что показала кампания CaptiveCrunch
Открытая сеть в поездке не обязательно опасна, но страница подключения не должна становиться каналом установки программ и передачи рабочих паролей.
Читать разборФишинг как инфраструктура: почему блокировки одного домена недостаточно
Исследование Microsoft показывает, как связанные сервисы помогают масштабировать фишинг. Разбираем защиту без сенсаций.
Читать разборНовые разборы: от сигнала к проверке
Атака на обновления длилась минуты: почему разовой проверки недостаточно
Вредоносное обновление может появляться лишь на короткое время. Разбираем расследование Mandiant и то, как защитить цепочку поставки.
Читать разборИИ-агенты в цепочках атак: как защитить инструменты и доступы
Агентные инструменты ускоряют рутинные действия, но требуют строгих границ полномочий, журналирования и контроля человека.
Читать разборНовые разборы: от сигнала к проверке
PoeLLM: когда сервер для ИИ становится добычей майнеров
Открытые сервисы ИИ ценны не только данными: их вычислительные ресурсы тоже интересуют злоумышленников. Разбираем кампанию и защитные меры.
Читать разборПочтовый шлюз под ударом: что важно знать о CVE-2026-76519
Cisco сообщила об эксплуатации уязвимости в Secure Email Gateway. Объясняем условия риска и действия команды защиты.
Читать разборНовые разборы: от сигнала к проверке
RedFlick: расследовать не вложение, а то, что произошло после клика
Почему знакомый отправитель и обычный системный процесс не доказывают безопасность. Разбираем защитную логику: письмо, запуск, закрепление, проверка результата.
Читать разборНовые разборы: от сигнала к проверке
Угроз стало больше. Какие цифры действительно помогают защищать бизнес?
Свежая статистика фишинга и GenAI полезна, если превращать её в проверяемые действия. Разбираем, где заканчиваются наблюдения исследователей и начинается ваша оценка риска.
Читать разборAI-агенты приходят на рабочий ПК: кто ограничит их полномочия?
Локальная модель и изоляция исполнения решают разные задачи. Что проверить перед тем, как дать агенту доступ к файлам, сети и рабочим приложениям.
Читать разборНовые разборы: от сигнала к проверке
Удалённая поддержка как точка входа: зачем атакующему два RMM-агента
Подписанный установщик ещё не означает согласованный доступ. Разбираем, как отличить работу поддержки от чужого присутствия и не закрыть инцидент слишком рано.
Читать разборОдна учётная запись до облака: почему CI/CD нужно защищать как доступ к production
Связь между входом пользователя, репозиторием и развёртыванием часто важнее отдельной настройки. Как проверить границы доверия и не оставить восстановленный аккаунт с прежними рисками.
Читать разбор// soc operating model
SOC как инженерный продукт: меньше шума, больше доказательств
Новая подборка про alert budget, AI tool ledger и edge/VPN telemetry. Акцент — не на количестве графиков, а на способности команды увидеть и доказать важный сценарий.
SOC без alert budget превращается в шум: detection надо мерить как продукт
Сообщество всё чаще обсуждает не количество правил, а способность команды обработать сигнал. Хорошее правило имеет owner, гипотезу, источник телеметрии, ожидаемую частоту, false-positive budget и ретест.
читать разбор →AI-пентестер должен вести tool ledger, а не просто писать красивый отчёт
Локальные LLM-ассистенты и агентные фреймворки показали полезный паттерн: модель предлагает следующий шаг, но исполняет его только trusted adapter. В production это превращается в action catalog, policy decision и signed evidence.
читать разбор →Remote access остаётся Tier-0: VPN надо проверять как identity-систему
VPN, reverse proxy и панели управления больше нельзя считать сетевой периферией. Это точка входа к админским действиям, поэтому нужны MFA, key-only access, экспозиция по allowlist, логи и быстрый cert/config drift контроль.
читать разбор →// soc / detection engineering / telemetry
SOC Research
Отдельный исследовательский поток о том, как строить detection program без самообмана: telemetry contracts, Sigma validation, query budgets, hunt-flow design, KPI шума и нормальная передача lessons learned из пентеста и DFIR обратно в SOC.
stream.map
question -> data contract -> validation dataset -> rule -> analyst feedback -> retest
// новая SOC-волна
Visibility должна доказывать containment, а не только генерировать alerts
Edge logs становятся Tier-0 evidence source
VPN, reverse proxy и router telemetry требуют retention, config diffs и identity context, потому что именно там может быть видна первая стадия.
читать разбор →Recovery denial должен создавать detections
Backup-policy changes, restore administration и identity reset events должны попасть в SOC coverage до инцидента.
читать разбор →AI reviews нужно логировать как security telemetry
Для AI-assisted triage фиксируйте fact-pack redaction, policy decisions, validator outcomes, denied actions и degraded-mode events.
читать разбор →// текущий control loop
От слабого сигнала до проверенного containment
Response budget должен следовать темпу атакующего
Hand-off доступа за 22 секунды означает, что acknowledgement, preservation evidence, блокировка identity и isolation требуют отдельных измеримых budgets.
читать разбор →Session containment должен включать business workflows
Связывайте sign-ins с mailbox rules, OAuth grants, изменениями MFA, devices, payroll, invoices и administrative actions.
читать разбор →Agent evaluation входит в SOC evidence model
Записывайте attempted и denied tool actions, policy decisions, memory writes, connector calls и redaction outcomes как telemetry.
читать разбор →// updated
Что должен уметь этот поток
- Почему правило шумит и можно ли это измерить заранее.
- Какая телеметрия реально нужна, а какая только сжигает бюджет.
- Как превратить охоту и инцидент в новые детекты, а не в воспоминания.
- Где у программы накопился tuning debt и stale-rule debt.
// focused stream
Материалы потока
Detection-as-code: Sigma как язык между пентестом и SOC
Хороший пентест должен оставлять после себя не только PDF, но и идеи детектирования. Sigma помогает описать сигнал один раз и затем переводить его в SIEM-запросы.
читать разбор →Osquery/Fleet: видимость должна быть безопасной для хоста
Visibility-инструменты ценны, пока не начинают вредить целевой машине. Osquery и Fleet хороши там, где есть query budget, ownership, интервал, label targeting и понимание цены каждой таблицы.
читать разбор →Threat hunting: гипотеза должна переживать смену инструментов
Когда hunting завязан на один SIEM-запрос или одну ручную заметку, он не переживает смену источника логов. Намного полезнее описывать hunt как reusable hypothesis flow: сущности, шаги, enrichment и критерий остановки.
читать разбор →Detection engineering: считайте не только правила, но и шум
Количество rule files почти ничего не говорит о зрелости detection program. Намного важнее coverage intent, false positive burn rate, скорость правки и способность превратить red-team/pentest lessons в стабильные сигналы.
читать разбор →SOC telemetry contracts: данные должны отвечать на конкретный вопрос
Security Onion, Fleet, Zeek, Suricata и endpoint-данные сильны не количеством сенсоров, а качеством контракта между ними: кто отвечает за поле, какую гипотезу оно закрывает и сколько стоит собирать его в production.
читать разбор →Sigma rules без validation dataset быстро теряют доверие
Даже хорошая Sigma-идея может утонуть в шуме, если rule не прогоняется на реальных benign-логах и на контролируемых test-events. Validation dataset нужен не для красоты, а для инженерной честности.
читать разбор →// working logic
Рабочая логика
Хороший SOC stream не начинается с количества rules. Он начинается с вопроса, потом проверяет качество данных, затем валидирует rule на benign/test dataset и только после этого масштабирует покрытие.
logic.flow
question -> data contract -> validation dataset -> rule -> analyst feedback -> retest
// related
Связанные разделы
// current control questions
SOC-приоритеты для machine-speed угроз
Модель может предложить, evidence обязано доказать
SOC и autonomous assessment требуют одной границы: untrusted content, schema-valid планы, deterministic validators и видимые coverage gaps.
читать →Post-upgrade monitoring — часть recovery
Если persistence переживает maintenance, SOC нужен watch window для identity, configuration и control-plane anomalies.
читать →