Статьи

Реагирование на инциденты — отдельная дисциплина: канонический жизненный цикл описан в NIST SP 800-61, а OWASP дополняет его читшитами по расследованию инцидентов и сохранению улик. Разница между «отрубили на час» и «висело в чёрных списках полгода» почти всегда не в том, кто взломал, а в том,…

Детектирование — не опция, а последняя линия обороны. Разница между «взлом длился две минуты» и «взлом длился пять месяцев» — это ровно то, насколько быстро вы заметили. В OWASP Top 10:2025 это самостоятельная уязвимость — A09: Security Logging and Alerting Failures. Дано по состоянию на октябрь…

Шифрование — не одна кнопка, а три разные задачи для трёх разных состояний данных: в покое (at rest — на диске), в передаче (in transit — по сети) и в обработке (in use — в памяти, самое сложное). У каждого состояния свой инструмент, своя модель угроз…

Web Application Firewall — слой, который перехватывает HTTP-трафик до приложения и отсекает типовые атаки по сигнатурам: инъекции, XSS, сканеры, загрузка шеллов. Это полезная часть defense-in-depth, но с двумя большими оговорками, которые забывают новички: WAF не заменяет безопасный код (параметризацию и экранирование см. в статьях про SQL-инъекции…

Аудит безопасности — не «прогнал сканер, получил отчёт». Сканер находит 20–40% проблем и при этом врёт в обе стороны: false positive захламляют список, false negative создают ложное чувство защиты. Реальный аудит — это методология: определить периметр, собрать разведку, прогнать инструменты по слоям, руками докопать то, что…

Безопасная аутентификация: хеширование, JWT, OAuth2 и 2FA Аутентификация — это проверка «ты тот, за кого себя выдаёшь». Её ломают не одним трюком, а цепочкой ошибок: пароли в открытом виде, JWT без проверки alg, OAuth без state, второй фактор по SMS. Разберём четыре столпа и где на…

XSS и CSRF: защита форм, сессий и куки Две уязвимости, которые регулярно путают новички и регулярно находят в рабочих проектах. XSS — когда чужой код выполняется в браузере вашего пользователя. CSRF — когда браузер вашего пользователя выполняет чужое действие от его имени. Обе про «доверие не…

SQL-инъекция — уязвимость из 90-х, которая до сих пор стабильно входит в OWASP Top 10 и регулярно фигурирует в реальных утечках баз данных. Причина проста: пока запрос собирается из кусков текста, в котором часть кусков контролирует пользователь, инъекция возможна. Все остальные «почему» — варианты этого одного….

OWASP Top 10: разбор уязвимостей с примерами на PHP (редакция 2025) Безопасность веб-приложений — это не роскошь, а необходимость. Сайты ежедневно подвергаются атакам: SQL-инъекции, XSS, подделка запросов, утечки данных, атаки через цепочку поставок. По данным отчёта Verizon DBIR, атаки на веб-приложения стабильно входят в число ведущих…