⚡️Дайджест июня

Несмотря на соблазны теплого месяца, не снижаем оборотов эффективности. Активно делились весь июнь своим опытом со студентами, коллегами и клиентами.

1. Провели вебинар вместе с командой ERPскан, обсудили, как атакуют ERP-системы через легитимные доступы. Если вы пропустили – делимся эфиром в записи.

2. Подвели итоги отборочного этапа стажировки Summ3r Of h4ck 2026 и опубликовали решения задач. Будущие пентестеры, прошедшие испытания, уже познакомились с нашим офисом и начали обучающий блок программы.

3. Поучаствовали в Standoff Talks. Игорь Комаров, аналитик информационной безопасности DSEC by Solar, рассказал, как не позволить уязвимости WAF сделать приложение беззащитным перед хакерами. Запись его выступления – уже на нашем сайте.

⚽️ Невидимая команда: ИБ для массовых мероприятий

Крупные мероприятия — это не только эмоции и миллионы зрителей, но и колоссальная нагрузка на IT‑инфраструктуру. В разгар спортивного или делового события любая уязвимость может обернуться критическими потерями.

У мероприятий и конференций есть большая чувствительность к DoS-атакам. Падение билетной системы для организатора – потеря продаж, регуляторные претензии и всплеск переходов на фишинговые сайты. Люди торопятся и становятся уязвимыми: в стрессе они чаще кликают на «альтернативные» способы покупки и тем самым теряют деньги.

Дефейс во время крупного события может серьёзно навредить бизнесу. Провокационные лозунги на главной странице во время крупного события — сильный инфоповод, который используют группировки для пиара или для демонстрации силы.

Утечки персональных данных. В инфраструктуре мероприятия скапливается много информации: персональные данные болельщиков, участников, топ-менеджеров и чиновников, учетные данные пользователей, платежные данные и проч. Утечка ПНд способна нанести серьезный урон репутации события.

Мы закрываем эти риски системно, для нас такие задачи являются типовыми вне зависимости от характера мероприятия. Проводим аудиты и пентесты, учитываем специфику бизнес‑последствий, а не только технические уязвимости.

Например, в этом году ГК “Солар” обеспечивали веб‑защиту ЦИПРа. В работу нашей команды входил анализ защищенности веб-приложений, мы выдали рекомендации по повышению безопасности, а после устранения недостатков специалистами заказчика – провели перепроверку, чтобы убедиться в отсутствии критических уязвимостей.

⚡️Кейс: Один забытый архив университета⚡️

Что если “ключ от двери” в инфраструктуру целого учебного заведения оставить на видном месте?

В этом кейсе наша команда наглядно показала, как «забытый» публичный архив с исходниками стал ключом ко всей инфраструктуре университета.

↗️Разбираем эту цепочку уязвимостей в нашей статье на сайте.

⭐️Зачем бизнесу пентест⭐️

Пентест — это имитация реальной хакерской атаки: эксперт проверяет, сможет ли злоумышленник проникнуть в вашу инфраструктуру и как далеко он сможет зайти. Его ценность — в взгляде «со стороны противника»: он вскрывает риски, которые штатные специалисты могут не замечать.

🛡 Требования регуляторов
Регуляторы требуют проведение пентеста для защиты критической инфраструктуры, банков и финансовых организаций, персональных данных и гос. систем. Грамотно организованный пентест по регламенту помогает подтвердить соответствие требованиям, избежать штрафов и минимизировать риски утечек.

🤝 Проверяем партнеров
Иногда возникает потребность протестировать системы подрядчиков или проверить компанию перед покупкой. Так вы контролируете риски на стыке систем. Такие услуги проводятся только с их согласия и по трехстороннему договору.

⚙️ Пентест ≠ сканирование
В дополнение к автоматизированному сканированию пентестер подходит к проверке сервисов инфраструктуры и веб-приложений нестандартно – собирает из найденных уязвимостей полноценную цепочку атак, о которой даже никто не подозревал.

⭐️Запускаем пентест: 6 ключевых шагов⭐️

(продолжение прошлого поста)

1️⃣ Обговариваем условия «на берегу» — перед началом фиксируем цели, границы и объем услуг.

2️⃣ Сбор информации — ищем всё, что доступно публично.

3️⃣ Оценка уязвимостей — выявляем слабые места.

4️⃣ Эксплуатация — пробуем их использовать на практике.

5️⃣ Постэксплуатация и сохранение доступа — смотрим, как далеко можно продвинуться и остаться незамеченным.

6️⃣ Отчет + разбор — даём понятные рекомендации и помогаем расставить приоритеты.

🗓 Сроки и частота: полный цикл — 4–8 недель (сам тест — 2–4 недели). Проводить стоит не реже раза в год для критических сегментов и обязательно после крупных изменений в инфраструктуре.

⚠️ Важно: пентест не «чинит» систему — он показывает, где и как её можно сломать, помогает расставить приоритеты, решить что нужно срочно исправлять, а что может подождать. Дальше ваша команда должна закрыть найденные дыры. Если отчет просто положить в стол, уязвимости останутся доступны и для реальных злоумышленников.

⚡️Дайджест июля

Коротко о главных вехах самого жаркого летнего месяца:

1. На нашем сайте вышла новая статья с кейсом пентеста «Один забытый архив университета». Если любите разборы про реальные уязвимости — обязательно загляните.

2. На митапе DEFCON COMMUNITY GROUP #7812 выступил руководитель отдела внешнего развития департамента аудита DSEC by Solar Михаил Дрягунов с докладом «Отвязываем IoT от облаков».

3. Наша команда уже подала заявки на доклады на предстоящий ZeroNights 2026, а вы?

🔥Билеты на ZeroNights 2026 уже на сайте!🔥

🖥 Продажи билетов стартовали!

По традиции вас ждет несколько категорий. Выбирайте подходящий вариант на сайте и до встречи 30 сентября!

🟢Студенческий билет

У нас предусмотрены специальные френдли-прайс билеты для студентов

Условия:

- Для студентов только очной формы обучения: бакалавров, магистров, специалистов, а также студентов колледжей и техникумов
- Наличие студенческого билета или справки из деканата о том, что вы являетесь учащимся
- Для лиц старше 18 лет 

🟢Билет для физических лиц

Это категория для всех желающих принять участие в конференции.
Доступна возможность купить билет с участием в спикер-пати.

🟢Билет для сотрудников компаний

Подходит участникам, кому билеты оплачивает работодатель. Вы сможете получить счет и закрывающий акт. Есть опция билета с участием в спикер-пати.

По всем вопросам пишите: visitor@zeronights.ru

Конференция по ИБ ZeroNights
30 сентября 2026, СПб.

⭐️ Как подготовиться к внешнему аудиту ИБ ⭐️

Впереди плановый/внеплановый аудит информационной безопасности в компании и хочется, чтобы все прошло гладко? Мы подготовили целый материал об этом!

Постарались ответить на все вопросы и поделиться тонкостями проведения проверки, которые помогут сделать ее проще, понятнее и быстрее.

🔸Читать материал