secure sector.

JWT-подпись защищает только тогда, когда сервер игнорирует поле alg из самого токена – если он ему доверяет, атакующий сам выбирает алгоритм проверки.

Главное отличие от legacy-SAST: правило описывается на AST-уровне и выглядит как уязвимый код, который ты ищешь, написать кастомное правило занимает минуты, не дни.

Если ваши устройства не проверили вы сами, их проверит атакующий с той же шпаргалкой.

Ни одна из консолей не была взломана через слабость криптоалгоритма – их ломали через небрежную реализацию, буфер имени лошади в Zelda, открытый отладочный порт JTAG или BootROM-уязвимость, которую физически нельзя закрыть патчем.

Если Responder в analyze mode показывает запросы в сеть – LLMNR и NBT-NS не отключены, и любой инсайдер с ноутбуком уже может захватывать хэши.

Получили алерт – немедленно обновите устройство, включите Lockdown Mode в настройках и обратитесь за криминалистической помощью в организации вроде Access Now или Citizen Lab.

Обычная учётка через три-четыре шага по GPO, ACL и группам дорастает до администратора домена – BloodHound делает это наглядным и измеримым.

CVSS 9.8 не означает «патчить сегодня», а 6.5 не означает «можно забыть»: балл оценивает теоретическую тяжесть в вакууме, без учёта того, смотрит ли сервис в интернет и есть ли публичный эксплойт.

Sigma – это YARA для логов: одно человекочитаемое правило переносится на любой SIEM, и детект больше не заперт в языке одного вендора.

Личное устройство не привязывают к чужому Apple ID по просьбе работодателя или «поддержки», а корпоративные iPhone заводят только через MDM и Apple Business Manager.

Сигнатура видит известный вредонос, а Falco сам факт ненормального действия, поэтому ловит и то, у чего ещё нет ни хеша, ни правила.

Событие 4769 тонет в легитимном шуме – детект строится на аномалиях: тикеты с RC4, всплеск запросов от одного юзера и honeypot-SPN, к которому не обращается никто.

Даёт небольшому SOC готовый стек мониторинга без лицензий: логи, алерты и активное реагирование в одной консоли вместо зоопарка инструментов.

Срочно обновите LND до 2.4.2 или отключите ноду, а макаруны уберите из неаутентифицированного доступа и ротируйте.

Аномалию находишь вычитанием нормы: svchost.exe не из того каталога или процесс с низким скором – кандидат на разбор, а не ложный позитив.

Принуждение по HTTP не подпадает под SMB signing и EPA, рекомендованную Microsoft защиту от relay, поэтому WebDAV стал приоритетным вектором.

Аномалию ищешь не глазами по каждому хосту, а как строку в таблице, плюс расписание запросов и контроль целостности файлов из коробки.

Сборки из Telegram это доставка малвари: ставьте приложения только из App Store, а на корпоративных iPhone режьте сторонние сертификаты через MDM.

Заблокировать RMM нельзя, ими живут ИТ и MSP, поэтому защита это allowlist разрешённого и подозрение ко всему остальному, а каталог даёт, по чему это ловить.

Даже под VPN утечка DNS деанонимизирует трафик и сводит на нет защиту конечных точек.