Subfinder: ставим внешний периметр на «сигнализацию»

Как выстроить непрерывный мониторинг внешних активов

В первой статье мы разобрали Assetfinder — утилиту, которая за минуту показывает, что атакующий изучает ваш периметр без реального подключения.

Но Assetfinder не улучшали с 2019 года — нет интеграции с Shodan, Censys, современными threat intelligence платформами. Хотя используемые утилитой источники (CT-логи, Wayback) обновляются и работают. И еще минус: утилита даёт срез на один момент времени. А требуется непрерывный мониторинг и реагирование.

Инфраструктура меняется каждый день. Появляются новые поддомены. Разработчики поднимают сервисы. DevOps автоматически выпускает сертификаты.

Одноразовая проверка — это не контроль периметра. Это фотография поля боя.

Subfinder решает другую задачу: не «посмотреть один раз», а наблюдать постоянно.

Что такое Subfinder

Assetfinder: почему атакующий знает ваш периметр лучше вас

У большинства CISO нет полного списка своих поддоменов.

При этом любой атакующий собирает его за минуты — без единого запроса в вашу инфраструктуру. Без логов на вашей стороне. Без алертов в SIEM.

Атакующий часто изучает ваш внешний периметр быстрее, чем вы приводите его инвентаризацию в актуальное состояние. Это не фигура речи — это архитектурный факт интернета.

Где ломается контроль

Основной сайт обычно защищён. Рядом живут другие:

• dev.example.com — без патчей, потому что «только для разработки»
• staging.example.com — с реальными данными, потому что «временно»
• old-api.example.com — с CVE 2018 года, потому что про него забыли

Они не в CMDB. Не в отчётах. Не в зоне ответственности SOC. Именно туда заходят первым делом.

Что такое Assetfinder

Утилита от Тома Хадсона (tomnomnom) — одного из самых известных авторов инструментов для разведки. Написана на Go: компилируется в один бинарный файл, работает на Linux, macOS, Windows, зависимостей нет.

Assetfinder — инструмент перечисления поддоменов (subdomain enumeration), ориентированный на OSINT-источники: публичные базы, сертификаты, данные хостингов. Каждый источник опрашивается параллельно, результаты собираются в единый поток, дубликаты отфильтровываются. Средний домен — меньше минуты. OWASP Amass на то же самое тратит часы.

Используют в трёх сценариях:

• Bug bounty — найти поверхность атаки быстрее конкурентов
• Пентест — собрать карту активов до начала работы
• Защита — проверить, что компания реально «светит» наружу

Как работает — и почему это ваша проблема

Секрет Полишинеля: SSL Decryption больше не работает

Главный инструмент «видимости» уровня приложений — SSL Inspection (или MITM — Man-in-the-Middle). Метод прост: межсетевой экран подменяет сертификат TLS(SSL) на свой, расшифровывает трафик, проверяет его и зашифровывает обратно.

Раньше это работало. Сегодня — это головная боль и часто бессмысленная затея. Представьте, что вы пытаетесь прочитать чужое письмо, аккуратно вскрывая конверт. Но теперь отправители используют специальные «умные» конверты, которые самоликвидируются или отказываются открываться, если видят, что их читает кто-то, кроме адресата.

Почему тотальное расшифрование больше не «серебряная пуля»

9 сценариев, где ИИ ускоряет работу аналитика и продакта

Большинство статей описывает абстрактные возможности ИИ. Данный материал — про конкретные задачи, решаемые прямо сейчас без специальных интеграций и дорогих инструментов.

Девять сценариев экономят рабочий день аналитикам, продакт-менеджерам и маркетологам. С готовыми промтами.

Важно про данные: ИИ работает с текстом. При анализе таблиц — копируйте текстовые выгрузки (CSV или копию из Excel), а не скриншоты. Для чувствительных данных используйте обезличенные выборки или локальные модели.

---

1. Поиск аномалий в данных

Ручной мониторинг десятков метрик съедает время. Нейросеть проверяет массив за секунды и подсвечивает подозрительные отклонения.

Промпт:

«Ты — аналитик данных. Вот таблица с ежедневным числом пользователей за месяц. Рассчитай среднее значение и стандартное отклонение. Найди дни, где показатель отклоняется более чем на 2 сигмы. Для каждого такого дня предложи по 3 возможные причины: технические сбои, маркетинговые кампании, внешние события. Формат ответа: дата — % отклонения — топ-3 гипотезы».

Примечание: для точности арифметических расчётов используйте модели с поддержкой Code Interpreter (ChatGPT Advanced Data Analysis или Claude с инструментами). Обычные LLM иногда ошибаются в вычислениях.

Результат — не просто выброс в данных, а готовые гипотезы: «14 июля падение на 30% совпадает с отключением SMS-шлюза» или «Всплеск 22-го коррелирует с акцией у конкурента». Направление для расследования — сразу понятно.

Браузер - новая поверхность атаки

Браузер как новая поверхность атаки

В классической модели информационной безопасности всё вращалось вокруг вредоносных программ. Картина была привычной и почти театральной: злоумышленник доставляет заражённый файл, пользователь его запускает, на компьютере появляется подозрительный процесс — и антивирус с EDR вступают в игру.

Сегодня рабочая среда сотрудников изменилась — тихо, незаметно и, пожалуй, необратимо.

Сегодня почти всё происходит в браузере: корпоративная почта, документы, CRM, порталы подрядчиков, системы управления проектами, облачные хранилища. Браузер фактически стал операционной системой рабочего места. И это, разумеется, изменило модель атак.

Во многих случаях злоумышленнику больше не нужно заражать компьютер. Достаточно получить доступ к браузерной сессии пользователя или убедить его самостоятельно выдать нужные разрешения.

Прощай, Google Photos: строим личное облако с защитой уровня Enterprise

Хранение личных архивов в бигтех-корпорациях постепенно превращается в риск. Блокировка аккаунта, внезапное изменение условий подписки или туманные правила приватности заставляют искать альтернативы. Для тех, кто ценит полный контроль над данными, существует связка из домашнего сервера Immich и защитного шлюза Cloudflare.

Immich: ИИ-фотолаборатория в собственной квартире

Вместо аренды места у гигантов индустрии лучше запустить сервер Immich. Это бесплатное программное обеспечение с открытым кодом полностью копирует интерфейс и функции Google Photos. Нейросети внутри системы распознают лица, группируют снимки по геолокации и находят объекты на кадрах.

Главное преимущество — обработка лиц происходит локально на домашнем железе. Ни одна фотография не улетает на сервера сторонних компаний для анализа. Это может быть любой сервер. Также владельцы систем Synology запускают Immich через штатный Container Manager (Docker), превращая сетевой накопитель в умный фотоальбом. Объем хранилища при этом ограничивается только размером установленных дисков. Обычно это работает в моделях серий Plus (+), Play или xs, которые построены на процессорах Intel или AMD.

---

Безопасный доступ без «дыр» в роутере

Главная проблема домашних серверов — организация входа из интернета. Открывать порты на роутере — значит выставлять оборудование под удары ботов и сканеров. Элегантное решение предлагает технология Cloudflare Tunnel.

Специальная утилита на сервере создает защищенный коридор до облака. Домашние фото становятся доступны по красивому адресу вроде photos.batrankov.ru. Роутер остается закрытым для внешнего мира, а трафик идет по шифрованному каналу. Для работы туннеля не нужен даже «белый» статический IP-адрес.

Если вы купили Synology ради простоты — используйте штатный Synology Photos. Это добротное решение, которое закроет потребности 90% пользователей. Но если вы хотите получить максимум от своего железа и доверяете современным ИИ-алгоритмам — ставьте Immich. А доступ в обоих случаях лучше закрывать через Cloudflare Tunnel, чтобы не светить свой NAS в открытый интернет

---

Cloudflare Access: цифровой замок на входе

Для максимальной безопасности стоит активировать Cloudflare Access. Эта функция добавляет еще один уровень авторизации перед попаданием в само приложение.

При попытке зайти в альбом система сначала потребует ввести одноразовый код, отправленный на почту или в Telegram. Хакер или случайный прохожий не увидит даже страницу входа в Immich, так как Cloudflare отсекает неавторизованные запросы еще на подлете. Это напоминает пропускной пункт на охраняемом объекте, где паспорт проверяют до того, как разрешить подойти к двери.

---

Юридический нюанс и приватность

Выбор технологий требует понимания архитектуры. Штаб-квартира Cloudflare находится в Сан-Франциско, и компания работает в американской юрисдикции. Поскольку трафик расшифровывается внутри облака для фильтрации атак и проверки правил доступа, провайдер технически имеет возможность видеть передаваемые файлы. В США есть так называемый CLOUD Act, по которому компания обязана предоставить данные, которые проходят через её узлы в расшифрованном виде, если к ней придут с ордером.

Для 99% семейных архивов это приемлемый компромисс между комфортом и профессиональной защитой от взлома. Но если данные требуют абсолютной секретности, стоит рассмотреть Tailscale или Headscale. Это решение использует сквозное шифрование, при котором ключи доступа хранятся исключительно на ваших устройствах, а посредники видят лишь нечитаемый шум. Там нет посредника, там чистый P2P и сквозное шифрование. Но за приватность придется платить: на каждом телефоне должен быть включен VPN-клиент.

Rclone: инструмент сисадминов, который полюбили хакеры

Хакер проникает в корпоративную сеть. Антивирус молчит потому что все сделано от имени легитимного пользователя и легитимными инструментами. Через несколько минут все документы с рабочего стола сотрудника и целиком папка с перепиской Telegram уже лежат на чужом облаке. Никаких самописных вирусов. Никаких сложных эксплойтов. Только один маленький файл, который любой системный администратор держит в арсенале по умолчанию.

Называется Rclone.

---

Что такое Rclone и почему профессионалы от него в восторге

Представьте «Проводник Windows», который умеет работать не с локальными дисками, а с любым облаком на планете. Google Drive, Dropbox, OneDrive, Mega, корпоративный FTP-сервер, Amazon S3 — Rclone поддерживает более 70 провайдеров и протоколов. Перекинуть файлы с Google Drive прямо на Dropbox одной командой, минуя собственный компьютер? Без проблем.

Системные администраторы ценят Rclone за три вещи.

Портативность. Rclone — один исполняемый файл без установки. Скачал на новый сервер, запустил, настроил бэкап — занимает три минуты. Никаких инсталляторов, никаких зависимостей.

Скорость. Rclone передаёт данные в несколько потоков одновременно, возобновляет прерванные закачки и синхронизирует только изменившиеся файлы. Браузерная загрузка рядом не стояла.

Встроенное шифрование. Функция Crypt позволяет зашифровать файлы прямо перед отправкой в облако. Даже владелец облачного сервиса увидит только бесполезный набор байтов — ключ хранится только у владельца данных.

Квантовая угроза: как защитить данные до того, как станет поздно

Денис Батранков · Март 2026 · Читать ~8 минут

Прямо сейчас чьи-то серверы записывают ваш зашифрованный трафик. Не для того, чтобы читать его сегодня — для того, чтобы прочитать через 7–10 лет, когда появятся квантовые компьютеры. Это не фантастика. Это называется Harvest Now, Decrypt Later (HNDL) — и это уже происходит.

Сценарий, который уже реален

🏦 Реальный сценарий — банк

Крупный банк хранит платежные данные клиентов за последние 10 лет. Злоумышленник — государственная структура или хорошо финансируемая группа — перехватывает зашифрованный трафик уже сегодня и архивирует его. Через 7 лет появляется квантовый компьютер нужной мощности. За считанные часы расшифровываются миллионы платежных операций, личные данные клиентов, внутренняя переписка топ-менеджмента. Ущерб — от репутационных потерь до сотен миллионов рублей штрафов по 152-ФЗ и исков клиентов. Аналог из реальной жизни: утечка Equifax обошлась компании в $1,4 млрд — и там квантовых компьютеров не было.

Именно так работает стратегия Harvest Now, Decrypt Later («собери сейчас, расшифруй позже»). И именно поэтому защищаться нужно сейчас, а не когда квантовые компьютеры уже появятся на рынке.

Что такое CRQC и почему это важно

CRQC (Cryptographically Relevant Quantum Computer) — квантовый компьютер, достаточно мощный, чтобы взламывать современные алгоритмы шифрования: RSA, ECDH, ГОСТ 34.10. Обычный квантовый компьютер (например, используемый сегодня в научных задачах) на это не способен. CRQC — это уровень вычислительной мощности, которого ждут через 7–15 лет.

Пока CRQC не существует в промышленном масштабе. Но это не значит, что угрозы нет сейчас: данные перехватывают и хранят уже сегодня, в расчёте на будущее.

Термины квантовой и постквантовой криптографии 2026

Квантовая угроза перестала быть теоретической. Крупные государства, банки и технологические компании уже готовятся к сценарию Harvest Now, Decrypt Later (HNDL) — «собери сегодня, расшифруй позже».

🔹 Термины и сокращения

• HNDL — сценарий «собери сегодня, расшифруй позже», когда зашифрованный трафик перехватывают сейчас и расшифровывают позже с помощью квантовых компьютеров.
• QKD — квантовое распределение ключей по физическим каналам, невозможное для перехвата без нарушения состояния ключа.
• PQC — постквантовая криптография, устойчивая к атакам классических и квантовых компьютеров, применяется в TLS, VPN, ЭЦП.
• KEM — механизм передачи симметричного ключа через PQC.
• DEM — механизм шифрования данных с помощью симметричного ключа.
• CRQC — квантовый компьютер, достаточно мощный, чтобы взламывать современные алгоритмы шифрования: RSA, ECDH, ГОСТ 34.10.

🔹 HNDL: как злоумышленники перехватывают трафик

• Злоумышленники собирают зашифрованный трафик уже сегодня.
• Хранят его архивы 5–15 лет для последующей расшифровки.
• Расшифровывают данные массово с помощью квантовых компьютеров (CRQC)
  
  

Как AI-файрвол защищает от джейлбрейков

Технологии · 10 мин чтения

Злоумышленник не взламывает сервер. Не пишет вредоносный код. Просто отправляет текстовое сообщение — и ИИ-агент выполняет то, что не должен. Джейлбрейк в мире ИИ — это атака словами, а не кодом. И защита от неё устроена принципиально иначе, чем всё, что было до сих пор. Мы в новом мире.

Что такое джейлбрейк и почему это серьёзно

Джейлбрейк (jailbreak) — попытка обмануть языковую модель специально сформулированным текстом, чтобы она нарушила собственные ограничения (про Guardrails читайте тут). Модель не взламывают технически: её убеждают словами, что правила в данном случае не действуют.

Выглядит это примерно так:

Guardrails в ИИ: невидимые барьеры, которые делают ИИ безопасным

Технологии · 11 мин чтения

Когда вы общаетесь с чат-ботом, задаёте вопросы голосовому ассистенту или пользуетесь автоматизированным сервисом — вы, скорее всего, уже сталкивались с guardrails, сами того не зная: именно guardrails заставляют ИИ вежливо отказываться от некоторых ваших запросов или переводить разговор на другую тему.

Что такое Guardrails?

Guardrails (в переводе с английского — «ограждения» или «перила») — встроенный механизм контроля поведения искусственного интеллекта. Guardrails задают границы: что система может делать, а что — нет. Причём речь не только о содержании ответов: guardrails ограничивают поведение системы в целом — какие действия выполнять, какие данные использовать, какие решения принимать самостоятельно, а какие передавать человеку.

Термин пришёл из мира дорожной безопасности: металлические ограждения на трассе не дают машине съехать в пропасть. По той же логике guardrails удерживают ИИ от нежелательного поведения — генерации вредоносного контента, распространения дезинформации или нарушения конфиденциальности пользователей. При этом, как и дорожные ограждения, guardrails не гарантируют полную безопасность — скорее уменьшают вероятность катастрофических последствий.

Проще всего объяснить через аналогию с корпоративным регламентом. Новый сотрудник получает инструкцию: «Никогда не разглашай персональные данные клиентов» и «Не заключай договора без юриста». Guardrails работают так же — только для ИИ и автоматически: модель не читает правила осознанно, ограничения встроены прямо в её поведение.

«Платите или живите с дырами»: как Broadcom изменил правила игры VMware

Broadcom и VMware: что случилось с рынком

Что сделал Broadcom после поглощения

Broadcom купил VMware в ноябре 2023 года за $61 млрд. Это одно из крупнейших поглощений в истории IT. Новые владельцы запустили целую серию "улучшений", которые радикально изменили отношение рынка к компании.

Ценообразование и лицензирование. Broadcom полностью отказался от бессрочных (perpetual) лицензий и перевёл всех на подписочную модель VCF (VMware Cloud Foundation). Цены для большинства заказчиков выросли в 3–8 раз, для некоторых — на порядок. Минимальный порог входа поднялся: исчезли редакции для малого бизнеса, остались только крупные bundle. Это мгновенно отрезало SMB-сегмент.

Кстати, я помню, что также было, когда IBM купил Guardium. Цена подписок выросла в 4 раза. Почти все российские заказчики тогда перешли на Imperva.

Сокращение портфеля. Broadcom прекратил продажи отдельных продуктов: vSphere Standard, vSAN, NSX как самостоятельные SKU ушли — всё упаковано в VCF. Партнёрская сеть была резко сокращена: тысячи реселлеров и дистрибьюторов потеряли статус. Broadcom оставил только крупнейших партнёров.

Поддержка. Сроки поддержки старых версий были сокращены. Ключевое решение — клиентам с истёкшей поддержкой разрешили получать патчи только для zero-day с CVSS от 9.0 до 10.0, все остальные обновления — под запретом. Фактически Broadcom создал инструмент давления: либо платите за новую подписку, либо живёте с дырами. Они серьезно усложнили скачивание обновлений, чтобы защититься от нелегитимного распространения. 

Кадры и культура. После закрытия сделки Broadcom уволил около 30% сотрудников VMware — преимущественно в продажах, маркетинге и поддержке. Это ударило по качеству технической поддержки: время ответа выросло, глубина экспертизы упала.

---

Что реально улучшилось

Чек-лист ФСТЭК-117 — быстрая самопроверка информационной безопасности

⚠️ Чек-лист ФСТЭК-117 — быстрая самопроверка информационной безопасности

Этот чек-лист поможет вашей компании быстро оценить, насколько вы соответствуете требованиям ФСТЭК-117. Даже если вы не эксперт в ИБ, вы сможете понять свои слабые места и зоны риска.

📊 Как пользоваться чек-листом

• Каждый пункт оценивается по шкале:
  • ⬜ Нет = 0 баллов — элемент отсутствует или не работает
  • 🔹 Частично = 0.5 балла — элемент частично выполнен или формально есть
  • ✅ Да = 1 балл — элемент выполнен и реально работает
• Итоговый балл рассчитывается как сумма средних значений каждого раздела, умноженных на его вес (R₁–R₄).
• Цветовая индикация состояния:
  • Зелёная ≥0.8 — Хорошо
  • Жёлтая 0.6–0.79 — Риск
  • Красная 0.6 — Плохо

1️⃣ Организация и управление (R₁ = 0.10)

• Заместитель по ИБ — есть ли человек на уровне зама/директора, реально отвечающий за информационную безопасность (ИБ)
• Процедуры — формализованные функции и процессы ИБ, закреплённые документами
• Подрядчики — требования к безопасности для внешних поставщиков (например, хостинг, облачные сервисы, сервисные компании)

Совет: формально назначенный ответственный ≠ реально управляет. Проверьте полномочия и контроль.

2️⃣ Защита пользователей (R₂ = 0.25)

• MFA для админов и привилегированных пользователей ⚠️ — многофакторная аутентификация (MFA, Multi-Factor Authentication) защищает доступ с повышенными правами
• Сложные пароли — минимум 12 символов с комбинацией букв, цифр и спецсимволов
• Учётные записи уволенных сотрудников удалены/заблокированы — никто не должен иметь доступ после увольнения

Совет: отсутствие MFA у админов делает раздел красным даже при остальном хорошем состоянии.

3️⃣ Защита информационных систем (R₃ = 0.35)

• Межсетевой экран (Firewall) L3/L4 на периметре — фильтрация трафика между вашей сетью и внешним интернетом на уровне сетевых пакетов
• Патчи критических уязвимостей ⚠️ — исправления критических уязвимостей: периметр ≤30 дней, внутренняя сеть ≤90 дней (≥90%)
• Проверка вложений email — фильтрация потенциально опасных файлов, ≥80% проверок
• Централизованный антивирус — установлен и охватывает ≥80% устройств
• Защита от DDoS — защита от атак на уровне L3/L4 (сетевые атаки с целью перегрузить сервис)

Совет: наличие сканера уязвимостей ≠ исправление найденных проблем.

4️⃣ Мониторинг и реагирование (R₄ = 0.30)

• Сбор событий и алерты — централизованное отслеживание неудачных попыток входа и аномалий
• Анализ событий — сбор и проверка логов с устройств, подключенных к интернету
• Регламент реагирования ⚠️ — документ с конкретными действиями и ответственными на случай инцидента

Совет: SOC или SIEM без регламента реагирования = формальность, атака может остаться незамеченной.

🔹 Итог

Используйте этот чек-лист для:

• Ежеквартальной проверки ИБ
• Общения с руководством и подрядчиками
• Выявления «слабых мест» до инцидента

Сохраните и делитесь этой инфографикой и текстом с коллегами — пусть все знают, где реальные риски!