Лучшие подкасты про Bug Bounty (2024)

1
Эволюция вирусного анализа от A до ML 1:44:28

1y ago1:44:28

1:44:28

Что такое вирусный анализ и кто им занимается? Когда появились вирусы и как эволюционировали языки программирования в их разработке? Как проходит день вирусного аналитика и какие инструменты он использует в работе? Какое место в вирусном анализе занимают технологии машинного обучения? Это только часть вопросов, на которые в этом выпуске ответил рук…

1
Насколько безопасен блокчейн и как стать тем, кто будет эту безопасность улучшать? 59:56

1+ y ago59:56

59:56

В этом выпуске поговорим со специалистами по безопасности распределённых реестров Андреем Бачуриным и Игорем Агиевичем. Вы узнаете: Как стать специалистом по безопасности блокчейна? Каковы наиболее насущные проблемы безопасности, связанные с технологией блокчейн? Что такое смарт-контракты и как они способствуют безопасности технологии блокчейн? Как…

1
Можно ли ловить хакеров с помощью ИИ? ML-инженер в информационной безопасности 49:19

2y ago49:19

49:19

Сейчас большинство продуктов безопасности работают так: происходят события безопасности, и специалисты по ИБ расследуют эти события. Все продукты стремятся к высокой точности, но подозрительных действий обычно много, поэтому нужна целая команда, чтобы принимать решения по обнаружению и реагированию. Можно ли автоматизировать детектирование и действ…

1
ИБ-итоги 2022 года: самый неформальный эфир 1:58:09

2y ago1:58:09

1:58:09

Специальный и итоговый выпуск подкаста в этом году. Мы пригласили признанных экспертов по информационной безопасности для обсуждения неформальных итогов 2022 года — без цензуры и заранее согласованных вопросов! Среди участников — Алексей Лукацкий (Positive Technologies), Дмитрий Гадарь (Тинькофф Банк), Сергей Голованов (Лаборатория Касперского), Де…

1
RedTeam страдания SOC’а 1:18:04

2y ago1:18:04

1:18:04

Доклад о части используемых командой PT SWARM техник и тактик, позволяющих успешно закрывать проекты по Red Team в первые недели. Рассказывает Константин Полишин, старший специалист отдела тестирования на проникновение Positive Technologies. Презентация: https://drive.google.com/file/d/1j3TfbZaDHGQNSD87VDzgOWgDieRiiMO4/view Запись выступления: http…

1
Глазами SOC: типичные ошибки red team 1:23:57

2y ago1:23:57

1:23:57

Екатерина Никулина, специалист отдела мониторинга информационной безопасности экспертного центра безопасности Positive Technologies (PT Expert Security Center), разбирает наиболее распространённые ошибки атакующих, которые приводят к быстрому и эффективному детекту командой синих. Смотреть выступление: https://www.youtube.com/watch?v=KTB6qKbVdZE Пр…

1
Рассказы этичного хакера: как начать свой путь в bug bounty 32:16

2y ago32:16

32:16

Гостем выпуска стал багхантер, который за пять лет своей деятельности нашел более сотни уязвимостей в различных соцсетях и известных интернет-сервисах вроде Slack, GitLab и даже PornHub, а также попал в зал славы Qiwi, На платформах bug bounty он известен как Circuit. Из подкаста вы узнаете, как наш герой стал этичным хакером, за что платят багхант…

1
Как обнаружить 95% атак, зная лишь 5% техник, используемых злоумышленниками 55:23

2y ago55:23

55:23

Исследователи безопасности постоянно сообщают о появлении новых техник, используемых злоумышленниками. Важно отметить, что в ходе атаки злоумышленники не ограничиваются одной или двумя техниками, а применяют комбинацию разнообразных методов. Это дает защитникам множество возможностей для обнаружения атак. Более того, существует небольшой ограниченн…

1
(Не)безопасность больших данных 47:51

2+ y ago47:51

47:51

Информация — ценнейший ресурс для развития общества и технологий, а безопасность больших данных должна быть ключевым приоритетом для любой компании. На PHDays 11 тимлид Digital Security и пентестер Вадим Шелест познакомил участников форума с типичными ошибками администрирования, ошибками конфигурации и уязвимостями Hadoop-кластеров и его компоненто…

1
Опыт применения GAN для генерации атак 55:48

2+ y ago55:48

55:48

В докладе будет освещен опыт применения моделей GAN для генерации различных векторов атак в контексте внедрения SQL-кода. Предлагаемый подход позволяет находить возможные обходы детекторов, основанных на контекстно-свободных грамматиках, и тем самым повышать полноту обнаружения атак. Последующая экспертная валидация полученных результатов позволила…

1
Как Жуи и Диндин провели прошедший год в России 56:15

2+ y ago56:15

56:15

Игорь Залевский, руководитель отдела расследования киберинцидентов JSOC CERT компании «Ростелеком-Солар», расскажет об инструментарии, тактиках и техниках китайских APT-групп, выявленных JSOC CERT в 2021 году. Также будет рассмотрено использование этими группами очень простой уязвимости в отечественном продукте безопасности, которая позволяла им су…

1
Новое лицо OSINT. Версия 2022 года. 20 полезных приемов поиска в цифровом мире 1:00:49

2+ y ago1:00:49

1:00:49

В докладе представлены 20 практических приемов OSINT c применением новых возможностей цифрового мира: например, поиск по фото с использованием нейронных сетей, сбор информации из даркнета, обнаружение утечек в облачных хранилищах, фиксация цифрового следа пользователя по данным его гаджетов (на реальных примерах). Спикер: Андрей Масалович. Запись в…

1
Тренировка в бою: что такое киберполигон 53:57

3y ago53:57

53:57

В этом выпуске Олег Иванов, руководитель группы автоматизации и эксплуатации Positive Technologies, отвечающий за технический составляющую киберполигона The Standoff расскажет: Как прокачаться в условиях, максимально приближенных к реальным? Зачем компании проводить киберучения? Что такое The Standoff? Как происходит взаимодействие с инфраструктуро…

1
Вся информационная безопасность 2021 за час 1:00:31

3y ago1:00:31

1:00:31

Выделили главные тренды кибербезопасности 2021 года и дали прогноз по киберугрозам, которые будут актуальны в 2022-м. Продолжит оставаться актуальным тренд на атаки типа supply chain и trusted relationship. Если злоумышленники выберут целями IT-компании, которые служат точками проникновения в корпоративные сети своих клиентов, то, скорее всего, мы …

1
Ярослав Бабин — о карьере в offensive и будущем The Standoff 53:49

3y ago53:49

53:49

Ярослав Бабин — руководитель отдела анализа защищенности Positive Technologies и один из ключевых организаторов The Standoff. В новом выпуске подкаста Егор Богомолов поговорил с ним о карьере в offensive, а также о новых проектах: своих и компании. Positive Technologies — один из лидеров рынка ИБ в России. Сейчас компания готовит к запуску платформ…

1
Егор Богомолов и Иван Булавин — о роли The Standoff в корпоративном обучении 1:07:25

3y ago1:07:25

1:07:25

В пятом выпуске Егор Богомолов разговаривает с капитаном команды True0xA3, многократным призером The Standoff Иваном Булавиным. Поговорили о том, что вообще такое фестиваль The Standoff для его участников, как он участвует в корпоративном обучении и почему в нем есть место даже тем, кто не учился на программиста. А также об ошибках команды на прошл…

1
Егор Богомолов и Денис Рыбин — Взгляд на работу AppSec специалиста изнутри 1:02:14

3y ago1:02:14

1:02:14

Егор Богомолов, пентестер и преподаватель школы CyberEd, и Head of AppSec Бизнес Юнит Mail.ru, Компания VK Денис Рыбин обсудили особенности работы в защите приложений. Денис уже два года работает руководителем департамента защиты в Бизнес Юнит Mail.ru. Он рассказал о том, как стать специалистом AppSec, кому такая профессия подойдет и чем занимаются…

1
Егор Богомолов и Михаил Помзов — о том, как устроен The Standoff изнутри 1:01:44

3y ago1:01:44

1:01:44

Директор департамента базы знаний и экспертизы Positive Technologies Михаил Помзов отвечает на вопросы пентестера и преподавателя школы CyberEd Егора Богомолова. Михаил участвовал во всех соревнованиях The Standoff, а теперь занимается его организацией. Поговорили о том, как устроен турнир изнутри, какие основные задачи у Red и Blue Team, к чему го…

1
Bug Bounty 51:49

3y ago51:49

51:49

В гостях у Ильдара Садыкова руководитель направления Bug Bounty Mail.ru Group Алексей Гришин. Поговорили о программе Bug Bounty, о ее уязвимостях и росте специалиста, который может находить уязвимости такого типа. «Представляете, как круто, если в зале славы Пентагона написано, что вы взломали Пентагон?» «Для компании Bug Bounty — способ найти белы…

1
Роли на “The Standoff” 52:48

3y ago52:48

52:48

В первом выпуске подкаста пентестеры Егор Богомолов и Павел Шлюндин обсуждают недавнюю победу на “The Standoff” и то, как это стало возможным. Почему невозможно выиграть турнир в одиночку или с командой случайных спецов? Какую роль играет удача? Как турниры такого уровня бустят карьерный путь специалиста? Павел Шлюндин пришёл в профессию 4 года наз…

1
Гонки на криптобиржах, или как я манипулировал балансами 17:59

3y ago17:59

17:59

Поговорим об уязвимостях типа race condition, которые были найдены на крупных криптобиржах и давали возможность манипулировать балансом. Рассказывает специалист по ИБ Positive Technologies Ваагн Варданян. Видео

1
айТИПАдкаст#11. Тестирование. Старт карьеры в айти, автоматизация, нагрузочные тесты и эпичные факапы 1:35:05

3y ago1:35:05

1:35:05

Эпизод одиннадцатый. Сегодня, вместе с руководителем разработки пилотных проектов Tarantool в Mail.ru Group Дмитрием Самировым и одной из основательниц Общества Анонимных Тестировщиков Зоей Чижковой, говорим про тестирование. Обсудим хорошая ли это идея зайти в айти через тестирование, чего стоят ошибки тестировщика и кто за них отвечает, а также п…

1
Что же с нами стало? Ретроспективный анализ громких инцидентов ИБ за последние 10 лет 58:46

3y ago58:46

58:46

За последние 10 лет выросло целое поколение специалистов, произошло множество интересных событий в мире информационной безопасности, было найдено огромное количество уязвимостей, были отмечены громкие взломы и утечки. Докладчик представит ретроспективный анализ самых громких событий, оценит их стоимость, расскажет, какие были последствия и что изме…

1
50 оттенков PyInstaller 58:15

3y ago58:15

58:15

Рассмотрим тренды использования PyInstaller в ВПО за 2020 и 2021 г. Разберем статистику по используемым версиям, разберем механизмы по закреплению в системе, краже данных, шифрованию, связи с C&C. Отдельное внимание докладчик уделит обфускации и тому, как с ней бороться. Рассказывает Станислав Раковский Видео…

1
Про взлом AI-приложений 23:54

3y ago23:54

23:54

Поговорим о проблемах безопасности AI-систем и их разработки. Разберем на примерах различные практики анализа защищенности. Рассказывает победитель многих соревнований по пентесту Омар Ганиев. Видео

1
Финансовые манипуляции vs. программные уязвимости в DeFi 51:39

3y ago51:39

51:39

Поговорим о финансовых и технических алгоритмах, применяемых в DeFi, и разберем некоторые атаки на них. Рассказывает эксперт в блокчейн и высоконагруженных сервисах Сергей Прилуцкий. Видео

1
Путешествие в страну внутрячков, или cтрашный сон администратора сети с Active Directory 41:40

3y ago41:40

41:40

Обсудим все техники повышения привилегий, которые предоставляет Microsoft Active Directory вместе с первоначальной настройкой в локальной сети. Расскажем, почему для пентестера в локальной сети с Active Directory поднять свои привилегии до администратора домена это всего лишь вопрос времени. Перечислим уязвимости в сетях под управлением AD «из коро…

1
Фаззинг ядра Linux 57:30

3y ago57:30

57:30

Фаззинг — это способ автоматически находить баги, передавая в программу случайно сгенерированные данные. Докладчик расскажет, как использовать фаззинг для нахождения ошибок в ядре Linux и какие интерфейсы ядра можно фаззить. Он кратко опишет готовые фаззеры, такие как Trinity и syzkaller, но в основном сконцентрируется на написании кода фаззера, ге…

1
Сила четырех байтов: эксплуатация уязвимости в ядре Linux 57:27

3+ y ago57:27

57:27

В январе 2021 года Александр Попов обнаружил и устранил пять уязвимостей в реализации виртуальных сокетов ядра Linux. Этим уязвимостям был присвоен идентификатор CVE-2021-26708. Докладчик детально расскажет об эксплуатации одной них для локального повышения привилегий на Fedora 33 Server для платформы x86_64. Исследователь продемонстрирует, как с п…

1
Интернет вещей. Реальные кейсы и информационная безопасность 23:07

3+ y ago23:07

23:07

Из-за быстрого распространения интернета вещей производители при разработке продуктов сосредоточены на скорости внедрения и стоимости, а не на информационной безопасности. Рассмотрим реальные проекты, реализованные направлением цифровых технологий компании ICL. Контроль оборотного плуга для производителя сельхозтехники, поиск инвалидных колясок в а…

1
Безопасность роутера: важно ли это? 12:05

3+ y ago12:05

12:05

Речь пойдет об уязвимостях в роутере Smart Box достаточно известного вендора. Основная цель — напомнить пользователям о том, что нужно обновлять роутеры, а если они больше не поддерживаются, то менять оборудование на более актуальное. Рассказывает Павел Степанов. Смотреть

1
айТИПАдкаст#10. Айти – это пузырь? Лекс АйТиБорода про раздутые зарплаты айтишников, перегретый рынок и новый кризис доткомов 1:00:00

3+ y ago1:00:00

1:00:00

Эпизод десятый. Сегодня, вместе с легендарным айтиблогером Лексом Аи‌ТиБородой будем говорить про деньги! Обсудим не является ли айти пузырём, не находимся ли мы на пороге нового кризиса доткомов, можно ли ещё запрыгнуть в этот золотой вагон и не будем ли мы завтра получать маленькие зарплаты и вспоминать сытые времена? Погнали! Спасибо, что слушае…

1
Простой и аккуратный метод обмануть предсказание top-k 30:58

3+ y ago30:58

30:58

Глубокие нейронные сети произвели революцию и улучшили нашу повседневную жизнь. Кроме того, нейросети удивительным образом очень уязвимы к малым возмущениям входных данных (adversarial attacks). Эти злонамеренные и хорошо продуманные крошечные изменения аккуратно вычислены и способствуют большим ошибкам нейросетей. Они могут целиться, чтобы классиф…

1
Сканируй комплексно и нежно. Опыт Rambler&Co и Okko 54:07

3+ y ago54:07

54:07

Практика показывает, что тестового сервера, веб-сайта с .git-каталогом в открытом доступе или открытого порта Redis, или Kubernets API достаточно, чтобы взломать компанию. Даже при встроенных процессах управления обновлениями, уязвимостями и изменениями все равно могут возникнуть непредвиденные ситуации. Давайте послушаем, как не стать жертвой прог…

1
Как взламывают видеоигры 52:38

3+ y ago52:38

52:38

К сожалению, пользователю без должного опыта в ИБ невозможно определить, будет ли игра безопасна для его данных и его игрового устройства. Даже учитывая, что разработчики стараются сделать их игровое приложение безопаснее, это не гарантия того, что хакеры не смогут его атаковать. Независимый исследователь кибербезопасности Артем Бачевский, разрабат…

1
Несанкционированные HTTP-запросы через более поздние версии HTTP 43:56

3+ y ago43:56

43:56

Несанкционированные HTTP-запросы (HTTP Request Smuggling) — это давно известная атака на обратные прокси-серверы, к которой снова возник интерес после выступления Джеймса Кеттла на Black Hat USA в 2019 году. В этой области было сделано много новых открытий, как например новые методы обнаружения уязвимостей и новые методы эксплуатации рассинхронизац…

1
Как вычистить APT-группировку из инфраструктуры? Практика incident response 44:06

3+ y ago44:06

44:06

Что делать, если вы узнали о том, что контур безопасности пробит целенаправленной атакой одной из APT-группировок. А если это произошло месяц назад, но вы узнали об этом только сейчас?.. Рассказывает Антон Юдаков из Ростелеком-Солар

1
Обнаружение атак на АСУ ТП: подходы, особенности и практический опыт 44:06

3+ y ago44:06

44:06

Рассмотрим типовые атаки на АСУ ТП, общий подход к обеспечению мониторинга ИБ, особенности работы с событиями ИБ (источники и сценарии детектирования), особенности работы с копией трафика в технологической сети и пример подключения изолированного сегмента АСУ ТП. Автор разберет общие вопросы, с которыми сталкивается каждая компания при построении S…

1
Инциденты ИБ со стороны сотрудников: умысел, халатность, глупость 29:51

3+ y ago29:51

29:51

Поговорим о расследованиях махинаций сотрудников, об инцидентах «по неосторожности» и о том, как учет и контроль рабочего времени идет на пользу сотрудникам. Рассказывает Дании Бориславский

1
Звезды выходят из строя. Как взламывают спутники 50:18

3+ y ago50:18

50:18

Взлом спутников — интересная тема для энтузиастов ИБ. Атаки на спутники проводятся через радиочастоты или взлом стеков приложений. Обычно атаки направлены не на сам спутник, а на прикладные программы, управляемые им. Рассмотрим виды атак, которые направлены на получение полного доступа к спутнику. Рассказывает исследователь ИБ из XEN1THLABS Таной Б…

1
Security Gym: тренируйся бороться с уязвимостями 32:02

3+ y ago32:02

32:02

Разработчики уделяют большое внимание дизайну программных продуктов для гаджетов, стараясь сделать их максимально удобными. Люди охотно устанавливают мобильные приложения и регистрируются в них. А что насчет безопасности данных, которые мы доверяем производителям этих приложений? Как научиться создавать безопасные приложения? Сегодня рассказываем п…

1
Hardware bug bounty: взгляд снаружи и изнутри 49:35

3+ y ago49:35

49:35

Сегодня практически все крупные корпорации запустили свои программы для вознаграждения исследователи за найденные уязвимости — bug bounty. Изначально они были ориентированы на веб-уязвимости и на ошибки в ПО, но в последнее время они стали распространяться и на аппаратное обеспечение. Вознаграждения за аппаратные уязвимости составляют десятки, а ин…

1
Поиск злоумышленников, закрепившихся через MS Exchange Server и Outlook 38:19

3+ y ago38:19

38:19

Microsoft Exchange и Outlook являются важной частью инфраструктуры любой компании, вне зависимости от ее размеров. Microsoft Exchange Server — это желанная цель для многих злоумышленников, ведь в случае эксплуатации уязвимостей или некорректной настройки компонентов атакующий может получить доступ к электронным письмам компании, поднять свои привил…

1
Обратная сторона проактивного детекта: о сложностях в обнаружении вредоносного поведения 58:10

3+ y ago58:10

58:10

Рассмотрим несколько простых (на первый взгляд) сценариев для обнаружения зловредного действия: получение списка процессов в системе, создание задач и служб, снятие скриншота рабочего стола. Поговорим о сложностях, возникших при выявлении следующего поведения: рекогносцировка в системе, обобщенный process hollowing, запуск кода через DLL hijack, за…

1
Быстрый и мертвый. Говорим о Threat Intelligence 1:17:59

3+ y ago1:17:59

1:17:59

Threat intelligence (TI) — это информация об актуальных угрозах и группировках киберпреступников, которая позволяет организациям изучить цели, тактику и инструменты злоумышленников и выстроить эффективную стратегию защиты от атак. На PHDays мы собрали поставщиков и потребителей TI за одним столом, чтобы обсудить особенности применения TI, сложности…

1
Почему возникают новые векторы атак и о небезопасной десериализации 46:17

3+ y ago46:17

46:17

Что такое небезопасная десериализация? Почему исследователи продолжают находить новые векторы атак и успешно эксплуатировать форматы данных, считавшиеся защищенными долгое время? Михаил Щербаков, PhD в теоретической информатике, расскажет что это, приведет реальные примеры уязвимостей, раскроет недостатки, лежащие в корне проблемы небезопасной десе…

1
Как начать предоставлять своей команде полезные киберразведывательные данные 50:17

3+ y ago50:17

50:17

Атаки с использованием программ-вымогателей стали одной из самых актуальных проблем для многих компаний по всему миру. Несмотря на то, что в наши дни такие атаки чаще всего осуществляются операторами и имеют сравнительно сложный жизненный цикл, некоторые вендоры все еще фокусируются непосредственно на самих программах и даже предлагают осуществлять…

1
Куда приводит любопытство. Разбираем Intel ME 32:12

3+ y ago32:12

32:12

Последние несколько лет Дмитрий Скляров участвовал в совместных исследованиях с экспертами ИБ Марком Ермоловым и Максимом Горячим. В основном, объектом изучения была подсистема Intel ME. Но не только. Без глубоких технических деталей он расскажет о целях исследований, о том, как они начинались и развивались.…

1
Кибербез: тренды и прогнозы 34:04

3+ y ago34:04

34:04

Мы проанализировали актуальные киберугрозы I-го квартала 2021 года и зафиксировали рост числа атак с помощью программ-вымогателей, появление множества новых шифровальщиков, а также отметили, что разработчики вредоносного ПО все чаще стали адаптировать его под атаки на средства виртуализации. Главными целями злоумышленников являются персональные и у…

1
О самых впечатляющих кибер расследованиях 42:08

3+ y ago42:08

42:08

В 2019 году монетизировать несанкционированный доступ к финансовой организации можно было с помощью «дропов». В 2020 году COVID-19 внес в эту устоявшуюся схему корректировки: выросло количество программ-вымогателей. Теперь 2021 год принес целую россыпь CVE, и некоторые из них обеспечили криминалистов работой на несколько месяцев вперед. В этом подк…

Подкасты, которые стоит послушать

Подкасты на тему Bug Bounty

Подкасты, которые стоит послушать

Краткое руководство