100 невидимых дверей в вашу сеть: почему IAM больше не работает и нужен Non-Human Identity

Денис Батранков · @safebdv · май 2026

На отечественных ИБ-конференциях 2026 года CISO по-прежнему обсуждают, как поймать маркетолога с подпиской на ChatGPT. Тем временем мировая индустрия кибербезопасности столкнулась с тектоническим сдвигом. Главным вектором угроз стали не люди, а Non-Human Identities (NHI) — автономные ИИ-агенты, сервисы и машины, которые общаются друг с другом без участия человека вообще.

---

Масштаб, который не укладывается в голове

Okta зафиксировала: в 2023 году на каждого сотрудника корпоративной сети приходилось в среднем 45 машинных идентификаторов — сервисных аккаунтов, API-ключей, токенов OAuth, сертификатов TLS. Silverfort пересчитала в 2025-м: уже 80–100. Каждый CI/CD-пайплайн в GitHub Actions работает под своим токеном. Каждый Lambda-обработчик в AWS получает IAM-роль. Каждый Kubernetes-под имеет ServiceAccount. Ни один из них не может позвонить в SOC и сказать «кажется, что-то пошло не так».

Человека можно уволить. Токен — нет.

---

Single Packet Authorization: как сделать свою инфраструктуру невидимой для сканеров

Пока классические безопасники держат порты открытыми 24/7 и латают дыры по мере поступления CVE, индустрия переходит на концепцию Dark IP. Её ядро — Single Packet Authorization (SPA).

Что не так с текущей моделью безопасности

Каждый открытый порт — это приглашение. Администратор открывает 443 или 22, потому что иначе сотрудник, микросервис или ИИ-агент не попадёт в сеть. Порт виден в интернете. Сканер атакующего его находит, сопоставляет с базой CVE, и в 2026 году от публикации уязвимости до её эксплуатации проходят не недели — часы. Патч человек просто не успевает поставить.

Как работает Single Packet Authorization (SPA)

Квантовый апокалипсис для криптографии: что делать ИБ-руководителю прямо сейчас

Денис Батранков · @safebdv · май 2026

Идет гонка - кто первый!

Китай уже вложил 15 миллиардов долларов в квантовый центр. На днях стало изввестно, что правительство США вложило 2 млрд долларов в девять квантовых компаний и получило акции каждой из них. 

• IBM получила 1 млрд и строит завод по производству квантовых чипов Anderon в штате Нью-Йорк. 
• GlobalFoundries 375 млн, D-Wave, Rigetti, Infleqtion и PsiQuantum по 100 млн. При этом D-Wave — это первый в мире коммерческий поставщик квантовых компьютеров, работает с 1999 года. Rigetti  — разработчик сверхпроводниковых квантовых процессоров, торгуется на NYSE. Infleqtion — специализируется на нейтральных атомах как кубитах, вышла на биржу в феврале 2026 года. Их акции в результате выросли на 30–33% за день. 

Это явно не венчурные инвестиции. Это инвестиция государства, которое считает квантовый компьютер стратегическим оружием. 

А почему? Потому что скоро почти все ваши зашифрованные сообщения взломают. Это уже не обсуждается. Обсуждается только то, успеете ли вы сменить свои алгоритмы шифрования до этого момента. Если вам нужен конкретный план для CISO и ИТ-директора, то эта статья для вас. 

ИИ без RAG — это врач без вашей медицинской карты. Почему об этом молчат на старте проекта по ИИ

Каждый второй ИИ-проект стартует одинаково: выбирают модель, настраивают интерфейс, показывают демо. И почти никто не закладывает в первый спринт то, без чего модель будет уверенно врать о вашем же бизнесе. Разбираем, что это за слой — и почему без него GPT-4 не знает ни ваших цен, ни ваших клиентов, ни ваших договоров.

Представьте: вы наняли блестящего врача. Он помнит терабайты учебников: все болезни, все протоколы лечения, весь справочник лекарств Vidal. В мире ИИ этот врач — GPT-4 или Claude.

Но он видит вашего пациента впервые. Нет медицинской карты, нет истории болезней, нет результатов анализов из лаборатории Invitro. Он начинает ставить диагноз по общим знаниям и либо ошибается, либо выдаёт совет «пейте больше воды». Это и называют галлюцинациями ИИ.

RAG — это медицинская карта, которую вы даёте врачу прямо перед приёмом.

Как это работает: три шага

Ваш ребёнок не может отложить телефон. Финский учитель смог с этим справиться на уроках

Вы уже сто раз говорили: «Положи телефон». Ребёнок кивает, кладёт — и через три минуты снова смотрит в экран. Это не упрямство и не игнор. Это дофаминовый цикл, и работает он одинаково у детей, подростков и взрослых. 

Финский педагог Самули Сиекконен заметил ту же картину в своих классах. Только вместо запретов он начал учить детей одному простому навыку: осознавать, зачем они вообще тянутся к телефону прямо сейчас. Нужно не забирать телефон, а вернуть контроль за импульсом в голове.

В чём проблема на самом деле

Мозг не различает «нужно проверить сообщение» и «рука потянулась сама». Оба действия запускаются одним и тем же триггером — кратким дискомфортом: скукой, паузой в разговоре, ожиданием лифта. Телефон стал таблеткой от любого микро-дискомфорта. Это и есть зависимость.

Запрет убирает телефон из рук на час. Привычку не убирает никак.

10-дневная схема Сиекконена: как она устроена

Ключ от всего здания навсегда: почему так больше нельзя делать с появлением Zero Standing Privileges

В прошлом году злоумышленники зашли в 84% организаций, просто используя украденные учётные данные. Не через дыры в коде и не через уязвимости в железе — просто взяли действующий пароль и вошли, как обычный сотрудник. IBM подсчитал: средняя цена одного такого инцидента — $4,44 млн (Cost of a Data Breach 2025). В половине случаев история одна и та же: кто-то получил доступ, выполнил задачу и ушёл, а доступ за ним не закрыли. Учётная запись продолжала существовать — с теми же правами, без владельца, без контроля. Вот через неё и вошли.

Именно эту структурную проблему решает концепция Zero Standing Privileges — ZSP. Только не путайте её с очередным обновлением PAM или маркетинговой надстройкой над существующими инструментами. ZSP — это отказ от базового допущения, на котором строится вся классическая безопасность доступа: что привилегии должны существовать заранее, до того как они понадобятся.

Что такое Большая языковая модель (LLM)

Большая языковая модель — это не база данных, не склад готовых ответов и не мыслящий разум, а колоссальный математический калькулятор. На жестком диске вашего компьютера модель Llama 3 весом в несколько гигабайт представляет собой один гигантский файл, внутри которого записаны миллиарды дробных чисел.

Эти числа инженеры называют весами. Вся суть работы искусственного интеллекта сводится к одной задаче — угадыванию каждого следующего слова в предложении на основе сложнейшего расчета вероятностей.

Что вы можете сделать с ИИ

 1. Работа с текстами:

• составление и редактирование деловых писем, отчётов, презентаций;

• подготовка черновиков статей, постов для соцсетей, пресс‑релизов;

• переформулировка текста — упрощение, усложнение, адаптация под аудиторию;

• сокращение текста с сохранением смысла (резюмирование);

• перевод текстов (в т. ч. с сохранением стиля);

• проверка орфографии, пунктуации и стилистики.

TEE - в вашем смартфоне живёт второй процессор. Он не доверяет первому

Каждый раз, когда вы платите телефоном, происходит кое-что, о чём ваш Android не может знать. Смартфон не спрашивает основную операционную систему, совпадает ли ваш отпечаток с эталоном. Он спрашивает другой процессор — невидимый, изолированный, работающий параллельно. Android получает только ответ «да» или «нет». Сами биометрические данные он никогда не видит.

Эта архитектура называется TEE — Trusted Execution Environment, доверенная среда выполнения. Она есть в каждом современном смартфоне, в серверах Azure и Google Cloud, в ноутбуках с Windows Hello, в банкоматах и платёжных терминалах.

И это также большой рынок. Производители TEE в 2024 году заработали 3,5 миллиарда долларов. К 2033 году аналитики ждут 18 миллиардов. Большие деньги за технологию, которую никто не видит и мало кто понимает.

TEE — это бронированная комната внутри процессора. Основная ОС живёт снаружи: она получает задачи, управляет приложениями, иногда подхватывает вирусы. Бронированная комната работает параллельно, отвечает только на заранее разрешённые вопросы и не открывается изнутри — даже если снаружи получили права администратора. Вредоносное приложение, засевшее в Android, не может украсть ключи Apple Pay — их там нет. Они в комнате.

• Разблокировка ноутбука по лицу — TEE.
• Банковское приложение, которое отказывается работать на рутованном телефоне — TEE.
• Корпоративная VM в Azure, данные которой не видят администраторы дата-центра — TEE.
• Стриминговый сервис, проверяющий лицензию на 4K-контент — тоже TEE.

Одна архитектурная идея в основе всего: среда внутри процессора, которой доверяют больше, чем самой операционной системе.

Пять вопросов, которые отделяют надёжный сейф от красивой коробки

TEE: Процессор внутри процессора: как производители защищают ваши данные

TEE — это аппаратная область внутри процессора,

где полномочия обычной операционной системы заканчиваются

Когда вы прикладываете палец к смартфону, происходит любопытная вещь. Телефон не спрашивает Android: «это правильный отпечаток?». Вместо этого запрос уходит в отдельную изолированную среду внутри процессора. Android не видит сам отпечаток, не хранит его и не участвует в проверке.

Эта технология называется TEE — Trusted Execution Environment, доверенная среда выполнения.

Проще всего представить её как бронированную комнату внутри большого офиса. В основном офисе работают браузеры, мессенджеры, игры и приложения. Там бывают вирусы, ошибки и взломы. Но внутри того же здания есть маленькое помещение с отдельными правилами безопасности. Именно там хранятся ключи шифрования, проверяется биометрия и выполняются самые чувствительные операции.

Сегодня TEE уже используется почти везде:

• в Face ID и сканерах отпечатков;
• в Apple Pay и Google Pay;
• в банковских приложениях;
• в шифровании смартфонов и ноутбуков;
• в облачных вычислениях;
• в системах защиты AI-моделей;
• в корпоративных виртуальных машинах.

Большинство пользователей никогда не слышали термин TEE. Но именно эта технология сегодня стоит между злоумышленником и вашими деньгами, биометрией или корпоративными данными.

Почему TEE внезапно стала стратегической технологией

Производительность самых мощных платформ у каждого производителя в России

Ideco EX

RusPoint RP28010

Check Point CP19200

Континет 4 IPS-R5000

UserGate F8010

Kaspersky KX-3500

PT 3050

API-ключ без срока жизни: почему ваша процедура увольнения ничего не значит

В пятницу вечером вы уволили разработчика. Заблокировали учётку в Yandex Cloud. Удалили из организации в VK Cloud. Отчитались перед HR — всё по регламенту. Молодцы.

В понедельник утром объектное хранилище тихо отдаёт терабайт ваших данных. Никакого взлома. Никакого фишинга. Просто у уволенного был API-ключ сервисного аккаунта, созданный полгода назад для автоматического деплоя. Ключ жив. Он никогда не умирает сам по себе. HR об этом не знает. Регламент увольнения соблюден.

Я занимаюсь информационной безопасностью больше двадцати лет. Эту историю слышал в разных вариациях десятки раз. Каждый раз компании удивляются. Потому что на бумаге всё было сделано правильно. А у уволенного сотрудника доступ к авторизованной когда-то ранее сессии в Контур.Толк еще остался.

Как стать CISO в России: четыре маршрута и ни одного простого.

Зарплаты топовых CISO достигли 1,3 млн рублей в месяц. Медиана по рынку 520 тыс. Но главное не цифры. Главное - это цена тревоги, которая вшита в эту профессию.

Эта заметка родилась во время того как я слушал ответы многих мною уважаемых коллег на CISO форуме.

Профессия ИБ-директора — одна из самых уважаемых сегодня. Генеральный директор делегирует CISO ответственность за самые неприятные операционные риски компании. Кассовый разрыв понятно как закрыть. Нехватку ИТ-ресурсов тоже. А вот множество угроз, способных остановить весь бизнес целиком, сегодня лежат именно в руках у директора по информационной безопасности.

На основной секции CISO Forum 2026 Георгий Руденко задал простой вопрос нескольким директорам по информационной безопасности: «Кто CISO вообще такой?» Ответы были честными, иногда горькими  и совсем не похожими на то, что написано в должностных инструкциях.

Дмитрий Гадарь сказал: «Это человек, который берёт на себя ответственность». Коротко. И именно в этом вся суть роли.

Плохой CISO приносит проблемы наверх, чтобы переложить их на CEO, а хороший CISO должен приходить уже с планом действий. Не «у нас утечка», а «у нас утечка, мы вот это уже сделали, вот риски которые остались». Это другой уровень нагрузки на психику. И платят за него соответственно.

Миллион рублей — это реально, но не для всех

Полный список данных для обучения ИИ в кибербезопасности

Ниже будет объяснение для обывателя: каждый пункт раскрыт простым языком, без сложных терминов и жаргона. Это эксперимент - напишите, если вам понравилось.

1. Сетевые данные (что происходит в кабелях и эфире)

1.1. Сырые дампы трафика (pcap)

Что это: Полная запись всего, что передаётся по сети — как «видеорегистратор» всего цифрового движения. Пакеты, байты, заголовки.
Зачем ИИ: Чтобы научиться распознавать атаку по её «почерку» в реальном времени. Особенно новые виды вторжений, которых нет в базах сигнатур.
Для обывателя: Представьте, что каждая кибератака оставляет след, как отпечаток пальца. Сырые дампы — это как раз те самые отпечатки.

1.2. NetFlow / IPFIX (сжатая телеметрия)

Что это: Сводная статистика — кто с кем соединялся, когда, сколько передал данных, какие протоколы использовал. Без самого содержимого.
Зачем ИИ: Быстро замечать аномалии: внезапный всплеск трафика из отдела бухгалтерии в ночь, массированную отправку данных наружу.
Для обывателя: Если сырой дамп — это видеозапись, то NetFlow — это короткий отчёт: «водитель выехал из гаража, ехал 5 минут, передал 2 ГБ, вернулся». По отчёту тоже можно понять, что что-то не так.

1.3. DNS-телеметрия

Что это: Список всех запросов, которые компьютеры делают к доменной системе (DNS), чтобы превратить имя сайта в IP-адрес.
Зачем ИИ: Многие вирусы используют «генераторы случайных доменов» (DGA) — каждые несколько минут стучатся на новый, случайно сгенерированный адрес. ИИ учится их вычислять.
Для обывателя: Представьте, что ваш компьютер постоянно звонит на какие-то левые номера, каждый раз разные. DNS-телеметрия записывает эти звонки.

1.4. Метаданные зашифрованного трафика (JA3/JA4, TLS-отпечатки)

Суверенный ИИ: а где данные для обучения моделей для кибербезопасности в масштабе всей страны?

8 августа 2024 года Путин подписал Федеральный закон № 233-ФЗ об обезличенных данных. Минцифры разработало подзаконные акты. С 1 сентября 2025 года компании обязаны передавать обезличенные данные в государственную информационную систему. Это реальный прогресс — но сам Минцифры объясняет: платформа нужна чтобы понять, какие маршруты автобусов перегружены и где строить школы. Для кибербезопасности эта база не предназначена.

А где же данные для обучения моделей для кибербезопасности?

Каждый месяц на конференциях — от PHDays до Сетевой безопасности — звучит одно и то же: «нам нужен суверенный ИИ в ИБ». Никто не задаёт следующий вопрос. На каких данных его учить?

И я сегодня этот вопрос задам сам себе и поищу ответ.

Что мы вообще строим

Прежде чем говорить о данных — скажем о цели. Суверенный ИИ в кибербезопасности — это не чат-бот который отвечает на вопросы аналитика. Это автономная система, которая самостоятельно проводит тест на проникновение в защищаемую сеть, находит уязвимости которые ещё никто не знает, разбирает инциденты без участия человека и в реальном времени обновляет защиту по всей инфраструктуре страны. Китайская 360 Digital Security Group строит именно это. Американские лаборатории строят именно это. Без такой системы Россия остаётся в позиции вечно догоняющего — вне зависимости от количества конференций и деклараций.

Эта система требует одного: данных. Много данных. Реальных. Размеченных.

Вопрос видоизменился: где взять данные в нужном объёме и качестве?

Как учится искусственный интеллект

Один абзац для тех кто далёк от машинного обучения. ИИ не программируют вручную. Его обучают на примерах. Тысячи раз показывают: вот вредоносный файл, вот нормальный; вот атака, вот обычный трафик. Модель сама находит закономерности. Чем больше реальных примеров — тем точнее система. Чем менее реальные примеры — тем больше ложных срабатываний и пропущенных атак. Нет данных — нет обучения. Это не мистика, так работает математика.

Чего именно не хватает

Red Team в 2026: как находить слепые зоны, которые система создаёт сама

Большинство до сих пор считает, что red team — это поиск и эксплуатация уязвимостей. Поэтому важно изучать инструменты пентестеров и AI. На деле это поиск моментов, когда система начинает слишком сильно верить в собственную неуязвимость. И поэтому становится уязвимой.

Вот семь шагов мышления, которые используют зрелые red team-команды, с примерами из реальных корпоративных сценариев.

1. Сначала — карта доверия, а не поиск дыр

Зрелый специалист сначала спрашивает: где система доверяет сама себе без достаточных оснований.

Пример из жизни: в одном банке внутренний API мониторинга имел право запрашивать любые пользовательские данные “для диагностики”. Это не считалось доступом — это считалось “служебной функцией”. Именно через такие “служебные функции” часто и начинают продвигаться по сети злоумышленники.

Почему умные люди верят телефонным мошенникам: объясняет психология

Социальная инженерия / Психология

Эволюция миллионы лет добавляет в наш мозг новые слои поверх старых, однако основу не изменила. Ради выживания у нас встроено одно правило: если непонятно что делать — делай самое привычное, не думай. Именно этим свойством нашего мышления колл-центры мошенников и пользуются.

Кто жертва

Забудьте про миф, что разводят пенсионеров.

По данным колл-центров из Бердянска, чаще всего оставалась на трубке и переводила деньги группа людей 30–39 лет. Интерпол по Азии даёт ту же цифру. Банк России называет 25–40 лет. Самые активные, самые занятые, самые уверенные в себе.

Американские исследователи проверяли связь между уровнем образования, должностью и фактом потери денег мошенникам. Корреляции нет.

В 2024 году за два дня четыре женщины совершили поджоги по звонку незнакомцев. Студентка, кандидат наук, самозанятая, пациентка ПНД. Разные люди, одна и та же механика.

Почему это работает

Subfinder: ставим внешний периметр на «сигнализацию»

Как выстроить непрерывный мониторинг внешних активов

В первой статье мы разобрали Assetfinder — утилиту, которая за минуту показывает, что атакующий изучает ваш периметр без реального подключения.

Но Assetfinder не улучшали с 2019 года — нет интеграции с Shodan, Censys, современными threat intelligence платформами. Хотя используемые утилитой источники (CT-логи, Wayback) обновляются и работают. И еще минус: утилита даёт срез на один момент времени. А требуется непрерывный мониторинг и реагирование.

Инфраструктура меняется каждый день. Появляются новые поддомены. Разработчики поднимают сервисы. DevOps автоматически выпускает сертификаты.

Одноразовая проверка — это не контроль периметра. Это фотография поля боя.

Subfinder решает другую задачу: не «посмотреть один раз», а наблюдать постоянно.

Что такое Subfinder

Assetfinder: почему атакующий знает ваш периметр лучше вас

У большинства CISO нет полного списка своих поддоменов.

При этом любой атакующий собирает его за минуты — без единого запроса в вашу инфраструктуру. Без логов на вашей стороне. Без алертов в SIEM.

Атакующий часто изучает ваш внешний периметр быстрее, чем вы приводите его инвентаризацию в актуальное состояние. Это не фигура речи — это архитектурный факт интернета.

Где ломается контроль

Основной сайт обычно защищён. Рядом живут другие:

• dev.example.com — без патчей, потому что «только для разработки»
• staging.example.com — с реальными данными, потому что «временно»
• old-api.example.com — с CVE 2018 года, потому что про него забыли

Они не в CMDB. Не в отчётах. Не в зоне ответственности SOC. Именно туда заходят первым делом.

Что такое Assetfinder

Утилита от Тома Хадсона (tomnomnom) — одного из самых известных авторов инструментов для разведки. Написана на Go: компилируется в один бинарный файл, работает на Linux, macOS, Windows, зависимостей нет.

Assetfinder — инструмент перечисления поддоменов (subdomain enumeration), ориентированный на OSINT-источники: публичные базы, сертификаты, данные хостингов. Каждый источник опрашивается параллельно, результаты собираются в единый поток, дубликаты отфильтровываются. Средний домен — меньше минуты. OWASP Amass на то же самое тратит часы.

Используют в трёх сценариях:

• Bug bounty — найти поверхность атаки быстрее конкурентов
• Пентест — собрать карту активов до начала работы
• Защита — проверить, что компания реально «светит» наружу

Как работает — и почему это ваша проблема

Секрет Полишинеля: SSL Decryption больше не работает

Главный инструмент «видимости» уровня приложений — SSL Inspection (или MITM — Man-in-the-Middle). Метод прост: межсетевой экран подменяет сертификат TLS(SSL) на свой, расшифровывает трафик, проверяет его и зашифровывает обратно.

Раньше это работало. Сегодня — это головная боль и часто бессмысленная затея. Представьте, что вы пытаетесь прочитать чужое письмо, аккуратно вскрывая конверт. Но теперь отправители используют специальные «умные» конверты, которые самоликвидируются или отказываются открываться, если видят, что их читает кто-то, кроме адресата.

Почему тотальное расшифрование больше не «серебряная пуля»

9 сценариев, где ИИ ускоряет работу аналитика и продакта

Большинство статей описывает абстрактные возможности ИИ. Данный материал — про конкретные задачи, решаемые прямо сейчас без специальных интеграций и дорогих инструментов.

Девять сценариев экономят рабочий день аналитикам, продакт-менеджерам и маркетологам. С готовыми промтами.

Важно про данные: ИИ работает с текстом. При анализе таблиц — копируйте текстовые выгрузки (CSV или копию из Excel), а не скриншоты. Для чувствительных данных используйте обезличенные выборки или локальные модели.

---

1. Поиск аномалий в данных

Ручной мониторинг десятков метрик съедает время. Нейросеть проверяет массив за секунды и подсвечивает подозрительные отклонения.

Промпт:

«Ты — аналитик данных. Вот таблица с ежедневным числом пользователей за месяц. Рассчитай среднее значение и стандартное отклонение. Найди дни, где показатель отклоняется более чем на 2 сигмы. Для каждого такого дня предложи по 3 возможные причины: технические сбои, маркетинговые кампании, внешние события. Формат ответа: дата — % отклонения — топ-3 гипотезы».

Примечание: для точности арифметических расчётов используйте модели с поддержкой Code Interpreter (ChatGPT Advanced Data Analysis или Claude с инструментами). Обычные LLM иногда ошибаются в вычислениях.

Результат — не просто выброс в данных, а готовые гипотезы: «14 июля падение на 30% совпадает с отключением SMS-шлюза» или «Всплеск 22-го коррелирует с акцией у конкурента». Направление для расследования — сразу понятно.

Браузер - новая поверхность атаки

Браузер как новая поверхность атаки

В классической модели информационной безопасности всё вращалось вокруг вредоносных программ. Картина была привычной и почти театральной: злоумышленник доставляет заражённый файл, пользователь его запускает, на компьютере появляется подозрительный процесс — и антивирус с EDR вступают в игру.

Сегодня рабочая среда сотрудников изменилась — тихо, незаметно и, пожалуй, необратимо.

Сегодня почти всё происходит в браузере: корпоративная почта, документы, CRM, порталы подрядчиков, системы управления проектами, облачные хранилища. Браузер фактически стал операционной системой рабочего места. И это, разумеется, изменило модель атак.

Во многих случаях злоумышленнику больше не нужно заражать компьютер. Достаточно получить доступ к браузерной сессии пользователя или убедить его самостоятельно выдать нужные разрешения.

Прощай, Google Photos: строим личное облако с защитой уровня Enterprise

Хранение личных архивов в бигтех-корпорациях постепенно превращается в риск. Блокировка аккаунта, внезапное изменение условий подписки или туманные правила приватности заставляют искать альтернативы. Для тех, кто ценит полный контроль над данными, существует связка из домашнего сервера Immich и защитного шлюза Cloudflare.

Immich: ИИ-фотолаборатория в собственной квартире

Вместо аренды места у гигантов индустрии лучше запустить сервер Immich. Это бесплатное программное обеспечение с открытым кодом полностью копирует интерфейс и функции Google Photos. Нейросети внутри системы распознают лица, группируют снимки по геолокации и находят объекты на кадрах.

Главное преимущество — обработка лиц происходит локально на домашнем железе. Ни одна фотография не улетает на сервера сторонних компаний для анализа. Это может быть любой сервер. Также владельцы систем Synology запускают Immich через штатный Container Manager (Docker), превращая сетевой накопитель в умный фотоальбом. Объем хранилища при этом ограничивается только размером установленных дисков. Обычно это работает в моделях серий Plus (+), Play или xs, которые построены на процессорах Intel или AMD.

---

Безопасный доступ без «дыр» в роутере

Главная проблема домашних серверов — организация входа из интернета. Открывать порты на роутере — значит выставлять оборудование под удары ботов и сканеров. Элегантное решение предлагает технология Cloudflare Tunnel.

Специальная утилита на сервере создает защищенный коридор до облака. Домашние фото становятся доступны по красивому адресу вроде photos.batrankov.ru. Роутер остается закрытым для внешнего мира, а трафик идет по шифрованному каналу. Для работы туннеля не нужен даже «белый» статический IP-адрес.

Если вы купили Synology ради простоты — используйте штатный Synology Photos. Это добротное решение, которое закроет потребности 90% пользователей. Но если вы хотите получить максимум от своего железа и доверяете современным ИИ-алгоритмам — ставьте Immich. А доступ в обоих случаях лучше закрывать через Cloudflare Tunnel, чтобы не светить свой NAS в открытый интернет

---

Cloudflare Access: цифровой замок на входе

Для максимальной безопасности стоит активировать Cloudflare Access. Эта функция добавляет еще один уровень авторизации перед попаданием в само приложение.

При попытке зайти в альбом система сначала потребует ввести одноразовый код, отправленный на почту или в Telegram. Хакер или случайный прохожий не увидит даже страницу входа в Immich, так как Cloudflare отсекает неавторизованные запросы еще на подлете. Это напоминает пропускной пункт на охраняемом объекте, где паспорт проверяют до того, как разрешить подойти к двери.

---

Юридический нюанс и приватность

Выбор технологий требует понимания архитектуры. Штаб-квартира Cloudflare находится в Сан-Франциско, и компания работает в американской юрисдикции. Поскольку трафик расшифровывается внутри облака для фильтрации атак и проверки правил доступа, провайдер технически имеет возможность видеть передаваемые файлы. В США есть так называемый CLOUD Act, по которому компания обязана предоставить данные, которые проходят через её узлы в расшифрованном виде, если к ней придут с ордером.

Для 99% семейных архивов это приемлемый компромисс между комфортом и профессиональной защитой от взлома. Но если данные требуют абсолютной секретности, стоит рассмотреть Tailscale или Headscale. Это решение использует сквозное шифрование, при котором ключи доступа хранятся исключительно на ваших устройствах, а посредники видят лишь нечитаемый шум. Там нет посредника, там чистый P2P и сквозное шифрование. Но за приватность придется платить: на каждом телефоне должен быть включен VPN-клиент.

Rclone: инструмент сисадминов, который полюбили хакеры

Хакер проникает в корпоративную сеть. Антивирус молчит потому что все сделано от имени легитимного пользователя и легитимными инструментами. Через несколько минут все документы с рабочего стола сотрудника и целиком папка с перепиской Telegram уже лежат на чужом облаке. Никаких самописных вирусов. Никаких сложных эксплойтов. Только один маленький файл, который любой системный администратор держит в арсенале по умолчанию.

Называется Rclone.

---

Что такое Rclone и почему профессионалы от него в восторге

Представьте «Проводник Windows», который умеет работать не с локальными дисками, а с любым облаком на планете. Google Drive, Dropbox, OneDrive, Mega, корпоративный FTP-сервер, Amazon S3 — Rclone поддерживает более 70 провайдеров и протоколов. Перекинуть файлы с Google Drive прямо на Dropbox одной командой, минуя собственный компьютер? Без проблем.

Системные администраторы ценят Rclone за три вещи.

Портативность. Rclone — один исполняемый файл без установки. Скачал на новый сервер, запустил, настроил бэкап — занимает три минуты. Никаких инсталляторов, никаких зависимостей.

Скорость. Rclone передаёт данные в несколько потоков одновременно, возобновляет прерванные закачки и синхронизирует только изменившиеся файлы. Браузерная загрузка рядом не стояла.

Встроенное шифрование. Функция Crypt позволяет зашифровать файлы прямо перед отправкой в облако. Даже владелец облачного сервиса увидит только бесполезный набор байтов — ключ хранится только у владельца данных.

Квантовая угроза: как защитить данные до того, как станет поздно

Денис Батранков · Март 2026 · Читать ~8 минут

Прямо сейчас чьи-то серверы записывают ваш зашифрованный трафик. Не для того, чтобы читать его сегодня — для того, чтобы прочитать через 7–10 лет, когда появятся квантовые компьютеры. Это не фантастика. Это называется Harvest Now, Decrypt Later (HNDL) — и это уже происходит.

Сценарий, который уже реален

🏦 Реальный сценарий — банк

Крупный банк хранит платежные данные клиентов за последние 10 лет. Злоумышленник — государственная структура или хорошо финансируемая группа — перехватывает зашифрованный трафик уже сегодня и архивирует его. Через 7 лет появляется квантовый компьютер нужной мощности. За считанные часы расшифровываются миллионы платежных операций, личные данные клиентов, внутренняя переписка топ-менеджмента. Ущерб — от репутационных потерь до сотен миллионов рублей штрафов по 152-ФЗ и исков клиентов. Аналог из реальной жизни: утечка Equifax обошлась компании в $1,4 млрд — и там квантовых компьютеров не было.

Именно так работает стратегия Harvest Now, Decrypt Later («собери сейчас, расшифруй позже»). И именно поэтому защищаться нужно сейчас, а не когда квантовые компьютеры уже появятся на рынке.

Что такое CRQC и почему это важно

CRQC (Cryptographically Relevant Quantum Computer) — квантовый компьютер, достаточно мощный, чтобы взламывать современные алгоритмы шифрования: RSA, ECDH, ГОСТ 34.10. Обычный квантовый компьютер (например, используемый сегодня в научных задачах) на это не способен. CRQC — это уровень вычислительной мощности, которого ждут через 7–15 лет.

Пока CRQC не существует в промышленном масштабе. Но это не значит, что угрозы нет сейчас: данные перехватывают и хранят уже сегодня, в расчёте на будущее.

Термины квантовой и постквантовой криптографии 2026

Квантовая угроза перестала быть теоретической. Крупные государства, банки и технологические компании уже готовятся к сценарию Harvest Now, Decrypt Later (HNDL) — «собери сегодня, расшифруй позже».

🔹 Термины и сокращения

• HNDL — сценарий «собери сегодня, расшифруй позже», когда зашифрованный трафик перехватывают сейчас и расшифровывают позже с помощью квантовых компьютеров.
• QKD — квантовое распределение ключей по физическим каналам, невозможное для перехвата без нарушения состояния ключа.
• PQC — постквантовая криптография, устойчивая к атакам классических и квантовых компьютеров, применяется в TLS, VPN, ЭЦП.
• KEM — механизм передачи симметричного ключа через PQC.
• DEM — механизм шифрования данных с помощью симметричного ключа.
• CRQC — квантовый компьютер, достаточно мощный, чтобы взламывать современные алгоритмы шифрования: RSA, ECDH, ГОСТ 34.10.

🔹 HNDL: как злоумышленники перехватывают трафик

• Злоумышленники собирают зашифрованный трафик уже сегодня.
• Хранят его архивы 5–15 лет для последующей расшифровки.
• Расшифровывают данные массово с помощью квантовых компьютеров (CRQC)
  
  

Как AI-файрвол защищает от джейлбрейков

Технологии · 10 мин чтения

Злоумышленник не взламывает сервер. Не пишет вредоносный код. Просто отправляет текстовое сообщение — и ИИ-агент выполняет то, что не должен. Джейлбрейк в мире ИИ — это атака словами, а не кодом. И защита от неё устроена принципиально иначе, чем всё, что было до сих пор. Мы в новом мире.

Что такое джейлбрейк и почему это серьёзно

Джейлбрейк (jailbreak) — попытка обмануть языковую модель специально сформулированным текстом, чтобы она нарушила собственные ограничения (про Guardrails читайте тут). Модель не взламывают технически: её убеждают словами, что правила в данном случае не действуют.

Выглядит это примерно так:

Guardrails в ИИ: невидимые барьеры, которые делают ИИ безопасным

Технологии · 11 мин чтения

Когда вы общаетесь с чат-ботом, задаёте вопросы голосовому ассистенту или пользуетесь автоматизированным сервисом — вы, скорее всего, уже сталкивались с guardrails, сами того не зная: именно guardrails заставляют ИИ вежливо отказываться от некоторых ваших запросов или переводить разговор на другую тему.

Что такое Guardrails?

Guardrails (в переводе с английского — «ограждения» или «перила») — встроенный механизм контроля поведения искусственного интеллекта. Guardrails задают границы: что система может делать, а что — нет. Причём речь не только о содержании ответов: guardrails ограничивают поведение системы в целом — какие действия выполнять, какие данные использовать, какие решения принимать самостоятельно, а какие передавать человеку.

Термин пришёл из мира дорожной безопасности: металлические ограждения на трассе не дают машине съехать в пропасть. По той же логике guardrails удерживают ИИ от нежелательного поведения — генерации вредоносного контента, распространения дезинформации или нарушения конфиденциальности пользователей. При этом, как и дорожные ограждения, guardrails не гарантируют полную безопасность — скорее уменьшают вероятность катастрофических последствий.

Проще всего объяснить через аналогию с корпоративным регламентом. Новый сотрудник получает инструкцию: «Никогда не разглашай персональные данные клиентов» и «Не заключай договора без юриста». Guardrails работают так же — только для ИИ и автоматически: модель не читает правила осознанно, ограничения встроены прямо в её поведение.

«Платите или живите с дырами»: как Broadcom изменил правила игры VMware

Broadcom и VMware: что случилось с рынком

Что сделал Broadcom после поглощения

Broadcom купил VMware в ноябре 2023 года за $61 млрд. Это одно из крупнейших поглощений в истории IT. Новые владельцы запустили целую серию "улучшений", которые радикально изменили отношение рынка к компании.

Ценообразование и лицензирование. Broadcom полностью отказался от бессрочных (perpetual) лицензий и перевёл всех на подписочную модель VCF (VMware Cloud Foundation). Цены для большинства заказчиков выросли в 3–8 раз, для некоторых — на порядок. Минимальный порог входа поднялся: исчезли редакции для малого бизнеса, остались только крупные bundle. Это мгновенно отрезало SMB-сегмент.

Кстати, я помню, что также было, когда IBM купил Guardium. Цена подписок выросла в 4 раза. Почти все российские заказчики тогда перешли на Imperva.

Сокращение портфеля. Broadcom прекратил продажи отдельных продуктов: vSphere Standard, vSAN, NSX как самостоятельные SKU ушли — всё упаковано в VCF. Партнёрская сеть была резко сокращена: тысячи реселлеров и дистрибьюторов потеряли статус. Broadcom оставил только крупнейших партнёров.

Поддержка. Сроки поддержки старых версий были сокращены. Ключевое решение — клиентам с истёкшей поддержкой разрешили получать патчи только для zero-day с CVSS от 9.0 до 10.0, все остальные обновления — под запретом. Фактически Broadcom создал инструмент давления: либо платите за новую подписку, либо живёте с дырами. Они серьезно усложнили скачивание обновлений, чтобы защититься от нелегитимного распространения. 

Кадры и культура. После закрытия сделки Broadcom уволил около 30% сотрудников VMware — преимущественно в продажах, маркетинге и поддержке. Это ударило по качеству технической поддержки: время ответа выросло, глубина экспертизы упала.

---

Что реально улучшилось

Чек-лист ФСТЭК-117 — быстрая самопроверка информационной безопасности

⚠️ Чек-лист ФСТЭК-117 — быстрая самопроверка информационной безопасности

Этот чек-лист поможет вашей компании быстро оценить, насколько вы соответствуете требованиям ФСТЭК-117. Даже если вы не эксперт в ИБ, вы сможете понять свои слабые места и зоны риска.

📊 Как пользоваться чек-листом

• Каждый пункт оценивается по шкале:
  • ⬜ Нет = 0 баллов — элемент отсутствует или не работает
  • 🔹 Частично = 0.5 балла — элемент частично выполнен или формально есть
  • ✅ Да = 1 балл — элемент выполнен и реально работает
• Итоговый балл рассчитывается как сумма средних значений каждого раздела, умноженных на его вес (R₁–R₄).
• Цветовая индикация состояния:
  • Зелёная ≥0.8 — Хорошо
  • Жёлтая 0.6–0.79 — Риск
  • Красная 0.6 — Плохо

1️⃣ Организация и управление (R₁ = 0.10)

• Заместитель по ИБ — есть ли человек на уровне зама/директора, реально отвечающий за информационную безопасность (ИБ)
• Процедуры — формализованные функции и процессы ИБ, закреплённые документами
• Подрядчики — требования к безопасности для внешних поставщиков (например, хостинг, облачные сервисы, сервисные компании)

Совет: формально назначенный ответственный ≠ реально управляет. Проверьте полномочия и контроль.

2️⃣ Защита пользователей (R₂ = 0.25)

• MFA для админов и привилегированных пользователей ⚠️ — многофакторная аутентификация (MFA, Multi-Factor Authentication) защищает доступ с повышенными правами
• Сложные пароли — минимум 12 символов с комбинацией букв, цифр и спецсимволов
• Учётные записи уволенных сотрудников удалены/заблокированы — никто не должен иметь доступ после увольнения

Совет: отсутствие MFA у админов делает раздел красным даже при остальном хорошем состоянии.

3️⃣ Защита информационных систем (R₃ = 0.35)

• Межсетевой экран (Firewall) L3/L4 на периметре — фильтрация трафика между вашей сетью и внешним интернетом на уровне сетевых пакетов
• Патчи критических уязвимостей ⚠️ — исправления критических уязвимостей: периметр ≤30 дней, внутренняя сеть ≤90 дней (≥90%)
• Проверка вложений email — фильтрация потенциально опасных файлов, ≥80% проверок
• Централизованный антивирус — установлен и охватывает ≥80% устройств
• Защита от DDoS — защита от атак на уровне L3/L4 (сетевые атаки с целью перегрузить сервис)

Совет: наличие сканера уязвимостей ≠ исправление найденных проблем.

4️⃣ Мониторинг и реагирование (R₄ = 0.30)

• Сбор событий и алерты — централизованное отслеживание неудачных попыток входа и аномалий
• Анализ событий — сбор и проверка логов с устройств, подключенных к интернету
• Регламент реагирования ⚠️ — документ с конкретными действиями и ответственными на случай инцидента

Совет: SOC или SIEM без регламента реагирования = формальность, атака может остаться незамеченной.

🔹 Итог

Используйте этот чек-лист для:

• Ежеквартальной проверки ИБ
• Общения с руководством и подрядчиками
• Выявления «слабых мест» до инцидента

Сохраните и делитесь этой инфографикой и текстом с коллегами — пусть все знают, где реальные риски!

📊 46 русскоязычных подкастов по кибербезопасности

ПОЛНЫЕ ДАННЫЕ: ведущие, число выпусков, даты последнего выпуска

Обновлено: 25 января 2026 | Автор: Денис Батранков

400+

Всего выпусков

10

АктивныХ в 2025-2026

💡 ТОП-10 по активности и качеству контента

1. Кофе, SOC и логи (14+, еженедельно, СЕГОДНЯ 25.01.2026) — новости ИБ
2. КапИБара (11, 24.12.2025) — практичные кейсы zero-day
3. Код ИБ | Безопасная среда (100+, еженедельно) — ток-шоу
4. Смени пароль! (80+, Kaspersky) — расследования
5. КиберДуршлаг (8+, PT) — управление уязвимостями
6. Инфобез со вкусом (15+) — шоу-формат ИБ+кулинария
7. Security Stream (15+) — интервью с CISO
8. Безопасно говоря (25+, Yandex Cloud) — облака
9. Техакадемия Росатома (8) — просто о сложном
10. Голос Кракена (109+) — обсуждения

📋 Таблица 46 подкастов 

Сортировал подкасты по дате последнего выпуска через LLM, поэтому могут быть ошибки: пишите - исправлю

№	Название	Платформа	Выпусков	Ведущий(е)	Последний выпуск	Тематика
1	Кофе, SOC и логи	ITRadio	14+	Д.Батранков (Гарда) А.Антипов (Securitylab) А.Клочков Е.Кузнецова И.Казьмин гости	25.01.26	Еженедельный разбор новостей ИБ, приглашают гостей
2	КапИБара: нулевого дня	Яндекс Музыка	11	Команда КапИБара, гости	25.01.26	Zero-day уязвимости, фишинг, ИИ
3	Смени пароль!	Яндекс Музыка	80+	А.Гостев, С.Голованов, А.Андреев (Kaspersky)	23.12.25	Расследования киберугроз (Kaspersky)
4	Техакадемия Росатома	YouTube	8	Лев Николаев, Мартин Минасян (Росатом)	16.12.25	Кибербезопасность простым языком
5	Инфобез со вкусом	YouTube	15+	С.Полунин, С.Никитин	31.10.25	ИБ + кулинария (шоу-формат)
6	Метод хакера	Яндекс Музыка	8	Анна Гильдебранд	08.10.25	Пентесты, социальная инженерия
7	КиберДуршлаг	YouTube	8+	П.Попов, М.Козлов (Positive Technologies)	26.06.25	Управление уязвимостями
8	Безопасный выход	Яндекс Музыка	15+	А.Харыбина, В.Крылов (AKTIV)	2025	Интервью экспертов ИБ (AKTIV)
9	Безопасно говоря	Яндекс Музыка	25+	А.Миртов, Р.Мулейс (Yandex Cloud)	23.12.24	Облачная безопасность, DevSecOps
10	Security Stream	YouTube	15+	Иван Чернов (UserGate)	27.09.23	Интервью CISO, практики ИБ
11	Код ИБ | Безопасная среда	YouTube / VK	100+	О.Поздняк (продюсер), ротация экспертов	2026	Еженедельное ток-шоу по ИБ
12	Just Security	Яндекс Музыка	4+	А.Герасимов, С.Зыбнев (Awillix)	25.02.24	Red team / Blue team, пентест
13	Диалоги #поИБэ	Apple Podcasts	н/д	Е.Климов, Е.Старостина	н/д	Популяризация ИБ
14	Голос Кракена	YouTube	109+	Kraken Cybersecurity	н/д	Кибербезопасность, обсуждения
15	Беседы про кибербез образование	Яндекс Музыка	н/д	Макар Ляхнов	н/д	Образование в кибербезопасности
16	Все по ИБ	YouTube	н/д	Бастион	н/д	Карьера в ИБ
17	Информационная безопасность от А до Я	Яндекс Музыка	н/д	н/д	н/д	Основы ИБ
18	КИБЕРликБЕЗ	YouTube	н/д	н/д	н/д	Ликбез по кибербезопасности
19	Кибербез по фактам	YouTube	н/д	н/д	н/д	Киберпреступность, кейсы
20	ОБИБЭ	YouTube	н/д	н/д	н/д	ИБ (разговорный формат)
21	Похек подкаст	YouTube	н/д	Сергей Зыбнев	н/д	Пентестинг
22	Пакет Безопасности	YouTube	н/д	н/д	н/д	ИБ
23	Риск Принят	YouTube	н/д	н/д	н/д	Управление рисками
24	Утечка	Яндекс Музыка	н/д	н/д	н/д	Утечки данных, инциденты
25	[Belyaev_Podcast]	YouTube	9	25.12.2025	н/д	ИБ / управление
26	CISO Podcast	YouTube	н/д	н/д	н/д	CISO, управление ИБ
27	CyberYozh	YouTube	н/д	н/д	н/д	ИБ
28	Global Digital Space	YouTube	н/д	М.Хараск, С.Рысин	н/д	Технологии, безопасность
29	Hack me, если сможешь	Яндекс Музыка	30+	PHDays (Positive Technologies)	н/д	Выступления PHDays
30	РазговорыНЕпроИБ	VK Видео	н/д	О.Поздняк (Код ИБ)	н/д	Разговоры около ИБ
31	RedBlue Notes	Buzzsprout	н/д	н/д	н/д	Red / Blue team
32	SafeCode Live	Яндекс Музыка	н/д	н/д	н/д	Безопасная разработка, AppSec
33	Циферкаст (ИБ выпуск)	YouTube	1	Д.Михеев (Бастион)	15.04.20	Регуляторика, ФСТЭК
34	Информационная безопасность (ITSec.ru)	Яндекс Музыка	н/д	ITSec.ru	н/д	ИБ медиа
35	Security Vision	Сайт	н/д	Security Vision	н/д	Видеонаблюдение, ИБ инфраструктуры
36	USSC Cast	Яндекс Музыка	н/д	УЦСБ	н/д	ИБ систем контроля доступа
37	Свежевыжатый подкаст	Яндекс Музыка	н/д	Медиа Группа Авангард	н/д	ИБ / IT
38	Агент250	Яндекс Музыка	20+	Positive Technologies	н/д	Исследования PT
39	Безопасность в тапочках	Яндекс Музыка	н/д	И.Уразбахтин	н/д	Безопасная разработка
40	Безопасность для всех	Яндекс Музыка	н/д	А.Данин	н/д	Цифровая гигиена
41	Информационное право в обществе	Яндекс / VK	н/д	С.Демешин	н/д	Право, регуляторика
42	Ural Cyber Security Talk	Яндекс Музыка	н/д	Ural Cyber Security	н/д	Уральское ИБ-сообщество
43	Check Point Community (RU)	Telegram / YouTube	н/д	Check Point Russia	н/д	Check Point + ИБ
44	Полосатый ИНФОБЕЗ	YouTube	н/д	Код ИБ (проект)	н/д	Зрелость ИБ компаний
45	AM Live (серия ИБ)	YouTube	н/д	AM Live	28.12.25	NDR, ИИ-фишинг, тренды 2026
46	Академия Батранкова Академия Батранкова	YouTube RuTube	25	Денис Батранков	24.08.25	NGFW, UTM, основы безопасности, личная кибербезопасность

💡 ТОП-10 по активности и качеству контента

1. Кофе, SOC и логи (14+, еженедельно, СЕГОДНЯ 25.01.2026!) — новости ИБ
2. КапИБара (11, 24.12.2025) — практичные кейсы zero-day
3. Код ИБ | Безопасная среда (100+, еженедельно) — ток-шоу
4. Смени пароль! (80+, Kaspersky) — расследования
5. КиберДуршлаг (8+, PT) — управление уязвимостями
6. Инфобез со вкусом (15+) — шоу-формат ИБ+кулинария
7. Security Stream (15+) — интервью с CISO
8. Безопасно говоря (25+, Yandex Cloud) — облака
9. Техакадемия Росатома (8) — просто о сложном
10. Голос Кракена (109+) — обсуждения

📌 Источники данных:
Яндекс Музыка, Apple Podcasts, YouTube Data, RSS (ITRadio), Rutube, UserGate, Код ИБ, Positive Technologies, zlonov.ru, habr.com

Денис Батранков | 30+ лет опыта в ИБ 
Telegram: @safebdv | LinkedIn: Denis Batrankov