IT

⚠️ Вайбкодеры! Общий сбор! Если вы заметили подозрительное поведение близкого вам человека, которое проявляется в непрерывном создании "лопат" для создания софта и игр, то срочно бейте тревогу. Попробуйте провести воспитательную работу с человеком, чтобы перевести фокус его внимания на создание конечных продуктов и пайплайнов. Вайбкодинг вайбкодингом, а важно понимать, что в первую очередь теперь можно делать "старые" продукты по-новому и лопаты у каждого свои. Говорю, как человек, который прошел это на своем опыте. Я понимаю, о чем говорю. Если человек рядом с вами сжигает подписку клод кода $200 за 2 дня, то это НЕ здорово. Это первый звоночек.

День системного администратора в 2026 году отмечается 31 июля. Этот профессиональный праздник всегда выпадает на последнюю пятницу июля. Праздник придумал американский системный администратор Тед Кекатос в 2000 году. На идею его натолкнула журнальная реклама Hewlett-Packard, где благодарные пользователи дарили сисадмину корзины с фруктами и цветами за установку новых принтеров. Кекатос как раз перед этим настроил целую сеть аналогичных принтеров и посчитал, что его труд тоже заслуживает признания. Первый День сисадмина прошел 28 июля 2000 года на окраине Чикаго. Это был простой пикник на природе, в котором приняли участие сотрудники небольшой софтверной компании. Однако благодаря интернету идея моментально разлетелась по всему миру. На фото — памятник клавиатуре в Екатеринбурге. Там, бывало, и собирались ссадины...

Периодически на проектах возникает необходимость определить геолокацию пользователя по его IP. Например, узнать его страну, чтобы сменить линейку тарифов или учесть законодательство. Раньше мы пользовались базами MaxMind GeoIP. Их можно было выгрузить в виде MMDB-файлов, это такой формат, поддерживающий бинарный поиск по диапазонам IP. У них есть Lite версия, ее вполне хватало. Но сейчас, вижу, для использования нужна регистрация, а еще лучше - много денег в кассу. Еще один вариант - DB-IP, у них тоже есть Lite-версия. Причем базы можно скачать. Правда, лицензия там - Creative Commons Attribution, для использования в веб-приложениях нужно будет разместить ссылку на их сайт. Есть IP2Location, но там сразу цены конские. Можно работать с сервисами через API. Есть, скажем, IPinfo, онлайн, с бесплатным тарифом и рядом ограничений. Или вот IP-API. Отдают немало инфы. Но есть лимит в 45 запросов в минуту. И, понятно, в наше время нет гарантий трансграничной доступности сервиса. Ну а бесплатно можно скачать MMDB с вот этого сайта. Пишут, что не надо лицензий и ключей. Детализация только до уровня страны, город уже не найти. Но для многих случаев этого достаточно. Если используете что-то подобное, поделитесь. #tools

⚡️ Запускаем новый сезон подкаста «Безопасно говоря»!

«Безопасно говоря» — подкаст для ИБ-практиков, где обсуждаем реальные кейсы, самые эффективные решения и внутреннюю кухню ИБ-продуктов. Все выпуски на YouTube ⏩

🖇 В первом выпуске седьмого сезона говорим о том, как меняется SIEM в эпоху AI, и почему это — не «волшебная коробка». ✨ Гости выпуска: Ринат Сагиров, директор Центра мониторинга и реагирования Инфосистемы Джет Сергей Бнятов, руководитель SOC ecom.tech ✨ Ведущие: Алексей Миртов, руководитель группы продуктовой архитектуры Security & Compliance, Yandex Cloud Мария Кириллова, менеджер продуктов безопасности Yandex Cloud Включайте с начала или забирайте таймкоды, если так удобнее: 01:36 Приветствие и представление гостей — их путь в информационную безопасность 03:39 Что такое SIEM простыми словами «как для бабушки» 05:10 Почему SIEM — это не волшебная коробка 06:56 Всем ли компаниям нужен SIEM? 11:15 Как понять, что действительно нужно бизнесу от ИБ 13:50 Каким должен быть современный SIEM 16:50 Простота, стабильность и масштабируемость 19:47 Почему рынку нужен не более сложный, а более удобный продукт 21:06 Исследование российского рынка SIEM 25:02 Как ИИ уже используют специалисты SOC 28:24 Как ИИ усиливает атакующих 29:37 Почему ИИ не заменит аналитиков SOC 31:58 Практические кейсы использования ИИ внутри SOC 35:54 Общий язык и открытые сообщества вместо собственных стандартов 39:07 Нужен ли EDR и как он помогает реагировать быстрее 42:39 Всё зависит от целей и того, как выстроены процессы 47:31 Как выбрать SIEM и SOC, главные выводы ⏩ YouTube ⏩ VK Видео ⏩ Яндекс Музыка и другие подкаст-платформы Обо всех новых эпизодах будем и дальше рассказывать в @yndxcloudsecurity

Английский вместо кода COBOL придумали, чтобы менеджеры сами читали и писали код. Менеджеры так и не начали, а COBOL-разработчик кормится до сих пор. SQL назвали Structured English, чтобы нетехнический человек задавал вопросы почти по-английски, и теперь этот человек при виде LEFT JOIN с оконной функцией идёт искать технического. 4GL обещали «программирование без программистов» и породили дорогих архитекторов на SAP и Oracle. Каждые 10-15 лет индустрия объявляет, что код руками больше не понадобится, и каждый раз программистов становится не меньше, а больше, просто называются они иначе. Автор ставит вайбкодинг ровно в этот ряд. LLM правда качественно отличается от всех предыдущих попыток, впервые инструмент работает с произвольным языком, но упирается он в то же самое, что и COBOL шестьдесят лет назад. Разберём, во что именно упирается и почему это про природу задачи, а не про инструмент.

Вот человек собрал индустриальный нодовый инструмент для генерации лендскейпа для 3D. Сказать, что сейчас индустрии не хватает уже существующего софта будет не правдой, есть минимум 3 инструмента для решения подобных задач. Но что с агентами может остановить людей от создания того что уже есть? Правильно ничего, и люди будут создавать простые инструменты, сложные инструменты. Но смогут ли софтверные компании остаться теми же и работать по тем же принципам? У них буквально появляются миллионы конкурентов по всему миру. Дак какой должна быть софтверная компания, должна ли она быть в целом? Как изменится софт, когда можно будет просто не создавать очередное приложение, а нужный инструментарий будет создаваться и крутиться в памяти агента просто тогда когда вам нужно решить определенную задачу, просто на время сессии, а потом исчезать. Инструмент будет лежать на Git в опенсорсе, а значит попадет в следующую версию моделей, и уже не нужно будет проектировать что-то подобное. @CGIT_Vines

🌐 Что такое OWASP? Когда начинают изучать безопасность веб-приложений, практически сразу встречают название OWASP.

📌 OWASP — Open Worldwide Application Security Project. Это международное открытое сообщество, которое создаёт бесплатные материалы, инструменты и методики по безопасности приложений.

Проще говоря:

OWASP помогает разработчикам, пентестерам и компаниям находить, понимать и предотвращать уязвимости в приложениях.

🧠 Важно понимать OWASP — это не одна программа. Это также не конкретная уязвимость и не один обязательный стандарт. OWASP — это целая экосистема проектов по безопасности: — веб-приложений; — API; — мобильных приложений; — исходного кода; — процессов разработки; — облачной инфраструктуры. 🔥 Самый известный проект — OWASP Top 10 OWASP Top 10 — это список наиболее значимых категорий рисков безопасности веб-приложений. В него входят проблемы, связанные с: — нарушением контроля доступа; — ошибками аутентификации; — инъекциями; — криптографическими ошибками; — небезопасной конфигурацией; — уязвимыми компонентами; — недостаточным журналированием; — ошибками проектирования. 💡 OWASP Top 10 не является полным чек-листом пентеста. Это скорее отправная точка, которая помогает понять основные направления проверки. 💀 Почему OWASP важен пентестеру? OWASP помогает: — составить план тестирования; — не забыть важные направления проверки; — классифицировать найденные уязвимости; — подготовить структурированный отчёт; — объяснить риск заказчику; — использовать общепринятую терминологию. 📌 Упрощённо работа может выглядеть так:

Изучение приложения
        ↓
Использование OWASP WSTG как чек-листа
        ↓
Поиск уязвимостей
        ↓
Классификация рисков
        ↓
Подготовка отчёта
        ↓
Рекомендации по устранению

🛡 Почему OWASP важен разработчикам? OWASP нужен не только пентестерам. Разработчики используют материалы OWASP, чтобы: — безопасно работать с пользовательским вводом; — правильно реализовать аутентификацию; — защитить сессии; — ограничить доступ к данным; — безопасно хранить пароли; — не допускать типовых ошибок ещё на этапе разработки. Чем раньше безопасность учитывается в процессе создания продукта, тем дешевле исправлять проблемы. 🧠 Главная мысль OWASP — это не просто список веб-уязвимостей. Это большая открытая база знаний, которая помогает: — изучать безопасность приложений; — проводить пентесты; — выстраивать AppSec-процессы; — создавать более защищённые продукты. А OWASP Top 10 — лишь один из самых известных проектов внутри OWASP. #web #owasp #appsec #pentest #websecurity #base

📚 Продолжаем развивать модуль «WEB-БАЗА» В посте я спросил, какие темы стоит добавить или разобрать подробнее. И практически сразу в комментариях появилось предложение:

OWASP

Отличная тема 👍 OWASP постоянно встречается в вакансиях, отчётах по пентесту, обучающих материалах и требованиях к специалистам по безопасности веб-приложений. Но у новичков часто возникает путаница: — OWASP — это программа? — стандарт? — список уязвимостей? — методика тестирования? — или организация? Поэтому ниже попробуем разобрать: 🌐 что такое OWASP; 📋 какие проекты входят в OWASP; 🔥 что такое OWASP Top 10; 🧪 как OWASP помогает пентестеру; 🛡 зачем OWASP нужен разработчикам и специалистам AppSec. Спасибо подписчику за хорошее предложение. Именно благодаря вашим комментариям база знаний становится полезнее и ближе к реальным вопросам аудитории. Поехали разбираться 👇

Павла Дурова внесли в перечень террористов и экстремистов, миллиардера и владельца «Эфко» Валерия Кустова арестовали из-за дронов, у WB атаковали еще один склад, «Софтлайн» не будет делать IPO «Фабрики ПО» в этом году 🦄 Доброе утро, наши маленькие любители единорогов! 🙈 Росфинмониторинг внес основателя Telegram Павла Дурова в перечень террористов и экстремистов. Решения суда пока нет — ФСБ только предъявила Дурову обвинения. Но в этот список вносят до решения суда для того, чтобы, в частности, банки заморозили средства и приостановили обслуживание. Юристы говорят, что пользоваться Telegram, покупать звезды и премиум-статус можно. А вот ставить Дурову звезды под постами лучше не стоит. 🚁 Суд арестовал на два месяца миллиардера и основного акционера ГК «Эфко» Валерия Кустова, пишет VC. Как пишет РБК, вместе с ним были задержаны гендиректор «Эфко» Евгений Ляшенко. Дело касается бывшей «дочки» «Эфко» — «Транспорт будущего». Она разрабатывает грузовые дроны. Этот проект обвиняют в хищениях и растрате. По этому же делу задержали замначальника управления беспилотных систем и робототехники Минпромторга Алла Половченя. А в мае был арестован гендиректор «Транспорта будущего» и бывший советник губернатора Самарской области Юрий Козаренко. 🚒 У Wildberries из-за атаки дронов загорелся еще один склад — теперь в Волгограде, сообщила компания. Пострадавших нет. Тем временем Wildberries провела второй транш поддерживающих выплат пострадавшим продавцам. Пишут, что выплаты сделали более 97 000 предпринимателям — представителям малого и среднего бизнеса. Среди них и те, кто получал выплаты в первом транше — тогда сделали выплаты 88 000 предпринимателей. Правда, суммы выплат не раскрывают. 🤷‍♂️ «Софтлайн» не будет в этом году проводить IPO своей «дочки» «Фабрика ПО», пишет «Интерфакс» со ссылкой на гендиректор «Фабрики ПО» Максима Тадевосяна. Причина — неблагоприятная рыночная конъюнктура и геополитическая ситуация. В эту «Фабрику» объединили несколько компаний, разрабатывающих софт на базе AI. IPO должно было состояться в мае, но его экстренно отложили, потому что суд наложил обеспечительные меры на некоторые компании. Но это решение отменили через неделю. Правда, IPO уже решили переносить. Теперь «Софтлайн» через суд требует 5,4 млрд рублей с Агентства по страхованию вкладов и Роскомснаббанка. @TheEdinorogBlog — тот самый канал про стартапы🦄

Агентам не нужен TDD Дядя Боб говорит, что TDD вообще-то для людей и агентам совсем не обязателен, ведь у агента дела с краткосрочной памятью обстоят куда лучше, чем у людей. А что нужно агентам? Юнит тест, CRAP метрика и мутационное тестирование... Кто-то считает CRAP и делает мутационные тесты? Если первое ещё иногда интересно, то второе довольно спорная техника - если практикуете расскажите. А по поводу TDD (его щас прям любят вайб кодеры тиражировать), то давно понятно, что классический TDD цикл (красный тест > код > зелёный тест > рефакторинг, причем мелкими итерациями) с агентами больше похож на прожигание токенов, чем на что-то полезное. Смысл имеет скорее разнообразные тест кейсы перед реализацией продумывать с агентом (включая интересные техники типа pairwise testing), сохранить их в маркдаун или (по BDD или нет - не принципиально). Ну и, конечно, одних лишь юнитов недостаточно совсем, они в принципе часто мало чего хорошего дадут проверить просто by design - идеально использовать умную связку из разных видов тестов - по пирамиде тестирования или лучше даже по трофею (статические проверки), ну или на худой конец хотя бы e2e или browser use/computer use. А когда вайб кодеры говорят про важность TDD часто просто имеют в виду, что нужно тестировать и верифицировать результат - что, конечно, бесспорно. Но Кент Бэк TDD это же не про это, это именно про красный тест > код > зелёный тест. Вот так начинают путаться классические термины с этими нашими вайб кодингами... В общем, если вы ещё используете TDD с агентами - скорее всего, он вам им не нужен. @ai_driven