Codeby One — пентест глазами исполнителя

🚀 Ищем новых авторов курсов по информационной безопасности У нас большая и очень живая аудитория студентов и мы хотим расширять линейку курсов вместе с сильными практиками из индустрии. Сейчас особенно интересуют авторы по направлению Безопасность ИИ / AI Security. А также рассматриваем все иные актуальные темы в области ИБ. При этом не обязательно сразу делать большой курс. Мы открыты к небольшим практическим продуктам на 2–3 дня обучения — интенсивам, воркшопам, мини-курсам. Если у вас есть тема, которую давно хотелось упаковать в обучение, — приходите обсудить. Что мы предлагаем автору 💰 Денежное вознаграждение за создание курса 📣 Выход на аудиторию нашей школы и продвижение курса 🤝 Помощь с упаковкой, методологией и организацией обучения 🎯 Возможность сделать как большой курс, так и небольшой специализированный продукт И ещё важный момент: Если вы сами не хотите быть автором, но знаете сильного специалиста, которого стоит позвать, — порекомендуйте его нам. За успешную рекомендацию предусмотрено денежное вознаграждение. А если вы сами практик и давно думаете: «Я мог бы этому научить» — напишите нам первыми. Нам как раз нужны такие люди. 📩 Пишите мне в личку: @maria_ezhi Можно сразу коротко рассказать: — чем занимаетесь; — какую тему готовы преподавать; — какой формат рассматриваете. Будем рады новым авторам и действительно сильным практикам в нашей команде. 🔥

Представьте: ваш последний пентест показал «идеальную» защиту, но через месяц хакеры сливают данные клиентов в даркнет. Регуляторы, штрафы, репутационный крах — и вопрос: «Как мы могли это пропустить?» В чём подвох? ⚪️ «Бумажные» пентесты игнорируют реальные угрозы: уязвимые API, социнженерию, тени в инфраструктуре. ⚪️ Красивые отчёты ≠ безопасность. 68% компаний, которые не репортят инциденты, *уже взломаны*. ⚪️ Штрафы за утечки в 2024 году достигают миллионов, но главный удар — по доверию клиентов. 3 причины, почему компании играют в русскую рулетку: 1️⃣«Нам нужна галочка, а не проблемы» — страх перед правдой. 2️⃣ «Настоящий пентест — это дорого» — но штрафы и убытки дороже в 10 раз. 3️⃣ «Наши сотрудники и так всё знают» — однако 84% внутренних проверок пропускают критические дыры. Что делать? ▪️ CISO: Документируйте каждый шаг — это ваш щит перед регуляторами. ▪️ HR: Тренируйте сотрудников через реалистичные фишинг-атаки. ▪️ CTO: Интегрируйте безопасность в CI/CD, чтобы ловить угрозы до продакшена. Как отличить показуху от реальной защиты? Читайте полный разбор — и проверьте, не ваш ли бизнес следующий в списке жертв «галочных» проверок.

Вы получили письмо от банка с просьбой срочно подтвердить данные? Или сообщение от друга с подозрительной ссылкой? Это может быть фишинг — опасная схема мошенничества, на которую ежедневно попадают тысячи людей. В новой статье — всё, что нужно знать о фишинге в 2025 году: ✅ Что такое фишинг простыми словами — как работают схемы обмана ✅ 7 главных видов фишинга (почтовый, звонки, соцсети, смс и другие) + реальные примеры ✅ Как распознать подделку — 10 явных признаков мошенничества ✅ Чем опасен фишинг для бизнеса — утечки данных, миллионные убытки и репутационные риски ✅ Что делать, если вас взломали — пошаговый план действий ✅ Как защититься — проверенные методы и инструменты Важно: Фишинговые атаки становятся всё изощрённее — мошенники используют нейросети, поддельные сайты-двойники и даже звонки с "робоголосами". 🔴 Читать полное руководство

✏️ Персональные данные — это информация, которая прямо или косвенно позволяет идентифицировать физическое лицо. С развитием технологий и увеличением объема обрабатываемых данных, вопросы их защиты становятся особенно актуальными. ✏️ Информационная система персональных данных — это совокупность данных и технологий, обеспечивающих обработку ПДн. Однако важно не только собирать и хранить такие данные, но и защищать их от утечек и злоупотреблений. Какие органы регулируют защиту ПДн в России? 🔸 ФСБ — отвечает за защиту ПДн в контексте национальной безопасности. 🔸 ФСТЭК — устанавливает технические стандарты для защиты данных, включая те, которые могут быть государственной тайной. 🔸 Роскомнадзор — следит за соблюдением законов о персональных данных и принимает меры по защите прав граждан. 🔸 Минцифры — разрабатывает нормативные акты и стандарты для цифровых технологий. Ключевые нормативные акты: 🔸 Закон о персональных данных (152-ФЗ) — регулирует обработку и защиту данных. 🔸 Приказ №21 ФСТЭК — устанавливает требования по безопасности ПДн при их обработке в информационных системах. 🔸 Постановление №1119 — вводит классификацию угроз и требования к защите данных. Почему важно защищать ПДн? Необработанные данные, особенно чувствительные (например, медицинские или биометрические), могут стать объектом кражи, манипуляции или даже шантажа. Поэтому защита данных — это не только соблюдение законодательства, но и важная составляющая безопасности. 🔗 Читать полный материал

Сегодня кибератаки — это реальная угроза для компаний всех размеров. Если крупные корпорации вроде Wildberries и СДЭК могут стать мишенью из-за их масштабов, то малый и средний бизнес привлекают злоумышленников из-за недостаточной защиты. Недооценка информационной безопасности может привести к потере данных, финансовым убыткам и репутационным рискам. Что такое информационная безопасность? Это совокупность мер для защиты данных и IT-инфраструктуры от несанкционированного доступа, повреждений или удаления. Она включает: 🔸 Конфиденциальность: доступ к данным только у уполномоченных лиц. 🔸 Целостность: защита от изменений или удаления данных. 🔸 Доступность: предотвращение потерь из-за недоступности информации. Информационная безопасность — это не только программное обеспечение, но и обучение сотрудников, меры по восстановлению данных и строгие внутренние регламенты. Какими бывают угрозы? 1️⃣ Внешние: 🔸 Вредоносное ПО: трояны, шпионы, шифровальщики. 🔸 SQL-инъекции и DDoS-атаки. 🔸 Фишинг: мошеннические письма и сайты. 2️⃣ Внутренние: 🔸 Случайные ошибки сотрудников, нарушающих правила безопасности. 🔸 Намеренные действия, включая кражу данных за вознаграждение. Последствия кибератак — убытки от простоев, штрафы за утечку данных, потеря лояльности клиентов, ухудшение HR-бренда. Как защитить компанию? 🔸 Технические меры: антивирусы, файрволлы, DLP-системы, IDS/IPS. 🔸 Обучение сотрудников: повышение киберграмотности. 🔸 Пентесты: имитация атак для выявления уязвимостей. Не стоит экономить на безопасности — восстановление после атаки может стоить намного дороже. Лучшая стратегия — это комплексный подход, включающий технические решения, обучение и регулярное тестирование системы. ✔️ В новой статье подробно рассмотрены методы защиты и инструменты, которые помогут предотвратить кибератаки.

Готовы выпустить продукт? А точно готовы? Проверим в новой статье Вы разработали крутой продукт, добавили в него топовые фичи, протестировали сами — кажется, всё работает идеально. Но готов ли он к реальному миру? Ошибки и уязвимости могут быть незаметны на первый взгляд, но обязательно всплывут, когда продукт попадёт к пользователям. Чтобы не лишиться их доверия (и нервов), стоит провести полноценное тестирование. Как понять, что продукт действительно готов к релизу? С помощью методов тестирования ПО: «черный ящик» и «белый ящик». Эти подходы дают возможность проверить продукт как с точки зрения пользователя, так и под микроскопом кода. 👁 Что скрывается за методами тестирования? 🌟 «Черный ящик» — это работа с продуктом как обычный пользователь. Тестировщик видит только интерфейс: нажимает кнопки, заполняет формы, проверяет сценарии взаимодействия. Инфраструктура и код остаются для него «вне доступа». Этот метод помогает понять, насколько продукт удобен, совместим с разными устройствами и работает под нагрузкой. 🌟 «Белый ящик» — совсем другая история. Тестировщик погружается в код, чтобы найти баги, проверить чистоту написания, а также обнаружить уязвимости и логические ошибки. Метод позволяет заметить всё, что невидимо на поверхности. 🌟 «Серый ящик» — это золотая середина. Код частично открыт, что позволяет углубиться в важные блоки, не теряя из виду интерфейс и пользовательские сценарии. Как работает тестирование? Продукт подвергается испытаниям на всех уровнях — от мелких деталей до глобальной инфраструктуры: 1️⃣ Модульное тестирование (Unit) — проверяются отдельные фрагменты кода. 2️⃣ Интеграционные тесты — оцениваются связи между модулями. 3️⃣ End-to-End тестирование — продукт проверяется как единое целое. На каждом этапе выявляются уникальные проблемы: от багов в логике до провалов в нагрузочных тестах. Почему оба метода важны? Тестирование «черного ящика» позволяет увидеть продукт глазами пользователя, выявить проблемы с функциональностью и UX. Но без «белого ящика» легко пропустить критичные уязвимости внутри кода. В новой статье мы разобрали: 🔸 Преимущества и ограничения каждого метода 🔸 Когда стоит использовать «черный ящик», а когда лучше сосредоточиться на «белом» 🔸 Почему оптимальная стратегия — это их сочетание Не дайте багам шанса испортить впечатление от вашего продукта! Узнайте больше и доведите своё ПО до совершенства, а Кодебай Вам в этом поможет ➡️ Читать статью в блоге

Дипфейк — это поддельное фото, видео или аудио, сгенерированное искусственным интеллектом для имитации внешности и голоса человека. При создании дипфейков нейросеть анализирует и копирует мимику, движения лица, интонацию и даже фон речи. 👀 В новой статье разбираем как работают дипфейки и как с ними бороться. Основные инструменты создания дипфейков — это генеративно-состязательные сети (GAN), автоэнкодеры, рекуррентные сети (для аудио) и сложные алгоритмы трекинга движений лица. 🗣️ Сейчас дипфейки можно встретить как в развлекательной индустрии, так и в рекламе. Например, дипфейк с Брюсом Уиллисом использовался в рекламе «МегаФона», а в кинематографе они позволяют завершать съёмки с участием актёров, которые покинули проект, как это было с Полом Уокером в «Форсаже 7». Но в политике и преступной сфере дипфейки представляют угрозу, помогая манипулировать общественным мнением и обманывать людей. Преступники подделывают голоса и образы для вымогательства денег и распространения дезинформации. Чем опасны дипфейки? Дипфейки становятся мощным инструментом в руках мошенников, позволяя обманом получать доступ к деньгам и конфиденциальной информации. Среди опасностей: 🔸Финансовое мошенничество 🔸Обход систем безопасности ➡️ Читать полную версию статьи

Для компании утечка данных — это не только риск потери информации, но и серьёзные репутационные и финансовые последствия. Все об утечке данных читайте в новой статье. 🗣️ Когда злоумышленники получают доступ к персональной, финансовой или коммерческой информации, последствия для бизнеса могут быть разрушительными: от потери клиентов до временной остановки бизнес-процессов. Методы кражи данных, которые используют мошенники: 🔸Фишинг: Создание фейковых сайтов и поддельных писем, чтобы обманом получить у сотрудников доступ к данным. 🔸Брутфорс-атаки: Автоматический подбор паролей для доступа к аккаунтам и хранилищам. 🔸Программы-шпионы: Вирусы, которые внедряются в операционные системы и незаметно отправляют данные злоумышленникам. ✉️ Какие данные могут быть украдены? Чаще всего атакуют персональные данные клиентов, финансовые сведения, бизнес-информацию, а также предметы интеллектуальной собственности, такие как патенты и разработки. 5 признаков уязвимости информации в компании: 🔸Высокая текучка сотрудников. 🔸Постоянные командировки с использованием рабочей техники. 🔸Активное взаимодействие с контрагентами, требующее обмена данными. 🔸Сложная IT-инфраструктура с распределёнными правами доступа. 🔸Обслуживание техники в сторонних сервисах. В условиях, когда утечки данных могут затронуть любую компанию, важно принимать активные меры по защите информации, обучать сотрудников и контролировать все возможные каналы утечки. ➡️ Читать подробнее в блоге

😎 Кодебай на Kuban CSC 2024. Как это было? На прошлой неделе завершилась международная конференция по кибербезопасности Kuban CSC 2024, и мы рады поделиться с вами, как она прошла! В этом году Кодебай выступал генеральным партнером мероприятия, поддерживая всё – от организации CTF-соревнований до открытия нашего фирменного стенда, где собрались сотни участников. ℹ️ CTF-соревнования от Кодебай Наши специалисты подготовили уникальную площадку для соревнований по практической информационной безопасности – KubanCTF-2024, в которой приняли участие команды студентов и школьников со всей России. На этой площадке в августе прошел отборочный этап, а в этом октябре более 20 команд сражались за призовые места! 🗣️ "Это была отличная возможность для молодых специалистов испытать свои силы и получить ценный опыт в решении реальных задач кибербезопасности." — Магомед-Эми, создатель CTF-заданий для KubanCTF 2024 🎉 Розыгрыш призов на стенде Кодебай Наш стенд стал одним из самых популярных мест на конференции! Каждый мог поучаствовать в розыгрыше призов — от фирменного мерча до скидок на курсы Академии и годовой подписки на codeby.games. А случайно выбранный счастливчик выиграл главный приз — наушники AirPods Max. Поздравляем победителя и благодарим всех, кто присоединился к нашему розыгрышу! 🗣️ "Мы — те самые ребята, которые взламывают ваши компании и дают рекомендации как закрыть уязвимости." — Сергей Попов, генеральный директор и основатель "Кодебай"  💯 Кодебай — лидер в области образования в кибербезопасности Мы гордимся тем, что можем делиться опытом и знаниями с молодыми специалистами и профессионалами отрасли. Наше сообщество охватывает все направления информационной безопасности, помогая каждому открыть для себя мир кибербезопасности. KubanCSC – это большой шаг вперед в развитии отечественных специалистов, и мы благодарны всем, кто стал частью этого важного события. Спасибо, что были с нами на этом значимом мероприятии! До новых встреч!

Киберзащита на практике: как пентесты помогают предотвратить утечки данных С каждым годом число кибератак на компании неуклонно растет, и злоумышленники становятся всё более изощренными. Главной целью хакеров могут быть не только коммерческие секреты, но и персональные данные клиентов, которые можно продать или использовать для шантажа. Утечка таких данных приводит к серьёзным финансовым и репутационным потерям для компаний, а также штрафам и санкциям со стороны регуляторов. 💡 Пентесты, или тестовые кибератаки, — это инструмент, который позволяет бизнесу лучше подготовиться к реальной угрозе. Компании проводят такие проверки, чтобы выявить слабые места в своей защите, протестировать систему безопасности и минимизировать риски от реальных атак. ❓ Почему пентесты важны для всех компаний? ▪️ Риски для бизнеса: Независимо от размера компании, она может стать жертвой кибератак. Угрозы могут исходить как от целенаправленных атак, так и от автоматизированных программ-взломщиков. Утечка данных или компрометация системы может привести к штрафам, убыткам и потере доверия со стороны клиентов. ▪️ Законодательные требования: Во многих отраслях пентесты становятся обязательными. Например, банки и финансовые организации обязаны ежегодно проводить тесты на проникновение и анализ уязвимостей. Центробанк требует от участников платежных систем соблюдать строгие стандарты кибербезопасности, а нарушение этих требований грозит санкциями. ▪️ Критическая информационная инфраструктура (КИИ): Компании, управляющие КИИ (транспорт, энергетика, финансы, здравоохранение и др.), обязаны регулярно проверять свои системы на предмет уязвимостей. В случае инцидентов, связанных с нарушением работы КИИ, это может повлечь за собой серьёзные последствия для жизни и здоровья людей, что делает киберзащиту критически важной. 🔴 Red & Blue teams и Purple teaming: как это работает? ▪️ Red team — это группа внешних специалистов, которая моделирует действия злоумышленников, пытаясь проникнуть в систему компании. ▪️ Blue team — это внутренняя команда информационной безопасности, которая должна отразить атаки и защитить системы. 📌 Purple teaming — это более современный подход, при котором Red и Blue команды работают в тесном взаимодействии. Он позволяет не только выявлять уязвимости, но и улучшать коммуникацию и совместные действия ИБ-специалистов. 🔒 Кому нужны пентесты и зачем? ➡️ Компании любого размера: Любая организация может стать жертвой кибератаки, вне зависимости от её размера или сферы деятельности. ➡️ Банки и финансовые организации: Пентесты для них — это не просто проверка, а обязательное условие соответствия требованиям регуляторов. ➡️ Субъекты КИИ: Утечки данных и сбои в работе этих компаний могут привести к катастрофическим последствиям, что делает кибербезопасность в этой сфере особенно важной. ✏️ Последствия кибератак: ✅ Штрафы за утечку персональных данных могут достигать 3% от годовой выручки компании или до 500 млн рублей. ✅ Крупные утечки могут привести к уголовной ответственности для должностных лиц, если будет доказано, что нарушения привели к серьезным последствиям. 🗣️ Плановые кибератаки и пентесты — это не просто инструмент проверки ИБ-систем. Это возможность для компаний подготовиться к реальным угрозам, минимизировать риски и защитить свой бизнес, данные клиентов и репутацию.

#вакансия 🚀 Проектная работа 💰 Сдельная оплата 📆 Свободный график 🚩 Специалист по созданию заданий для CTF Attack Defense по веб-безопасности Обязанности: — Разработка и создание сценариев для заданий по веб-безопасности в рамках CTF-соревнований формата Attack Defense. — Подготовка и внедрение атакующих и защитных сценариев, моделирование различных уязвимостей и методов их эксплуатации. — Тестирование и верификация разработанных сценариев, обеспечение их корректной работы. — Разработка и поддержка чекеров для автоматической проверки выполнения заданий. — Создание подробных инструкций и документации по заданию. Требования: — Опыт участия в CTF-соревнованиях, понимание формата Attack Defense. — Глубокие знания о распространенных уязвимостях веб-приложений (OWASP Top 10) и способах их эксплуатации. — Знание одного из языков программирования: Go (Golang), Python, PHP, Java. — Опыт работы с инструментами для тестирования безопасности (Burp Suite, OWASP ZAP и др.). ➡️Писать @StPoV

Как усложнить анализ приложения Международным днём защиты информации по праву считается 30 ноября. Маховик этого праздника раскрутил обычный студент «Роберт Моррис», который в 1988 году создал своего интернет-червя. Какой им был нанесён вред – это отдельная история, зато он заставил весь мир понять, почему кибербезопасности нужно уделять особое внимание. Если коротко, то червь Морриса использовал несколько приёмов стелсирования своей тушки: Читать статью >>>

Пентестер в Кодебай #вакансия Опыт пентестов: от 2х лет Возможно совмещение Возможно удалённо ЗП выше рынка Необходимые компетенции: ✔️Инфра - Понимание Active Directory - Умение проводить тестирование Windows|Linux ОС - Знание сетевых политик - Умение тестирование Kubernetes и Docker - Знание популярных эксплоитов и техник эксплуатации в больших инфраструктурах ✔️WEB - Навыки чтения исходного кода - Знания всех популярных уязвимостей в WEB среде - Навыки поиска уязвимостей черным ящиком - Умение работать с автоматическими сканерами поиска уязвимостей и кастомить под себя Приложите к резюме ссылку на публичный профиль htb, thm, codeby.games и т.д., при наличии. Сертификаты УЦ Кодебай будут преимуществом. Сообщение должно начинаться с фразы "Пентестер в Кодебай". Отправить резюме: @the_codeby

ООО Кодебай - Гарант информационной безопасности. Выявляем любые уязвимости во всех сегментах вашей корпоративной инфраструктуры, а также даем исчерпывающие рекомендации по их устранению и созданию неприступной системы защиты. Проводим: ✔️ Аудит защищённости веб-сайта компании ✔️ Аудит защищённости внешнего периметра ✔️ Аудит защищённости веб-приложения ✔️ Аудит защищённости внутренней корпоративной сети ✔️ Пентест инфраструктуры методом черного ящика ✔️ Аудит защищённости Wi-Fi и СКУД Ознакомиться с перечнем услуг можно тут

Вакансия в Кодебай: Пентестер Опыт работы: от 3 лет Возможно совмещение Удалённо ЗП выше рынка Необходимые компетенции: ✔️Инфра - Понимание Active Directory - Умение проводить тестирование Windows|Linux ОС - Знание сетевых политик - Умение тестирование Kubernetes и Docker - Знание популярных эксплоитов и техник эксплуатации в больших инфраструктурах ✔️WEB - Навыки чтения исходного кода - Знания всех популярных уязвимостей в WEB среде - Навыки поиска уязвимостей черным ящиком - Умение работать с автоматическими сканерами поиска уязвимостей и кастомить под себя Приложите к резюме ссылку на публичный профиль htb, thm, codeby.games и т.д., при наличии. Сообщение должно начинаться с фразы "Пентестер в Кодебай". Отправить резюме: @the_codeby

❗️Важная информация для участников соревнования Киберколизей Ⅲ На время проведения CTF-соревнований, с 28 апреля по 29 апреля, основные таски с платформы https://codeby.games/ будут недоступны. Вы сможете продолжить решать их после окончания соревнований. Заработанные за выполнение заданий баллы отображаются в скорборде не моментально. Процесс подсчета и верификации баллов занимает время. Мы прилагаем все усилия, чтобы обеспечить точность и справедливость в подсчете результатов каждой команды. В ночное время (с 23:00 до 9:00 по МСК (GMT+3)) задержки в обработке запросов у службы поддержки могут быть увеличены. —————————————— ➡️ Убедительная просьба ознакомиться с правилами платформы: https://codeby.games/rules

❗️Друзья, завтра на платформе codeby.games новых заданий не будет. Дружно набираемся сил для участия в Киберколизее! 🚩 Подробнее о соревнованиях: https://cybercoliseum.codeby.games/ ——————————————— Поиск команд: ✈️ Чат codeby.games 💬 Форум 🎮 Discord ——————————————— ➡️ Подтвердить участие на CTFtime