Subfinder: ставим внешний периметр на «сигнализацию»

Как выстроить непрерывный мониторинг внешних активов

В первой статье мы разобрали Assetfinder — утилиту, которая за минуту показывает, что атакующий изучает ваш периметр без реального подключения.

Но Assetfinder не улучшали с 2019 года — нет интеграции с Shodan, Censys, современными threat intelligence платформами. Хотя используемые утилитой источники (CT-логи, Wayback) обновляются и работают. И еще минус: утилита даёт срез на один момент времени. А требуется непрерывный мониторинг и реагирование.

Инфраструктура меняется каждый день. Появляются новые поддомены. Разработчики поднимают сервисы. DevOps автоматически выпускает сертификаты.

Одноразовая проверка — это не контроль периметра. Это фотография поля боя.

Subfinder решает другую задачу: не «посмотреть один раз», а наблюдать постоянно.

Что такое Subfinder

Assetfinder: почему атакующий знает ваш периметр лучше вас

У большинства CISO нет полного списка своих поддоменов.

При этом любой атакующий собирает его за минуты — без единого запроса в вашу инфраструктуру. Без логов на вашей стороне. Без алертов в SIEM.

Атакующий часто изучает ваш внешний периметр быстрее, чем вы приводите его инвентаризацию в актуальное состояние. Это не фигура речи — это архитектурный факт интернета.

Где ломается контроль

Основной сайт обычно защищён. Рядом живут другие:

• dev.example.com — без патчей, потому что «только для разработки»
• staging.example.com — с реальными данными, потому что «временно»
• old-api.example.com — с CVE 2018 года, потому что про него забыли

Они не в CMDB. Не в отчётах. Не в зоне ответственности SOC. Именно туда заходят первым делом.

Что такое Assetfinder

Утилита от Тома Хадсона (tomnomnom) — одного из самых известных авторов инструментов для разведки. Написана на Go: компилируется в один бинарный файл, работает на Linux, macOS, Windows, зависимостей нет.

Assetfinder — инструмент перечисления поддоменов (subdomain enumeration), ориентированный на OSINT-источники: публичные базы, сертификаты, данные хостингов. Каждый источник опрашивается параллельно, результаты собираются в единый поток, дубликаты отфильтровываются. Средний домен — меньше минуты. OWASP Amass на то же самое тратит часы.

Используют в трёх сценариях:

• Bug bounty — найти поверхность атаки быстрее конкурентов
• Пентест — собрать карту активов до начала работы
• Защита — проверить, что компания реально «светит» наружу

Как работает — и почему это ваша проблема

Секрет Полишинеля: SSL Decryption больше не работает

Главный инструмент «видимости» уровня приложений — SSL Inspection (или MITM — Man-in-the-Middle). Метод прост: межсетевой экран подменяет сертификат TLS(SSL) на свой, расшифровывает трафик, проверяет его и зашифровывает обратно.

Раньше это работало. Сегодня — это головная боль и часто бессмысленная затея. Представьте, что вы пытаетесь прочитать чужое письмо, аккуратно вскрывая конверт. Но теперь отправители используют специальные «умные» конверты, которые самоликвидируются или отказываются открываться, если видят, что их читает кто-то, кроме адресата.

Почему тотальное расшифрование больше не «серебряная пуля»

9 сценариев, где ИИ ускоряет работу аналитика и продакта

Большинство статей описывает абстрактные возможности ИИ. Данный материал — про конкретные задачи, решаемые прямо сейчас без специальных интеграций и дорогих инструментов.

Девять сценариев экономят рабочий день аналитикам, продакт-менеджерам и маркетологам. С готовыми промтами.

Важно про данные: ИИ работает с текстом. При анализе таблиц — копируйте текстовые выгрузки (CSV или копию из Excel), а не скриншоты. Для чувствительных данных используйте обезличенные выборки или локальные модели.

---

1. Поиск аномалий в данных

Ручной мониторинг десятков метрик съедает время. Нейросеть проверяет массив за секунды и подсвечивает подозрительные отклонения.

Промпт:

«Ты — аналитик данных. Вот таблица с ежедневным числом пользователей за месяц. Рассчитай среднее значение и стандартное отклонение. Найди дни, где показатель отклоняется более чем на 2 сигмы. Для каждого такого дня предложи по 3 возможные причины: технические сбои, маркетинговые кампании, внешние события. Формат ответа: дата — % отклонения — топ-3 гипотезы».

Примечание: для точности арифметических расчётов используйте модели с поддержкой Code Interpreter (ChatGPT Advanced Data Analysis или Claude с инструментами). Обычные LLM иногда ошибаются в вычислениях.

Результат — не просто выброс в данных, а готовые гипотезы: «14 июля падение на 30% совпадает с отключением SMS-шлюза» или «Всплеск 22-го коррелирует с акцией у конкурента». Направление для расследования — сразу понятно.

Браузер - новая поверхность атаки

Браузер как новая поверхность атаки

В классической модели информационной безопасности всё вращалось вокруг вредоносных программ. Картина была привычной и почти театральной: злоумышленник доставляет заражённый файл, пользователь его запускает, на компьютере появляется подозрительный процесс — и антивирус с EDR вступают в игру.

Сегодня рабочая среда сотрудников изменилась — тихо, незаметно и, пожалуй, необратимо.

Сегодня почти всё происходит в браузере: корпоративная почта, документы, CRM, порталы подрядчиков, системы управления проектами, облачные хранилища. Браузер фактически стал операционной системой рабочего места. И это, разумеется, изменило модель атак.

Во многих случаях злоумышленнику больше не нужно заражать компьютер. Достаточно получить доступ к браузерной сессии пользователя или убедить его самостоятельно выдать нужные разрешения.

Прощай, Google Photos: строим личное облако с защитой уровня Enterprise

Хранение личных архивов в бигтех-корпорациях постепенно превращается в риск. Блокировка аккаунта, внезапное изменение условий подписки или туманные правила приватности заставляют искать альтернативы. Для тех, кто ценит полный контроль над данными, существует связка из домашнего сервера Immich и защитного шлюза Cloudflare.

Immich: ИИ-фотолаборатория в собственной квартире

Вместо аренды места у гигантов индустрии лучше запустить сервер Immich. Это бесплатное программное обеспечение с открытым кодом полностью копирует интерфейс и функции Google Photos. Нейросети внутри системы распознают лица, группируют снимки по геолокации и находят объекты на кадрах.

Главное преимущество — обработка лиц происходит локально на домашнем железе. Ни одна фотография не улетает на сервера сторонних компаний для анализа. Это может быть любой сервер. Также владельцы систем Synology запускают Immich через штатный Container Manager (Docker), превращая сетевой накопитель в умный фотоальбом. Объем хранилища при этом ограничивается только размером установленных дисков. Обычно это работает в моделях серий Plus (+), Play или xs, которые построены на процессорах Intel или AMD.

---

Безопасный доступ без «дыр» в роутере

Главная проблема домашних серверов — организация входа из интернета. Открывать порты на роутере — значит выставлять оборудование под удары ботов и сканеров. Элегантное решение предлагает технология Cloudflare Tunnel.

Специальная утилита на сервере создает защищенный коридор до облака. Домашние фото становятся доступны по красивому адресу вроде photos.batrankov.ru. Роутер остается закрытым для внешнего мира, а трафик идет по шифрованному каналу. Для работы туннеля не нужен даже «белый» статический IP-адрес.

Если вы купили Synology ради простоты — используйте штатный Synology Photos. Это добротное решение, которое закроет потребности 90% пользователей. Но если вы хотите получить максимум от своего железа и доверяете современным ИИ-алгоритмам — ставьте Immich. А доступ в обоих случаях лучше закрывать через Cloudflare Tunnel, чтобы не светить свой NAS в открытый интернет

---

Cloudflare Access: цифровой замок на входе

Для максимальной безопасности стоит активировать Cloudflare Access. Эта функция добавляет еще один уровень авторизации перед попаданием в само приложение.

При попытке зайти в альбом система сначала потребует ввести одноразовый код, отправленный на почту или в Telegram. Хакер или случайный прохожий не увидит даже страницу входа в Immich, так как Cloudflare отсекает неавторизованные запросы еще на подлете. Это напоминает пропускной пункт на охраняемом объекте, где паспорт проверяют до того, как разрешить подойти к двери.

---

Юридический нюанс и приватность

Выбор технологий требует понимания архитектуры. Штаб-квартира Cloudflare находится в Сан-Франциско, и компания работает в американской юрисдикции. Поскольку трафик расшифровывается внутри облака для фильтрации атак и проверки правил доступа, провайдер технически имеет возможность видеть передаваемые файлы. В США есть так называемый CLOUD Act, по которому компания обязана предоставить данные, которые проходят через её узлы в расшифрованном виде, если к ней придут с ордером.

Для 99% семейных архивов это приемлемый компромисс между комфортом и профессиональной защитой от взлома. Но если данные требуют абсолютной секретности, стоит рассмотреть Tailscale или Headscale. Это решение использует сквозное шифрование, при котором ключи доступа хранятся исключительно на ваших устройствах, а посредники видят лишь нечитаемый шум. Там нет посредника, там чистый P2P и сквозное шифрование. Но за приватность придется платить: на каждом телефоне должен быть включен VPN-клиент.

Rclone: инструмент сисадминов, который полюбили хакеры

Хакер проникает в корпоративную сеть. Антивирус молчит потому что все сделано от имени легитимного пользователя и легитимными инструментами. Через несколько минут все документы с рабочего стола сотрудника и целиком папка с перепиской Telegram уже лежат на чужом облаке. Никаких самописных вирусов. Никаких сложных эксплойтов. Только один маленький файл, который любой системный администратор держит в арсенале по умолчанию.

Называется Rclone.

---

Что такое Rclone и почему профессионалы от него в восторге

Представьте «Проводник Windows», который умеет работать не с локальными дисками, а с любым облаком на планете. Google Drive, Dropbox, OneDrive, Mega, корпоративный FTP-сервер, Amazon S3 — Rclone поддерживает более 70 провайдеров и протоколов. Перекинуть файлы с Google Drive прямо на Dropbox одной командой, минуя собственный компьютер? Без проблем.

Системные администраторы ценят Rclone за три вещи.

Портативность. Rclone — один исполняемый файл без установки. Скачал на новый сервер, запустил, настроил бэкап — занимает три минуты. Никаких инсталляторов, никаких зависимостей.

Скорость. Rclone передаёт данные в несколько потоков одновременно, возобновляет прерванные закачки и синхронизирует только изменившиеся файлы. Браузерная загрузка рядом не стояла.

Встроенное шифрование. Функция Crypt позволяет зашифровать файлы прямо перед отправкой в облако. Даже владелец облачного сервиса увидит только бесполезный набор байтов — ключ хранится только у владельца данных.

Квантовая угроза: как защитить данные до того, как станет поздно

Денис Батранков · Март 2026 · Читать ~8 минут

Прямо сейчас чьи-то серверы записывают ваш зашифрованный трафик. Не для того, чтобы читать его сегодня — для того, чтобы прочитать через 7–10 лет, когда появятся квантовые компьютеры. Это не фантастика. Это называется Harvest Now, Decrypt Later (HNDL) — и это уже происходит.

Сценарий, который уже реален

🏦 Реальный сценарий — банк

Крупный банк хранит платежные данные клиентов за последние 10 лет. Злоумышленник — государственная структура или хорошо финансируемая группа — перехватывает зашифрованный трафик уже сегодня и архивирует его. Через 7 лет появляется квантовый компьютер нужной мощности. За считанные часы расшифровываются миллионы платежных операций, личные данные клиентов, внутренняя переписка топ-менеджмента. Ущерб — от репутационных потерь до сотен миллионов рублей штрафов по 152-ФЗ и исков клиентов. Аналог из реальной жизни: утечка Equifax обошлась компании в $1,4 млрд — и там квантовых компьютеров не было.

Именно так работает стратегия Harvest Now, Decrypt Later («собери сейчас, расшифруй позже»). И именно поэтому защищаться нужно сейчас, а не когда квантовые компьютеры уже появятся на рынке.

Что такое CRQC и почему это важно

CRQC (Cryptographically Relevant Quantum Computer) — квантовый компьютер, достаточно мощный, чтобы взламывать современные алгоритмы шифрования: RSA, ECDH, ГОСТ 34.10. Обычный квантовый компьютер (например, используемый сегодня в научных задачах) на это не способен. CRQC — это уровень вычислительной мощности, которого ждут через 7–15 лет.

Пока CRQC не существует в промышленном масштабе. Но это не значит, что угрозы нет сейчас: данные перехватывают и хранят уже сегодня, в расчёте на будущее.

Термины квантовой и постквантовой криптографии 2026

Квантовая угроза перестала быть теоретической. Крупные государства, банки и технологические компании уже готовятся к сценарию Harvest Now, Decrypt Later (HNDL) — «собери сегодня, расшифруй позже».

🔹 Термины и сокращения

• HNDL — сценарий «собери сегодня, расшифруй позже», когда зашифрованный трафик перехватывают сейчас и расшифровывают позже с помощью квантовых компьютеров.
• QKD — квантовое распределение ключей по физическим каналам, невозможное для перехвата без нарушения состояния ключа.
• PQC — постквантовая криптография, устойчивая к атакам классических и квантовых компьютеров, применяется в TLS, VPN, ЭЦП.
• KEM — механизм передачи симметричного ключа через PQC.
• DEM — механизм шифрования данных с помощью симметричного ключа.
• CRQC — квантовый компьютер, достаточно мощный, чтобы взламывать современные алгоритмы шифрования: RSA, ECDH, ГОСТ 34.10.

🔹 HNDL: как злоумышленники перехватывают трафик

• Злоумышленники собирают зашифрованный трафик уже сегодня.
• Хранят его архивы 5–15 лет для последующей расшифровки.
• Расшифровывают данные массово с помощью квантовых компьютеров (CRQC)