Тут вопрос больше в ids/ips

Много узлов отказывающие в аутентификации брутфорсу vs один узел отбивающий осмотр заведомо дырявых целей

Ну да, ханипот нужен

Безопасность это когда даже пароли не придумываются человеком

Безопасность это аутентификация без пароля

Дала комментарий по поводу РЖД. Вот вам выдержка:

— Страшно ли залезать в системы российских госкомпаний, зная, как работает правоохранительная система в нашей стране? То есть ты нашел дыру, рассказал о ней, чтобы ее закрыли, а тебя ведут в тюрьму. Насколько реальный вариант?

— Я считаю, что желательно согласовывать подобные аудиты с руководством компании. Если такой аудит был проведен несанкционированно и опубликован в открытом доступе, то это нанесет репутационный ущерб компании, а также в теории — материальный. Вдруг кто-то решит повторить путь автора статьи по горячим следам до момента ликвидации проблемы.

Если вы нашли уязвимость случайно — то лучше сначала уведомить об этом компанию, а не широкую публику. Если компания игнорирует ваше уведомление, лучше оставить все как есть, тогда в случае реализации риска наказание понесет ответственный сотрудник, а не «доброжелатель». Если вы очень хотите помочь — то устраивайтесь туда на работу и закрывайте «дыры» сами, участвуйте в подготовке кадров, делитесь информацией, помогайте повышать грамотность населения в области информационной безопасности.

*Текст статьи редактировал редактор (для особо придирчивых).