🌐 Что такое OWASP? Когда начинают изучать безопасность веб-приложений, практически сразу встречают название OWASP.

📌 OWASP — Open Worldwide Application Security Project. Это международное открытое сообщество, которое создаёт бесплатные материалы, инструменты и методики по безопасности приложений.

Проще говоря:

OWASP помогает разработчикам, пентестерам и компаниям находить, понимать и предотвращать уязвимости в приложениях.

🧠 Важно понимать OWASP — это не одна программа. Это также не конкретная уязвимость и не один обязательный стандарт. OWASP — это целая экосистема проектов по безопасности: — веб-приложений; — API; — мобильных приложений; — исходного кода; — процессов разработки; — облачной инфраструктуры. 🔥 Самый известный проект — OWASP Top 10 OWASP Top 10 — это список наиболее значимых категорий рисков безопасности веб-приложений. В него входят проблемы, связанные с: — нарушением контроля доступа; — ошибками аутентификации; — инъекциями; — криптографическими ошибками; — небезопасной конфигурацией; — уязвимыми компонентами; — недостаточным журналированием; — ошибками проектирования. 💡 OWASP Top 10 не является полным чек-листом пентеста. Это скорее отправная точка, которая помогает понять основные направления проверки. 💀 Почему OWASP важен пентестеру? OWASP помогает: — составить план тестирования; — не забыть важные направления проверки; — классифицировать найденные уязвимости; — подготовить структурированный отчёт; — объяснить риск заказчику; — использовать общепринятую терминологию. 📌 Упрощённо работа может выглядеть так:

Изучение приложения
        ↓
Использование OWASP WSTG как чек-листа
        ↓
Поиск уязвимостей
        ↓
Классификация рисков
        ↓
Подготовка отчёта
        ↓
Рекомендации по устранению

🛡 Почему OWASP важен разработчикам? OWASP нужен не только пентестерам. Разработчики используют материалы OWASP, чтобы: — безопасно работать с пользовательским вводом; — правильно реализовать аутентификацию; — защитить сессии; — ограничить доступ к данным; — безопасно хранить пароли; — не допускать типовых ошибок ещё на этапе разработки. Чем раньше безопасность учитывается в процессе создания продукта, тем дешевле исправлять проблемы. 🧠 Главная мысль OWASP — это не просто список веб-уязвимостей. Это большая открытая база знаний, которая помогает: — изучать безопасность приложений; — проводить пентесты; — выстраивать AppSec-процессы; — создавать более защищённые продукты. А OWASP Top 10 — лишь один из самых известных проектов внутри OWASP. #web #owasp #appsec #pentest #websecurity #base

Продолжаем курить закон о крипте (пока он лежит на подписи у Президента) Уже обсуждали, что формально в Законе нет запрета резидентам иметь внешние кошельки (НЕ администрируемые цифровыми депозитариями) При этом в законе есть интересная статья 30: «содействие» как резиновая норма если сделки проводятся указанные в ст 2 (см скрин) Запрещается содействовать резидентам в совершении сделок с цифровыми валютами в нарушение закона. В том числе: 1.     Информировать о способах таких сделок. 2.     Предоставлять возможность их совершения (включая софт). 3.     Совершать с резидентами сделки, в том числе через инструменты, которые зачисляют крипту на адреса, не администрируемые цифровыми депозитариями. Первое. Не определено, что такое «содействовать». Формально под это можно подвести почти что угодно: рекламу, консультацию, банковский платеж связанный с криптой, API, хостинг сайта, реферальную ссылку, техническую поддержку. Второе. Формулировка про «информирование» очень широкая. Обзор бирж, объяснение работы MetaMask, статья про P2P, упоминание DEX или DeFi - теоретически все это можно попытаться квалифицировать как информирование о способах нарушения. Третье. Фраза про «программное обеспечение» тоже скользкая. Один и тот же некастодиальный кошелек можно использовать и легально, и с нарушениями. Сам по себе софт не знает, кто им пользуется и с какой целью. Четвертое. Норма дает заметный экстерриториальный эффект. Российский гражданин живёт в Испании, регистрируется на европейской CASP-платформе. Для Европы это полностью легально. Для России платформа в теории «предоставила резиденту возможность» нарушить требования. Я думаю сознательно оставили максимально широкую формулировку «на всякий случай». Надо напомнить, что до 1 июля 2027 года (пока уголовная норма не вступит в силу): В основном будет действовать только административная ответственность по нормам, которые вводятся законопроектом № 1194944-8 (поправки в КоАП). Но и там для юридических лиц штрафы могут быть существенными (по имеющимся оценкам - сотни тысяч и до миллиона+ рублей). В общем думаю у нас на подходе после подписи Президента будет еще один комплексный гайд (и не один) Всем отличной рабочей пятницы! 🤝

📚 Продолжаем развивать модуль «WEB-БАЗА» В посте я спросил, какие темы стоит добавить или разобрать подробнее. И практически сразу в комментариях появилось предложение:

OWASP

Отличная тема 👍 OWASP постоянно встречается в вакансиях, отчётах по пентесту, обучающих материалах и требованиях к специалистам по безопасности веб-приложений. Но у новичков часто возникает путаница: — OWASP — это программа? — стандарт? — список уязвимостей? — методика тестирования? — или организация? Поэтому ниже попробуем разобрать: 🌐 что такое OWASP; 📋 какие проекты входят в OWASP; 🔥 что такое OWASP Top 10; 🧪 как OWASP помогает пентестеру; 🛡 зачем OWASP нужен разработчикам и специалистам AppSec. Спасибо подписчику за хорошее предложение. Именно благодаря вашим комментариям база знаний становится полезнее и ближе к реальным вопросам аудитории. Поехали разбираться 👇

Павла Дурова внесли в перечень террористов и экстремистов, миллиардера и владельца «Эфко» Валерия Кустова арестовали из-за дронов, у WB атаковали еще один склад, «Софтлайн» не будет делать IPO «Фабрики ПО» в этом году 🦄 Доброе утро, наши маленькие любители единорогов! 🙈 Росфинмониторинг внес основателя Telegram Павла Дурова в перечень террористов и экстремистов. Решения суда пока нет — ФСБ только предъявила Дурову обвинения. Но в этот список вносят до решения суда для того, чтобы, в частности, банки заморозили средства и приостановили обслуживание. Юристы говорят, что пользоваться Telegram, покупать звезды и премиум-статус можно. А вот ставить Дурову звезды под постами лучше не стоит. 🚁 Суд арестовал на два месяца миллиардера и основного акционера ГК «Эфко» Валерия Кустова, пишет VC. Как пишет РБК, вместе с ним были задержаны гендиректор «Эфко» Евгений Ляшенко. Дело касается бывшей «дочки» «Эфко» — «Транспорт будущего». Она разрабатывает грузовые дроны. Этот проект обвиняют в хищениях и растрате. По этому же делу задержали замначальника управления беспилотных систем и робототехники Минпромторга Алла Половченя. А в мае был арестован гендиректор «Транспорта будущего» и бывший советник губернатора Самарской области Юрий Козаренко. 🚒 У Wildberries из-за атаки дронов загорелся еще один склад — теперь в Волгограде, сообщила компания. Пострадавших нет. Тем временем Wildberries провела второй транш поддерживающих выплат пострадавшим продавцам. Пишут, что выплаты сделали более 97 000 предпринимателям — представителям малого и среднего бизнеса. Среди них и те, кто получал выплаты в первом транше — тогда сделали выплаты 88 000 предпринимателей. Правда, суммы выплат не раскрывают. 🤷‍♂️ «Софтлайн» не будет в этом году проводить IPO своей «дочки» «Фабрика ПО», пишет «Интерфакс» со ссылкой на гендиректор «Фабрики ПО» Максима Тадевосяна. Причина — неблагоприятная рыночная конъюнктура и геополитическая ситуация. В эту «Фабрику» объединили несколько компаний, разрабатывающих софт на базе AI. IPO должно было состояться в мае, но его экстренно отложили, потому что суд наложил обеспечительные меры на некоторые компании. Но это решение отменили через неделю. Правда, IPO уже решили переносить. Теперь «Софтлайн» через суд требует 5,4 млрд рублей с Агентства по страхованию вкладов и Роскомснаббанка. @TheEdinorogBlog — тот самый канал про стартапы🦄

5 типов личностей по ур. готовности к внедрению ИИ Анализ 5 ключевых аспектов, влияющих на готовность людей к интеграции искусственного интеллекта в рабочую среду. - AI enthusiasts (энтузиасты ИИ) - Мотивированы инновациями, эффективностью, конкурентным преимуществом - Активно хотят внедрять и использовать ИИ - Часто становятся внутренними драйверами (champions) - AI curious (любопытные к ИИ) - Интерес есть, но без слепой веры - Ждут доказательств, ответов на практические вопросы - Готовы пробовать, но в безопасной среде (sandbox) - AI cautious (осторожные) - Думают про риски: безопасность данных, этика, влияние на людей - Хотят контроль и участие человека (human-in-the-loop) - Не против ИИ, но только при строгих ограничениях - AI sceptics (скептики) - Не верят хайпу, требуют доказательств эффективности - Опираться будут на эмпирику (A/B тесты, сравнения) - Часто это рациональные и опытные специалисты - AI opposed (противники) - Сильное сопротивление из-за страхов (потеря работы, контроль, слежка) - Могут полностью отказываться использовать ИИ - Требуют работы с глубинными тревогами --- Интерпретация (для продукта/внедрения): - Это сегментация пользователей по readiness, а не по роли - Основной барьер — психология и доверие, а не технология - Внедрение ИИ = change management + behavioral design

🚀Быстроновости 🍿Экранизацию Elden Ring закончили снимать — фильм выйдет 3 марта 2028 года. Режиссёр — Алекс Гарленд («Падение империи», «Под огнем»). Бюджет — больше 100 миллионов долларов. Ждём. 🐺Английский актёр озвучки Геральта в The Witcher 3, Даг Кокл, подтвердил своё участие в записи реплик для дополнения «Баллады прошлого». Более того: он уже этим занят, что говорит: DLC почти готово. 🍪Deadlock получил крупное обновление с новыми режимами Ranked и Unranked. Так в игре полностью переработали ранговую систему. Продвижение теперь строится на системе очков: за победу и поражение начисляется или снимается около 250 очков. С повышением геймеру выпадает защита от мгновенного понижения, а на высшем ранге Eternus подранги пересчитываются автоматически в зависимости от общего рейтинга игроков. 😋Экспресс новость — на основе игры «Альтушка для скуфа» сделают аниме из 12 эпизодов по 10-12 минут каждый. 😎Подписаться на IGM

Почему мы отказались от Claude в пользу Hermes + Codex. Весной мы стали использовать RapidAPI LinkedIn Sales Navigator Scraper – через MCP Claude Code должен был сделать запрос к LinkedIn Sales Navigator и выгрузить данные поиска. Мы использовали обычный Claude Code, который работал из-под VS Code. Пару раз Claude Code собрал нужные нам данные, правда токены на $20 тарифе Клода закончились буквально за 10 минут и пришлось ждать 4 часа, пока они перезарядятся. Выждав это время, я пошёл скрапить Sales Navigator и это был первый раз, когда я столкнулся с ЦЕНЗУРОЙ от ИИ. Естественно Claude было по фигу, что за доступ к этому API мы заплатили $150. При просьбе собрать данные он просто сказал, что он отказывается пользоваться этим MCP и собирать при помощи него Sales Navigator данные потому, что это идёт ВРАЗРЕЗ С ПРАВИЛАМИ ИСПОЛЬЗОВАНИЯ LINKEDIN. Я был немного в шоке из-за 2 вещей: во-первых, как молниеносно улетают мои кредиты в Claude, а во-вторых, как можно заниматься лидгеном, если ИИ так жёстко цензурирует стандартные лидген-практики. Тогда я попросил ChatGPT написать код и собирал данные програмно через терминал. Неудобно, но зато код в терминале полностью лишён саморефлексии 😁 Потом с подачи друга я затестил Hermes на Codex и решил запустить мой скрапер – на удивление всё прекрасно сработало. Не было никакой цензуры, и я ни разу не упёрся в лимиты. С тех пор я перевёл почти все рабочих процессы на Hermes + Codex, а в Claude только делал какие-то локальные задачки. Но сегодня он меня окончательно выбесил. 😈 Я попросил Claude сделать описания для 2 LinkedIn профилей. Он у меня запросил: “Нужны ли тебе описания для 2 настоящих людей или для 2 вымышленных людей”. Я выбрал пункт 2. Claude сказал, что он не будет этим заниматься, т.к. опять же это противоречит правилам LinkedIn. После этого он попросил меня подтвердить, что всё-таки эти описания для живых людей. Я ему сказал, что мол да, давай пиши и он выдал: “Помня ваш предыдущий запрос по созданию описаний для несуществующих людей и ввиду того, что тот запрос шёл вразрез с условиями использования платформы, я прошу описать подробно бэкграунд людей, имена, роли и так далее”. Спасибо, что паспорт не попросил для верификации и головой помотать! Надо ли говорить, что Hermes на Codex подготовил отличные описания с первого же промпта. #li_content

Бедность убивает И дело не только в качестве пищи, доступе к хорошей медицине и часто сопутствующим бедности вредным привычкам вроде курения всякого дерьма и листания тик-тока. Тут, оказывается, есть научные факты, и они все удивительно прицельно бьют в одну точку: быть бедным действительно вредно для здоровья, на уровне мозга. 1. Воспаления от потери статуса Snyder-Mackler и коллеги провели исследование на макаках: учёные пересаживали самок макак в новые группы, где менялся их ранг в иерархии, и отслеживали изменения в иммунной системе. В результате изменения в социальном статусе сопровождались изменениями в соотношении разных типов иммунных клеток, и при понижении ранга у макак начиналось хроническое воспаление. Это связано с тем, что мозг не разделяет физическую рану и социальную угрозу, воспринимает потерю статуса как нападение хищника и включает единую древнюю программу защиты. Самый сильный эффект имеет резкая, а не постепенная потеря статуса. Из простых примеров — потеря работы. Есть и хорошие новости: эффект обратим, достаточно лишь вернуть статус. 2. Когнитивный налог на бедность Постоянная нехватка ресурса (денег, времени) заставляет мозг фокусироваться на текущей проблеме — это называют туннельным зрением. Такой фокус отнимает существенную часть пропускной способности ума. Как следствие, ресурсов на планирование, обучение, принятие взвешенных решений начинает не хватать. Результат — бедность приводит к недальновидным решениям, которые не позволяют выбраться из бедности. 3. Удар по интеллекту Постоянные проблемы с деньгами могут ускорять старение мозга. Поэтому поговорка "лучше быть богатым и здоровым, чем бедным и больным" теперь больше звучит как научный факт, а не ирония. В Великобритании десятилетями наблюдали за ~3000 испытуемых 1946 года рождения. У тех, кто годами испытывал финансовые сложности, когнитивные возможности оказались ниже. Так что да, долгосрочная тревога о финансах делает нас глупее. Давайте в выходные примем наконец решение быть богатыми, чтобы как можно дольше оставаться умными! А мне важно ваше мнение: ❤️ — зашло 👀 — пришлось напрячься

RTP Global вновь инвестировал в швейцарский стартап Ahead Health. Фонд Леонида Богуславского и 3VC возглавили раунд на $10 млн. Ahead Health был создан в 2024 году. Стартап разработал платформу для ранней диагностики заболеваний. Она позволяет заказать комплексные профилактические осмотры с предоставлением услуг МРТ всего тела, компьютерной томографии и расширенной диагностики крови. Платформа Ahead Health преобразует сложные медицинские данные в персонализированные, понятные рекомендации. Полный процесс обследования, проводимый компанией, занимает порядка 30 минут, после чего пользователи получают личный план здоровья. По собственным данным Ahead Health, около четверти пользователей сервиса смогли выявить у себя ранее неизвестные медицинские проблемы. В начале этого года RTP Global инвестировал в Ahead Health. Фонд Леонида Богуславского возглавил раунд на $6 млн при участии Tiny․VC, Pareto 20 и нескольких бизнес-ангелов. Привлеченные средства будут направлены на масштабирование бизнеса в Европе. RTP Global [до 2018 года ru-Net] был создан в 2000 году. Инвестирует компании ранних стадий. Фокус фонда - ИИ, e-commerce, финтех, фудтех, транспорт. @rusven

Вчера я выступал на конференции, о чем будет долгий и обстоятельный пост, а пока - о советах по подготовке к выступлению и их последствиям) Итак, начинать выступления нужно с шутки. Расслабить, расположить к себе аудиторию. Ну что ж – вот глава британской ювелирной империи Ratners Group Джеральд Ратнер и начал с шутки. Последовал этому совету на грандиозном форуме Института директоров в Альберт-холле. Перед ним сидели 6000 топ-менеджеров, элита управления и нынешний король, а тогда принц Чарльз. Ратнер владел сетью ювелирных дискаунтеров, что-то типа нашего Sunlight. И вот представьте себе генерального директора условного Sunlight, который заявляет – да, наши золотые сережки крайне, баснословно дёшевы. И я вам расскажу почему. Потому что они – полное дерьмо!». Мол, дешевле сэндвича с креветками, но вряд ли прослужат дольше. Ратнер рассчитывал рассмешить зал, а затем красиво вырулить на тему оптимизации логистики. Собственно говоря, так и получилось. Выступление было ярким, публике понравилось. Проблема в другом - он забыл, как СМИ привлекают внимание публики. Как думаете, с какими заголовками газеты вышли на следующий день? Да-да, в стиле: «Глава Ratners признал: дешевая дрянь - вот секрет нашего успеха!». Вторая, умная часть выступления была отрезана, публике показали только сочный факт. А рынок акций - субстанция нервная, как барышня на первом балу. Капитализация компании упала на 97%, продажи встали, а самого Ратнера уволили. Ювелирка - это товар с психологической нагрузкой. Его покупают не из-за физической полезности, а для демонстрации статуса или глубины чувств. Повесив ярлык "дерьмо", ценность подарка обнуляется. Вообще, юмор индивидуален, поэтому использование его в рекламе - крайне опасная штука. Можно покидать смешную рекламу в комменты и убедиться, что она вызовет полярные мнения. | MAX | подкаст | | Личная жизнь и мысли - Молчанов.Life |

Рынки сегодня 🔶 Логистический комплекс Озон в Зеленодольске (Татарстан) не пострадал, объект возобновил работу после эвакуации. С утра на рынке появились слухи об атаке БПЛА на склад компании. 🔶 The Guardian пишет, что РФ впервые нанесла удар по американской компании на Украине — это завод по производству беспилотников в Киеве, он принадлежит компании Terminal Autonomy из США. 🔶 Дональд Трамп заявил, что не уверен, выдадут ли Штаты Украине лицензию на производство ракет-перехватчиков для систем Patriot. 🔶 Число переданных в лизинг транспортных средств во 2 квартале составило почти 71 тыс. (+6%). Такой результат обеспечили выдачи подержанной техники, которая прибавила 30%, в то время новой продолжили сокращаться, потеряв 4%. 🔶 ЦБ с 1 июля 2029 года введет более строгие правила резервирования по кредитам для бизнеса, чья долговая нагрузка превышает ₽50 млрд, если такие заемщики не предоставляют годовую отчетность по МСФО. 🔶 Хедж-фонд бывшего сотрудника OpenAI Леопольда Ашенбреннера полностью распродал портфель публичных акций после крупных убытков на фоне обвала ИИ-сектора. Среди крупнейших позиций фонда были акции Nebius Аркадия Воложа, а также Sandisk, Micron и CoreWeave. Все они за месяц потеряли более 30%. 🔶 Брокеры рекомендуют клиентам быть более консервативными в инвестициях. Стратегии уже пересмотрели Т-Инвестиции, БКС, Цифра брокер, пишут Ведомости. 📍 Подписаться на канал | Мы в MAX

Запрещенные слова — Что думаете о стратегии? — Половина — лабуда, — сказал на совете директоров корпорации Двадцать лет ловлю косые взгляды за живой язык. «Хрень», «фигово», «чуваки», «чертяки» — словечки, которые есть в моей речи. Зато там нет — «инноваций», «оптимизаций», «систем», «хороших/плохих/качественных». А еще нет фразы «на самом деле» — которая бесит до чертиков. Сейчас развелось разговоров о языке бренда — консультанты и директора по маркетингу строчат многостраничные эссе, как он должен звучать. Пишут архетипы и мудборды. А в одном брифе даже видел вопрос «ваш бренд — Герой или Любовник?». Аааааа, бл#@ь. Достал 17 внутренних гайдов миллиардных компаний — от Mailchimp до Duolingo. Везде список запрещенных слов прописан подробнее, чем все остальное. В Mailchimp под запретом «wizzard», «rockstar», «ninja». Хз, почему?! У разработчика бухгалтерского софта Intuit за слово «просто» можно получить лещей. Для тебя просто — для клиента ад. В банке Monzo нельзя писать «приносим извинения» — достаточно сказать «извините» или «простите нас». Но чем мельче стартап, тем пафоснее он звучит. «Наша компания предоставляет комплексное решение...», — говорит команда из трех человек, пишущих софт по ночам в общаге МФТИ. Нафига, а главное зачеем? Чем ты меньше, тем больше у тебя возможностей иметь язык, который отличается от других. Ты можешь написать на главной странице «Эксель — говно», а корпорация — нет. Там PR-отдел в больничку увезут и положат рядом с юридическим. Но речь даже не о том, как говорить. А о том — чего не говорить. Именно с этого начинается голос бренда — вычеркнуть все слова, что набили оскомину в отрасли. Такой слышно.

У мозга свой возраст, и он не совпадает с паспортным Прогоните МРТ-снимок через обученную модель — она назовёт возраст мозга. Иногда он совпадает с реальным, иногда мозг выглядит старше или моложе хозяина. Эту разницу называют PAD, predictive age difference. Положительный PAD означает, что мозг постарел быстрее человека. Учёные решили выяснить, какие болезни оставляют след на этих часах. Масштаб исследования серьёзный: структурная МРТ 45 900 здоровых участников из нескольких баз нейровизуализации. С ними сравнили 2698 человек с СДВГ, расстройством аутистического спектра, алкогольной или табачной зависимостью, болезнью Альцгеймера, лёгкими когнитивными нарушениями, шизофренией, биполярным расстройством или большим депрессивным расстройством. Сильнее всего разрыв оказался при болезни Альцгеймера и лёгких когнитивных нарушениях. Зависимости и психиатрические диагнозы вроде шизофрении тоже связаны с «постаревшим» мозгом. А вот у людей с СДВГ и аутизмом отличий от контрольной группы не нашли вообще. Самое любопытное — каждое состояние оставляет свой рисунок. Префронтальная кора стареет ускоренно почти при всех расстройствах, это общий знаменатель. Психиатрические диагнозы бьют по лобным и височным долям. Деменция — по лобной и затылочной коре. А зависимость идёт совсем другим маршрутом: сеть пассивного режима работы мозга и салиентная сеть плюс скорлупа и таламус. Нашлись и специфичные для каждого состояния различия в активности генов. Важная оговорка: это связи, а не причины. Из данных не следует, что болезнь состарила мозг или что постаревший мозг вызвал болезнь. Картину дополнительно путает коморбидность — психиатрические расстройства и зависимости часто идут в паре. Разные расстройства оставляют разные подписи на часах старения мозга, и это может помочь понять, какие биологические пути за ними стоят. А со временем — собрать из PAD полноценный биомаркер. @vselennayaplus