Из 48 000 уязвимостей опасен 1%: как его найти (CVSS 4.0, EPSS, KEV, методика ФСТЭК)
Главный вызов современного VM - не найти уязвимости, а понять, за какие хвататься. Голого CVSS давно мало, а с апреля 2026 года по многим свежим уяз…
Последние новости
⚑ Сообщить о проблемеTech news from the best sources
Все темы
- игры
AI
Gear
News
Tech
agents
ai
api
architecture
automation
beginners
career
database
devops
javascript
llm
machinelearning
mcp
opensource
performance
productivity
programming
python
react
security
showdev
testing
tutorial
typescript
webdev
Нельзя защитить то, о чем не знаешь: управление активами как фундамент VM
Самые опасные уязвимости живут не там, где вы их ищете, а на активах, о которых вы забыли. Разбираем, зачем категоризировать активы по недопустимым…
Сайт PVS-Studio: всё о РБПО в 2026
Собрал в одном месте ссылки на разделы сайта PVS-Studio, касающиеся вопросов разработки безопасного ПО, соответствующих ГОСТ-ов, сертификации ФСТЭК…
Агент, скан или что-то еще: как сканировать все, что есть в инфраструктуре
Host Discovery, пентест и аудит закрывали инфраструктуру, пока она стояла в стойке. Ноутбук в разъездах, виртуалка на сорок минут, ПЛК, который нель…
Отчет на 2,2 миллиона строк: что делать с уязвимостями после того, как их нашли
Найти уязвимость - процентов десять работы. Дальше начинается то, о чем не пишут в описании сканера: как отдать результат в ИТ, чтобы его прочитали,…
VM ломается не на сканере, а на людях: роли, регламенты и SLA
Лучший сканер бесполезен, если ИБ и ИТ не разговаривают. Разбираем организационную часть: кто должен быть владельцем процесса, какие нужны документы…
Не строить, а арендовать: пентест, VM и багбаунти как сервис
Не обязательно поднимать все своими руками. Разбираем три сервисные модели - пентест как сервис, VM как сервис и багбаунти, - когда какая выгоднее и…
Купили сканер — но процесса нет: четыре причины, почему VM не взлетает
“У нас внедрен сканер, значит, есть процесс” - нет. Инструмент это еще не процесс. Разбираем, из чего на самом деле состоит управление уязвимостями,…
Через что вас взломают: векторы атак, zero-day, OWASP Top 10 и самые дорогие уязвимости в истории
Эксплойт - это инструмент, который превращает теоретическую уязвимость в реальную атаку. А уязвимости, есть в любом ПО: где-то их еще не нашли, где-…
Защита объектов КИИ: инструкция по выживанию для бизнеса
На счету команды Бастиона — десятки кейсов по защите объектов критической информационной инфраструктуры (КИИ) в самых разных отраслях. И нет, это не…
Управление уязвимостями по-русски: ФСТЭК, БДУ, приказ № 117 и почему обновление стало риском
С 2022 года российский VM живет по своим правилам. Приказ ФСТЭК № 117 впервые ввел обязательные сроки устранения (сутки на критическую уязвимость),…
КИИ 2026: как регуляторка душит одних и спасает других
КИИ в 2026: регуляторный пинок, уголовное дело или всё-таки защита? Когда регуляторка стала уголовкой - разбираем, кто реально выигрывает от требова…
Управление уязвимостями с нуля: что это, зачем и из каких этапов состоит
48 тысяч новых уязвимостей за год, по 130+ в день. Закрыть все невозможно - значит, нужен процесс. Сейчас разберемся, что такое уязвимости и эксплой…
Сертификат ФСТЭК, реестр ПО и ГОСТ: что банк проверяет при выборе MDM
Банки все чаще выдают сотрудникам рабочие смартфоны и планшеты для осуществления непосредственных рабочих функций. На таких устройствах настроена по…
«Да кому я нужен, меня не взломают»: почему это самая дорогая фраза в бизнесе
“Мы маленькие, нас не взломают” - самая дорогая ошибка в малом бизнесе. Боту-сканеру плевать, банк вы или шиномонтаж: он дергает все двери подряд, и…
Глоссарий серии «Управление уязвимостями для самых маленьких»
Справочник терминов, которые встречаются по всей серии. Термины расположены по алфавиту (сначала русские, затем латинские сокращения). Список будет…
Управление уязвимостями для самых маленьких: оглавление серии
Серия будет выходить примерно по главе в неделю. Подписывайтесь, чтобы не пропустить. А пока расскажите в комментариях: вы пришли в тему с нуля или…
Запускаю серию «Управление уязвимостями для самых маленьких»: зачем она и для кого
Это вступление к серии «Управление уязвимостями для самых маленьких. Если вы открыли этот текст на Хабре, то про управление уязвимостями уже наверня…
Kubernetes-аудит после Wiz и Prisma: как живут без CNAPP в 2026
В 2022–2024 западные CNAPP-платформы — Wiz, Prisma Cloud, Lacework — закрыли доступ для российских компаний. Сбер и Яндекс собрали свой стек на коле…
Важные изменения в защите информации в России: что нового?
В апреле 2026 года ФСТЭК России выпустил долгожданный методический документ "Состав и содержание мероприятий и мер по защите информации, содержащейс…
Ночь с 14 на 15 апреля: мой личный ответ на отключение СМЭВ
Я узнал об отключении не из новостей. Утром мне написал знакомый из небольшого банка: «всё упало, паспорта не проверяются, онлайн встал». В то время…
Эволюция мониторинга ИБ КИИ 2025–2026: от формального отчета к реальному контролю
Прошедший 2025 год стал периодом, когда регуляторы в лице ФСТЭК и ФСБ России окончательно перешли от политики «общих требований» к формированию жест…