Тема: incident-response
-
Секрет попал в коммит: почему удаления файла недостаточно и в каком порядке действовать
Учётные данные, отправленные в Git-репозиторий, сохраняются в истории, форках, клонах, кешах и журналах CI. Перезапись истории уменьшает дальнейшее раскрытие, но не отзывает копии, поэтому сначала отзовите и замените учётные данные, затем очистите историю и проверьте использование.
-
Cisco Secure Email Gateway и SD-WAN Manager: проверка исправлений и сохранение свидетельств компрометации
Ведите отдельные записи об устранении уязвимостей почтового сканера и SD-WAN Manager. Проверяйте, что исправления действительно установлены, сохраняйте свидетельства перед восстановлением, меняющим состояние системы, и следуйте процедуре расследования для конкретного продукта.
-
Доведение действий после разбора инцидента до закрытия: задачи, единый ответственный и проверка давности
The Site Reliability Workbook предупреждает, что без формального процесса отслеживания действия после разбора инцидентов часто забываются. Дайте каждому пункту задачу в трекере, одного ответственного, тип и приоритет, регулярно проверяйте открытые пункты по давности и считайте просроченный пункт поводом для решения, а не строкой, которую можно пропустить.
-
After a vulnerability report arrives: acknowledge, assess, fix in private, disclose
Once a report reaches the project's security contact, the work is a sequence with dates: acknowledge quickly, classify (working as intended, bug, feature request, vulnerability), agree an embargo with the reporter, develop the fix privately, obtain a CVE identifier, then release and publish an advisory that names affected and fixed versions and credits the reporter. The OpenSSF maintainer guide and GitHub's disclosure guidance describe this process; this article compresses it for a project with one to five maintainers.
-
После установки исправления на пограничное устройство с эксплуатируемой уязвимостью: свидетельства, восстановление и проверки перед возвратом в эксплуатацию
Предлагаемая процедура для операторов, расследующих состояние пограничного устройства, подверженного эксплуатируемой уязвимости. Сохраните свидетельства, зафиксируйте, требуется ли пересоздание системы по указаниям производителя, замените раскрытые учётные данные и криптографические материалы и проверяйте восстановление отдельно от установки исправления.
-
Если взломанный провайдер хранил ваши ключи API: блокировка доступа, замена и проверка начислений
Отзовите раскрытые ключи у их издателя, восстановите доступ легитимных потребителей через доверенные системы и изучите использование и начисления. Проверяйте бюджетные уведомления и доставку новых ключей как отдельные меры контроля.
-
Security incident response for a small team: a minimum procedure
A two-person team cannot run a security operations centre, but it can prepare a contact list, a containment checklist and an evidence rule in advance; NIST SP 800-61 Rev. 3 frames incident response as part of ongoing risk management, and this procedure is the minimum that makes the first hour predictable.
-
Ivanti Connect Secure: исправление CVE-2026-104935 и расследование более ранней компрометации
Разделяйте исправление обхода аутентификации и восстановление после компрометации: выберите совместимый исправленный релиз, сохраните криминалистические свидетельства и сочетайте проверки целостности с анализом сети и памяти.
-
Инцидент LiteLLM в октябре 2026 года: подтверждённое раскрытие токена и меры защиты журналов шлюза
В более позднем разборе LiteLLM заменил первоначальную версию о краже журналов свидетельствами раскрытия токена через API Agent Platform. Инцидент по-прежнему показывает, почему для учётных данных агентов, тел ответов и привилегированной автоматизации нужны отдельные границы доступа.
-
Postmortems ohne Schuldzuweisung: Ablauf, Ursachen und Massnahmen festhalten
Ein Postmortem beschreibt, was während eines Vorfalls geschah, wen es wie lange traf, welche Umstände es ermöglichten und welche Massnahmen eine Wiederholung unwahrscheinlicher machen. Schuldfreiheit ist kein Höflichkeitsgebot, sondern die Bedingung dafür, dass Beteiligte Fakten berichten statt sich zu verteidigen.
-
Correlation versus causation in incident and operations data
A correlation coefficient measures how two series move together; it says nothing about which one drives the other, whether a third factor such as traffic drives both, or whether the data were selected by the outcome. Plot first, condition on the obvious common causes, check timing, and confirm with an intervention such as a flag or canary before acting.
-
Как читать уведомление провайдера о взломе: проверка отправителя, охвата и индикаторов
Превратите уведомление провайдера о взломе в проверенную запись для дальнейших действий: установите его подлинность, определите затронутые активы и невыясненные обстоятельства, а перед выводами сопоставьте индикаторы с сохранёнными журналами.
-
A first game day: one chaos experiment with a hypothesis, a blast radius and an abort rule
Run a first fault-injection exercise as a scheduled, announced experiment: define the steady state as a measurable output, hypothesise that it holds under one specific fault, limit the blast radius, set an abort condition, inject, and record what the system and the people did; the Principles of Chaos Engineering give the four steps and the Google SRE book describes disaster role-play as a weekly ritual.
-
PAN-OS CVE-2026-0322: проверка исправлений в ветках обслуживания и восстановление плоскости управления
Уязвимость интерфейса управления, требующая аутентификации, затрагивает межсетевые экраны PAN-OS и Panorama. Сверяйте полный номер выпуска ветки обслуживания, ограничивайте доступ к управлению и при подозрении на компрометацию применяйте процедуру восстановления производителя для физических или виртуальных устройств.
-
Runbooks für den Betrieb: Anleitungen, die eine Fremde nachts ausführen kann
Ein Runbook pro Dienst beantwortet in dieser Reihenfolge: Was tut der Dienst, woran erkennt man in einer Minute, ob er gesund ist, welche bekannten Störungen gibt es mit Symptom, Diagnosebefehl und Gegenmassnahme, welche Handlungen sind sicher, welche gefährlich, und wer ist wann zu eskalieren; geprüft wird es von jemandem, der es nicht geschrieben hat.
-
Teams with fewer, alert-linked dashboards diagnose incidents faster than teams with many unowned dashboards
Hypothesis: for services of comparable size, the time from a page to a named probable cause is shorter when the team maintains a small number of owned dashboards that alerts link to directly, than when it maintains many copied or auto-generated dashboards that responders have to browse; a proposed comparison using incident timelines and dashboard inventories.
-
Running a public status page honestly: components, automation and history
A status page earns trust only when it turns red when users see red; host it off the infrastructure it reports on, list components users recognise, let everyone on call post without approval, update on a fixed cadence during incidents, and keep the history visible.
-
После взлома провайдера аутентификации: сброс паролей затронутых пользователей, восстановление сессий и проверка паролей по базам утечек
Восстанавливайте затронутые учётные записи, не считая каждую стороннюю утечку доказательством компрометации своей системы. Сочетайте обоснованный сброс паролей и аннулирование сессий с отслеживанием подстановки украденных учётных данных и конфиденциальной проверкой паролей.
-
Bootstrapping NTP, DNS and DHCP after a full network outage: a dependency-ordered restart
Proposed methodology: after an outage that took down NTP, DNS and DHCP together, bring time up first, then DNS, then DHCP, because certificate and Kerberos checks need correct time, most services locate each other by name, and DHCP may depend on both, with the caveat that an NTP server using upstream hostnames itself needs DNS.
-
NetScaler ADC и Gateway: перед восстановлением разграничьте сентябрьские и октябрьские исправления
Минимальные исправленные сборки для CVE-2026-88771 и CVE-2026-88772 отличаются от минимальных сборок с исправлением CVE-2026-88779 — уязвимости SAML, вызывающей отказ в обслуживании. Сопоставьте установку с каждым бюллетенем, расследуйте возможную компрометацию и осознанно подойдите к завершению сеансов.
Машиночитаемо: JSON