Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

"Slop" стало главным словом 2025 года по мнению редакторов словаря Merriam-Webster

Добавить комментарий

Slop стало главным словом 2025 года по мнению редакторов словаря Merriam-Webster

"Slop" стало главным словом 2025 года по мнению редакторов словаря Merriam-Webster. Первоначальное значение этого слова "мягкая грязь", но теперь им обозначают "цифровой контент низкого качества, который обычно производится в большом количестве с помощью искусственного интеллекта".

Пару недель назад Daniel Stenberg, основатель опенсурсного проекта curl, поделился статистикой по багрепортам на HackerOne. Из статистики видно, что количество подтверждённых уязвимостей падает, а общее количество репортов год от года растёт, в том числе из-за стремительного роста генерённого AI Slop-а.

Daniel Stenberg видит проблему в попытках багхантеров использовать неподходящие AI-инструменты:

"AI-чат-боты всегда отвечают, никогда не говорят «нет» и отчаянно стремятся угодить. Им задают вопрос - и они выдают ответ. Очень часто они его просто выдумывают. Они лгут. Люди, которые так ими пользуются, не умеют выявлять и отделять ложь от правды и, по сути, даже не пытаются этого делать."

По поводу сегодняшнего решения Верховного суда

Добавить комментарий

По поводу сегодняшнего решения Верховного суда

По поводу сегодняшнего решения Верховного суда. Безусловно, отрадно, если теперь мошенникам будет сложнее проворачивать схему "я был в неадеквате, квартиру продавать не хотел, деньги отдал неизвестным - у них ищите".

С другой стороны, не хотелось бы, чтобы текущий дисбаланс в пользу продавца резко сменился дисбалансом в пользу покупателя. Особенно в сомнительных случаях продажи квартиры без личного присутствия и с подачей заявления на регистрацию прав собственности через Госуслуги. 🙄

Реальность такова, что при сделках с недвижимостью всегда будет 100 500 мошеннических схем. Слишком большая ценность стоит на кону.

Поэтому универсальными правилами выглядят:

🔹 Не жалеть денег на профессионалов - риэлторов ориентирующихся в практиках мошенников.

🔹 Фильтровать подозрительные предложения. Выбирать самые надёжные варианты, а не самые выгодные.

🔹 Собирать документы тщательно, заранее готовясь к потенциальному суду.

🔹 Усердно молиться, чтобы в этот раз пронесло. 🙏

Коллеги из Positive Education устроили сегодня новогоднюю вечеринку для задействованных в образовательных программах Positive Technologies

Добавить комментарий

Коллеги из Positive Education устроили сегодня новогоднюю вечеринку для задействованных в образовательных программах Positive Technologies

Коллеги из Positive Education устроили сегодня новогоднюю вечеринку для задействованных в образовательных программах Positive Technologies. 🎄 Я в этом году участвовал:

🔹 В практикуме по Vulnerability Management. Было два синхронных потока, обучили 45 слушателей из 15 компаний. Видео для курса я записывал в прошлом и позапрошлом годах, а в этом принимал участие в регулярных созвонах, пояснял темы и отвечал на вопросы. Также курс можно было проходить асинхронно - без привязки к датам, но и без созвонов. Таких обучающихся было ещё около 30 человек. VM-ный практикум запускали одним из первых, а сейчас их уже 16 по разным направлениям! 😲

🔹 В семестровом курсе по Vulnerability Management для магистратуры ИТМО. Читал лекции и проверял практические работы. Очень интересный и приятный опыт. Студенты молодцы!

Коллеги подарили футболку и шоппер "Несу знания". Приятненько. 😇 В следующем году планирую продолжать образовательные активности.

Стартовал Call For Papers на международный фестиваль по кибербезопасности и технологиям PHDays Fest 2026

Добавить комментарий

Стартовал Call For Papers на международный фестиваль по кибербезопасности и технологиям PHDays Fest 2026

Стартовал Call For Papers на международный фестиваль по кибербезопасности и технологиям PHDays Fest 2026. Фестиваль пройдёт 28-30 мая в Москве.

🏇 Когда можно подать доклад: с 9 декабря и до 9 марта.

⏳ Длительность доклада: 15 или 50 минут.

🗂 Доступно 20 треков: Offense, Defense, Hardware & Firmware Security, OSINT New Blood, Web3, Development General, Development Data, Development Security, OpenSource & OpenSecurity, AI/ML, AI Security, Devices & Technologies, Научпоп, Архитектура ИБ, ИТ-инфраструктура, Security Leader, Next-Generation SOC, Отличные люди в ИБ, Доказательство ИБ, Антикризисный 2026-й год. Описания треков читайте по ссылке, выбрав трек и нажав на i.

В описании Defense указано "Опыт управления уязвимостями", в AI/ML - "Прогнозирование уязвимостей", в Development Security - "Использование AI для поиска и анализа уязвимостей". 🔥 Присматриваюсь и к OpenSource треку, в прошлом году там было неплохо. 😉

Cisco не осилили Vulnerability Management

Добавить комментарий

Cisco не осилили Vulnerability Management

Cisco не осилили Vulnerability Management. 🤷‍♂️ В 2021 году Cisco купили известного и вполне успешного VM-вендора Kenna Security. В пресс-релизе обещали продемонстрировать "unprecedented combined capability".

И вот через 4 года, 9 декабря, Cisco объявили об окончании продаж и завершении жизненного цикла Cisco Vulnerability Management, Vulnerability Intelligence и модуля Application Security (ранее известных как Kenna VM, Kenna VI и AppSec). 🌝

🔹 продажи заканчиваются 10 марта 2026
🔹 продления - до 11 июня 2026
🔹 последний день поддержки - 30 июня 2028

"Cisco будут поддерживать текущие коннекторы, однако не будут разрабатывать какие-либо новые коннекторы и не будут выполнять переходы на новые платформы вендоров или вносить изменения в схемы данных. Алгоритм Cisco Security Risk Score не будет изменяться. Поддержка CVSS4 или EPSS v4 добавляться не будет." Морозят as is. 🥶

Каких-либо замен клиентам не предлагают. 🤷‍♂️

Tenable и Qualys зовут клиентов Cisco к себе.

В этом канале ещё не было поста с записью моего выступления на PHDays в этом году "Vulristics - утилита для анализа и приоритизации уязвимостей"

Добавить комментарий

В этом канале ещё не было поста с записью моего выступления на PHDays в этом году "Vulristics - утилита для анализа и приоритизации уязвимостей". Исправляюсь. 😉

00:00 Кто я такой и о чём буду говорить
01:15 GitHub, название, предназначение
02:15 С чего всё началось? Microsoft Patch Tuesday
03:35 Разбор отчёта Vulristics
08:19 Карточка конкретной уязвимости
10:20 Комментарии к уязвимостям
12:49 Группы уязвимостей
14:12 Анализ произвольных наборов уязвимостей
16:32 Работа с JSON
17:06 Linux Patch Wednesday
19:37 Источники данных (Microsoft, NIST NVD, EPSS, Vulners, AttackerKB, БДУ ФСТЭК, Custom)
32:56 Детектирование уязвимого продукта
37:17 Детектирование типа уязвимости
39:03 Интеграция и автоматизация
43:17 Q&A: Можно ли подать на вход список CPE, найти по ним CVE и получить отчёт?
45:01 Q&A: Можно ли отслеживать расхождения в источниках данных?
46:26 Q&A: Планируется ли использовать LLM-ки?
49:27 Q&A: Будет ли поддержка CVSS 4.0?
51:50 Q&A: Какие планы по развитию на полгода?
53:24 Q&A: Какие ещё базы уязвимостей есть смысл поддержать?

Видео доступно на VK Видео, RUTUBE и YouTube.

🎁 БОНУС! На прошлой неделе вышла статья на Хабре по мотивам этого выступления. Так что, если нет времени смотреть видео, можно там пролистать. 😉

Недавно доченька проходила онлайн-олимпиаду "Безопасный интернет" для 1 класса на Учи.ру

Добавить комментарий

Недавно доченька проходила онлайн-олимпиаду Безопасный интернет для 1 класса на Учи.ру

Недавно доченька проходила онлайн-олимпиаду "Безопасный интернет" для 1 класса на Учи.ру. Ознакомился с содержанием. 🙂

Понравились задания:

🟢 Какие фотографии опасно выкладывать в паблик.
🟢 Схемы развода и опасное общение на маркетплейсах.
🟢 Мошеннические схемы в мобильных играх.
🟢 План действий в случае кражи данных банковской карты.
🟢 Как отличить мошеннические онлайн-курсы.

Не понравились задания:

🔴 Делать LLM-промпты для получения правильных картинок.
🔴 Экранное время и правильный распорядок дня.
🔴 Квантовые компьютеры (и ни слова про криптографию 🤷‍♂️).

Имхо, вместо этого оффтопа полезнее было затронуть темы кибербуллинга, фейковых новостей, защиту личной информации и паролей, фишинг и, разумеется, основы patch и vulnerability management. 😉

Также хотелось бы, чтобы в каждом задании лейтмотивом было: "в любой непонятной ситуации не держи в себе, немедленно расскажи родителям!"

Но, в целом, олимпиада для 1 класса вполне неплохая. 👍