Anti-Overreach Sentiment Targets 'Security Theater' in Physical and Digital Infrastructure

Поганые вещи в инфобезе Расскажу что мне не нравится в безопасности, технологии,практики, тд.... 1. Оверограничение - ДАВАЙТЕ ЗАБАНИМ ВСЕХ КТО НЕ ИЗ РОССИИ! Да, отлично, я лучше уйду с сервиса который не работает через VPN. Или давайте заблочим USB порты в организации. Зачем? АаАа Может вдруг туда вирусы попадут, лучше через файлообменник качайте - еще и тупизм. Безопасник не должен мешать людям необоснованно 2. Secureboot (если брать типичный пк) - отличный способ защититься от атакующего который вместо того чтобы украсть ваши данные или эскалиоваться до админки и угнать вообще все с девайса (ну или поставить типичную rat-ку) будет сидеть и ковыряться в загрузчике. в 95% случаев эту хрень выключит незадачливый сис админ, или никак не поможет при реальном взломе. Или физичекая защита против тех кто не может вытащить батарейку bios... мда... и вообще от чего оно в этом случае защищает то блять 3. TPM - полу полу. Удобно его использовать, но в половине случаев это дырявое нечто сделаное на коленки китайскими детьми. Вот так ваш неубиваемый luks с нормальным паролем (argon2id включаем, не глупим!) преаращается в херню которая вполне реально ломается в лабах или вообще микрокомпом (чекните взлом bitlocker недавний по перехвату шины). Если вы дошли до момента где вы знаете что это и думаете использовать его или нет, вероятно он вам не нужен для bulletproof системы и только создаст вам геморой. 4. Защита от пользователя - Эй, пройди через металоискатель, сканер rfid, сканер ануса... Бля у вас в охране 3 бабки и дыра в заборе, если я захочу что то спиздить или вломиться, мне понадобиться 3 минутки и мой любимый ножик. зачем мучать толпы сотрудников этим говном? Или еще какое то тупое указание "НИЧЕГО ТНЕ КАЧАЙТЕ С ИНТЕРЕНТОВ" причем тех ограничений нету... создаем гору неудобства и тупизма при работе с доками,а атакующему преград посути нет, кединственная приграда 2.5 сотрудника которые эту херню будут соблюдать. 5.Банальное У громадных компаний часто стоит XP, софт написанный 30 лет назад и у них еще завалялся в штабе безопасник.... как? Я даже начинать не буду про то как надо защищаться от уязвимостей. Даже пароли никто не меняет и защищать не пытается, даже инструктажа нету, и сегментации доступа. Да, CEO с паролем 880005 должен иметь доступ всюду всюду, даже туда куда он никогда не заглянет. 6. Вера в некриворукость. тут opsec, включи комп -> включи vpn -> иди на мутный сайт прекрасно работает пока 2 пункт не забывается в суматохе жизни. буквально большая часть историй с пативеном #opsec #it #infosec

пост про настройки мыла. про SPF и SRS. чтобы самой потом не забыть и вдруг кому-то ещё пригодится. суть проблемы: есть публичный редирект сервер (vanity email forwarding) мыла. хочется отправлять мыло со своего сервера с полем From с этим адресом. проблема: на стороне получателя ломается проверка SPF, потому что домен в поле From не соответствует айпишнику сервера, с которого реально приходит мыло. прописать адрес твоего сервера в SPF записи сервера провайдера редиректа невозможно, естессна. некоторые серверы плюют на эту проблему, если DKIM в порядке, но пишут softfail для SPF, но некоторые серверы отшивают мыло, как спам. оказывается, есть средство для обхода этой проблемы - хэдер Sender Rewrite Scheme (SRS). тут есть длинное и подробное пояснение: upwock.com/fixing-spf-issues-w… и таки можно запустить небольшой демон для обработки SRS, который будет обрабатывать хэдеры при отправке и получении. я взяла демон отсюда: github.com/roehling/postsrsd и сделала для него пакет для Void Linux: git.ironbug.org/void-linux-pck… и далее можно прописать в postfix настройки canonical_maps, как указано в README для этого демона, и всё прекрасно работает, хэдеры дополняются. и вуаля - проверка SPF - passed для мыла с редиректом в поле From, отправленного с моего сервера. #email #SPF #SRS #postfix #postsrsd #server #voidlinux #lang ru

Выкидывайте ваши #WiFi, #LoRa и прочие примитивные погремушки неандертальцев: 「Команда исследователей из Австралии разработала технологию невидимой передачи данных, замаскированных под фоновое тепловое излучение. Используя явление «отрицательной люминесценции», им удалось передавать 100 килобит/сек так, что перехват стал практически невозможен — нет самого сигнала, который можно было бы зафиксировать」 hightech.plus/2026/03/13/otricatelnii-svet-pomozhet-peredavat-sekretnie-teplovie-soobsheniya

#politics Не все могут переехать: это обоснованное и самое серьезное возражение. "Голосование ногами" даёт преимущество тем, кто переезжает. Но конкурентное давление выгодно даже тем, кто остаётся, потому что у правительства, теряющего переезжающих жителей в пользу более управляемых соседей, появляется немедленный стимул к улучшению ситуации. Для того чтобы эта динамика работала, вам не обязательно уезжать. Вам просто нужно иметь возможность уехать. Глобальные проблемы требуют глобальных решений: пандемии, изменение климата, распространение ядерного оружия. Координация по конкретным, чётко определённым проблемам в рамках добровольных договорных структур — это не то же самое, что постоянное наднациональное правительство с законодательной властью и без демократической подотчётности. Нам удалось скоординировать действия по ядерному нераспространению без создания мирового правительства. Этот аргумент вполне доступен для осознания.

#politics Человеческий масштаб. Именно этого не хватает каждому уровню современного управления, выше местного. Когда городской советник, одобривший неудачное решение по зонированию, — это человек, которого вы узнаете на рынке, что-то меняется. Не потому, что все будут его очернять и пороть (хотя такой вариант проясняет ситуацию). А потому, что социальная ответственность — это самый старый и наиболее эффективный механизм принуждения, который у нас есть. Она существовала до судов, до выборов, до государств. Вы живете в сообществе. Вы сталкиваетесь с людьми, на которых повлиял ваш выбор. Это – обратная связь, сжатая в институциональную дистанцию, — это именно то, что разрушает наднациональное управление. Никто в Брюсселе не сталкивается с каким-либо сообществом. Никто в МВФ не покупает продукты в том же супермаркете, что и греки, которым они консультировали в 2010 году.

Workflow-агенты в бизнес-процессах Привет, Хабр! Это Илья Петухов, руководитель проектов развития ИИ-решений в Directum. В первой части статьи мы разобрались, чем отличаются ИИ-агенты от чат-ботов и ассистентов, а еще выяснили, по каким причинам компании пока не готовы массово внедрять агентов. Сегодня речь пойдет о решении, которое здесь и сейчас cможет дать бизнесу результат с понятным ROI и предсказуемым уровнем надежности. habr.com/ru/companies/directum/articles/1024256/ #Искусственный_интеллект #искусственный_интеллект_в_бизнесе #ai #aiагенты #ииагенты #ии_помощник #ииагенты_в_бизнесе

Загрузка конфигурации из settings.toml в Python: чтение, проверка структуры и преобразование в объекты Pydantic В прикладной разработке параметры программы обычно не размещают непосредственно в исходном коде. Токены, адреса серверов, номера портов, режимы запуска, имена пользователей, пароли и иные значения конфигурационного характера выносятся во внешний файл настроек. Такой способ организации данных позволяет отделить служебные параметры от программной логики, упростить сопровождение проекта и уменьшить вероятность ошибок при изменении окружения. Ниже рассматривается модуль Python, который читает файл settings.toml , преобразует его содержимое в структуры Python, извлекает нужный раздел конфигурации и проверяет его через модель Pydantic . habr.com/ru/articles/1022336/ #pydantic #python #python3 #tg #telegram #telegrambot #bot

Правда все: Убьет ли ИИ достоверность в онлайне? Дипфейком уже никого не удивить. И слава Богу мы научились более-менее отличать их от реальности. Возможно в игру здесь вступил какой-то пока еще не открытый, может принципиально новый механизм эволюции. Но AI продолжает тренироваться с упорством олимпийского фехтовальщика. И некоторые виды AI-медиа для экспертизы невооруженным глазом (или ухом) фактически уже потеряны. Особенно это касается текста. Что же нас ждет в недалеком будущем такими темпами? habr.com/ru/companies/studyai/articles/1023724/ #ии #ai #дипфейк #фейк_ньюс #информационная_безопасность #научпоп #социология #спасите #спаситепомогите #спасите_полимеры

Как я собрал автономную AI-новостную систему за полтора месяца Автор: Алексей Кравцов Полтора месяца назад у меня было семь воркфлоу в n8n для новостного пайплайна. Каждый делал что-то своё. На бумаге красиво. На практике — постоянные затыки. Где-то новость застряла, непонятно где. Исправляешь одно — ломается другое. Семь воркфлоу — семь точек отказа. И каждая ломается по-своему. Сегодня та же задача решена иначе: 160 уникальных источников, 7127 записей в базе, 11 воркеров, 5 AI-агентов, локальная LLM на домашнем мини-ПК — и оркестратор, которому я просто пишу задачу в Telegram. Без n8n. Без ручного управления. Почти без моего участия. Вот как это вышло. habr.com/ru/articles/1023446/ #AI #автоматизация #Python #агенты #LLM #n8n #Telegram #новостной_пайплайн

Максимально эффективная интеграция ИИ в робототехнику OpenGrall — модульный фреймворк для роботов на LLM, который решает три главные проблемы «тормознутых» проектов: 1. LLM принимает решения только высокого уровня. 2. Сенсоры работают асинхронно, никто не ждёт «отстающих». 3. Массив данных структурируется в тщательно выверенный, короткий промпт с весами и возрастом. И другие решения насущных проблем. В статье: архитектура SensorMemory и WeightCalculator, реальные промпты, кэширование решений, эпизодическая память инструкций человека и автономное целеполагание. Всё на GitHub, работает на слабом железе и с LLM почти любых размеров. Узнать, что под капотом → habr.com/ru/articles/1023564/ #LLM #ROS #TinyML #робототехника #OpenGrall #ИИ #Python #WebSocket #Vikhr #DeepSeek

От правил корреляции к когнитивному ассистенту: что меняется в архитектуре SOC с приходом ИИ Почему правил корреляции больше недостаточно? Долгое время ядром любого центра мониторинга и реагирования на киберугрозы (далее по тексту – SOC) оставался корреляционный движок, то есть набор правил для автоматизированного поиска паттернов атак, например "5 неудачных входов" + "успешный вход" + "активность в БД" = подозрение на компрометацию" типа 5 failed logins = brute force (5 неудачных попыток входа в систему = метод перебора паролей). Сегодня этот подход напоминает попытку поймать искусного шпиона с помощью крика: "Стой! Кто идет?!". Современные атаки стали тихими, целевыми и изощренно-адаптивными. Злоумышленники используют легитимные инструменты (Living-off-the-Land — “живой” взлом), имитируют нормальную активность пользователей и растягивают шаги задуманной цепочки кибератак на месяцы. Статистика выглядит удручающе: среднестатистический SOC обрабатывает до 10⁷ событий в сутки, из которых после фильтрации остается от 10³ до 10⁴ алертов. Но 70–90% из них — ложные срабатывания, требующие ручной проверки. Это порождает так называемое Alert fatigue — профессиональное выгорание аналитиков, которые превращаются в операторов по нажатию кнопки Close false positive (“Закрыть ложноположительный результат”). На этом фоне большие языковые модели и алгоритмы машинного обучения перешли из категории "экспериментальных технологий" в разряд операционных инструментов кибербезопасности. При этом важно отметить ключевой принцип: искусственный интеллект (ИИ) не заменяет аналитика, а усиливает его возможности через снижение когнитивной нагрузки и ускорение обработки рутинных задач. habr.com/ru/companies/innostage/articles/1024464/ #soc #искусственный_интеллект #машинное_обучение #ml #кибербезопасность #siem #ueba #soar #xdr #ai

Создание и тестирование пенсионных инвестиционных стратегий с помощью Okama Если вы когда-нибудь задумывались о том, на сколько лет хватит ваших накоплений после выхода на пенсию — эта статья для вас. Мы разберём, как с помощью open-source библиотеки okama для Python можно моделировать и тестировать различные стратегии снятия денег с инвестиционного портфеля. От классического «правила 4%» до продвинутых адаптивных стратегий — всё с примерами кода. habr.com/ru/companies/okama/articles/1020458/ #okama #python #инвестиции #портфельные_инвестиции #монтекарло #математика #статистика

Почему я перестал верить конверсиям в Яндекс Директе и что с этим делать через API Каждый, кто льет трафик с Директа, рано или поздно сталкивается с одной и той же шизой: интерфейс Директа показывает одни конверсии, Метрика совершенно другие, и хрен поймешь, кому из них верить. Плюс всегда хочется видеть общую картину: расходы, отказы, реальные лиды и качество трафика по кампаниям в одной нормальной таблице, а не скакать по десятку вкладок. В этой статье я покажу, как собрать связку простых Python-скриптов, которые стягивают данные из обоих API и сводят их в единый дашборд. Никаких громоздких BI-систем и баз данных только хардкор, requests и pandas . Заодно подсвечу несколько неочевидных грабель Яндекса, о которые сам успел разбить лоб. habr.com/ru/articles/1018966/ #яндексдирект #яндексметрика #python #pandas #api #сквозная_аналитика #автоматизация_рекламы #вебаналитика #поиск_аномалий #фрод

Как прошло обновление курса «Python-разработчик»: продуктовые кейсы, ИИ и помощь в трудоустройстве Привет, Хабр! Меня зовут Андрей Горлов, я CEO IT-компании «Альтеркод» и программный эксперт курса habr.com/ru/companies/yandex_praktikum/articles/1017008/ #практикум #яндекс_практикум #образование #обучение #обучение_программированию #обучение_python #python #pythonразработка #обучение_в_it #курсы_по_программированию

От утилитарного Telegram-бота до полноценной PWA-панели управления VPS: эволюция проекта (v1.13.0 — v1.21.1) Привет, Хабр! В своих предыдущих статьях ( раз , два , три ) я рассказывал о зарождении идеи и первых шагах разработки Telegram-бота для управления серверами. То, что начиналось как простенький Python-скрипт для проверки uptime и перезагрузки парочки личных VPS, за последние месяцы обросло «мясом» и превратилось во взрослую экосистему с паттерном Agent-Server, своим WebUI, WAF и PWA. Сегодня я хочу поделиться опытом, который я получил в процессе масштабного рефакторинга (от версии 1.13.0 до актуальной 1.21.x), рассказать о граблях, на которые я наступил при работе с памятью и сетью, и сравнить свой продукт с тем, что уже есть на рынке. Сразу оговорюсь: хоть я и числюсь единственным разработчиком, проект создается не в вакууме. Во-первых, для ускорения развития продукта я активно использую инструменты ИИ. Сейчас это модно называть «вайбкодингом» (vibe-coding), но в моем случае это осознанный вайбкодинг. Я не перекладываю на нейросети проект целиком, а использую их для автоматизации рутины, сохраняя при этом полное понимание каждой строчки кода, его структуры и заложенной архитектуры. Во-вторых, у меня есть боевой товарищ — друг-тестировщик, который использует панель для своих повседневных задач, нещадно ломает новые фичи на проде, репортит баги и вносит огромный вклад в развитие. Именно благодаря такой живой обкатке инструмент получается действительно юзабельным. И, забегая вперед, вы тоже можете присоединиться к этому процессу! habr.com/ru/articles/1021084/ #Бот #телеграмбот #вэбразработка #javascript #html #css #waf #приложения #app #pwa