IT

🔐 Что такое принцип минимальных привилегий — Least Privilege? При изучении Active Directory, Windows, Linux, облаков или AppSec очень быстро встречается принцип Least Privilege.

📌 Least Privilege — это подход, при котором пользователю, сервису или приложению выдаются только те права, которые действительно нужны для выполнения его задачи.

Не больше. Простой пример: Если сотруднику нужно только читать документы из общей папки, ему не нужны права: — удалять файлы; — менять разрешения; — создавать новых пользователей; — устанавливать программы; — быть локальным администратором. Ему достаточно права:

Read

🧠 Чем больше прав у учётной записи, тем больше ущерб в случае её компрометации.

Поэтому вместо:

Пользователь
    ↓
Administrator

лучше:

Пользователь
    ↓
Только необходимые права

💡 Представьте бухгалтера. Для работы ему нужны: — доступ к 1С; — доступ к общей папке бухгалтерии; — возможность печати документов. Но ему совершенно не обязательно: — быть Domain Admin; — иметь доступ ко всем серверам; — устанавливать любое ПО; — менять политики безопасности. Если его учётную запись взломают, злоумышленник получит только ограниченный набор возможностей. 💀 Почему Least Privilege важен в пентесте? Во время внутреннего пентеста часто обнаруживаются: — пользователи с лишними правами; — сотрудники в группе Local Administrators; — Service Account с административными правами; — аккаунты с доступом к серверам, которые им не нужны; — приложения, работающие от имени Domain Admin; — слишком широкие права на сетевые папки. Именно такие ошибки часто позволяют развивать атаку дальше. 📌 Типичная цепочка может выглядеть так:

Компрометация пользователя
        ↓
У пользователя лишние права
        ↓
Доступ к серверу
        ↓
Получение учётных данных
        ↓
Перемещение по сети
        ↓
Повышение привилегий

Если принцип Least Privilege соблюдается, такая цепочка становится значительно сложнее. 🛡 Где применяется Least Privilege? Принцип используется практически везде: — Active Directory; — Windows и Linux; — базы данных; — облачные платформы; — Kubernetes; — API; — CI/CD; — Service Account; — файловые серверы; — сетевое оборудование. 📌 Главная мысль

Пользователь, программа или сервис должны иметь ровно столько прав, сколько необходимо для выполнения своей задачи — и ни одним правом больше.

Чем меньше лишних привилегий в инфраструктуре, тем сложнее злоумышленнику развить первоначальный доступ в полноценную компрометацию сети. #infra #ad #windows #leastprivilege #privilege #security #base

n8n VS code Во 2 полугодии 2026 до сих пор обсуждают насколько нужен n8n , если уже есть готовые и продвинутые AI агенты, которые могут собирать готовые решения. Кто-то говорит что n8n не нужен. В этом 🎞 интервью подробно разобрана практическая сторона этого вопроса, потому что обсуждать можно бесконечно, а есть реальные задачи, под которые на практике подбираются свои инструменты. Ведь код тоже бывает разный. Шпаргалка когда что выбирать: Выбирай Код если: - у вас есть сервер чтобы его развернуть - вам базово неплохо бы понимать код - вам надо где-то хранить ключи (в gitHub не вариант) - не безопасно (нужны доп. библиотеки) - авторизацию и ролевую модель нужно отдельно делать - вероятность багов выше → нужно отлаживать (80% вашего времени и токенов) - возня с БД (и понимать какая для чего нужна) между кодом и n8n есть PaaS платформы типа Railway (у меня там 2 проекта крутится), в целом хорошее решение для чего-то более гибкого Выбирай n8n если: - нужно чтобы все было наглядно - все детерминировано - процесс последовательный (если есть откат — тебе нужен LangGraph / CrewAI) - решение можно воспроизвести 1:1 - можно быстро перенести/поделиться рабочим процессом - есть версионирование - встроенные простые evals в корпоративном секторе важна наблюдаемость (observability), безопасность, воспредводимость, масштабиримость.

Мини-гайд по оркестрации агентов У нас недавно в EDU появилось приложение, которое монтирует записи моих лекций и вебинаров для YouTube: находит и вырезает раскачку в начале, паузы, тишину, оговорки, замазывает то, что не должно попасть в кадр. Первую версию завайбкодил стажёр, а потом я ее переписал с командой агентов за выходные. Собственно, Никита попросил рассказать, как именно я это делал, потому что хочет научиться нормально работать с агентами. Я попросил дружбана разобрать логи всех сессий, чтобы вытащить оттуда метод. Если коротко, то вышло вот что: 1) Сначала карта, потом изменения. Первая команда всей переписки была не "почини", а "разбери код, собери CLAUDE.md и нарисуй схему в артефакте, чтобы я быстрее разобрался". А дальше допрос: зачем тут вот это, насколько оно критично, что сломается, если выкинуть 2) Свою догадку - в карантин. У меня было ощущение, что архитектура переусложнена, но просил я не согласиться со мной, а взвесить оба варианта, причем на другой модели. Больше всего мне самому понравился прием, который мы придумали с AI Natives в ходе какого-то зумбара: "сделай архитектурное ревью, НО это твое последнее слово, после него ты умрешь" 3) Не одним куском, а фазами, и между каждой - критик на другой модели, которому запрещено хвалить. В гите так и осталось: Phase 1 —> Phase 1 review fixes (Fable) —> Phase 2 —> и так далее; 4) Тест = запустить, а не посмотреть глазами на код. Приложение само предлагает, что вырезать, и оценивает, насколько оно в этом уверено; все, что выше 0.82, принималось автоматом. Прогнали на реальном двухчасовом вебинаре - а моделька, оказывается, ставит всем подряд одно и то же: 137 кусков из 141 ровно 0.85. То есть принималось вообще все, включая вступление и живой Q&A. По коду такое не увидишь 5) Мерить там, где оно крутится, а не на ноуте. В случае работы с видео это особенно важно 6) Каждый косяк - сразу в CLAUDE.md, это память команды на будущее. И коммит только после того, как проверили, а не после того, как собралось 7) В конце - взгляд сверху: что сделали, что не решено, где узкие места и что осталось до прода. Агент сам назвал главный оставшийся риск, и это стало следующей задачей Все это собрал в небольшой гайд —> вдруг, вам тоже будет полезно, хотя по мне там не какой-то rocket science напишите, если вам какой-то поинт из гайда пришелся в тему

Дайджест новостей за неделю 27 июля–2 августа 2026 Раз в неделю я выпускаю обзор самых интересных новостей финансов и технологий в России и мире (одновременно в формате текста, видео и подкаста) – достаточно потратить всего 15–30 минут, чтобы быть в курсе событий. Темы прошедшей недели: — Тема недели: Павел объявлен этим самым — Новости России: Суд решил, что нейронки – это несекьюрно — Новости финансов: ФРС искореняет инфляцию (но не так, как все хотели) — Лонгрид недели: Ашенбреннер потерял много денег — Новости AI: Модель Антропика тоже сбежала — Новости технологий: Трамп против роботов-пылесосов — Новости крипты: Холодные кошельки с биткоинами взломали — Хорошая новость недели Топовые посты прошлой недели из моего второго канала: 🐌 Интересная стата про открытие новых бизнесов в США и UK (точнее, про шансы их закрытия) 🐌 Дамодаран вангует про SpaceX 🐌 Буду с 4 по 11 августа в Астане, не теряйте #RationalNews #нетвойне текст | видео | подкаст

Почему выбрать денойзер сложнее, чем написать свой Шесть денойзеров против одного плёночного шума, один стенд на RTX 4060 Ti и месяцы, ушедшие на то, чтобы понять простую вещь. Однокнопочные решения оставляют грязь или цементируют картинку на сутки рендера, опенсорс плывёт между кадрами, а звёздный новичок на диффузии выдаёт 0,1 к/с и счёт до 150 долларов за семь минут видео. Лучший результат в списке дал ветеран, заслуживший при этом настоящую ненависть, и вовсе не за качество. Плагин с тремя десятками контролов требует 40-60 часов, чтобы научиться им пользоваться, вылетает от любого чиха посреди настройки профиля, а потом снова падает уже во время рендера. Ты выставляешь ползунки десять минут, он помирает вместе с редактором, ты начинаешь заново. И только в конце всплывает деталь, которая меняет отношение к нему целиком. Обсудим, какой денойзер брать под свой исходник и почему мучение с лидером оказалось почти случайным.