☄️ Связка PT Application Firewall и PT Application Inspector уже шесть лет помогает защищать цифровые ресурсы Липецкой области

Безопасность веб-ресурсов

Еще в 2019 году Министерство цифрового развития и искусственного интеллекта Липецкой области начало укреплять кибербезопасность ключевых ресурсов региона. Первым этапом усиления защиты стало внедрение межсетевого экрана уровня веб-приложений (WAF) — PT Application Firewall, который выбрали за его широкий функционал и соответствие нормативным требованиям по защите информации.

Сейчас решение, которое имеет встроенные ML-модели, позволяющие точно обнаруживать новые угрозы, защищает десятки веб-ресурсов субъекта. Среди них сайты Правительства Липецкой области и региональных органов исполнительной власти, администраций и органов местного самоуправления, портал техподдержки и сайты-визитки на базе «Битрикс».

🔥 В течение шести лет PT Application Firewall успешно отражает в среднем более 500 000 атак (!) еженедельно. Так, за это время наш продукт выявил и заблокировал многочисленные попытки внедрения SQL-кода, обхода каталогов, а также применение различных сканеров для поиска слабых мест в веб-приложениях.

«Все это время PT Application Firewall успешно отражал направленные атаки, мы чувствуем себя относительно защищенными. Даже весной 2022 года, когда российские организации захлестнула волна кибератак, продукт выстоял, защитив правительственные ресурсы Липецкой области от вторжений», — рассказал Сергей Языков, начальник отдела ИБ Правительства Липецкой области.

Защита кода

Чтобы выявлять и устранять уязвимости еще на этапе написания кода самих ресурсов, отдел информационной безопасности региона выбрал систему анализа защищенности приложений PT Application Inspector. Его конкурентными преимуществами стали максимально достоверные результаты и бесшовная интеграция с GitLab.

👁 Сейчас PT Application Inspector контролирует безопасность кода нескольких десятков приложений (на всех этапах их создания) и сайтов, написанных на Java, JavaScript, C# и PHP.

«Команда разработки вместе со службой ИБ внедряла проверки исходного кода в свои процессы постепенно, начиная с нескольких проектов в первый год. Мы давали рекомендации, как перестроить подход для повышения качества кода и его надежности, следуя методологии DevSecOps, — рассказал Антон Жаболенко, директор по продуктам application security Positive Technologies. — Внедрение PT Application Inspector позволило сократить трудозатраты специалистов и ускорить выпуск и обновление приложений для органов власти».

👀 Подробнее об успешной работе наших продуктов в Липецкой области рассказали в новости на сайте.

#PTApplicationInspector #PTApplicationFirewall
@Positive_Technologies

⌛ Как нам удается бесшовно интегрировать нашу песочницу PT Sandbox с большим количеством продуктов для ИТ и ИБ

Секрет вот в чем: благодаря асинхронному API-коннектору PT Sandbox может работать с уникальными источниками и легко интегрироваться с любыми системами.

Кроме того, мы плотно сотрудничаем со многими вендорами. Наша песочница на уровне кода интегрирована с решениями компаний «Группа Астра», «Код Безопасности», «РЕД СОФТ», MFlash.

В статье для Positive Research Сергей Осипов, руководитель направления защиты от вредоносного ПО, Positive Technologies, рассказал, как мы «подружили» PT Sandbox с файловыми хранилищами, подключили к защите почты, интегрировали с системами разных классов (NTA, NGFW, WAF, EDR) и анализатором защищенности кода. Сергей также поделился самыми важными обновлениями продукта и планами на будущее.

👀 Читайте, если хотите знать о нашей песочнице все и немного больше.

#PTSandbox #PositiveResearch
@Positive_Technologies

🤘 А у вас уже есть продуманная стратегия харденинга?

Без нее не обойтись, если вы хотите строить устойчивую ИТ-инфраструктуру, вовремя находить в ней слабые места, не терять над ней контроль и проходить аудит без блоков.

⏱ Всему этому можно научиться на четырехнедельном онлайн-практикуме «Харденинг ИТ: от дизайна до настроек», который стартует уже 25 августа.

На нем вы научитесь:

🌟выстраивать непротиворечивую систему настройки — от зонирования сети до параметров виртуализации и политик в ОС;

🌟 делать инфраструктуру устойчивее с соблюдением требований регуляторов и опорой на результативную кибербезопасность;

🌟 внедрять системный подход к харденингу и меньше зависеть от внешних консультантов.

Вы сможете протестировать свои решения в песочнице до внедрения в прод и разобрать типичные уязвимости на реальных кейсах.

👉 Узнать больше и подать заявку можно на странице практикума.

#PositiveEducation
@Positive_Technologies

📖 В эфире августовский дайджест трендовых уязвимостей, к которым наши эксперты отнесли два недостатка безопасности в продуктах Microsoft.

Они, согласно данным The Verge, потенциально затрагивают около миллиарда устройств. Последствия могут коснуться всех пользователей устаревших версий Windows (с самых ранних и до Windows 10, Windows 11 включительно).

👾 Если вы используете MaxPatrol VM, то вам уже известно об этих уязвимостях: туда информация об угрозах поступает в течение 12 часов с момента их появления.

Уязвимость удаленного выполнения кода в Microsoft SharePoint
— CVE-2025-53770 (CVSS — 9,8)

По данным экспертов Eye Security, уязвимость CVE-2025-53770 активно эксплуатируется вместе с другой уязвимостью в Microsoft SharePoint (CVE-2025-53771) с 18 июля 2025 года. Также они сообщили, что обнаружили более 400 скомпрометированных систем.

Уязвимость связана с ошибкой в механизме десериализации и затрагивает развернутые локально (on-premise) серверы Microsoft SharePoint. Успешная эксплуатация этого недостатка безопасности может привести к компрометации сервера SharePoint, что позволит злоумышленнику получить конфиденциальные данные и использовать доступ к скомпрометированному серверу для дальнейшего развития атаки, например для развертывания вредоносного ПО.

Уязвимость повышения привилегий в службе обновлений Windows
— CVE-2025-48799 (CVSS — 7,8)

Недостаток безопасности связан с некорректным разрешением ссылки перед доступом к файлу в службе обновлений Windows Update service. Он затрагивает компьютеры под управлением Windows 10 и Windows 11, в которых установлено два и более жестких диска, и возникает при смене места сохранения на дополнительный диск. Проэксплуатировав уязвимость, злоумышленник может получить полный контроль над системой: он сможет удалять системное ПО и драйверы, вносить изменения в реестр Windows и загружать вредоносные файлы.

🗣 Вендор рекомендует установить обновления безопасности (CVE-2025-48799, CVE-2025-53770), а также настроить Antimalware Scan Interface (AMSI) в режиме Full Mode и использовать Microsoft Defender Antivirus и Defender for Endpoint для всех развернутых локально экземпляров SharePoint.

Подробнее об августовских трендовых уязвимостях рассказываем в дайджесте, а список всех вы можете найти на странице «Трендовые уязвимости».

#втрендеVM
@Positive_Technologies

Во время Positive Security Day 2025 мы представим обновленную платформу Standoff 365 и проведем финал международной кибербитвы Standoff 16

На нашей флагманской конференции, которая состоится 8 октября во Дворце гимнастики Ирины Винер в «Лужниках», мы расскажем, как объединили на одной платформе все необходимое, чтобы прокачивать кибербезопасность и обеспечивать круглосуточный доступ к экспертизе.

🖐 Пять в одном

1️⃣2️⃣ Для подготовки специалистов по кибербезопасности — онлайн-симулятор Standoff Cyberbones и онлайн-полигон Standoff Defend.

3️⃣ Для оттачивания навыков атакующих — виртуальный полигон Standoff Hackbase.

4️⃣ Для тренировки красных и синих команд и помощи бизнесу в выработке практической устойчивости к атакам и повышения готовности к реальным инцидентам — кибербитва Standoff.

5️⃣ Для поиска уязвимостей в инфраструктуре и продуктах компаний — крупнейшая в России багбаунти-площадка Standoff Bug Bounty.

«Мы создали и постоянно обновляем Standoff 365, чтобы решить одну из ключевых проблем отрасли — катастрофический разрыв между теорией и практикой в кибербезопасности. Это полноценная платформа, где одновременно готовят новые кадры, тренируют SOC-команды и тестируют решения безопасности в условиях, максимально приближенных к реальности. Каждый наш продукт отрабатывает конкретные сценарии, с которыми специалисты сталкиваются ежедневно. При этом все упражнения и полигоны созданы на основе реальных инцидентов. Такой подход позволяет не просто учиться, а формировать новую культуру практико-ориентированной безопасности», — отмечает Иван Булавин, директор по продуктам платформы Standoff 365.

⚔️ Кому готовиться к Standoff 16

Осенняя кибербитва пройдет в онлайн-формате c 6 по 8 октября и соберет более 30 команд атакующих и защитников со всего мира.

В этот раз инфраструктура турнира будет включать пять отраслей: металлургию, нефтегазовый сектор, банки, городскую среду и логистику. Три из них синие команды будут защищать в режиме мониторинга (фиксируя и расследуя инциденты), две — в режиме реагирования (дополнительно предотвращая и отражая атаки). В каждой из отраслей могут выступать сразу несколько команд защиты.

Ключевая задача новой октябрьской кибербитвы — укрепление и расширение глобального сообщества специалистов по ИБ, поэтому до 1 сентября ждем заявок:

🔵от синих команд из России и из-за рубежа
🔴от иностранных красных команд

Присоединяйтесь, чтобы устроить лучшую практическую тренировку для своей команды SOC и испытать разные инструменты защиты Positive Technologies в условиях реальных атак на большом объеме трафика. А где можно начать тренироваться уже сейчас — мы вам рассказали 💻

#Standoff365 #Standoff16
@Positive_Technologies

5️⃣ Эксперты PT SWARM Дмитрий Прохоров и Всеволод Дергунов обнаружили пять недостатков безопасности в системах «1С-Битрикс»
 
С 2023 года мы тесно сотрудничаем с «1С-Битрикс» для выявления потенциальных уязвимостей и усиления безопасности. Привлечение нашей технической экспертизы позволяет компании обеспечить высокий уровень защиты данных и повышает устойчивость систем.
 
⚠️ Берегите учетные данные
 
Недостатки BDU:2025-08663 и BDU:2025-08662 с одинаковой оценкой 7,1 балла по шкале CVSS 4.0 могли привести к удаленному исполнению произвольного кода. Они затронули версию 25.100.300 системы и были связаны с неправильным управлением привилегиями и выходом за пределы назначенного каталога.
 
Успешная эксплуатация уязвимостей могла бы позволить злоумышленникам расширить права для предварительно скомпрометированной учетной записи и получить несанкционированный доступ к данным пользователей, включая информацию из системы «Битрикс» и взаимодействующих с ней приложений. Среди других возможных последствий — риск дальнейшего распространения атаки на внутренние ресурсы компании.
 
Пользователям необходимо обновить компоненты в составе «1С-Битрикс: Управление сайтом» и «1C-Битрикс24»: модуль main до версии 25.100.400, а модуль fileman — до версии 24.500.100 или выше.
 
Наши эксперты отдельно отмечают, что реализовать эти векторы атак было возможно только в случае потери учетной записи (например, вследствие успешного подбора пароля или применения социальной инженерии). Чтобы избежать этого, нужно строго контролировать учетные данные и усилить парольную политику, подключив двухфакторную аутентификацию.
 
🛡 Защитите свои сайты
 
Еще три недостатка безопасности были найдены в модуле iblock для работы с информационными блоками, при помощи которых можно публиковать на сайтах каталоги товаров, новостные блоки и справочники.
 
BDU:2025-08664 и BDU:2025-08665, набравшие по 6,9 балла по шкале CVSS 4.0, — это уязвимости типа relative path traversal, позволяющие атакующим
манипулировать путями к файлам и папкам, находящимся за пределами разрешенных каталогов. Другой обнаруженный дефект (BDU:2025-08666, 8,9 балла по шкале CVSS 4.0) позволяет приложению исполнять произвольные файлы скриптов, путь к которым указывает сам пользователь.
 
Выявленные недостатки могли быть задействованы только злоумышленником, имеющим авторизованный доступ к системе с правами управления информационными блоками в «1С-Битрикс». Для этого компонента разработчик опубликовал патч 24.300.100.
 
Вендор уже устранил все уязвимости, и сейчас они затрагивают только тех пользователей, которые не установили обновления. Прочитать о них подробнее с комментариями наших экспертов можно в новости на сайте.
 
#PositiveЭксперты
@Positive_Technologies

Эксперты группы киберразведки PT ESC фиксируют рост активности APT-группировок и хактивистов в отношении российских организаций

🐟 В отчете за второй квартал 2025 года специалисты департамента threat intelligence нашего экспертного центра безопасности (PT ESC TI) отмечают, что в качестве первоначального вектора злоумышленники чаще всего использовали фишинговые письма, причем как в распространенных сценариях, так и при использовании уязвимостей нулевого дня.

🎭 Фишинг с маскировкой под госорганы

Например, группировка TA Tolik прикрепляла к таким письмам архив, внутри которого был вредоносный файл, похожий на официальный документ или уведомление от государственных органов.

Маскируясь под легитимное ПО, вредонос создавал задачи в планировщике и добавлял зловредный код в реестр Windows. Далее скрипты запускались автоматически, получали команды и модули из реестра, расшифровывали их и загружали вредоносную нагрузку в оперативную память.

🤞 Фишинг со страховкой

Хакеры из Sapphire Werewolf использовали бесплатный легитимный сервис для обмена файлами, размещая там вредоносные архивы и рассылая фишинговые письма со ссылками на их скачивание. При запуске вирусный документ проверял, не попал ли он в песочницу, и, если это подтверждалось, завершал работу.

Группировка PhaseShifters также использовала вредонос, который выяснял, есть ли в инфраструктуре жертв средства защиты. В зависимости от результатов параметры последующего запуска ВПО модифицировались. Киберпреступники распространяли делали фишинговые рассылки от лица Минобрнауки.

🚩 Фишинг от хактивистов

Во втором квартале высокую активность продемонстрировали и хактивисты. Например, злоумышленники из Black Owl приурочили свою целевую кампанию к транспортно-логистическому форуму. Они распространяли ВПО через специально созданные фишинговые сайты, якобы принадлежащие организаторам мероприятия.

«Как показывает практика, хактивисты в основном взламывают небольшие сайты — онлайн-магазины, персональные блоги и региональные информационные порталы. Они размещают там пропагандистские материалы, перенаправляют трафик на поддельные страницы или внедряют вредоносный код для дальнейшего развития атаки. Некоторые APT-группировки используют взломанные ресурсы для проведения многоступенчатых фишинговых кампаний, а часть злоумышленников продают свои трофеи на теневом рынке», — рассказал Денис Казаков, специалист группы киберразведки TI-департамента PT ESC.

Кроме того, эксперты отметили рост числа вредоносных файлов, код которых был частично сгенерирован нейросетями. Применяя общедоступные AI-сервисы, киберпреступники быстро адаптировали модули для обхода классических средств защиты.

Подробнее о самых примечательных кибератаках, методах злоумышленников и способах им противостоять читайте в полной версии отчета.

#PTESC
@Positive_Technologies

👍 Эксперт PT ESC Марат Гаянов помог устранить пробел в защите Windows

Уязвимость CVE-2025-53141 (7,8 балла по CVSS 3.1) могла бы нарушить работу компьютеров под управлением Windows 10 и Windows 11 и серверов под управлением Windows Server 2025.

Десктопные операционные системы Windows занимают 70% мирового рынка. В мае текущего года Windows 10 использовали 53% клиентов вендора, на Windows 11 приходилась доля в 43%. Предназначенная для серверов Windows Server — вторая по популярности на глобальном рынке.

Согласно июньским данным нашего мониторинга актуальных угроз, в мире насчитывалось более 1,5 млн удаленно доступных и уязвимых устройств с одной только Windows 11. Большинство из них находятся в США, Китае, Японии, Германии, Южной Корее и России.

Недостаток безопасности мог затронуть 96% пользователей, установивших Windows на свой компьютер, а также компании, использующие серверное решение вендора. Его успешная эксплуатация привела бы к сбою системы на атакованном устройстве и нарушению рабочих процессов.

«Дефект безопасности был обнаружен в процессе изучения драйвера, реализующего работу сокетов, которые обеспечивают передачу данных по сети. Чтобы воспользоваться ошибкой, злоумышленнику потребовалось бы получить локальный доступ к устройству или убедить жертву самостоятельно запустить вредоносную программу, — объясняет Марат Гаянов, специалист группы анализа уязвимостей экспертного центра безопасности Positive Technologies. — Обращение такой программы к небезопасному драйверу могло бы привести к отказу системы и ограничению доступа к корпоративным ресурсам. В результате организация столкнулась бы с риском нарушения рабочих процессов».

Вендор уже выпустил обновление безопасности и рекомендует в кратчайшие сроки обновить уязвимые ОС до версий, указанных в официальном уведомлении.

#PositiveЭксперты
@Positive_Technologies

Обновленная версия AI/ML-модуля MaxPatrol BAD показывает высокую эффективность на пилотных проектах в российских компаниях

Модуль, интегрированный с системой MaxPatrol SIEM версии 8.6, выводит на дашборды визуальную информацию о поведении процессов, активов и пользователей. Он также описывает контекст инцидента, объясняя последовательность сработки, что позволяет быстрее выявлять уникальные атаки и расследовать киберинциденты.

❗️ В первую очередь MaxPatrol BAD обращает внимание аналитиков SOC на наиболее подозрительные события ИБ. Внутренние тесты на потоке событий во время атак на инфраструктуру показали, что 90% алертов от MaxPatrol SIEM наш AI/ML-модуль отнес к реальным атакам.

Он также может выявлять нетипичное поведение в инфраструктуре и обнаруживать аномалии, которые невозможно детектировать с помощью статических правил и сигнатур.

🔎 Так, одна из российских компаний, пилотирующих MaxPatrol BAD, с его помощью смогла оперативно найти источник подозрительной активности, связанной с запуском нетипичных для организации скриптов. Другая компания использовала наш модуль во время киберучений, чтобы обнаружить нелегитимные действия в инфраструктуре и предотвратить реализацию недопустимых событий.

«Сегодня MaxPatrol BAD можно смело назвать одним из самых зрелых AI/ML-решений на российском рынке, которое позволяет реализовать адаптивную защиту инфраструктур разных организаций, — отмечает Артем Проничев, руководитель ML в MaxPatrol SIEM. — В MaxPatrol SIEM 8.6 модуль стал еще функциональнее и удобнее для пользователя. Кроме того, у модуля появилась возможность горизонтального масштабирования, что позволяет использовать его в распределенных инфраструктурах».

⏱ На развертывание и запуск MaxPatrol BAD нужно не больше часа при наличии выделенной инфраструктуры и организованного сбора событий в MaxPatrol SIEM. Модуль не требует регулярных обновлений или постоянной ручной донастройки. Автономные и адаптивные механизмы обучения начинают работать сразу после инсталляции, а первые релевантные результаты можно получить с первой недели использования.

Записывайтесь на тест-драйв и оцените возможности ML-модуля в составе MaxPatrol SIEM самостоятельно.

#MaxPatrolSIEM
@Positive_Technologies

🤖 Как внедрить собственный LLM-сервис внутри компании и с чем придется столкнуться в процессе

Иметь стабильный и защищенный LLM-сервис критически важно для всех организаций, работающих с конфиденциальными данными и стремящихся к технологической независимости.

На вебинаре 19 августа в 14:00 мы поделимся опытом запуска такого решения, а также расскажем о технических и организационных сложностях.

Вы узнаете:

🔴 Когда стоит выбрать self-hosted LLM-сервис вместо public API.
🔴 Как найти подходящую open-source-модель и ориентироваться в оценке ее качества.
🔴 Какие технологический стек и инфраструктура необходимы для production-внедрения.
🔴 Как планировать вычислительные ресурсы и проводить мониторинг работы сервиса.

👉 Регистрируйтесь заранее. Увидимся на вебинаре!

@Positive_Technologies