secure sector.

Бэкап, недоступный из инфраструктуры это не роскошь, а единственное, что работает: шифровальщики целенаправленно ищут и уничтожают доступные копии, поэтому офлайн-бэкап или immutable storage закрывают главный рычаг давления на жертву.

По умолчанию Sysmon почти ничего полезного не пишет – нужна грамотная конфигурация, и собрать её с нуля без ошибок занимает дни.

Большинство уязвимостей supply chain обнаруживают уже после инцидента, инструмент переворачивает это: вы узнаёте о проблемном компоненте сразу, а не когда он уже в продакшене у заказчика.

Малварь ворует SSH, AWS, Kubernetes, Git-конфиги и ключи криптокошельков, строгий контроль источников DMG и бдительность к запросам пароля администратора – минимальная мера защиты.

Атакующие маскируют изменение реестра: вместо стандартных RegSetValue, которые ловит аудит и Sysmon, используют менее типичные RegRestoreKey или RegLoadKey – классический сигнатурный детект на это не настроен.

Все бесплатны, скачиваются в PDF и рассчитаны на печать: повесил над столом и под рукой шпаргалка по теме, а не сорок вкладок в браузере.

Запрос вида «показать все процессы, чей файл на диске удалён» за секунду находит закрепившийся вредонос, который обычный антивирус давно пропустил.

Правило: фиксируй Actions на полный SHA коммита, а не на тег, его могут молча переписать; проверь права GITHUB_TOKEN и историю запусков, а секреты после заражения смени.

Генеративный код пишут быстрее, чем ревьюят, поэтому сработок сканеров стало в разы больше, а на их разбор ставят ту же нейросеть, что код и написала.

Рядом лежат книги, готовые плейбуки реагирования и сообщества DFIR, а список поддерживается сообществом, так что можно собрать себе IR-арсенал под свою инфраструктуру.

Правило: не ставить APK из СМС, рекламы и левых сайтов, а любую программу, которая просит «спецвозможности», держать под подозрением, именно через них берут телефон под контроль.

Ловить его надо не файлом, а поведением: неизвестные процессы и задачи автозапуска, камера или микрофон, занятые чужим процессом, и регулярные соединения с незнакомыми адресами в простое.

ATT&CK показывает, как атакуют, но не отвечает на вопрос защитника «а мне-то что с этим делать» – этот пробел закрывает D3FEND.

В отличие от антивируса он смотрит не на файлы, а на поведение через события ядра, поэтому видит атаку, даже если вредонос новый и сигнатур на него ещё нет.

Теперь риск возникает не только у владельцев платформ, но и у клиентов, купивших доступ к атакам.

Атакующий уже знает пароль и засыпает телефон жертвы пуш-запросами на вход, пока та не нажмёт «Разрешить» от усталости или на автомате.

ATT&CK раскладывает все известные техники атак по этапам, так что можно честно проверить, какие из них ты вообще способен заметить, а где у тебя слепая зона.

Даже когда вирус меняет адреса, его выдаёт отпечаток TLS-соединения JA3/JA4, который остаётся прежним, поэтому заражение видно и после смены домена.

Anthropic подчеркивает, что отчет отражает лишь самые заметные случаи, а не общий масштаб; все связанные аккаунты заблокированы, защита Claude обновлена, информация передана властям и партнерам.