Блог Сергея Попова

От 200 до 300 тысяч на руки за то, чтобы первым разбирать свежие CVE. METASCAN ищет пентестера-исследователя в R&D. Это не поток «просканируй периметр заказчика и напиши отчёт» — здесь работа начинается там, где готовых инструментов ещё нет. Что делать. Исследовать неизученные сервисы и приложения, писать PoC и сигнатуры под новые CVE, собирать Nuclei-шаблоны, NSE-скрипты и модули, встраивать всё это в инфраструктуру. Плюс тесты и документация, потому что ваш инструмент потом будут запускать другие люди. Что нужно. Опыт в Pentest, Bug Bounty или Red Team от трёх лет, Linux на уровне администратора, глубокое понимание TCP/IP, DNS, HTTP, TLS, SSH, SMB, RDP, уверенный Python 3, Docker, OWASP и MITRE ATT&CK. Плюсом будут Go, Java, Lua или Ruby и участие в open-source. Условия. Senior, удалёнка, компания московская. Вилка названа прямо в карточке, а не «по итогам собеседования»: 200 000 — 300 000 ₽ на руки. Отдельно отметим: на доске сейчас 377 вакансий, и подобных ролей, где вам платят за исследование, а не за прогон сканера по чек-листу, единицы. Описание и кнопка отклика здесь Если стек ваш, но ищете не вы, перешлите тому, кто ищет. Такие вакансии закрываются быстро.

Что ты автоматизировал, а что до сих пор делаешь руками? Сбор логов, бэкапы, деплой, проверка конфигов: у каждого свой набор рутины. Часть задач уходит в скрипт один раз и забывается навсегда. Часть живёт в ручном режиме годами, и это осознанный выбор. Граница у всех разная. Кто-то сэкономил час в неделю одним коротким пайплайном. Кто-то потратил два дня на скрипт ради задачи, которая возникает раз в квартал. Один абзац: одна задача в скрипте, одна на руках. Покажи свою границу рутины

Ты ставишь минимум и выкатываешь быстрее, или тратишь часы на hardening? Свежий сервер, стандартный образ провайдера, root по SSH на 22-м порту. Через четыре часа на нём должен работать сервис. Отдельный пользователь, ключи, firewall, автообновления: это базовый набор, его делают почти все. А дальше начинаются расхождения. Одни ставят fail2ban и считают, что хватит. Другие сразу тянут auditd, отправку логов наружу, мониторинг целостности. Третьи разворачивают SELinux в enforcing и пишут профили под конкретный сервис. Каждый шаг съедает время: три часа на hardening, и на отладку сервиса остаётся один. 🔒 Голый конфиг или опоздавший сервис: выбирать придётся. Ответить в треде →

Какой путь в ИБ ты бы выбрал на его месте? 28 лет, не из IT. Два часа в будни, шесть в выходной. Kali стоит, пара комнат на TryHackMe пройдена, половина книги по сетям. Бюджет: 30 000 в месяц или ноль. Три направления: пентест, SOC-аналитик, appsec. Каждое требует разного за первые полгода, и каждое по-разному оценивается работодателем, когда вместо опыта ты приносишь лабы и CTF. Вопрос не «что интереснее», а что реалистично закрыть за 12 месяцев с такими вводными и выйти на первую позицию. Спрогнозируй его результат через год

С чего начнёшь, если конфиг чужой, документации нет, а ИИ отключён? Nginx, четыре виртуальных хоста, один перестал отдавать статику. Коллега уволился. В логе open() failed (2: No such file or directory): сервер ищет файл в /var/www/project3/static/, а на диске он лежит в /var/www/project3/assets/static/. Три хоста подключают общий сниппет через include, четвёртый дублирует директивы вручную. Казалось бы, поправь root или alias и перезапусти. Но каждый рестарт роняет WebSocket-сессии на соседнем хосте. У тебя 15 минут до планёрки. Гуглить можно, спросить нейросеть нельзя. Задача не про синтаксис Nginx. Она про порядок: что открыть первым, как убедиться, что фикс не сломает остальные три хоста, и когда хватит проверять. 15 минут, чужой конфиг: твой план?

Команда HackerLab заняла 4 место на Кибербитве GIS DAYS 2026! 30 сентября и 1 октября в Санкт-Петербурге и Москве, на площадке VK Play Arena, в рамках форума по информационной безопасности GIS DAYS 2026 прошла «Киберарена» — киберполигон от компании «Газинформсервис». 🎇В соревнованиях приняли участие 8 сильнейших команд из стран СНГ, а мы были в их числе. Формат был максимально приближен к реальным сценариям. Четыре независимые инфраструктуры: Банк • Нефтегаз • Университет • Госсектор Команды Red Team самостоятельно выбирали полигон, определяли момент атаки и проходили сценарии, построенные вокруг этапов Cyber Kill Chain. Параллельно команды Blue Team расследовали происходящее в инфраструктуре и восстанавливали цепочку событий. 🏆По итогам двух дней соревнований команда HackerLab заняла 4 место. Поздравляем нашу команду с достойным результатом! Спасибо организаторам — «Газинформсервис» и всей команде GIS DAYS за крутой полигон и отличную организацию, а командам-соперникам за достойную борьбу. Вернёмся за медалями! 🚗

Ты учишься в контейнере или поставил систему целиком? Контейнер подкупает: поднял образ, получил инструменты, основную систему не тронул. Откатил и забыл. Но стоит дойти до raw-сокетов, проброса USB или работы с сетевым стеком напрямую, начинаются костыли. Полноценная установка на железо или в виртуалку снимает эти ограничения. Взамен забираешь время: настройка, драйверы, отдельный диск. Автор пока сидит в контейнере, но уже ловит странности с сетевыми утилитами и думает о переезде. Где упёрся ты?

Ты за онлайн-песочницу или за локальную виртуалку? Файл подозрительный, запускать на основной машине нельзя. Дальше два лагеря. Одни загружают в ANY.RUN: минута, и на экране дерево процессов, сетевые запросы, реестр. Никакой настройки, файл крутится на чужой инфраструктуре. Другие поднимают одноразовый снапшот в VirtualBox, цепляют Procmon и Wireshark, гоняют файл руками. Полный контроль, ничего не утекает наружу. Но у каждого подхода дыра: малварь умеет распознавать облачный гипервизор и молчать, а неаккуратно настроенная сеть виртуалки подставляет хост. Спорим на форуме →