Заметил, что последние пару лет в веб-безопасности много чего ушло в сторону: старые методы диагностики и защиты, которые раньше работали отлично, теперь либо неактуальны, либо дают слишком много ложных срабатываний. Например, классический сканинг на SQL-инъекции уже не так полезен без глубокого понимания логики приложения, да и многое теперь скрывается за многослойной защитой облаков и WAFов.

Основные моменты, которые лично для меня сегодня актуальны:

- Проверка логики авторизации и прав доступа — это частый источник уязвимостей, куда автоматические сканеры обычно не лезут.
- Анализ API и взаимодействия клиент-сервер, особенно с ростом микросервисов, становится важнее.
- Работа с актуальными версиями CMS и библиотек — просто не игнорируйте обновления, иначе вас обгонят.
- Внимание к цепочкам supply chain, когда уязвимости в сторонних компонентах могут выстрелить в самый неподходящий момент.

Что меня выручает — это ручная ревизия бизнес-логики с использованием расширенных инструментов вроде Burp Suite и постанализ в браузере с DevTools. Также полезно тестировать на разных этапах: и в тестовом стенде, и в продакшене — с правильной подготовкой, конечно.

А как у вас? Какие проблемы с уязвимостями сейчас беспокоят и какие способы решения реально работают?