Blog
Praktyczne artykuły o bezpieczeństwie dla osób, które utrzymują systemy: co naprawić, w jakiej kolejności i dlaczego.
- Wszystkie tematy
- WordPress
- Bezpieczeństwo aplikacji webowych
- Reagowanie na incydenty
- Ransomware
- Bezpieczne programowanie
- Zgodność z przepisami
- Tożsamość i dostęp
- Phishing
- Testy penetracyjne
- Bezpieczeństwo poczty
- Podatności
-
Praktyczna lista kontrolna bezpieczeństwa WordPressa
Dwanaście kroków zabezpieczania WordPressa w rozsądnej kolejności: od aktualizacji i porzuconych wtyczek po 2FA, XML-RPC, kopie zapasowe, integralność plików i WAF.
-
Przeprowadź w tym tygodniu tabletop z reagowania na incydenty
Dwugodzinny tabletop z ransomware lub przejęciem konta w małym zespole: zapisz luki i zamień je w krótki runbook z przypisanymi właścicielami.
-
Nagłówki bezpieczeństwa, które mają znaczenie, i te do wycofania
Praktyczny przewodnik: CSP z nonce, HSTS i preload, frame-ancestors, Referrer-Policy, Permissions-Policy i COOP, z przykładami i listą nagłówków do usunięcia.
-
Zanim podłączysz dane firmy do asystenta AI
Checklista dla IT przed podłączeniem LLM: klasyfikacja danych, wrogie dane wejściowe, kontrola dostępu, logi, ocena dostawcy i właściciel ryzyka.
-
Jak projektować i testować bezpieczne wgrywanie plików
Lista kontroli dla funkcji uploadu plików na podstawie OWASP Cheat Sheet, z tabelą testów do wykonania na każdym endpoincie uploadu.
-
Hasła i klucze dostępu – co zaleca NIST SP 800-63B-4
Aktualne zasady NIST dotyczące haseł: minimum 15 znaków, brak wymuszanej zmiany, sprawdzanie haseł z wycieków, siła MFA i miejsce kluczy dostępu.
-
Art. 21 NIS2 w praktyce dla średnich organizacji
Dziesięć środków zarządzania ryzykiem z art. 21 NIS2 w praktycznym ujęciu oraz terminy zgłoszeń z art. 23: 24 godziny, 72 godziny i jeden miesiąc.
-
Pułapki bezpieczeństwa JWT i jak ich unikać
Typowe błędy JWT: alg none, pomylenie RS256 z HS256, słabe sekrety HMAC, brak walidacji oświadczeń, wstrzyknięcia przez kid, unieważnianie i przechowywanie.
-
Jak rozpoznać link phishingowy, zanim się w niego kliknie
Jak czytać adres URL tak, jak buduje go atakujący: domena rejestrowalna, domeny łudząco podobne i punycode, sztuczka z @, przekierowania i skracacze.
-
Jak czytać raport z testu penetracyjnego
Co zawiera dobry raport z testu penetracyjnego, jak ocenia się podatności, co naprawić najpierw i jak odróżnić prawdziwy test od przemianowanego skanu.
-
Tygodniowy plan utwardzania GitHub Actions dla zespołów dev
Pięć zadań na pięć dni dla GitHub Actions: uprawnienia tokena, audyt akcji, script injection, obsługa sekretów i odpowiedzialność za workflow.
-
Pierwsze 24 godziny incydentu ransomware
Pierwszy dzień ataku ransomware: powstrzymanie bez utraty dowodów, reset haseł, kontrola kopii zapasowych, terminy RODO i NIS2 oraz kwestia okupu.