История безопасности

Первый крупномасштабный интернет-червь — он поразил множество машин и подтолкнул к созданию CERT. Он показал миру, что запущенный код распространяется.

Уязвимость, при которой ввод перехватывает запрос к базе данных, получает широкую известность — до сих пор риск высшего уровня. Защита: параметризованные запросы.

Начинается присвоение общего идентификатора каждой уязвимости — чтобы весь мир мог называть одну и ту же брешь одинаково.

XSS-червь, за день охвативший около 1 млн профилей — наглядный урок о том, почему вывод нужно экранировать.

Уязвимость в OpenSSL, способная выдать закрытые ключи и сессии из памяти сервера — символ рисков зависимостей.

Уязвимость в Bash, допускавшая удалённое выполнение кода — брешь в повсеместно используемом компоненте имеет огромный охват.

Появляется устойчивый к фишингу стандарт второго фактора — путь, ведущий к passkeys.

Бесплатные автоматические TLS-сертификаты — переломный момент, сделавший HTTPS нормой, а не роскошью.

Захватил IoT-устройства со стандартными паролями в огромный DDoS — опасность стандартных и слабых учётных данных.

Ущерб от программ-вымогателей по всему миру — необновлённые системы вместе с быстрым распространением способны остановить целые организации.

Около 147 млн записей потеряно из-за неисправленной уязвимости Apache Struts — худшая цена игнорирования CVE в зависимости.

SSRF вместе с ошибкой облачной конфигурации раскрыл более 100 млн записей — типичная ошибка проектирования облачной эпохи.

Атака на цепочку поставок, спрятанная внутри легитимного обновления ПО — само доверенное русло распространения превращено в оружие.

Подмена CI-инструмента привела к утечке множества секретов — распространяя понимание, что конвейер сборки тоже мишень.

Уязвимость в Log4j, при которой простое логирование строки могло выполнить код — суровый урок о необходимости быстро обновлять зависимости.

Устойчивая к фишингу замена паролей появляется в основных ОС и браузерах.

Массовая эксплуатация уязвимости продукта для передачи файлов — брешь в одном компоненте каскадом задела тысячи организаций.

Бэкдор едва не проник в повсеместно используемую библиотеку сжатия — его перехватили в последний момент; атаки на цепочку поставок становятся всё изощрённее.

Генеративный ИИ ускоряет и атаку, и защиту — с новыми ловушками, такими как утечка ключей и внедрение в промпт.