Безопасно говоря

Обновлённый статус сервисов
😃🥸☺️🥰😎 на 13 октября.

⏩ Smart Web Security. Сервис работает с ограничениями:

🔺 Фильтрация трафика продолжается на текущих ресурсах ALB и прокси-серверов. Автоматическое масштабирование временно недоступно.

🔺 Изменение настроек защиты и конфигураций прокси-серверов доступно.

🔺 Создание новых прокси-серверов и ручное масштабирование ресурсов ALB и прокси-серверов временно недоступны.

🔺 Просмотр логов сервиса и данных мониторинга временно недоступен.

⏩ Security Deck. Сервис работает с ограничениями.

Рекомендуем скачать и сохранить результаты текущих проверок в следующих модулях:

🔺 Алерты — скачать результаты

🔺 Контроль конфигураций (CSPM) — выгрузить результаты проверок

🔺 Контроль данных (DSPM) — сохранить результаты проверок

⏩ Yandex Audit Trails. Сервис работает с ограничениями, возможна задержка с поставкой событий.

🔺 Доступна поставка событий уровня сервисов в бакеты Object Storage.

🔺 Поставка событий в Cloud Logging и Yandex Data Streams временно недоступна.

Для обеспечения сбора и хранения событий аудита рекомендуем создавать трейлы с выгрузкой событий в Object Storage

⏩ Yandex Identity Hub. Для централизованного и безопасного управления доступом к ресурсам сторонних облачных платформ рекомендуем настроить единый вход (SSO) через Yandex Identity Hub.

Рекомендации по всем продуктам и сервисам Yandex Cloud на 13 октября

Все сервисы Yandex Cloud будут бесплатными до конца октября

Наша платформа по-прежнему работает в ограниченном режиме, а инженеры продолжают восстановительные работы.

Мы понимаем, что сейчас ваши команды сосредоточены на восстановлении своих сервисов. Чтобы в этот период вам не приходилось дополнительно беспокоиться о расходах на облако, мы приняли решение сделать использование всех сервисов Yandex Cloud во всех зонах доступности РФ бесплатным для текущих клиентов с 8 по 31 октября включительно.

В счете за октябрь будут отражены только расходы на ресурсы, использованные до 7 октября включительно.

Начисления за период с 8 октября пока могут отображаться в биллинг-аккаунте, но мы скорректируем их автоматически. Вам ничего делать не нужно.

Команда Yandex Cloud 😍

😃🥸☺️🥰😎

🔖Yandex Key Management Service. Доступ к HSM-модулям сервиса KMS может быть затруднён. Рекомендуем не создавать новые HSM KMS-ключи. 

🔖Как забрать свои секреты из Lockbox и Certificate Manager:

→ Выгрузка секретов из Lockbox

→ Выгрузка сертификатов из Certificate Manager. Для сертификатов, которые поддерживают экспорт, можно скачать и цепочку сертификатов, и приватный ключ.

🔖IAM. Рекомендуем создать сервисный аккаунт (или несколько) в каталоге Yandex Cloud, выдать ему права на управление ресурсами и создать авторизованные ключи (или другие типы ключей при необходимости), чтобы использовать его для управления инфраструктурой через CLI/Terraform.

Пример команды:
yc resource-manager cloud add-access-binding --cloud-id=<...> --service-account-id=<...> —role=<...>

🔖Smart Web Security. Текущие инстансы обеспечивают защиту в полном объёме. Рекомендуем сохранить их текущую конфигурацию: её изменение может привести к отключению защиты.

🔖Фишинговые атаки от лица Yandex Cloud. Типичные предлоги мошенников: «данные повреждены — войдите для восстановления», «аккаунт заблокирован из-за сбоя», «компенсация за простой — укажите реквизиты», «срочная миграция — откройте вложение».

Мы никогда не просим по электронной почте пароли, коды 2FA, API-ключи, реквизиты карт и удалённый доступ.

1️⃣ Как распознать

Отправитель: реальный адрес должен быть на домене @yandex.cloud

Ссылки: наведите курсор до того, как кликнуть; HTTPS ≠ безопасность; вместо перехода по кнопке в письме откройте сайт вручную.

Срочность: фразы по типу «подтвердите за 24 часа» — признак атаки.

Вложения: не открывайте .exe, .js, .zip с паролем и .docm. 

2️⃣ Что делать

Проверяйте статус компонентов платформы только на статус-борде и в консоли.

Если сомневаетесь, не кликайте. Проверьте по официальному каналу.

Подозрительные письма отмечайте как спам. 

Если вы уже ввели данные:
🔺Смените пароль
🔺Завершите все сессии
🔺Проверьте правила пересылки почты
🔺Сообщите в поддержку через консоль

⤴️Рекомендации по всем продуктам и сервисам Yandex Cloud ⤵️

Вспомнить всё за 5 секунд 👤🌎🔒🎯🧩📌💻

Давайте проверим перед августовским дайджестом новостей — обо всём ли мы хорошо рассказали ⬆️⬆️⬆️

⭐️ Отметьте только один ответ в опросе — о чём мы вам ещё не говорили?

Все пруфы принесём в пятницу 13 11-ого!

[poll]

Проверьте, разбираетесь ли вы в том, как устроены DDoS-атаки — ответьте на три вопроса ⬆️⬆️⬆️

А в блоге собрали наши https://yandex.cloud/ru/blog/l3-l4-l7-ddos-protection?utm_source=tg&amp;utm_medium=owned&amp;utm_campaign=t:post;gl:lgen;a:@yndxcloudsecurity ⏩⏩

Сколько у вас правильных ответов?
1️⃣ Один
2️⃣ Два
🎉 Все!

[poll]

[poll]

[poll]

Автоматизировать безопасность в облаке — как❓

Начинаем наш практический вебинар «Как автоматизировать безопасность облака: от комплаенса до Kubernetes» сегодня, в 16:00 мск ▶️

Ведущие, Рами Мулейс, руководитель продукта Security Deck и Полина Спиридонова, менеджер продукта безопасности, расскажут, как:

⭐️ Автоматизировать соответствие требованиям регуляторов по 152-ФЗ, PCI DSS, ГОСТ Р 57580, стандарту безопасности Yandex Cloud и CIS Benchmark.

⭐️ Выстроить безопасную разработку через управление уязвимостями и контроль Kubernetes — в образах и в runtime.

⭐️ Контролировать чувствительные данные в бакетах Object Storage и Яндекс Диске: поиск, классификацию и непрерывный мониторинг;

А ещё — каковы типовые сценарии автоматизации ИБ и сокращения времени реакции на атаки, как проактивно обнаруживать угрозы облачной платформы и приоритизацировать риски по критичности.

https://yandex.cloud/ru/events/1577?utm_source=tg&amp;utm_medium=owned&amp;utm_campaign=t:post;gl:lgen;a:@yndxcloudsecurity⏩⏩

🔖Если уже есть вопросы по теме, присылайте в комментариях — разберём на вебинаре.

Теневой ИИ: запретить сотрудникам их ИИ-инструменты или есть варианты❓

В новом выпуске подкаста «Безопасно говоря»:

⭐️ Обсуждаем, что делать, если сотрудники решают рабочие задачи в публичных моделях или даже подключают кодовых ассистентов, а то и запускают ИИ-агентов внутрь корпоративной инфраструктуры.

⭐️ Разбираемся, почему классических DLP и политик безопасности уже может быть недостаточно, как защищать данные и инфраструктуру и что делать, когда внедрение AI происходит быстрее, чем меняются процессы безопасности.

Гости и ведущие:

Евгений Кокуйкин, основатель HiveTrace

Сергей Голованов, главный эксперт «Лаборатории Касперского»

Антон Черноусов, Developer Advocate Yandex Cloud

Сергей Нестерук, эксперт по безопасности ML Yandex Cloud

Смотрите выпуск полностью
⏩ https://youtu.be/3gn77vqvlp4
⏩ https://vkvideo.ru/video-200452713_456240504
⏩ https://music.yandex.ru/album/26521670/track/155244214

Или выбирайте самое интересное по таймкодам:
https://www.youtube.com/watch?v=3gn77vqvlp4 Интро

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=38s Знакомство с темой и гостями

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=134s Shadow AI, IT и неконтролируемые устройства

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=271s Как данные незаметно утекают в личную почту

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=358s Но AI помогает, как же его запрещать

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=405s Запретить нельзя контролировать

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=482s Кодовые агенты и доступ к исходному коду

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=552s С чего компании начинать управление AI-рисками

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=696s Что не надо “грузить” в AI

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=769s Как пользоваться AI безопасно

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=832s Любую переписку стоит считать потенциально публичной

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=971s Сотрудники используют неразрешённые AI-инструменты — что делать?

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=1094s Сотрудники всё равно обходят корпоративные ограничения

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=1307s Что меняется, когда агент получает доступ к инфраструктуре

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=1392s Как контролировать действия AI-агента

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=1555s Кто виноват в инциденте — человек или агент?

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=1600s Не нужно бежать за эффективностью в ущерб безопасности

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=1668s Чат-боты, AI-агенты и новые виды атак

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=2022s Запретить AI или всё-таки возглавить его внедрение

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=2242s Главное правило: пишите так, будто это окажется в интернете

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=2328s Юридические последствия утечек

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=2623s Можно ли измерить реальное использование AI в компании

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=2697s Почему количество токенов не равно эффективности

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=2813s Как понять, приносит ли AI бизнесу пользу

https://www.youtube.com/watch?v=3gn77vqvlp4&amp;t=3010s Что делать с рисками AI прямо сегодня

Какой политики придерживаетесь вы?
👻 Запретили
🗿 Ограничили
👍 Возглавили

⏩ Воркшопы на ☁️☁️☁️☁️☁️☁️

Приходите попрактиковать защиту ИИ‑приложений от таких атак как промпт‑инъекции, джейлбрейк, DoW и поработать аналитиком SOC — пройти полный путь от поиска событий до расследования инцидента.

Подробнее о наших воркшопах рассказывает Мария Зубченко, менеджер продуктов безопасности Yandex Cloud ⬆️⬆️⬆️

https://scale.yandex.cloud/workshops?utm_source=tg&amp;utm_medium=owned&amp;utm_campaign=t:post;gl:lgen;a:scale2026_yndxcloudsecurity_wrk ⏩⏩

Приходите на бесплатные пробные экзамены на сертификат Yandex Cloud Security Specialist ✨

Пробные экзамены помогут:

🔖 Проверить готовность к реальной сертификации.

🔖 Познакомиться с форматом заданий и типами вопросов.

🔖 Выявить темы, которые требуют дополнительного изучения.

https://yandex.cloud/ru/certification/security?utm_source=tg&amp;utm_medium=owned&amp;utm_campaign=t:post;gl:lgen;a:@yndxcloudsecurity ⏩

⤴️О сертификации⤵️ https://storage.yandexcloud.net/cloud-www-assets/blog-assets/ru/posts/2025/07/yc-certification-value-research/certification-brochure.pdf, если хотите карьерного роста — он подтвердит вашу квалификацию по работе с сервисами безопасности Yandex Cloud для работодателя и заказчиков и будет преимуществом при трудоустройстве:

▶️ 70% руководителей считают наличие сертификата преимуществом при найме.

▶️ В некоторых компаниях пройденная сертификация становится понятным и объективным способом оценки и может влиять на карьерный трек.

🖇 Подготовиться к сертификации поможет вебинар — его проводили лид программы Екатерина Коровашко и руководитель продукта Security Deck Рами Мулейс.

Смотреть:
▶️ https://www.youtube.com/watch?v=lTydRufrDxs
🖥 https://yandex.cloud/ru/events/974

А в этом посте собрали ⏩⏩

👍 такое берём, пора!
🎄 пока не трогаем, это на Новый год

Продолжаем распаковывать сервисы безопасности Yandex Cloud ❤️



🔒 Зачем нужна единая панель управления безопасностью облачной инфраструктуры — например, Yandex Security Deck в Yandex Cloud
⬇️⬇️⬇️

Чтобы постоянно понимать, что происходит с ресурсами, запущенными в облаке:

🔺какие настройки изменились,
🔺где появились открытые доступы,
🔺какие данные лежат в бакетах,
🔺есть ли уязвимости в контейнерных образах,
🔺насколько защищена конфигурация Kubernetes-кластеров и рабочих нагрузок,
🔺какие сработки требуют внимания.

Распаковка 🔒 — в новом выпуске AM DEMO.

https://www.youtube.com/watch?v=BUUu5uC5Y7g ⏩

▶️ Или выбирайте таймкоды:

https://www.youtube.com/watch?v=BUUu5uC5Y7g Что такое Security Deck

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=36s Настройка ролей и сервисного аккаунта

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=176s Соответствие требованиям и дашборды

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=280s Контроль конфигураций облака

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=381s Поиск чувствительных данных

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=595s Безопасность Kubernetes

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=698s Управление уязвимостями в контейнерных образах

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=842s Алерты и работа со сработками

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=983s ИИ-ассистент в карточке алерта

https://www.youtube.com/watch?v=BUUu5uC5Y7g&amp;t=1358s Модель совместной ответственности

🔒 https://yandex.cloud/ru/services/security-deck?utm_source=tg&amp;utm_medium=owned&amp;utm_campaign=t:post;gl:lgen;a:@yndxcloudsecurity ⏩

👍 Продолжаем видео-распаковки
🙏 Давайте лучше текстом!