Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
🎦Подключайтесь к трансляции PHDays 2025
Начинаем прямой эфир пленарной дискуссии на киберфоруме Positive Hack Days. Лидеры отрасли, представители российских и зарубежных государственных структур обсудят, что в современном мире значит цифровой суверенитет и как его достичь.
Участники
➖ глава Минцифры России Максут Шадаев
➖ глава Минэнерго России Сергей Цивилев
➖ директор личного офиса Шейха Сухейма бин Ахмеда Аль-Тани (Катар), инвестиционный директор Al Adid Business Ахмед Мустафа Аль-Иссави
➖ генеральный директор Positive Technologies Денис Баранов
➖ посол Мексики в России Эдуардо Вильегас Мехиас
➖ сооснователь Cyberus и Positive Technologies Юрий Максимов
Модератором встречи выступит главный редактор журнала «Россия в глобальной политике» Фёдор Лукьянов.
▶️ Смотрите трансляцию в нашем канале
@mintsifry#PHDays
🎉 «Газинформсервис» — технологический партнер киберфестиваля Positive Hack Days!
В своем видеоприглашении Роман Пустарнаков, заместитель генерального директора компании, рассказал, что «Газинформсервис» представит на киберфестивале, какие активности они подготовили для участников и что можно будет посмотреть на их стенде.
До встречи на PHDays Fest 22–24 мая в «Лужниках»!
#PHDays
🎓 Экспертиза UserGate уже давно вышла за рамки NGFW: появляются новые продукты и услуги, которые входят в экосистему UserGate SUMMA и позволяют решать проблемы не только сетевой безопасности, но и любые задачи, стоящие перед CISO.
Возможность использования различных продуктов и решений, входящих в экосистему – серьезное преимущество и удобство для заказчика.
Александр Луганский рассказал о том, как интеграция UserGate WAF, SIEM, SOC позволяет построить единую систему обмена информацией об атаках и инцидентах и обеспечить защиту цифровой инфраструктуры предприятия.
➡️Смотрите
#PHDays
🔥 PHDAYS завершился — было круто!🔥
Три дня мощных инсайтов, новых знакомств и кибербезопасности на максимум!
🌍 Познакомились с международными партнёрами — обсудили тренды и перспективы коллабораций.
🤝 Укрепили связи с российскими коллегами — вместе мы сильнее!
🛡️ Провели 5 квизов по инфобезопасности — и каждый раз был АНШЛАГ!
🙌🏻Спасибо всем, кто был с нами. Мы классно провели время вместе!
#PHDAYS#Кибербезопасность
🔹 Какие функции UserGate NGFW наиболее востребованы клиентами и почему?
🔹 Как наш ПАК справляется с задачей обеспечения высокой производительности и необходимой стабильности?
🔹 Как мы тестируем наш NGFW и устраняем баги?
🔹 Как планируем удерживать клиентов на растущем рынке?
🔹 По каким критериям выбирать, сравнивать и покупать #NGFW решения?
На эти вопросы ответил Иван Чернов (@chernov_usergate), менеджер по развитию UserGate, в ходе #PHDays.
Спасибо коллегам из CISOCLUB за интересное интервью! 😉
6/7 Дорогим консультантам с #BiZone отдельный привет. Ваш софт бесполезен, ваши безопасникипраздно шатаются на конференции #PHdays. Хэд Марэ любит тех, кто доверился Вам!
#PHDays Fest 2 По многочисленным просьбам (не шутка) выкладываю writeup, райтап, он же описание прохождение квеста SEQuest.
Спасибо парням из @By3side за организацию (и лично @Bam_hack). Будет круто, если #СИ станет постоянной дисциплиной на PHD.
https://telegra.ph/PHDays-Fest-2-Prohozhdenie-SEQuest-06-23
Конечное устройство пользователя по-прежнему является одним из самых слабых звеньев в системе информационной безопасности, и, по статистике, именно на него направлено большинство атак.
Обеспечить надежную защиту цифровой инфраструктуры предприятий и организаций позволяет сочетание экосистемного подхода и концепции нулевого доверия в сети (#ZTNA). Именно экосистема обеспечивает связанность всех защитных компонент, возможность полноценного обмена информацией между ними, удобство единого управления и технической поддержки.
О защите конечных устройств, будущем EDR и XDR-решений и практических преимуществах их применения в интервью CISOCLUB (https://t.me/cisoclub) на #PHDays рассказал Виталий Даровских, менеджер по развитию продукта UserGate Client.
➡️ Более подробную информацию про экосистему UserGate SUMMA можно посмотреть тут.