За последние годы атаки типа DDoS (Distributed Denial of Service) стали не просто вопросом «когда», а практически неизбежностью для многих компаний. Специалисты отмечают: «для организаций с высокой видимостью уже не вопрос если, а когда вас атакуют».

Главные изменения:

• Доступность инструментария «DDoS-as-a-Service» делает возможными атаки даже с небольшими знаниями.
• Атаки становятся быстрее, изощреннее, и все чаще выполняются автоматически. Например, могут запустить миллионы запросов за несколько минут – и даже прежде чем мониторинг сработает.
• Атакующие все чаще обходят простые фильтры: меняют URL, заголовки, куки, используют бот-сети с огромным географическим разбросом.
• Рост объемов: по данным Cloudflare, крупные атаки выросли экспоненциально за последние десять лет. Например, битрейт (Gbps) вырос с сотен Gbps до 5.6 Tbps к 2025 году.

Эти изменения обуславливают, почему устаревшие методы защиты уже не работают или работают слабо.

Почему традиционные решения уступают

Если раньше меры ограничивались фаерволами, CDN и простыми лимитами, то сегодня этого недостаточно. CDN или фаервол часто настроены по-умолчанию и дают лишь частичную защиту.

Атаки перешли с сетевого уровня на уровень приложений (Layer 7) – где они влияют на веб-сервисы и API, которые генерируют ключевой доход

Ключевые уязвимости:

• Блокировка по IP/ГЕО становится бессильной, когда источники атак меняются динамически.
• Статические правила (лимиты, капчи) не успевают реагировать на автоматизированные, быстрые атаки.
• Отслеживание только трафика без анализа поведения – позволяет атакам «проскальзывать» через кэши и защитные механизмы.

Современные подходы к защите в 2025 году

Как должна выглядеть эффективная защита от DDoS сегодня? Вот основные принципы:

1. Многоуровневая стратегия: защита должна быть на уровне edge (CDN), приложения и поведения. Например, скрытие исходного сервера, лимиты не только на динамические запросы, но и на кэш-контент; специальные правила против «cache-busting».
2. Анализ поведения и автоматизация: атаки идут очень быстро (в 2023 году 50 % атак длились менее 52 секунд). Поэтому вручную реагировать уже нельзя – требуется автоматизированная система, которая распознает паттерны: заголовки, время запросов, структура.
3. Инфраструктурные меры и глобальное распределение. Важно подчеркнуть значение глобальных anycast-сетей, автоматизированной фильтрации и подхода без лимитов на трафик («unmetered DDoS mitigation»).
4. Проактивный партнер и мониторинг: все домены через CDN, лимиты на кэш/некэш-трафик, мониторинг скрытых сигналов (например, странные запросы), наличие плана инцидентов.

Что это значит на практике. Рекомендации:

• Убедитесь, что ваша инфраструктура направляется через надежный CDN и исходные сервера не видны напрямую.
• Настройте лимиты и кэширование не только для типичного контента, но и для потенциально «обратных» точек: поиск, ошибки 404, динамика.
• Выбирайте решения с автоматическим анализом поведения, а не только статическими правилами.
• Проверяйте партнеров: способны ли они эффективно действовать без вашего ручного вмешательства и с минимальным влиянием на законный трафик.
• Рассмотрите услуги по защите от DDoS через специализированных провайдеров – на сайте https://stormwall.pro вы найдете соответствующие предложения, например защита для сайта https://stormwall.pro/products/website-ddos-protection.
• Не забывайте: защита – это не покупка и установка, а постоянная адаптация. Атаки эволюционируют и защита должна меняться вместе с ними.

Заключение

В 2025 году защита от DDoS-атак перестала быть опцией -это необходимость. Атаки стали массовыми, автоматизированными, мощными и адаптивными. Традиционные меры уже часто не справляются. Поэтому требуется переход к многоуровневой, автоматизированной, поведенческой защите с глобальной инфраструктурой и проактивным партнером.

Если вы до сих пор полагаетесь лишь на базовый фаервол или CDN по-умолчанию, сейчас отличный момент пересмотреть подход и усилить защиту своих онлайн-сервисов.

Я проанализировала около 30 программ от ведущих онлайн-школ и собрала для вас подборку из 20 лучших. Чтобы было удобнее ориентироваться, разделила материал на несколько частей: сначала вы найдете топ-10 самых сильных курсов, затем — дополнительные варианты, которые помогут выбрать именно свой, а в финале вас ждут подборки бесплатных программ обучения.

Бонус — в статье собраны промокоды, которые я нашла для некоторых курсов, не пропустите!

ТОП-10 лучших курсов пентестера в 2026 году

1. Пентестер с нуля от Skillbox — облачная среда из 12 виртуальных машин, где можно отрабатывать реальные атаки и сценарии защиты.
2. Специалист по информационной безопасности от Нетологии — три направления подготовки и отдельные модули по использованию ИИ.
3. Специалист по информационной безопасности: веб-пентест от Яндекс Практикума — облачный CTF-симулятор и углубленное изучение OWASP Top 10 и API Top 10.
4. Специалист по кибер­безопас­нос­ти с нуля от Skillbox — сочетание классических инструментов пентеста с нейросетями.
5. Специалист по информационной безопасности от GeekBrains — работа на кластере из 12 виртуальных машин в VK Cloud.
6. «Белый» хакер от Skillfactory — стажировка на Standoff 365, подготовка к CTF и участию в багбаунти-программах.
7. Пентест от Otus — формат live coding и подготовка к международным экзаменам CEH и OSCP.
8. Этичный хакер от Coddy School — курс для подростков с изучением Python и JavaScript.
9. Тестирование на проникновение и анализ безопасности. Базовый уровень от Акадeмии АйТи — интенсивная 9-дневная программа с лабораторными работами по сетевым атакам.
10. WebSecOps от Pentestit — углубленная практика по WAF, настройке Nemesida и расследованию инцидентов.

Курсы обучения пентестеров подойдут тем, кто хочет получить практические навыки поиска уязвимостей и научиться мыслить как атакующий. Они будут полезны новичкам на самостоятельном обучении, желающим войти в профессию, и специалистам с опытом, которые стремятся расширить компетенции.

1. Пентестер с нуля | Skillbox

Используйте промокод kursfinder, чтобы получить скидку 50%

Применить промокод>>>

Онлайн-курс обучения «Пентестер с нуля» — это прикладная программа для тех, кто хочет стать специалистом по тестированию на проникновение. Обучение построено на реальных инструментах индустрии: Nmap для сканирования сетей, Burp Suite для анализа веб-приложений, Wireshark для исследования трафика, Mimikatz и BloodHound для работы с инфраструктурой Active Directory, Hydra для атак перебором и множество утилит для тестирования приложений и баз данных.

Студентам предоставляется облачная лаборатория из 12 виртуальных машин в VK Cloud, где в безопасной среде можно отрабатывать атаки и защитные сценарии. По итогам курса выпускник не только усваивает теорию, но и приобретает практические навыки проведения полноценного пентеста: от поиска и эксплуатации уязвимостей до подготовки профессионального отчета.

• Стоимость: от 4 936 руб./мес. в рассрочку на 24 месяца
• Длительность: 6 месяцев
• Формат обучения: видеолекции с пожизненным доступом, практические задания, разборы от кураторов, вебинары с экспертами, общение в Telegram-чате
• Сертификат: сертификат Skillbox

Кому подойдет: новичкам, которые хотят войти в сферу кибербезопасности, и специалистам, стремящимся углубить навыки в области анализа защищенности и проведения пентестов.

Преимущества:

• предоставляется облако с 12 виртуальными машинами для практики;
• обучение проходит на реальных сценариях атак и защиты;
• в курс встроен проект в портфолио;
• поддержка наставников с солидным практическим бесценным опытом — от 5 лет;
• видеолекции остаются в постоянном доступе;
• практические задания с детальной проверкой;
• HR-консультант помогает с резюме и собеседованиями;
• налоговый вычет до 13% от стоимости обучения;
• удобная рассрочка без процентов для всех желающих студентов;
• рейтинг студентов выше 4,7 на независимых платформах.

Недостатки:

• VirtualBox может вызывать сложности на устройствах Mac;
• требуется базовое понимание системного администрирования.

Программа обучения

• Введение в информационную безопасность и обзор процессов
• Сбор информации об инфраструктуре и разведка целей
• Сканирование сетевых сервисов и обнаружение уязвимостей
• Проверка и эксплуатация уязвимостей в веб приложениях
• Атаки на доменную инфраструктуру и работа с учетными данными
• Сетевые атаки и анализ трафика с помощью Wireshark и Tcpdump
• Автоматизация тестирования и написание эксплойтов на Python
• Работа с инструментами Burp Suite Nmap Metasploit и другими
• Практические задания на виртуальных стендах и промежуточные проекты
• Финальный проект и подготовка отчета для заказчика

Ознакомиться с полной программой >>>

2. Специалист по информационной безопасности | Нетология

Используйте промокод kursfinder, чтобы получить скидку 7%

Применить промокод>>>

Этот курс по пентесту разработан для тех, кто хочет освоить современные технологии защиты информации и пройти профессиональную переподготовку. Программа сочетает базовую теорию с практикой на реальных кейсах и отработкой инструментов, востребованных в индустрии. Студенты учатся анализировать сетевой трафик в Wireshark, проводить брутфорс-атаки с Hydra и Medusa, находить и эксплуатировать уязвимости с помощью Nmap и Metasploit, работать с наборами Sysinternals и NirSoft, а также автоматизировать задачи через PowerShell и Bash, контейнеризовать окружения в Docker и настраивать IDS/IPS.

Отдельный блок посвящен применению машинного обучения и нейросетей для обнаружения угроз и расследования инцидентов. Сердце курса — практические проекты в виртуальных стендах и облаке Timeweb Cloud: несколько больших кейсов, где нужно пройти полный цикл — разведка, эксплуатация, постэксплуатация, эскалация привилегий и подготовка рекомендаций по устранению. В результате выпускник получает реальные рабочие навыки и готовность к задачам в Forensics, DevSecOps и веб-пентесте.

• Стоимость: от 3 805 руб./мес. при рассрочке на 36 месяцев или 130 200 руб. единоразово
• Длительность: от 11 месяцев
• Формат обучения: вебинары, лекции, воркшопы, 4 крупных проекта, 74 практических задания, доступ к материалам и мобильное приложение
• Сертификат: диплом о профессиональной переподготовке установленного образца

Кому подойдет: начинающим специалистам и тем, кто хочет перейти в сферу кибербезопасности, а также практикам, которым необходимы углубленные знания и специализации в Forensics, DevSecOps или Pentest.

Преимущества:

• три специализации (две обязательные и одна на выбор каждому студенту);
• практика с виртуальными машинами и облаком Timeweb Cloud;
• применение ИИ и ML для анализа инцидентов и угроз;
• более 20 вебинаров с экспертами;
• доступ к мобильному приложению с офлайн-режимом;
• 4 проекта для портфолио;
• 74 практических задания с обратной связью;
• поддержка наставников и специалистов из СберМаркета, Самоката и Intel;
• HR-сопровождение и помощь в трудоустройстве;
• возможность стажировки у партнеров программы.

Недостатки:

• необходимы базовые знания в администрировании ОС;
• сложно совмещать с учебой или работой.

Программа обучения:

• Основы информационной безопасности и криптографии
• Работа с сетями Linux и Windows
• Язык Python и программные уязвимости
• Статический и динамический анализ реверс инжиниринг
• Тестирование на проникновение и эксплуатация уязвимостей
• Администрирование систем защиты информации
• Цифровая криминалистика и расследование инцидентов Forensics
• DevSecOps и обеспечение безопасности разработки
• Применение ML и нейросетей в кибербезопасности
• Дипломный проект и защита итоговой работы

Ознакомиться с полной программой >>>

3. Специалист по информационной безопасности: веб-пентест | Яндекс Практикум

Купите любой курс с выгодой до 20% при оплате сразу

Получить скидку>>>

Онлайн-курс «Кибербезопасность: веб-пентест» разработан специалистами из Яндекса, VK и Альфа-Банка и фокусируется на практических навыках поиска уязвимостей в веб-приложениях. Во время обучения студенты осваивают реальные инструменты пентестера — Burp Suite для анализа трафика, SQLMap для тестирования баз данных, ffuf и Dirsearch для перебора директорий, Nmap и Naabu для сканирования портов, Shodan и Censys для поиска уязвимых сервисов, а также Postman, Amass, OWASP ZAP, Fiddler, Nuclei и другие утилиты.

Для практики предусмотрен облачный CTF-симулятор Яндекса, где независимо от города можно безопасно отрабатывать атаки на авторизацию, API и бизнес-логику приложений. Отдельный модуль посвящен уязвимостям из OWASP Top 10 и API Top 10 — их подробно разбирают на примерах с демонстрацией воспроизведения и способов исправления. Курс включает лабораторные задания и командные воркшопы, что помогает плавно перейти от теории к реальным практическим навыкам.

• Стоимость: от 4 490 руб./мес. до 7 511 руб./мес. в рассрочку на 36 месяцев
• Длительность: 4–6 месяцев
• Формат обучения: вебинары, видеолекции, воркшопы, лабораторные задания, чек-листы по WAPT, индивидуальные встречи с экспертами
• Сертификат: диплом о профессиональной переподготовке установленного образца

Кому подойдет: разработчикам, тестерам, системным администраторам и студентам техвузов, которые хотят освоить веб-пентест или перейти в AppSec/DevSecOps.

Преимущества:

• работа в облачном CTF-симуляторе, приближенном к реальным условиям;
• обучение пентесту с нуля от практиков из крупных IT-компаний;
• актуальная программа с регулярными обновлениями;
• изучение OWASP Top 10 и API Top 10 на примерах;
• практика с контейнерами и облаками (Docker, Kubernetes, Yandex Cloud, S3);
• воркшопы с командной работой и обратной связью;
• собственный чек-лист по всем этапам WAPT;
• поддержка наставников и индивидуальные консультации;
• помощь в дальнейшем трудоустройстве и карьерные советы от экспертов;
• диплом о профессиональной переподготовке.

Недостатки:

• высокая нагрузка: требуется 10–20 часов в неделю;
• курс предполагает базовые знания сетей и Linux.

Программа обучения:

• Основы веб-пентеста и вводное тестирование
• Разведка в веб-приложениях Kali Linux Burp Suite OWASP ZAP Shodan Censys
• Анализ защищенности и эксплуатация уязвимостей XSS CSRF SQL Injection SSRF XXE IDOR уязвимости API и др
• Работа с аутентификацией и авторизацией OAuth JWT SSO MFA
• Отчетность документирование и правовые аспекты
• Финальный проект полный цикл веб-пентеста и подготовка рекомендаций
• Дополнительные модули SSDLC Secure by Design DevSecOps контейнеризация и облака

Ознакомиться с полной программой >>>

4. Специалист по кибер­безопас­нос­ти с нуля | Skillbox

Используйте промокод kursfinder, чтобы получить скидку 50%

Применить промокод>>>

Курс по пентесту с нуля сочетает классическую подготовку в области защиты информационных систем с освоением нейросетевых технологий. Во время обучения студенты работают с профессиональными инструментами анализа и тестирования — Wireshark и tcpdump для исследования сетевого трафика, Burp Suite для проверки веб-приложений, Hydra и Mimikatz для атак перебором и получения учетных данных, BloodHound для анализа Active Directory, Wazuh и ELK Stack для мониторинга, а также изучают SQL, Python, PowerShell, Bash и Docker.

Для практики выделен кластер из 12 виртуальных машин в облаке VK Cloud, что позволяет моделировать атаки и защиту в условиях, приближенных к реальным. В отдельные блоки курса включено использование ChatGPT и других ИИ-инструментов для автоматизации задач, анализа логов и поиска аномалий.

• Стоимость: от 5 637 руб./мес. в рассрочку на 31 месяц
• Длительность: 12 месяцев
• Формат обучения: видеолекции с пожизненным доступом, практические задания, CTF-симуляции, проекты для портфолио, вебинары и воркшопы, Telegram-чат с экспертами
• Сертификат: удостоверение о повышении квалификации установленного образца

Кому подойдет: новичкам, которые хотят освоить профессию с нуля, и специалистам IT, стремящихся расширить знания и использовать ИИ для задач кибербезопасности.

Преимущества:

• pentest-обучение на кластере из 12 виртуальных машин;
• практика в формате CTF и проекты для портфолио;
• освоение нейросетей и их интеграции в рабочие процессы;
• изучение популярных инструментов (Wireshark, Burp Suite, Hydra, BloodHound, Mimikatz и др.);
• поддержка экспертов и кураторов с опытом от 5 лет;
• диплом установленного образца по лицензии;
• помощь HR-консультанта в трудоустройстве;
• возможность налогового вычета до 13%;
• рассрочка с отсрочкой первого платежа на 6 месяцев;
• бонусы от VK Pay и дополнительные курсы в подарок.

Недостатки:

• высокая нагрузка — в среднем 5 часов в неделю;
• стоимость выше, чем у базовых курсов по безопасности.

Программа обучения:

• Основы веб-пентеста и вводное тестирование
• Разведка в веб-приложениях Kali Linux Burp Suite OWASP ZAP Shodan Censys
• Анализ защищенности и эксплуатация уязвимостей XSS CSRF SQL Injection SSRF XXE IDOR уязвимости API и др
• Работа с аутентификацией и авторизацией OAuth JWT SSO MFA
• Отчетность документирование и правовые аспекты
• Финальный проект полный цикл веб-пентеста и подготовка рекомендаций
• Дополнительные модули SSDLC Secure by Design DevSecOps контейнеризация и облака

Ознакомиться с полной программой >>>

5. Специалист по информационной безопасности | GeekBrains

Используйте промокод kursfinder, чтобы получить скидку 7%

Применить промокод>>>

Онлайн-курс сочетает базовые знания в области защиты информации с современными инструментами тестирования и анализа. В программе предусмотрена работа с системами мониторинга Wazuh и ELK Stack, утилитами для выявления уязвимостей — Mimikatz, Hydra, Burp Suite, анализаторами трафика Wireshark и TCPdump, а также средствами аудита инфраструктуры BloodHound и SonarQube. Для закрепления навыков предоставляется доступ к кластеру из 12 виртуальных машин в облаке VK Cloud, где можно моделировать реальные атаки и отрабатывать защитные сценарии.

Дополнительно курс охватывает работу с Python, PowerShell, Bash, SQL, PostgreSQL и GitLab. Практическая часть включает два проекта для портфолио: проведение тестирования на проникновение и расследование инцидента. Отдельный модуль посвящен применению нейросетей и AI для автоматизации анализа данных и поиска уязвимостей, что позволяет освоить подходы, востребованные в современной кибербезопасности.

• Стоимость: от 4 120 руб./мес. в рассрочку на 36 месяцев
• Длительность: 12 месяцев
• Формат обучения: видеолекции с пожизненным доступом, онлайн-занятия с экспертами, воркшопы, проекты в портфолио, практика в виртуальных стендах VK Cloud, обратная связь от кураторов
• Сертификат: диплом установленного образца по лицензии

Кому подойдет: желающим освоить профессию специалиста по информационной безопасности с нуля, а также системным администраторам и IT-специалистам, стремящимся перейти в сферу киберзащиты.

Преимущества:

• обучение на облачных стендах из 12 виртуальных машин;
• освоение инструментов для тестирования и анализа безопасности;
• практика в формате CTF и лабораторных заданий;
• два полноценных проекта для портфолио;
• персональная поддержка кураторов и экспертов;
• помощь HR-специалистов в трудоустройстве;
• диплом установленного образца по лицензии;
• возможность рассрочки без переплат;
• налоговый вычет до 13% от стоимости.

Недостатки:

• ограниченное количество мест в потоке;
• при индивидуальных вопросах иногда приходится ждать консультации эксперта.

Программа обучения:

• Основы администрирования Linux и Windows
• Работа с сетями и защита периметра
• Python и PowerShell для задач кибербезопасности
• Анализ защищенности приложений и инфраструктуры
• Мониторинг событий и расследование инцидентов
• Использование нейросетей и AI в задачах ИБ
• Тестирование на проникновение и разработка рекомендаций
• Работа с современными инструментами аудита и анализа
• Итоговые проекты для портфолио

Ознакомиться с полной программой >>>

6. «Белый» хакер | Skillfactory

Онлайн-курс «Белый хакер: пентестер» предназначен для тех, кто хочет освоить профессию специалиста по киберзащите и научиться находить уязвимости в цифровых системах. Во время обучения студенты получают доступ к реальным инструментам индустрии — Burp Suite, Metasploit, Wireshark, SQLmap, Hashcat, Hydra, Kali Linux, PowerShell Empire, Mimikatz, Maltego, Airgeddon и другим — и отрабатывают навыки на специально подготовленных лабораторных стендах.

Практическая часть включает участие в CTF-соревнованиях, моделирующих реальные атаки, а также лаборатории по тестированию сайтов, сетей, операционных систем и корпоративных приложений. Программа завершается финальным проектом и стажировкой на площадке Standoff 365 от Positive Technologies, что помогает прокачать навыки багханта и войти в профессиональные рейтинги.

• Стоимость: от 3 997 руб./мес. в рассрочку
• Длительность: 13 месяцев
• Формат обучения: онлайн-видеоуроки, практические задания, воркшопы, командные и индивидуальные CTF, лаборатории, поддержка менторов и карьерного центра
• Сертификат: сертификат или диплом о профессиональной переподготовке установленного образца

Кому подойдет: новичкам без опыта в ИТ, а также тестировщикам и системным администраторам, которые хотят перейти в сферу пентеста и расширить компетенции.

Преимущества:

• освоение востребованной профессии с нуля;
• практика в CTF-симуляторах и стендах;
• изучение более 15 профессиональных инструментов;
• стажировка на платформе Standoff 365;
• поддержка менторов и кураторов на протяжении всего курса;
• карьерный центр и помощь в трудоустройстве;
• возможность работать удаленно после окончания;
• диплом или сертификат, признаваемый работодателями;
• доступ к дополнительным курсам по нейросетям, soft skills и английскому;
• гарантия возврата денег, если не удастся трудоустроиться в течение 6 месяцев.

Недостатки:

• высокая учебная нагрузка (до 15 часов в неделю);
• некоторые блоки могут быть сложны новичкам без IT-базы;
• редкие технические неполадки на вебинарах.

Программа обучения:

• Основы администрирования Linux и Windows
• Python и базы данных для задач кибербезопасности
• Анализ защищенности и защита приложений
• Мониторинг событий и реагирование на инциденты
• Атаки на веб-сайты сети ОС и корпоративные системы
• Использование инструментов пентеста Burp Suite Metasploit Nmap Hydra Hashcat и др
• Практикум в формате CTF и командных проектов
• Стажировка на Standoff 365 и работа с багбаунти
• Финальная аттестация и проект

Ознакомиться с полной программой >>>

7. Пентест | OTUS

Онлайн-курс ориентирован на практическое освоение тестирования на проникновение — здесь нет сухой теории, только реальные сценарии атак и работа с индустриальными инструментами: Nmap, Burp Suite, Metasploit, Wireshark и рядом других. Каждый модуль построен как демонстрация в формате live coding — преподаватель показывает разбор уязвимостей на настоящих сервисах, а студенты повторяют шаги на виртуальных машинах и сразу отрабатывают приемы на практике.

Курс предусматривает проектные задачи для портфолио и помогает закрепить навыки через практические упражнения: от разведки и эксплуатации уязвимостей до подготовки профессионального отчета. Программа покрывает полный цикл пентеста и дает базовую подготовку для дальнейшей сертификации и сдачи международных экзаменов, таких как CEH и OSCP.

• Стоимость: 112 000 руб.
• Длительность: 5 месяцев
• Формат обучения: вебинары 2 раза в неделю, домашние задания с проверкой, проектная работа, доступ к материалам и записям навсегда, общение с экспертами в чате
• Сертификат: сертификат OTUS и удостоверение о повышении квалификации

Кому подойдет: разработчикам, администраторам, devops-инженерам и специалистам по ИБ.

Преимущества:

• акцент на практическом применении знаний;
• разбор уязвимостей в формате life coding;
• доступ к лабораторным стендам и виртуальным машинам;
• домашние задания с развернутым фидбеком;
• индивидуальная проектная работа для портфолио;
• поддержка преподавателей и экспертов-практиков;
• карьерная помощь (разбор резюме, собеседований, база вакансий партнеров);
• подготовка к сертификациям CEH и OSCP;
• оптимальная нагрузка, совмещаемая с работой;
• сертификат и удостоверение государственного образца.

Недостатки:

• требуется базовое знание сетей и ОС;
• обязательное вступительное тестирование перед зачислением.

Программа обучения:

• Концептуальные основы пентеста
• Сетевая безопасность
• Эскалация привилегий в ОС
• Active Directory
• Веб-пентест
• Атаки на различные векторы
• Проектный модуль практика с уязвимыми сервисами

Ознакомиться с полной программой >>>

8. Этичный хакер | Coddy School

Онлайн-курс «Этичный хакер» разработан для подростков и начинающих специалистов, которые хотят познакомиться с основами информационной безопасности и методами противодействия кибератакам. Обучение проводят сертифицированные практики, которые шаг за шагом объясняют работу с Python, JavaScript, HTML, CSS, MySQL и базовыми сетевыми протоколами. В процессе занятий ученики знакомятся с реальными приемами атак, учатся моделировать фишинговые сайты, выполнять простые пентесты и применять инструменты защиты личных данных.

Особое внимание уделено практике: студенты закрепляют теорию на собственных проектах, получают первый опыт в сфере кибербезопасности и завершают обучение именным сертификатом, который станет ценным дополнением к портфолио.

• Стоимость: по запросу
• Длительность: от 72 часов
• Формат обучения: индивидуальные и групповые занятия онлайн и офлайн, практические проекты, работа с виртуальными средами
• Сертификат: именной сертификат Coddy School

Кому подойдет: подросткам 12–16 лет, а также начинающим программистам, которые хотят развивать навыки кибербезопасности.

Преимущества:

• обучение у практикующих специалистов по кибербезопасности;
• адаптированная программа для подростков;
• сочетание теории и практических заданий;
• знакомство с Python, JavaScript, HTML, CSS и MySQL;
• моделирование реальных атак и защита от них;
• изучение принципов криптографии и хеширования;
• освоение работы с Windows и Linux через командную строку;
• получение навыков безопасного поведения в интернете;
• возможность создания собственных проектов и защиты их на презентации;
• именной сертификат по итогам обучения.

Недостатки:

• требуется базовое знание Python;
• курс рассчитан только на возраст 12–16 лет;
• не подходит для продвинутых.

Программа обучения:

• Основы этичного хакинга и социальная инженерия
• Python и криптография
• Хеширование и базы данных пользователей
• Сетевые атаки HTML CSS и фишинговые сайты
• JavaScript и защита от XSS
• Работа с MySQL и защита от SQL уязвимостей
• Сетевые протоколы OSI и TCP IP
• Работа в командной строке Windows и Linux
• VPN FTP SMB и финальный проект с презентацией

Ознакомиться с полной программой >>>

9. Тестирование на проникновение и анализ безопасности. Базовый уровень | Академия АйТи

Курс предназначен для специалистов, стремящихся освоить практику этичного хакинга и научиться оценивать защиту корпоративных сетей и приложений. В рамках программы подробно разбираются техники поиска уязвимостей, их эксплуатация и методы противодействия атакам, а также работа с инструментами, которыми пользуются пентестеры. Слушатели учатся находить слабые места в инфраструктуре и оформлять выводы в профессиональные отчеты.

Обучение включает лабораторные работы, практические задания и семинары, что позволяет закрепить теорию на реальных кейсах и приобрести практический опыт использования инструментов тестирования. Такой подход помогает сформировать компетенции, необходимые для выполнения проверок безопасности и подготовки рекомендаций по их устранению.

• Стоимость: 99 000 руб.
• Длительность: 9 дней (72 часа)
• Формат обучения: вебинары, лабораторные занятия, практические проекты, обратная связь от преподавателей
• Сертификат: удостоверение о повышении квалификации

Кому подойдет: системным администраторам, специалистам по информационной безопасности.

Преимущества:

• глубокое изучение методов тестирования на проникновение;
• практические лабораторные задания;
• пошаговое освоение инструментов аудита безопасности;
• разбор реальных сценариев атак;
• обучение у экспертов-практиков;
• формирование навыков анализа сетей и приложений;
• изучение способов противодействия современным атакам;
• работа с вирусами, троянами и бэкдорами в учебной среде;
• освоение принципов криптографии и SSL/TLS;
• подтвержденный сертификат о повышении квалификации.

Недостатки:

• высокая стоимость курса;
• необходимы базовые знания администрирования;
• программа ориентирована только на базовый уровень.

Программа обучения:

• Введение в этичный хакинг и виды атак
• Сбор информации и социальная инженерия
• Сканирование сетей и перечисление сервисов
• Переполнение буфера и методы защиты
• DoS DDoS атаки ботнеты и противодействие
• Вирусы черви трояны и бэкдоры
• Использование снифферов и перехват сеансов
• SQL инъекции и тестирование веб приложений
• Основы криптографии SSL TLS SSH
• Хакинг систем серверов приложений и сетей Wi Fi
• Обход IDS Honeypot и брандмауэров
• Итоговое тестирование на проникновение с практическими заданиями

Ознакомиться с полной программой >>>

10. WebSecOps | Pentestit

Курс от специалистов Pentestit ориентирован на тех, кто хочет освоить практические навыки защиты веб-приложений и анализа инцидентов. Программа охватывает архитектуру веб-сервисов, разбор наиболее распространенных уязвимостей и работу с современными инструментами тестирования — Burp Suite, OWASP ZAP, sqlmap, Wapiti и другими. Отдельный блок посвящен Web Application Firewall: настройке компонентов, анализу атак и созданию собственных правил защиты.

Более 60% курса занимает практика в специализированной лаборатории, где моделируются реальные сценарии атак на веб-приложения. Такой подход позволяет участникам не только отработать применение инструментов, но и сформировать системное понимание процессов защиты и реагирования.

• Стоимость: 78 500 руб.
• Длительность: 21 день
• Формат обучения: онлайн-воркшопы, видеоуроки, лабораторные задания, работа в виртуальной среде под руководством куратора
• Сертификат: фирменный документ при успешной сдаче финальных практических заданий

Кому подойдет: пентестерам, специалистам по ИБ, разработчикоам, администраторам и DevOps-инженерам.

Преимущества:

• сочетание теории и практики (40% и 60%);
• лаборатории, имитирующие реальные корпоративные системы;
• обучение у специалистов с практическим опытом;
• проработка уязвимостей веб-приложений;
• освоение WAF и Nemesida API Firewall;
• постоянная поддержка куратора;
• обновление программы при каждом наборе;
• индивидуальные проектные задания;
• разбор сложных случаев на онлайн-сессиях;
• доступ к личному кабинету, вебинарам и лабораториям.

Недостатки:

• требуются базовые знания сетей и администрирования;
• курс доступен только для слушателей старше 18 лет;
• ограниченные сроки набора новых групп.

Программа обучения:

• Архитектура веб приложений и сбор информации
• SQL и NoSQL injection XSS XXE RCE SSTI CSRF
• Инструменты анализа защищенности и атаки методом перебора
• Статический анализ исходного кода
• Работа с WAF и обход защитных механизмов
• Настройка Nemesida WAF и Nemesida API Firewall
• Противодействие DDoS brute force и flood атакам
• Анализ атак и расследование инцидентов
• Финальный проект с практическим заданием

Ознакомиться с полной программой >>>

Еще 7 дополнительных курсов пентестера

Я нашла еще 7 курсов по пентесту, которые могут быть полезны тем, кто хочет прокачать свои навыки в области этичного хакинга и тестирования на проникновение. Эти программы различаются по уровню сложности и направлению начиная от базового изучения уязвимостей до глубокого погружения в инструменты и методы атак, что позволяет выбрать подходящий вариант под любые цели обучения.

• Специалист по тестированию на проникновение веб-приложений от CyberED. Обучение сочетает 100 компетенций, 200+ практических заданий и 13 модулей, охватывающих разведку, эксплуатацию уязвимостей, повышение привилегий и работу с Active Directory. Программа построена на 80% практики в киберполигонах, а итогом станет цифровое резюме и диплом о профпереподготовке.
• Zero Security от Pentestit. Курс направлен на практическое изучение уязвимостей веб-приложений и способов защиты от атак. Обучение сочетает 40% теории и 60% практики в специализированной лаборатории, где отрабатываются техники SQL-инъекций, XSS, CSRF, RCE и других атак. Особое внимание уделяется работе с инструментами Burp Suite, OWASP Zap, sqlmap и настройке WAF Nemesida для предотвращения инцидентов.
• СЕН2. Тестирование на проникновение хакера и анализ безопасности от Центра компьютерного обучения «Специалист» при МГТУ им.Н.Э.Баумана. Слушатели изучают последовательности атак, методы разведки, социальную инженерию, тестирование веб-приложений, беспроводных сетей, IoT и облачных решений. Практическая часть – работа в учебной лаборатории с использованием техник этичного хакинга и подготовку отчетов по результатам тестирования.
• Тестирование Веб-Приложений на проникновение от Codeby Security School. Это практическая программа по тестированию веб-приложений на проникновение. В ней разбираются современные уязвимости, такие как SQL Injection, XSS, CSRF, SSTI и другие, а также методы повышения привилегий и активного/пассивного фаззинга. Обучение проходит с акцентом на лабораторные задания (65 учебных и 16 экзаменационных), дополненные живыми вебинарами и поддержкой опытных пентестеров.
• Профессиональный пентестинг от МАИ. Вы изучите правовые аспекты пентестинга, научитесь готовить отчеты по проведенным тестированиям, освоите основы криптографии и защиты данных, а также получите практические навыки взаимодействия с заказчиками.
• Этичный Веб хакинг (web hacking) для начинающих от Udemy. Это вводный онлайн-курс по этичному веб-хакингу, где разбираются самые распространенные уязвимости веб-приложений, в том числе SQL Injection, Path Traversal и Command Injection. Участники учатся устанавливать и настраивать необходимые инструменты, сканировать объекты через Burp Suite и ZAP Proxy, использовать SQLMap и получать практические навыки тестирования. Материал подается в формате видеолекций с пожизненным доступом, а по итогам выдается сертификат об окончании.
• Все про пентест — Почему важна сетевая безопасность на Android от bitdegree. Базовый онлайн-курс по этичному хакингу и тестированию на проникновение с использованием Android. В процессе обучения разбираются атаки на сети, методы сканирования и сбора информации, создание кейлоггеров и фишинговых приложений, а также защита от распространенных атак. Курс основан на практическом опыте специалиста по безопасности и подойдет тем, кто хочет начать карьеру в пентестинге через знакомую среду Android.

Бесплатные курсы пентестера

Я подобрала для вас несколько бесплатных курсов по пентестингу — коротких, практичных и ориентированных на безопасное, этичное тестирование. Это отличный вариант для старта: в них обычно проходят основы.

1. Белый хакинг — с нуля до первого пентеста от Skillbox. Короткий интенсив, где показывают основы белого хакинга и кибербезопасности. За три дня можно попробовать простые приемы взлома и защиты веб-приложений, разобраться с базовыми атаками XSS и CSRF, написать первую программу на Python и понять, как работает профессия пентестера. Обучение построено на практических кейсах и подходит тем, кто хочет сделать первые шаги в этой сфере.
2. Основы безопасности и анонимности в сети от GeekBrains. Бесплатный курс по веб-пентесту, в котором рассматриваются базовые подходы к защите данных и сохранению анонимности в интернете. За 2 урока можно узнать о причинах утечек информации, методах деанонимизации, безопасности WiFi-сетей и мобильных устройств, а также об угрозах, связанных с использованием сторонних прокси и TOR-нод. Программа подойдет как новичкам, так и тем, кто уже работает с IT-технологиями.
3. Penetration Testing от Академии IT. Это базовый курс по пентесту с нуля по тестированию на проникновение и анализу безопасности, где слушатели учатся выявлять и эксплуатировать уязвимости, отражать атаки и формировать отчеты по результатам проверок. В программе рассматриваются техники сканирования, методы социальной инженерии, работа с SQL-инъекциями, переполнением буфера, вирусами и троянами. Обучение построено с упором на практику и закрепление знаний через лабораторные задания. По завершении выдается удостоверение о повышении квалификации.

Курсы пентестеров — это ваш билет в мир интеллектуальной охоты на уязвимости: практика на реальных стендах, разбор кейсов и прокачка софта-пула превращают любопытство в востребованный навык. Вы получите не просто знания, а портфолио, опыт решения реальных задач и уверенность, что умеете думать как защитник и как атакующий — при этом действуя законно и этично. Если хотите быстро прокачаться — выбирайте курс с лабораториями, кейсами и возможностью стажировки: навыки, которые вы обретете, откроют двери в профессию и помогут строить карьеру в кибербезопасности.

Пишите в комментариях — какой формат обучения вам ближе, какие инструменты хотите освоить или какой курс из подборки вызвал наибольший интерес.

Во время аутентификации клиент получает от сервера токен и должен его где-то сохранить, чтобы потом передавать серверу с каждым запросом. Хранится токен в месте, доступном из JS кода, что порождает уязвимость к XSS атакам. Кроме того, клиенту требуется реализовать логику рефреша.

Иногда в проекте может возникнуть потребность в полном контроле над токеном со стороны сервера: он должен иметь возможность не только проверить, но и обновить или отозвать токен. В этом случае можно применять передачу JWT-токенов через HTTP-Only cookie. Об этом — техлид IT_ONE Сергей Белоусов.

Настройка контейнера ServiceCollection

Рассмотрим на примере. Для добавления работы с JWT-токенами через cookie в фреймфорке ASP.NET Core необходимо в Program.cs добавить следующие строки

Код контроллера для запуска и защиты сессии

Разберём подробнее, что происходит при запуске аутентифицированной сессии. Клиент передаёт в запросе логин и пароль пользователя. Если условный сервис аутентификации _authService (реализацию оставляю за вами) подтверждает правильность введенных данных, то мы создаем JWT-токен и сохраняем его в cookie со следующими параметрами:

1) HttpOnly = true

Ключевая настройка. Разрешает доступ к cookie только со стороны сервера, JS код не будет иметь к ней доступ.

2) SameSite = SameSiteMode.Strict

Запрещает браузерам отправлять этот cookie при межсайтовых запросах. При необходимости можно снизить до SameSiteMode.Lax, но это повысит уязвимость к XSRF атакам (о них позже).

3) Secure = true

Cookie будет отправляться только при соединении HTTPS.

4) Expires = DateTimeOffset.Now.AddMinutes(options.ExpirationTime)

Время жизни cookie задаём таким же, как время жизни JWT-токена, потому что нет смысла хранить токен дольше.

При логауте или неправильных данных входа мы просто удаляем токен из cookies – по сути, отзываем токен.

Проверка токена через сервис JwtService

Код JwtService:

В JwtService мы создаем набор клеймов, которые хотим передавать с каждым запросом, и зашиваем их в токен. В моём примере я решил сохранить в токен информацию о логине, сессии и ролях пользователя.

А что за antiForgeryToken?

А вот и отрицательная сторона использования cookie: уязвимости к XSRF-атакам. Если кратко, то это вид атак, при которых злоумышленник заставляет браузер жертвы, уже авторизованной на сайте, отправить нежелательный запрос на этот сайт от её имени. Браузер автоматически добавляет авторизационный cookie к запросу, что позволяет выполнить действия от имени жертвы.

Частично защиту от XSRF атак повышает опция SameSite = SameSiteMode.Strict, но это не панацея. Также рекомендуют настраивать CORS-политики, но я оставлю эту тему за пределами этой статьи (главное, не забыть AllowCredentials() на сервере и WithCredentials() на клиенте).

Ещё один способ защиты от XSRF атак – добавить ко всем запросам antiForgeryToken. В ASP.NET Core MVC можно использовать services.AddAntiforgery(), тогда к каждой форме на странице будет добавлено скрытое поле, которое заполняется сервером при рендеринге страницы и отправляется при запросах на сервер. Но мне кажется, что при использовании связки SPA + ASP.NET Core Backend готовый метод защиты не применим, т.к. рендеринг страницы происходит на клиенте.

В своём проекте я решил, что буду генерировать токен самостоятельно и возвращать его при успешной аутентификации. Т.е. сам antiforgery токен может быть получен только тем, кто знает логин и пароль. После этого токен сохраняется на клиенте и подставляется в header при каждом запросе.

Проверка antiForgeryToken

Для проверки этого токена используется middleware:

Сначала определяется наличие AuthorizeAttribute, чтобы не проверять токен для анонимных эндпоинтов. Затем вызывается CheckToken у самописного IAntiForgeryService. Логику проверки можно реализовать любую. Например, сгенерировать новый токен по известным параметрам и сравнить с полученным от клиента. Если токены не соответствуют — возвращаем код ошибки. Я выбрал 400, т.к. antiForgeryToken — это, по-моему, не про авторизацию, поэтому не хотелось использовать 401 и 403.

Абсолютная власть

Главное преимущество cookie — в том, что возможность управления JWT-токеном на стороне сервера ограничена только вашей фантазией. Для себя я реализовал автоматический рефреш JWT-токена при каждом запросе без необходимости отдельного рефреш эндпоинта. Если для примера JWT-токен истекает через 15 минут, то при каждом запросе от авторизованного пользователя я продлеваю токен ещё на 15 минут.

Логику обновления можно менять под себя: например, ограничивать количество допустимых обновлений в рамках сессии и т.д.

А также можно написать другие middleware, которые в соответствии с бизнес-логикой будут отбирать или выдавать роли или даже отзывать токен «на лету».

Заключение

Использование HTTP-Only cookie для передачи JWT-токенов — это мощный паттерн, который эффективно защищает от XSS-атак и предоставляет серверу беспрецедентный контроль над сессией пользователя. Он позволяет реализовать такие функции, как немедленный отзыв токенов и их прозрачное обновление, что значительно повышает безопасность приложения. Однако этот подход требует тщательной реализации дополнительных мер защиты от XSRF-атак и продуманной политики управления жизненным циклом сессии. При грамотной настройке он становится надёжным фундаментом для системы аутентификации в современных веб-приложениях.

Мой путь в кибербезопасности начался с пентеста и анализа защищённости, а последние два года я погрузился в мир компилируемых языков и разработки ИИ-агентов для защиты систем. На OFFZONE я не был с 2023 года, возвращение сюда оказалось особенно ценным: индустрия как всегда перевернулась несколько раз, приятно оказаться в гуще событий вновь. Атмосфера узнаваемая — всё в лучших традициях конференции.

День первый

21 августа 2025 года. Просыпаться в восемь утра человеку, чьи ночи принадлежат ошибкам компилятора, http-прокси и коротким видео в интернете, — жест аскетизма, достойный античного стоика. Чтобы избежать очередей, я вошёл через журналистский бейдж.

Бейдж OFFZONE — отдельная история. Это программируемое устройство: через коннекторы подключаешь модули — хоть фонарик, хоть динамик. Зарабатываешь офкоины, взламывая стенды или решая квесты, а потом тратишь на мерч. Инструмент для погружения, где мерцающий светодиод напоминает: ты внутри.

У каждого на OFFZONE своя цель: доклады, живое общение со спикерами, встреча коллег с прошлых проектов или адреналин от взлома стендовых систем. Ну и, конечно, соревнование «Hack in 15 minutes», где за ошибки наливают «горячительные напитки», а ведущие едко (но метко) шутят над участниками.

Атмосфера

Оформление OFFZONE в этом году напоминало секретные архивы и закрытые исследовательские центры: печатные машинки, засекреченные досье, строки, закрашенные чёрным маркером. Всюду штампы «Секретно», ощущение тайного НИИ или новой реинкарнации марфинской шаражки, где ведут странные эксперименты. Главный маскот — Куб — выглядел как объект испытаний в лаборатории, к которому подпускают только по спецдопуску. Атмосфера будто ты стал участником секретного проекта, а сама конференция — это рассекреченный на пару дней доступ в закрытый мир.

Стоит рассказать и про OFFSTORE — фирменный магазин мерча. Лично мне, да и многим другим, он нравится именно потому, что тут делают не проходной ширпотреб, а реально качественные вещи с глубоким дизайном, вплетённым в тему года. Каждая коллекция вдохновлена атмосферой OFFZONE и продолжает её стиль, а не сводится к банальному логотипу на китайском рюкзаке. Материалы крепкие, от стирки не умирают, и смотрятся эти вещи не как «мерч для галочки», а как редкая и стильная шмотка, которую приятно носить и вне конференции.

О выборе докладов и CFP

OFFZONE декодируется как OFFENSIVE ZONE — и это чувствуется. Я пообщался с Михаилом Сидоруком, руководителем управления анализа защищенности BI.ZONE, директором по контенту конференции OFFZONE, и он рассказал, как отбирают доклады: оценивают новизну, глубину и наличие PoC. Фильтр жёсткий: отбрасывают маркетинг, «википедийные» доклады и серые обзоры. Шансы повышает уникальность темы, личный опыт или созданный автором рабочий инструмент — будь то утилита, скрипт или методика, которую можно использовать на практике.

Доклады: от гипервизоров до дипфейков

Не обошлось без фаззинга embedded-систем, графовых баз для анализа логических уязвимостей и новых методов SSTI-атак и серверных инъекций кода. А ещё — дипфейки, которые атакуют не только медиа, но и системы авторизации. После каждого выступления я ловил спикеров в кулуарах, чтобы спросить: как интегрировать их наработки в мой SAST/DAST, какие библиотеки выбрать, и где искать вдохновение для новых фич.

Тренды этого года — LLM и их применение, как контейнеризация когда-то. Кажется, все уже внедрили языковые модели в свои процессы, но спикеры показали, как выжать из них максимум: от автоматического поиска багов до генерации эксплойтов. Но на основной сцене были и классические темы наступательной кибербезопасности — и это радует. Глубокий разбор и критичность находок по-прежнему лучший способ эскалации рисков в ИБ.

Первым делом я попал на открытие — выступал Евгений Касперский — основатель и генеральный директор «Лаборатории Касперского». Если коротко, Kaspersky OS предлагают как способ логичного выхода из незавидного положения с безопасностью конечных устройств. Под капотом — изоляция процессов и приложений, что делает нерелевантными 99% типовых атак и даёт безопасную архитектуру для разработки ПО.

Медиа-зона и квест для прессы

После открытия меня проводили в отдельную комнату для прессы — уютное место, где я познакомился с другими представителями СМИ. На столах стояли кофе и закуски, но, как это обычно бывает, руки до них так и не дошли. Вместо этого нас ждал специальный квест: мы разделились на команды и отправились за баллами. Первое испытание — припаять светодиоды к маске анонимуса, превратив её в модуль для бейджа. Справился без проблем, даже сфоткался в специально выделенной зоне. На часы взглянул — пора на доклады. Чуть позже узнал, что наша команда пришла к разгадке первой.

LLM и реверс

Дальше я попал на доклад о LLM-агентах для реверса от Владислава Тушканова, руководителя группы Kaspersky MLTech, «Лаборатории Касперского». Один из наиболее интересных для меня: коллеги описали процесс разработки агентов на LangChain и smolagents. Сравнили результаты SaaS-нейросетей в прохождении crackme-лабораторий. Многие нейронки читерят, подсматривая ответы в интернете, но при помощи жёстко заданных инструкций это можно обойти. Определённо стоящий подход, достойный внедрения. 10 задач AI-агенты смогли решить. А у вас лично какой результат?

Был и доклад Руслана Махмудова, эксперта-исследователя по развитию сервисов анализа защищенности, BI.ZONE про использование графовых баз данных для RAG и поиска логических уязвимостей в веб-приложениях. BOLA и подобные баги часто доходят до продакшена. Масса многоступенчатых запросов с подписью затрудняет анализ, но LLM плюс графовые БД позволяют автоматизировать тестирование или подсветить потенциальный вектор атаки. Я и сам перевёз свой RAG с PostgreSQL на Neo4j сразу после OFFZONE.

Особо запомнился доклад Владислава Корчагина, независимого исследователя про SSTI-уязвимости и инструмент SSTImap. Простые на вид техники оказываются разрушительными. Инструмент автор интегрировал в AppSec и CI/CD для своевременного поиска багов, позволяющих выполнять команды на сервере.

День второй: когда пентестерское нутро побеждает благие намерения

Проснувшись ближе к обеду, я прибыл на конференцию и пошёл на самые жёсткие темы. Сначала — эскалация привилегий через забытую WinAPI-функцию, признанную уязвимостью за пару дней до доклада. Потом — фаззинг гипервизоров: QEMU, VirtualBox, KVM, разбор уязвимостей от автора CVE. Финал — классический дамп LSASS через физическую память в духе Physmem2profit. PoC не ждите, но техника жива и бодра.

Отдельно отмечу доклад Павла Блинникова, руководителя группы исследования уязвимостей, BI.ZONE: разбор фаззеров для гипервизоров и примеры эксплуатации заставили задуматься, сколько проектов можно было бы закрыть заранее. После такого даже VirtualBox выглядит как дверь с табличкой «ломайте здесь» — если знать, куда бить.

Составил два списка докладов с которыми стоит ознакомиться для разработчиков и пентестеров, но рекомендую читателям составить свой собственный список, без оглядки на меня.

Доклады для разработчиков

• «LLM для автоматизации ИБ-экспертизы: обнаружение вредоносного кода» — как встроить модели в пайплайн code-review.
• «Как научить AI понимать контекст приложения: новый подход к поиску уязвимостей бизнес-логики в API» — graphRAG и поиск BOLA.
• «Как мы сделали один из лучших SAST на LLM» — генерация PoC и фиксов прямо из кода.
• «Эволюция платформы анализа кода: от ручной загрузки до ML-валидации» — история построения SAST/DAST-платформы.
• «Успешные ошибки: новые техники code injection и SSTI» — свежие паттерны для обнаружения дыр, которые SAST-коробки пропускают.
• «Пентестеры на платформе: теперь они пишут одинаково (и это хорошо)» — стандартизация инструментов для CI/CD и тестирования.
• «Вы не можете спать, пока рядом есть монстры» — Игровые платформы и развившаяся в них теневая экономика.
• «SOC Check-Up. Как мы следим за здоровьем мониторингов» — хорошая практика регулярной самооценки процессов.
• «GitLab + DefectDojo + AI: автоматизация поиска багов в bug bounty» — готовый рецепт для интеграции баг-хантинга в dev-процесс.

После таких докладов хочется пересмотреть весь свой код — и прогнать через свежие правила статического анализатора. Но главный вывод: современная разработка — это гонка вооружений, где каждая новая фича должна рождаться с встроенным антидотом.

Доклады для пентестеров

• «State-of-the-Art Hypervisor Vulnerability Research» — атаки на QEMU, VirtualBox.
• «Успешные ошибки: новые техники code injection и SSTI» — свежие паттерны для обнаружения дыр, которые SAST-коробки пропускают.
• «К доске!» — как нарисовать reverse SOCKS proxy и транспорт для вашего C2
• «Уязвимость в Rockchip BootROM» — баги загрузчиков и практическая эксплуатация.
• «Эксплуатация SoC: история Unisoc» — взлом систем-на-чипе, реверс железа.
• «Root-права в базе 1С за одну строку кода» — типичный пример, как конфигурации ломают бизнес-ПО.
• «Silent Harvest: тихое извлечение секретов Windows» — скрытые приёмы доступа к секретам ОС.
• «Greybox-фаззинг embedded через Qiling» — быстрый старт фаззинга прошивок.
• «Протаптываем дорожку к multi-step-уязвимостям» — как склеивать «несерьёзные» баги в цепочку до RCE.
• «Погребено в $LogFile:» эксплуатация 20-летней уязвимости в NTFS

Записи большей части докладов будут доступны на сайте OFFZONE c 11 cентября. Остальную часть докладов можно было послушать только на конференции.

Финал

OFFZONE — это не просто доклады, скорее тренировочный полигон. Здесь тестируешь свои знания, проверяешь стойкость идей и находишь инструменты, которые завтра могут спасти чей-то бизнес. Атмосфера секретного проекта, квесты, встречи с коллегами — всё это сливается в одну цель: выйти отсюда с чемоданчиком, в котором чуть больше киберинструментов, чем раньше.

Разработчики оказались на передовой этой битвы. Каждая строчка вашего кода может как защитить пользователей, так и подвергнуть их риску. Но не стоит воспринимать это как проблему, скорее как вызов — грамотная работа с данными открывает новые возможности для создания надёжных и востребованных цифровых продуктов.

Что изменилось в законодательстве: главные обновления 2025 года

С 30 мая 2025 года в России вступили в силу поправки к Федеральному закону №152-ФЗ «О персональных данных». Эти изменения стали самыми значительными за последнее десятилетие и затронули все компании, работающие с пользовательской информацией. Разработчиков эти нововведения касаются самым непосредственным образом.

Теперь даже сбор данных о поведении пользователей на сайте (клики, время просмотра) требует отдельного согласия. Файлы cookie, которые раньше работали по умолчанию, теперь нужно настраивать так, чтобы пользователь мог выбирать, какие данные он разрешает сайту о себе собирать.

Штрафы за нарушения выросли в разы. Например, за обработку данных без согласия теперь можно получить штраф до 700 тысяч рублей для юридических лиц. Повторные нарушения могут привести к штрафу в 3% от годового оборота компании — изменения вступили в силу в конце мая.

Новый закон уже работает. В антирейтинге главных нарушителей 2025 года лидируют компании телекоммуникационной отрасли — на их долю приходится 55% всех расследований по статье 272 УК РФ о неправомерном доступе к информации. Следом за телекомом идут госструктуры (16% расследований) и финансовый сектор (15% случаев).

Для разработчиков это важный сигнал: при создании решений для этих отраслей необходимо уделять особое внимание встроенным механизмам защиты данных.

Особенно важно:

• реализовывать строгие протоколы аудита доступа для госсистем;
• внедрять дополнительные уровни шифрования в банковских приложениях;
• разрабатывать специализированные инструменты мониторинга для телеком-операторов.

Такая отраслевая специфика требует от разрабов глубокого понимания не только общих принципов защиты данных, но и особых требований конкретных секторов экономики.

В 2025 году 152 ФЗ о Персональных данных уже получил несколько существенных поправок, и, похоже, скоро получит еще несколько. И это, в общем, хорошо: персональные данные — вещь серьезная, и мне бы очень хотелось, чтобы компании относились к их сбору, обработке и передаче соответствующе. Пусть даже из-под палки. Разделение труда предполагает, что в компаниях, особенно крупных, за compliance и связанные с ним практики отвечает менеджмент, а разработчик просто пишет код, но мой опыт показывает, что этого недостаточно. Ответственность и базовую цифровую гигиену необходимо развивать всем — программистам в том числе.

Какие данные считаются персональными в 2025 году

Для разработчиков в 2025 году понимание классификации персональных данных — это основа проектирования архитектуры любого приложения. Закон четко разделяет информацию на три категории, и каждая требует особого подхода:

1. Биометрические данные — отпечатки пальцев, сканы сетчатки глаза, голосовые образцы. Для них требуется письменное согласие человека.
2. Специальные — информация о здоровье, политических взглядах, религиозных убеждениях. Такие данные, как правило, требуют обезличивания.
3. Обычные — имя, телефон, email, адрес. Их можно обрабатывать после получения согласия через договор или специальную форму.

Разработчикам важно понимать: комбинация из имени и номера телефона уже считается персональными данными. А IP-адрес вместе с геолокацией — тем более. Даже хешированные данные могут считаться персональными, если возможна деанонимизация.

При проектировании API и баз данных разработчикам важно учитывать:

• раздельное хранение разных категорий данных;
• механизмы автоматического удаления по истечении срока;
• разграничение доступа на уровне кода (например, @Secured аннотации)

Совет: создавайте карту данных (data mapping) на этапе проектирования системы — это поможет избежать проблем с соответствием требованиям. Современные IDE предлагают плагины для автоматического анализа кода на предмет обработки персональных данных.

Обязательные шаги для легальной работы с данными

Если ваш проект собирает любую информацию о пользователях, разработчикам нужно учесть ряд юридических требований. Пропуск любого из этих пунктов может привести к серьезным штрафам:

1. Публикация политики обработки данных — это не просто формальность. Документ должен чётко объяснять, какие данные вы собираете, зачем и как будете их защищать. Роскомнадзор рекомендует включать в политику несколько обязательных разделов: цели обработки, категории данных, порядок их уничтожения и т.д..
2. Согласие на обработку данных теперь нельзя прятать в общих условиях использования. Это должна быть отдельная форма с понятным интерфейсом.
3. Регистрация в Роскомнадзоре обязательна для всех, кто работает с персональными данными. На подачу уведомления даётся 30 дней с момента начала обработки данных. Штраф за отсутствие регистрации — до 300 тысяч рублей.

Технические аспекты защиты данных: что должен знать разработчик в 2025 году

Для разработчиков в 2025 году работа с персональными данными начинается с архитектурных решений. Современные требования предполагают не просто формальное соблюдение норм, а глубокую интеграцию принципов безопасности в код. Рассмотрим ключевые технические аспекты, которые нельзя игнорировать.

Локализация данных стала строгим требованием. При выборе облачных провайдеров убедитесь, что их дата-центры физически расположены в России. Проверьте не только основное хранилище, но и резервные копии — они тоже должны находиться на территории РФ. Для веб-аналитики переходите на российские аналоги Google Analytics, такие как Яндекс.Метрика с опцией хранения данных в России или аналогичные решения от Mail.ru Group.

Шифрование данных требует особого внимания:

• TLS 1.3 стал минимальным стандартом для передачи данных;
• для хранения используйте алгоритмы, сертифицированные ФСТЭК (ГОСТ Р 34.10-2021, ГОСТ Р 34.11-2021);
• биометрические данные требуют дополнительного уровня защиты — рассмотрите использование специализированных HSM-модулей;
• реализуйте ротацию ключей шифрования не реже чем раз в 90 дней.

Системы контроля доступа должны быть:

• ролевыми (RBAC) с минимальными необходимыми правами;
• с обязательной двухфакторной аутентификацией для доступа к персданным;
• с сессионным контролем (автоматический выход при бездействии);
• с детальным логированием всех операций (кто, когда, какие данные просматривал/изменял).

Дополнительные меры:

• автоматическое маскирование данных в интерфейсах;
• настройка алертов на подозрительную активность (множественные запросы, экспорт данных);
• механизмы предотвращения SQL-инъекций и других уязвимостей из списка OWASP Top 10;
• для мобильных приложений обязательна защита от перехвата трафика — внедрение SSL сертификата (certificate pinning).

Разработчикам стоит обратить внимание на новые инструменты — например, фреймворки для автоматического обнаружения персональных данных в коде и их защиты. Также появились решения для автоматического составления Data Flow Diagrams, помогающие визуализировать пути движения данных в системе.

Петр Емельянов, СЕО компании Bloomtech, отмечает: «Есть принцип Privacy by Design. Раньше, когда мы разрабатывали информационные системы, о конфиденциальности данных думали, скажем так, во вторую очередь. Из-за это часто приходилось действовать реактивно: что-то случилось, и мы вкорячивали "хот-фикс", ставили костыль. Архитертура набухала, расползалась, становилсь уродливой и рыхлой. Privacy by Design ставит конфиденциальность в один ряд с отказоустойчивостью, надежностью и производительностью. Конфиденциальность больше не какая-то там неинтересная деталь, которую можно отложить на потом, – это один из основных принципов программной архитектуры».

Как правильно собирать согласия пользователей

Корректная реализация механизма получения согласий — важная архитектурная задача для разработчиков. Рассмотрим ключевые технические аспекты, которые нужно учитывать.

Форма согласия должна быть:

• отдельным API-эндпоинтом или микросервисом, а не частью основного функционала;
• конкретной — каждый тип данных требует отдельного пункта согласия;
• информированной — используйте понятные технические термины с пояснениями;
• легко отзываемой — реализуйте метод DELETE в API для отзыва согласий.

При реализации механизмов работы с cookie разработчикам необходимо учитывать несколько аспектов. Во-первых, создать гибкую систему приоритетов для различных категорий данных, чтобы пользователи могли осознанно выбирать, какие типы информации разрешают собирать. Во-вторых, важно предусмотреть механизм частичного согласия, позволяющий давать разрешение на отдельные виды обработки данных.

Особое внимание следует уделить синхронизации между клиентской и серверной частями приложения — любые изменения в предпочтениях пользователя должны мгновенно отражаться во всех компонентах системы.

Не менее важен надёжный механизм хранения истории изменений, который фиксирует все действия пользователя относительно его куки-настроек. С технической точки зрения это подразумевает создание отдельной таблицы в базе данных специально для хранения информации о согласиях. Обязательным требованием стало версионирование политик конфиденциальности — при их обновлении система должна запрашивать подтверждение новых условий.

Отдельный технический вызов — реализация автоматической очистки данных при отзыве согласия. Система должна не просто помечать информацию как неактивную, а полностью удалять соответствующие записи из всех хранилищ. Особенно важно отметить новое требование 2025 года: API должно поддерживать возможность массового отзыва согласий, когда пользователь может одной операцией отозвать все ранее выданные разрешения.

Действия разработчика при утечке данных: алгоритм реагирования в 2025 году

Для технических специалистов утечка данных требует не только юридического, но и технического реагирования:

1. Первые сутки критически важны — необходимо зафиксировать время и способ утечки через системные логи, оперативно изолировать уязвимый компонент системы (например, отключить проблемный API или заблокировать доступ к скомпрометированной базе данных), а также подготовить детальный технический отчет для регуляторов с указанием типов утекших данных, версий используемого ПО и примененных механизмов защиты.
2. Далее начинается этап технического расследования. Разработчикам необходимо провести forensic-анализ кода, изучить историю изменений в системе контроля версий и тщательно проанализировать логи доступа за последний месяц. Эти данные помогут не только понять причины инцидента, но и предотвратить подобные ситуации в будущем.
3. На этапе исправлений важно не просто устранить уязвимость, но и пересмотреть архитектурные решения. Для критических систем стоит реализовать механизм принудительной смены учетных данных, обновить библиотеки шифрования и пересмотреть политики доступа. Особое внимание следует уделить системам, обрабатывающим биометрические или специальные категории данных — к ним применяются наиболее строгие требования.

При крупных утечках (более 100 тысяч записей) разработчикам следует быть готовыми к детальному аудиту кода со стороны контролирующих органов. В 2025 году особое внимание проверяющие уделяют реализации принципа минимальных привилегий, качеству журналирования операций и использованию сертифицированных алгоритмов шифрования.

Лучшая профилактика — внедрение проверок безопасности в процесс непрерывной интеграции и доставки (CI/CD), включая автоматизированное тестирование на распространенные уязвимости и регулярные аудиты кода.

Инструменты и практики для разработчиков: как внедрить приватность в повседневную работу

Работа с приватностью в 2025 году вышла далеко за рамки простого соблюдения законодательных требований. Сегодня это комплексный подход к проектированию систем. Пользователи все чаще выбирают сервисы, которые не только функциональны, но и прозрачно обращаются с их личной информацией. Как разработчик, вы можете превратить требования к приватности в возможность создать по-настоящему качественный продукт.

Privacy by Design: защита данных с первого дня проекта

Концепция Privacy by Design пережила серьезную эволюцию за последние годы. Если раньше она рассматривалась как дополнительная опция, то в 2025 году стала обязательным стандартом для любого серьезного проекта. Суть подхода проста — вопросы приватности должны решаться на этапе проектирования архитектуры, а не добавляться постфактум.

На практике это означает несколько важных принципов:

• Минимизация данных: собирайте только ту информацию, которая действительно необходима для работы сервиса. Например, если для регистрации достаточно email, не запрашивайте номер телефона «на будущее».
• Сквозное шифрование: защищайте данные на всех этапах — при передаче, обработке и хранении. Особенно это важно для биометрической информации и медицинских данных.
• Децентрализованное хранение: там, где это возможно, избегайте создания единых баз данных. Современные решения позволяют хранить информацию распределенно, снижая риски массовых утечек.

Хороший пример — банковские приложения, которые теперь часто используют локальное хранение биометрических данных на устройстве пользователя вместо централизованных серверов.

Петр Емельянов, СЕО компании Bloomtech, отмечает: «Раньше, когда мы разрабатывали информационные системы, о конфиденциальности данных думали, скажем так, во вторую очередь. Из-за этого часто приходилось действовать реактивно: что-то случилось, и мы вкорячивали хот-фикс, ставили костыль. Архитертура набухала, расползалась, становилсь уродливой и рыхлой. Privacy by Design ставит конфиденциальность в один ряд с отказоустойчивостью, надежностью и производительностью. Конфиденциальность больше не какая-то там неинтересная деталь, которую можно отложить на потом, — это один из основных принципов программной архитектуры».

С технической точки зрения, по словам Петра, это значит:

1. Минимизация данных. Меньше собрали, меньше рисков создали.

2. Персональные данные граждан Российской Федерации нужно хранить в Российской Федерации, так что лучше не разворачиваться в забугорных облаках (даже если это дешевле) и не использовать инструменты вроде Google Sheets (даже если это удобно).

3. Разделение и токенизация данных. Не надо хранить все данные в одной условной плоской табличке, из которой кто угодно с минимальным знанием SQL получит ваши ФИОДР, телефон, адрес, номер паспорта и размер ноги впридачу.

4. Инвентаризация и классификация персональных данных. Нужно точно знать все места, где у вас хранятся ПДн, внедрять соответствующие политики доступа и журналировать все запросы и попытки запросов.

5. Хранение полных логов согласий с датой действия и привязкой к пользователю (но не с его ПДн) там, где их трудно будет потереть или удалить.

7. Развитие регламнентов реагирования на инциденты. Например, сейчас есть всего 24 часа, чтобы уведомить РКН об утечке. Так что, если вы поняли, что беда случилась, или считаете, что она вот-вот случится, не молчите.

8. Обязательное шифрование при хранении и передаче ПДн. Лучше сразу по ГОСТ, хотя закон этого напрямую не требует.

9. Рекомендуемые РКН методы обезличивания данных. Особенно важно в контексте поправок в 142 ФЗ, которые, вероятно, начнут действовать с сентября 2025.

10. Изучение новых технологий и способов защиты данных. Конфиденциальные вычисления, дифференциальная приватность, разные виды федеративного обучения — технологии защиты данных во время использования востребованы, их много, они развиваются. Рекомендую если не изучать, то послеживать.

Анонимизация и псевдонимизация: технические нюансы

Разработчикам важно понимать разницу между этими двумя подходами к защите данных, так как юридические последствия их применения существенно отличаются.

Анонимизация означает необратимое удаление связи между данными и конкретным человеком. После такой обработки восстановить персональные данные невозможно. Этот метод идеально подходит для аналитических систем, где важны общие тенденции, а не индивидуальные поведенческие паттерны.

Псевдонимизация — замена прямых идентификаторов (например, имени) на условные коды. Такой подход позволяет работать с данными, сохраняя возможность (при необходимости) установить связь с конкретным пользователем.

Важно: псевдонимизированные данные по-прежнему считаются персональными и требуют соответствующей защиты.

В 2025 году появились новые инструменты для работы с анонимизированными данными. Например, библиотеки дифференциальной приватности позволяют получать точную аналитику, не раскрывая информацию об отдельных пользователях.

Регулярные аудиты и инвентаризация данных

Практика показывает, что даже хорошо спроектированные системы со временем обрастают избыточными механизмами сбора данных. Регулярные проверки помогают выявить такие «накопления» и снизить связанные с ними риски.

Проводите аудит по следующему алгоритму:

1. Картирование данных: составьте полный перечень всех типов собираемой информации, мест ее хранения и путей передачи.
2. Оценка необходимости: для каждого типа данных задайте вопрос — зачем мы его собираем и что будет, если перестанем?
3. Анализ рисков: определите, какие данные требуют особой защиты и соответствуют ли текущие меры их важности.
4. Планирование улучшений: разработайте дорожную карту по устранению выявленных проблем.

Современные системы мониторинга данных (например, Data Protection Officer SaaS-решения) позволяют автоматизировать большую часть этого процесса.

Инструментарий разработчика: что использовать в 2025 году

Рынок инструментов для обеспечения приватности значительно расширился. Вот несколько категорий решений, которые стоит рассмотреть для своих проектов:

Фреймворки для Privacy by Design:

• OpenGDPR Framework — набор библиотек для встраивания принципов приватности в архитектуру приложений.
• Microsoft Privacy Development Kit — инструменты для реализации сквозного шифрования.
• Google’s Differential Privacy Library — решение для работы с анонимизированными данными.

Средства мониторинга и аудита:

• OneTrust Data Mapping — облачное решение для инвентаризации данных.
• TrustArc Privacy Intelligence — платформа для оценки рисков.
• Osano Consent Management — система управления согласиями пользователей.

Инфраструктурные решения:

• российские сертифицированные криптографические библиотеки;
• облачные хранилища с российскими серверами и обязательным шифрованием;
• Middleware для автоматического обезличивания данных перед их попаданием в аналитические системы.

Важно помнить: выбор инструментов должен основываться на конкретных требованиях проекта и типах обрабатываемых данных. Слепая установка всех доступных решений защиты может только усложнить систему без реального повышения безопасности.

Эксперт Евгений Кокуйкин (Head of Raft Security) рекомендует:

- Убедитесь, что в обучающих данных нет персональной информации.

- Для анонимизации используйте специализированные инструменты, такие как Microsoft Presidio.

Если ваше ИИ-приложение включает пользовательские данные в системные промпты, убедитесь, что оно защищено от промпт-атак:

- Ориентируйтесь на рекомендации OWASP AI Security and Privacy Guide и OWASP Top 10 for LLM Applications.

Итоги: приватность как конкурентное преимущество

В 2025 году забота о приватности — не просто соблюдение закона, а способ выделиться среди конкурентов. Пользователи стали более осознанно относиться к своим данным, и они выбирают сервисы, которые уважают их приватность.

Как разработчик, вы можете превратить эти требования в возможности:

• создавайте понятные интерфейсы для управления согласиями;
• разрабатывайте системы, которые собирают только необходимый минимум данных;
• используйте современные методы защиты информации;
• будьте прозрачны в том, как используете данные пользователей.

При правильном подходе работа с приватностью перестаёт быть головной болью и становится частью качественного пользовательского опыта. А в эпоху, когда данные стали новой валютой, такое отношение ценится особенно высоко.

*Больше новостей — в нашем тг-канале «Представляешь»

По оценке Positive Technologies, к 2023 году нехватка ИБ-специалистов в России достигла 45%, что эквивалентно 50 тысячам человек. И если раньше эта отрасль ассоциировалась в основном с «бумажной» работой, сегодня специалисты по кибербезопасности регулярно сталкиваются с реальными инцидентами и атаками. Причём угроза только растёт: по данным компании, количество успешных атак на организации в 2024 году увеличилось на 5% по сравнению с предыдущим годом.

Где ищут ИБ-специалистов и сколько им готовы платить

Самыми активными работодателями в сфере ИБ остаются ИТ-компании, банки, бизнес-услуги, розничная торговля и государственные структуры. География спроса также не удивляет: Москва, Санкт-Петербург, Московская и Свердловская области, а также Татарстан — лидеры по числу открытых позиций в мае 2025 года.

На фоне растущего спроса заработные платы уверенно идут вверх:

При этом работодатели всё чаще предъявляют высокие требования к соискателям — от сертификации (CISSP, CISM) до опыта внедрения международных стандартов (ISO/IEC 27000). Это особенно актуально для кандидатов, претендующих на максимальный уровень зарплат.

Кто эти люди: портреты типичных специалистов по ИБ

Исследование также анализирует «портрет» среднестатистического соискателя на позициях в области кибербезопасности:

• Директор по ИБ — мужчина 51 года, с высшим образованием и стажем на последнем месте более 8 лет. Максимальные зарплаты доступны тем, кто умеет строить стратегию ИБ для компаний от 500 человек и обладает международными сертификатами.
• Руководитель отдела ИБ — 47 лет, стаж 8,5 лет, профильное образование, опыт внедрения стандартов безопасности. Базовая планка — от 180 тыс. руб.
• Специалист по ИБ — 37 лет, 5,5 лет стажа. Базовая зарплата начинается от 100 тыс. руб., но для достижения верхней планки (до 400 тыс.) нужно уверенное знание сетевых технологий, профильные сертификаты и опыт работы с корпоративными ИБ-системами.
• Пентестер — самый молодой профиль: 31 год, в среднем 1,8 года стажа. Знание языков программирования, практический опыт и сертификация необходимы для выхода на максимальные предложения.

Налицо растущая конкуренция за опытных специалистов, и это подтверждает общий тренд: рынок информационной безопасности в России повторяет траекторию развития ИТ-сферы десятилетней давности. Иными словами, сегодня — самое время входить в профессию, развивать экспертизу и наращивать ценность на рынке.

Вариантов взлома и проникновения к сведениям, хранящимся в электронным виде – масса. Один из распространенных способов мошенничества – вход в систему через определенное физическое лицо – проще говоря, через человека, имеющего доступ к той или иной корпоративной информации. Речь идет об удаленном доступе. С одной стороны это могут быть клиенты. С другой – сами сотрудники, имеющие допуск к определенным данным.

Традиционно пользователь должен войти в систему под своим логином, введя личный пароль. Но, как мы знаем, все это взламывается и подбирается. 80% инцидентов в сфере кибер-преступлений случаются из-за использования слабых паролей.

Двухфакторная аутентификация

Сегодня однофакторной или парольной аутентификации для безопасной работы с информационными системами в современном мире уже недостаточно. Выход – 2FA – технология контроля доступа в два этапа: когда помимо ввода логина и пароля к аккаунту, пользователя просят подтвердить свою личность дополнительным способом. Утрируя, можно сказать, что вход на территорию предприятия при предъявлении охраннику пропуска – это шаг один. Открыть дверь своего кабинета личным ключом – шаг второй. Все то же самое применяется и в отношении электронных данных.

Именно двухфакторная аутентификации позволяет компании защитить информацию как от внутренних угроз, так и от внешних вторжений. Онлайн-банкинг, платформы электронной коммерции, различные системы бронирования все чаще используют ее для обеспечения безопасности своих клиентов. Например, вы не можете попасть в личный кабинет госорганизации, не подтвердив, что вы – это вы. Как правило, это происходит с помощью СМС или мобильного приложения. Но есть и другой момент – когда 2FA используется не пользователями, а самими представителями компании или госоргана.

Доступ к данным в любом случае происходит через физическое лицо, а значит даже в случае противоправных действий можно обнаружить пользователя, с чьей стороны они были совершены. Это само по себе уже является средством обеспечения безопасности: сотрудник не пойдет на преступление, заведомо зная, что его обнаружат. Однако не будем брать во внимание подобные обстоятельства. Сейчас мы говорим о добросовестных работниках, предполагая, что основная угроза взлома может исходить от третьих лиц. Именно чтобы они не могли получить доступ к информации, вход в систему персонализирован. В таком случае человек отвечающий за погрузку вагонов и их отправку и находящийся, к примеру, не в офисе, а непосредственно на станции и ведя учет с помощью планшета, для подтверждения определенных действий вводит не только общий ключ доступа, но и вторым шагом идентифицирует лично себя. Так компания может быть уверена, что даже если рабочий планшет попадет в руки преступника, тот не сможет отправить вагоны с металлом в Воркуту вместо Воронежа.

Внедрение 2FA

Какие способы есть у компаний, чтобы внедрить на своих ресурсах двухфакторную аутентификацию. По сути не важно, делается это для доступа клиентов или для своих же сотрудников. Существуют разные варианты, и каждая организация сама рассматривает, насколько удобнее и надежнее пользоваться тем или иным из них.

Внедрение 2FA начинается с определения требований к системе безопасности. Затем выбирается подходящий метод. После этого производится настройка системы, включая регистрацию пользователей и обучение их использованию нового метода. Заключительный шаг – тестирование системы на наличие уязвимостей.

Аутентификация через социальные сети

Один из распространенных вариантов – аутентификация через социальные сети, ведь почти у каждого из нас есть аккаунт хотя бы в одной из них. Например, вы заходите в почту, а вас просят подтвердить свою личность через VK или Яндекс. Авторизация через соцсети — удобный инструмент взаимодействия с пользователями, позволяющий им избежать утомительной процедуры регистрации с заполнением длинных форм и получить быстрый доступ к функциям сайта. На данный момент для обеспечения доступа через авторизацию в соцсетях возможна интеграция более чем с тридцатью сервисами. Назвать такой способ, увы, нельзя самым надежным. Как минимум, потому что в соцсетях может зарегистрироваться кто угодно под каким угодно именем. Ко всему прочему, взломав ваш логин и пароль, злоумышленник может добраться и до вашего доступа к социальным сетям. Использовать данный механизм можно, если речь не идет о данных с большой степенью конфиденциальности. Для входа в систему сотрудников предпочтительнее выбрать другой вариант.

Аутентификация через Госуслуги

Наверняка вы встречали ситуации, когда аутентификации идет через Госуслуги. Для владельцев различных сервисов этот вариант всегда надежнее, так как он предполагает идентификацию конкретного лица. Минусом является то, что это подходит не для всех ресурсов и не каждый пользователь имеет аккаунт на Госуслугах. Применять подобную схему могут крупные организации, имеющие отношение к государственной деятельности.

Аутентификация по СМС или почте

Аутентификация через СМС или электронную почту может считаться достаточно надежной. Пользователю после входа в систему приходит сообщение с определенным кодом. Так же есть вариант, когда используется биометрия – например, отпечаток пальца. Эти два способа мы не случайно поставили вместе. При всех положительных моментах, у них есть свои минусы. Если украли пароль от основного сервиса, то высока вероятность, что и от почты тоже. Способ СМС надежнее, потому что требует наличие отдельного физического устройства, однако этот метод используется скорее просто по причине распространенности мобильных телефонов. СМС можно перехватывать по дороге, или обойти дублированием сим-карты. А если злоумышленник орудует не только в кибер-среде, но и готов пойти на разбой – есть риск, что устройство пользователя будет украдено и преступник получит доступ и к СМС, и к почте. Ко всему прочему, напавший шантажом может заставить человека поднести палец к сенсору… а то и еще хуже – приведя жертву в бессознательное состояние, сделать это без ее ведома.

Сервисы для аутентификации

Один из удобных способов двухфакторной аутентификации – использование специальных приложений для смартфонов. В настройках безопасности сервиса, который поддерживает 2FA, выбирается аутентификация с помощью приложения. Сервис генерирует QR-код, который сканируется приложением, и оно начинает каждые 30 секунд создавать новый одноразовый код. Именно он и вводится в поле запроса. Коды создаются на основе ключа, который известен только вам и серверу, а также текущего времени, округленного до 30 секунд. Поскольку обе составляющие одинаковы и у вас, и у сервиса, коды генерируются синхронно.

Прочие методы аутентификации

Еще один способ идентификации позволяет выполнять доступ к корпоративным приложениям только от достоверных устройств и пользователей. Для реализации этих возможностей могут использоваться различные технологии (в конкретном случае – одна или несколько): сертификаты, ключи, доступные конкретному лицу в виде зашифрованных файлов. Так же может применятся технология, отлеживающая различную контекстную информацию (например, время или местоположение), помогающую принимать решения при предоставлении доступа.

Использовать готовый 2FA сервис или внедрять свой?

Сегодня существует ряд готовых продуктов в каждом из этих направлений. Но и тут встает вопрос – нужно ли компании пользоваться чьим-то предложением, или проще разработать что-то свое. Часто внедрение стороннего продукта требует материальных и временных затрат. Крупные организации, как то банки или перевозчики, обычно имеют личные возможности для разработки и внедрения сугубо своего продукта. Компании не столь крупные, не имея своего штата разработчиков и технических возможностей, могут заказать разработку системы двухфакторной аутентификации у ИТ-компаний, предлагающих такие услуги. В таком случае это будет индивидуальное решение, учитывающее все возможности и потребности заказчика.

В материале использовано изображение от rawpixel.com на Freepik.

В борьбе “облачные технологии VS свой дата-центр” все чаще побеждают первые по целому ряду причин, среди которых экономия, доступность и надежность. Однако процесс миграции на “облако” не так прост, как кажется. Что нужно учесть при переносе сервисов, чтобы не налететь со всей скорости на невидимые облачные барьеры? Разбираемся вместе.

В современном мире все больше компаний переносят свою инфраструктуру в облако.

Облачные технологии имеют множество преимуществ по сравнению поддержанием собственного дата-центра. К преимуществам можно отнести следующие:

• Экономия: можно сократить расходы на серверное оборудование, обслуживание и электроэнергию.
• Масштабируемость: ресурсы можно легко и быстро добавлять и удалять по мере необходимости.
• Доступность: доступ к данным и приложениям возможен круглосуточно из любой точки мира.
• Надежность: поставщики облачных услуг обеспечивают высокую степень безопасности данных и непрерывность обслуживания.

Однако переход на облачную платформу — это не простая задача, и требует тщательного планирования и исполнения, особенно если дело касается больших компаний.

В этой статье мы рассмотрим основные этапы миграции в облако и дадим практические советы, которые помогут сделать этот процесс легким и эффективным на основе опыта переноса многомиллиардной продуктовой компании.

Этап 1. Определение целей и задач миграции

В первую очередь нужно определить цели и задачи миграции:

• Какие сервисы вы хотите перенести в облако (полностью или частично)?
• Каких целей вы надеетесь достичь (сократить расходы, повысить производительность, увеличить доступность)?
• С какими ограничениями вы сталкиваетесь (бюджет, время, технические возможности)?

Так, например, наша компания решила перенести все сервисы кроме базы данных, так как в БД хранились большое количество персональных данных, и основная ценность компании выражалась именно в наличии этой информации.

Мы поставили следующие цели при миграции:

1. Технологически:

• Переход к без серверным (serverless) технологиям;
• Низкая связанность (loosely coupled) компонентов;
• Разделение на отдельные бизнес домены.

2. Организационно:

• Команды отвечают за компоненты в бизнес-домене;
• Команды объединены в бизнес-домен и владеют экспертизой по бизнес-домену.

3. К менеджменту/Agile подход

• Уменьшение длительности итерации;
• Уменьшение количеств церемоний, взаимодействий между командами.

Что касается ограничений, в зависимости от масштаба компании, требуемое время на перенос и бюджет могут сильно вас подвести. Есть немало случаев, когда отсутствие грамотного планирования и взвешенной оценки своего бюджета делают компании банкротами, чаще всего это происходит со стартапами. Нужно учитывать, что в период переноса затраты на инфраструктуру могут быть в два раза больше, чем обычно, а процесс миграции может занять несколько месяцев.

Этап 2. Выбор поставщика облачных услуг

На этом этапе нужно:

• рассмотреть услуги различных поставщиков;
• сравнить цены, возможности, безопасность и поддержку;
• убедиться, что провайдер соответствует вашим требованиям.

В нашем примере миграции на облако в качестве поставщика выбор стоял между AWS и Azure. В конечном итоге мы выбрали AWS, так как в момент начала миграции AWS предоставлял больше возможностей, чем Azure как с технической стороны, так и с финансовой.

Этап 3. Планирование миграции

Здесь предстоит:

• разработать подробный план миграции;
• определить этапы миграции;
• оценить возможные риски и разработать план по их минимизации.

Первую очередь нужно подготовить инфраструктуру в облаке и определить модель инфраструктуры, в нашем случае в качестве модели была выбрана IaaS.

До переноса, в старой инфраструктуре нужно снять все необходимые метрики (все возможные тесты, лог нагрузок в течение года и их влияние на ресурсы). Наличие инструментов мониторинга может сильно упростить вашу работу. Все должно быть задокументировано, чтобы можно было сравнить “яблоко с яблоком” после переноса. Мы создали унифицированный CI/CD в старой инфраструктуре и прогнали все сервисы через этот пайплайн пройдя все “quality gates”, который позволял одинаково оценивать состояние каждого из сервисов. На этом этапе выделение небольшого capacity для рефакторинга на каждую итерацию только сэкономит время на поддержку сервиса в дальнейшем, чтобы не таскать очевидные рудименты в облако.

Для минимизации расходов мы переносили по одному сервису, начиная с dev-среды. Первопроходцами были команды с наиболее большими компетенциями, у которых был сервис с наименьшими зависимостями. Это помогало быстрее выявлять проблемы и решать их эффективнее.

Также важно развертывать инфраструктуры в нескольких регионах, так как даже у крупных облачных сервисов могут быть перебои. Для переключения реального трафика использовали подход «Canary deployment», то есть постепенно пускали настоящий трафик в новую версию, так как клиентский трафик может быть непредсказуемым и отличатся от всех тестов.

Этап 4. Тестирование и оптимизация.

На этом этапе предстоит:

• провести тщательное тестирование перенесенных сервисов;
• оптимизировать их для работы в облачной среде.

По возможности необходимо использовать все виды тестирования с тестовой пирамиды. При этом есть и другие интересные виды тестирования – например, хаос-тестирования. В нашем случае это было одним из пунктов процесса тестирования и оптимизации. В целом же процесс содержал следующие пункты:

1. Создание координационного документа, где описывались зависимости сервиса, планирование тестирования, согласование команд, а также результаты тестирования.

Интересно, что эти навыки тестирования применяются не только в процессах миграции в облако, но и в разработке маркетплейсов. Если вы QA-спец и вдруг ищите работу, пока читаете эту статью - возможно вам будет интересно узнать больше о вакансии Fullstack QA в команде СберДруг. Все подробности по ссылке ниже!

2. Хаос-тестирование – делали мы это через AWS Runbooks. Оно включало в себя:

• CPU stress – симуляцию сверх нагрузки на ЦПУ;
• Memory stress – симуляцию сверх нагрузки на ОЗУ;
• Break dependency – симуляцию, когда один из или все зависимости сервиса “отваливаются”, например БД или сервис аутентификации;

• Dependency latency – симуляцию задержки;

• Instance termination – симуляцию ситуации, когда виртуальные машинки перезагрузятся или “отвалятся”.

3. Normal and Peak Usage/Peak load – симуляция обычной/средней и самой большой нагрузки.

4. Right Sizing – результаты пункта 3 помогали примерно оценить какой тип инстансов нужно выбрать, но также учитывали характер, предназначение сервиса. Были случаи, когда правильно подобранные конфигурации были на 75% финансово выгоднее, при этом обрабатывали тот же трафик.

5. Monitoring validation – убедиться, что все метрики и логи имеются и правильно отображаются.

Этап 5. Процесс вывода из эксплуатации старых сред

Здесь нужно:

• Наладить канал коммуникации;
• Разработать план безопасного удаление старой инфраструктуры.

Стоит отметить, что процесс удаления старых сред, виртуальных машин может быть еще интересней. Когда вашим продуктам более 20 лет, бывают случаи, когда ваши API, сервисы кем-то используются, о ком вы не слышали уже 10 лет. А, когда старый сервис перестает работать, начинают приходить с криком, поэтому наладка канала коммуникации поможет избежать непредвиденных работ. Также процесс проходил два этапа. Начиная с dev среды сначала отключали сам сервис и затем ждали некоторое время (например, неделю), после чего удаляли все связанные ресурсы и так до production среды.

…

Важно понимать, что миграция на облако – это не спринт, а марафон. При грамотном подходе и тщательной подготовке вы сможете успешно пройти этот путь и получить все преимущества облачных технологий. Ключевую роль в результативности этого процесса будут играть архитекторы, системные инженеры, DevOps, SRE-инженеры, поэтому экономить на этих командах в период миграции не стоит.

«1С-Битрикс» — популярная система управления контентом, которая помогает создавать надежные проекты. Но она, как и любая CMS, не застрахована от угроз безопасности. Поэтому крайне важно принимать меры для защиты, что особенно актуально для крупных проектов, в которых выше шанс атак недоброжелателей и высокая стоимость реализации рисков.

В статье мы обсудим основные требования безопасности, которые следует учитывать при разработке и эксплуатации веб-проекта на «1С-Битрикс».

Типы атак

Два самых распространенных типа атак на веб-сайты — XSS и SQL-инъекция. Вот как они работают:

• XSS (межсайтовый скриптинг) — злоумышленник вводит код на веб-сайт, который затем выполняется посетителями сайта. Это позволяет злоумышленнику украсть конфиденциальную информацию: учетные данные для входа в систему или личные данные.
• SQL-инъекция — злоумышленник вводит SQL-код в веб-форму или ссылку, который затем выполняется внутренней базой данных веб-сайта. Это позволяет злоумышленнику получить доступ к базе данных и изменить эти данные, потенциально скомпрометировав конфиденциальную информацию.

Всегда проверяйте данные от пользователя — валидируйте их программными средствами

Напишите код проверки всех внешних данных. Если отправляемые данные не проходят какую-либо из проверок, исходите из того, что данные небезопасны.

Например, мы запрашиваем e-mail через форму. После отправки формы пользователем мы не должны слепо верить, что он указал e-mail, и без проверок начать использовать данную строку в наших скриптах.

Мы должны проверить данные на соответствие. Если данные соответствуют — продолжить работу скрипта. В противном случае — прервать работу и вывести ошибку. То же касается любых других данных: данные с отправленных форм, cookies, различные GET-параметры и т. д.

Настройте права доступа к веб-проекту

Разделите права доступа по ролям

Разделение ролей обязательно. В зависимости от зоны ответственности необходимо выдавать права к определенным блокам на сайте. Например, контент-менеджер получает доступ к админ-панели для наполнения контента на сайте.

Полный админский доступ выдается только сотрудникам с определенными компетенциями.

Ограничьте доступ в админку по IP

У каждого сотрудника, имеющего доступ к админке, должен быть статичный IP. Любые попытки авторизации по логину и паролю, но с другим IP, должны быть неуспешными.

Если этого сложно достичь (например, у вас распределенная команда по миру), можно настроить внутренний VPN — тогда все подключенные через него сотрудники будут иметь один статичный IP, которому будет разрешен вход в административную панель.

HTTP-авторизация

Добавьте HTTP-авторизацию на критичные ссылки проекта, в том числе на админскую панель — это еще 1 слой с логином-паролем (которые также можно создавать отдельно на каждого пользователя), которые нужно внести, чтобы посмотреть информацию по целевой ссылке.

Регулярно обновляйте версию «1С-Битрикс» и модули, которые вы устанавливали из маркетплейса

Устанавливайте критические обновления и продлевайте лицензию для исправления уязвимостей в системе безопасности и улучшения общей функциональности платформы. Помните: чтобы обеспечить безопасность вашего веб-проекта, важно быть в курсе последних обновлений и исправлений.

Осознанно используйте сторонние модули

Сторонние модули могут содержать уязвимости. Используйте проверенные модули, которые постоянно обновляются, поддерживаются и развиваются.

Важно! При приобретении конкретной редакции (например, «Бизнес») нежелательно активировать все модули. Активируйте только необходимые.

«1С-Битрикс» имеет модульную структуру, в которой каждый модуль выполняет свою функцию. Например, модуль инфоблоков отвечает за работу всех инфоблоков. В зависимости от необходимого функционала есть разные редакции «1С-Битрикс». В каждой редакции заложен свой набор модулей.

Не используйте фреймворки или наборы библиотек, расположенные на внешних неконтролируемых ресурсах

Нельзя подключать скрипты, которые располагаются на внешних ресурсах — разработчик не может их контролировать и гарантировать безопасность. Вместо этого используйте большие проверенные площадки, такие как Google и Яндекс.

Скрывайте служебную информацию об ошибке на сайте

Для ошибок на сайте (например, 404) обычно заранее готовят информацию для пользователя. При возникновении ошибок не нужно выводить служебную информацию, потому что она может заинтересовать злоумышленника. Он может посмотреть пути, в каком скрипте произошла ошибка, структуру на сервере и использовать информацию против владельца сайта. Также не раскрывайте информацию о том, какую версию ПО «1С-Битрикс» вы используете.

Внедрите брандмауэр и решения для резервного копирования

Брандмауэр и резервное копирование обязательны для защиты вашего веб-проекта «1С-Битрикс». Брандмауэры могут помочь предотвратить несанкционированный доступ к проекту, отслеживая входящий и исходящий сетевой трафик. Резервное копирование может помочь восстановить проект до его предыдущего состояния в случае потери каких-либо данных из-за нарушений безопасности или по другим причинам.

Данным вопросом на наших проектах занимается DevOps-инженер. Он настраивает резервное копирование сайта различными методами: резервное копирование средствами «1С-Битрикс», «сырое» копирование файлов и базы данных и др.

Как часто делать резервное копирование?

Это зависит от нагруженности и активности веб-проектов и критичности вашей операционной деятельности. Так, если на вашем сайте создается 1000 заказов в день, нужно делать резервное копирование несколько раз в сутки. Для обычных интернет-магазинов низкого и среднего сегмента будет достаточно делать резервную копию один раз в сутки. Корпоративные сайты — раз в несколько дней. И не забывайте проверять бэкапы на целостность..

Целесообразно регулярно тестировать снятые резервные копии с целью проверки того, как они разворачиваются и будет ли «жив» сайт, развернутый из бекапа.

Система контроля версий файлов (git и другие vcs)

На любых проектах необходимо использовать системы контроля версий файлов вашего сайта. Это позволит облегчить и ускорить работу программистов и даст возможность контролировать, какое состояние функционала сайта необходимо отразить в конкретный момент времени.

Используйте надежные пароли

Одним из самых простых способов повысить безопасность вашего веб-проекта является использование надежных паролей. Всем пользователям, имеющим доступ к админке, необходимо использовать надежные пароли, содержащие комбинацию заглавных и строчных букв, цифр и специальных символов (например, 9GZ$d7N@NJP30Q&hK5ZVedS).

Одна пара логин-пароль должна принадлежать только одному пользователю/аккаунту.

Использование одной пары логин-пароль для всех пользователей, имеющих доступ к админке, считается плохой практикой.

Также необходимо регулярно (например, 1 раз в месяц) менять пароли ко всем учетным записям.

Ограничьте количество вводимых паролей

Одним из эффективных методов повышения безопасности веб-проектов является ограничение количества попыток ввода пароля.

Это может помочь предотвратить атаки методом перебора, когда злоумышленник пытается угадать пароль пользователя, многократно пробуя различные комбинации. За счет ограничения количества попыток снижается способность злоумышленника угадать правильный пароль. После определенного количества неудачных попыток блокируется учетная запись пользователя.

Используйте двухфакторную аутентификацию

Включение двухфакторной аутентификации повышает дополнительный уровень безопасности вашего веб-проекта. Двухфакторная аутентификация требует от пользователей предоставления дополнительной формы идентификации, такой как уникальный код, отправляемый на их мобильные устройства (в виде смс или в отдельном приложении, например, Google Authenticator). Этот метод может предотвратить несанкционированный доступ к вашему веб-проекту, даже если пароль скомпрометирован.

Ограничьте время сессии пользователей, находящихся в админке

Чтобы ограничить время сеанса пользователей, находящихся в панели администратора, возможно реализовать функцию автоматического выхода из системы. Эта функция выводит пользователей из системы после определенного периода бездействия. Также возможно установить максимальное ограничение по времени сеанса. Как только лимит времени будет достигнут, пользователь выйдет из системы. Это может помочь предотвратить несанкционированный доступ к панели администратора.

Используйте CAPTCHA

Это мера безопасности, используемая в веб-проектах для гарантии того, что пользователи являются людьми, а не ботами.

CAPTCHA обычно включает в себя просьбу пользователей идентифицировать искаженные буквы или цифры, выбрать определенные изображения или выполнить другие задачи, которые трудно выполнить ботам. CAPTCHA позволяет предотвратить доступ автоматических скриптов к вашему сайту, и веб-разработчики могут помочь защитить свои проекты от спама, взломов и других форм вредоносной активности.

Используйте SSL-сертификаты

SSL-сертификаты шифруют данные, передаваемые между сервером и браузером, что затрудняет перехват данных кем бы то ни было.

Анализируйте логи сайта

Регулярный анализ логов ошибок и посещения сайта позволит оперативно выявлять угрозы и корректно реагировать на них, вычленять ненужных ботов и ограничивать их активность, банить надоедливые парсеры, ориентироваться в методах применяемых атак и планировать развитие защиты на будущее.

Внедрите и соблюдайте режим принятия на работу новых сотрудников и увольнения старых

У учетных записей уволенных сотрудников должны быть изменены логины-пароли и позже сами учетные записи должны быть деактивированы. У новых сотрудников должны быть уникальные логины и пароли.

Проверяйте похожие доменные имена вплоть до смешения

Желательно отслеживать и тем или иным образом контролировать схожие доменные имена с названием вашего проекта, чтобы недоброжелатели не могли использовать схожее доменное имя и вымогать у пользователей финансы без выполнения обязательств.

Выполните настройки встроенных средств защиты и журналирования

1. Настройки > Настройки продукта > Настройки модулей > Главный модуль > Журнал событий

2. Настройки > Проактивная защита > Защита от фреймов

3. Настройки > Проактивная защита > Защита редиректов > Защита редиректов от фишинга

4. Настройки > Проактивная защита > Защита сессий

5. Настройки > Проактивная защита > Защита административного раздела > Защита административной части

6. Настройки > Проактивная защита > Двухэтапная авторизация

7. Настройки > Проактивная защита > Веб-антивирус

8. Настройки > Проактивная защита > Проактивный фильтр

9. Настройки > Настройки продукта > Настройки модулей > Настройки модуля > Авторизация

10. Настройки > Настройки продукта > Настройки модулей > Настройки модуля > Настройки

11. Настройки > Пользователи > Группа пользователей

Сканирование сайта на уязвимости

Перед сдачей проекта его необходимо проверить на различные уязвимости с помощью инструмента "Монитор качества".

Выбирая один из предложенных автотестов, можно проверить сайт по нужному параметру.

Также эту проверку необходимо проводить и после сдачи проекта для поддержания безопасности.

Подумайте о найме эксперта по безопасности

Если вам не хватает технических знаний для внедрения мер безопасности, подумайте о найме эксперта по безопасности, который поможет вам обезопасить веб-проект и обслуживать его при эксплуатации.

Заключение

Внедрение мер безопасности имеет важное значение для защиты вашего веб-проекта на «1С-Битрикс» от потенциальных угроз безопасности.

Имейте в виду, что угрозы безопасности постоянно развиваются, поэтому крайне важно быть в курсе новых угроз и лучших практик для обеспечения безопасности вашего веб-проекта.