Блог
-
Регуляторика
КИИ: практика категорирования в 2021 - что ФСТЭК видит как типичные ошибки
Два года после 187-ФЗ: разбираем реальные ошибки категорирования объектов КИИ. Самая частая - не включены кадры, финансы и снабжение. Объясняем почему и как это исправить.
-
Инфраструктура
Zabbix 5.4: Business Service Monitoring и SLA-репортинг для клиента
Zabbix 5.4 переработал Business Service Monitoring: дерево зависимостей сервисов показывает не просто упавший хост, а какой бизнес-процесс деградировал. Внедряем для клиента с SLA.
-
DevOps
Vault 1.7 + External Secrets Operator: убираем хардкод паролей из Kubernetes
Разворачиваем Vault 1.7 для управления секретами в Kubernetes: External Secrets Operator забирает динамические credentials из Vault и кладёт в Secret, TTL - 1 час.
-
Информационная безопасность
PrintNightmare: останавливаем Print Spooler на контроллерах домена
CVE-2021-1675 в Windows Print Spooler позволяет получить SYSTEM на контроллере домена. Патча нет - останавливаем сервис и закрываем через GPO.
-
DevOps
Docker Hub rate limits в CI: переносим образы в Harbor и настраиваем proxy-cache
После ноябрьских rate limits Docker Hub наши CI-сборки начали падать с 429. Переносим базовые образы во внутренний Harbor и разбираем подводные камни proxy-cache.
-
DevOps
Cilium вместо Flannel: Network Policy на L7 для микросегментации под требования КИИ
Внедряем Cilium в продакшн-кластер заказчика. Network Policy на уровне HTTP path и gRPC метода дают микросегментацию, сопоставимую с требованиями ФСТЭК по сегментации КИИ.
-
Инфраструктура
Rocky Linux бета: собираем стенд и сравниваем с AlmaLinux 1.0
Rocky Linux вышел в бету - community-проект Грегори Курцера как ответ на смерть CentOS. Собираем тестовый стенд и сравниваем с AlmaLinux 1.0, который уже в GA.
-
АСУ ТП
OT/IT-сегментация: что спрашивают клиенты после Colonial Pipeline
После Colonial Pipeline заказчики с промышленным оборудованием задают одни и те же вопросы. Разбираем базовую архитектуру: DMZ, однонаправленные шлюзы и запрет RDP в технологическую сеть.
-
DevOps
Terraform 1.0: compatibility promise и конец обходных путей для 0.14/0.15
HashiCorp выпустила Terraform 1.0. Главное - не новые фичи, а compatibility promise: конфиги на 1.x не сломаются при обновлении внутри major-версии.
-
Информационная безопасность
Colonial Pipeline и DarkSide: когда ransomware останавливает бензоколонки
DarkSide атаковал Colonial Pipeline - крупнейший топливопровод США. Разбираем вектор атаки и проводим экспресс-оценку OT/IT-сегментации у клиентов из энергетики.
-
Информационная безопасность
Ransomware: платить или не платить выкуп
Colonial Pipeline заплатил $4,4 млн DarkSide. Разбираем аргументы за и против, правовые риски выплат и почему резервные копии важнее биткоин-кошелька.
-
Данные и аналитика
ClickHouse 21.3 LTS: оконные функции наконец в продакшне, мигрируем аналитику
ClickHouse 21.3 - первая LTS-версия с оконными функциями. Переводим клиентский аналитический пайплайн с агрегирующими MV на новую версию - что получилось.
-
Системное администрирование
Windows 10 21H1: раскатываем через WSUS и смотрим на Credential Guard
Windows 10 21H1 вышла с улучшениями WFH-функций и новыми GPO. Раскатываем через WSUS в тестовой группе и разбираем изменения в Credential Guard для Kerberos-инфраструктур.
-
Информационная безопасность
Cisco IOS XE: апрельские CVE и чек-лист обновления прошивки в продакшне
В апреле 2021 Cisco закрыла серию критических уязвимостей в IOS XE. Описываем, как мы готовим окно обслуживания и откат для обновления сетевого оборудования заказчиков.
-
Информационная безопасность
Codecov bash uploader взломан: проверяем CI/CD после очередной supply-chain атаки
Скомпрометированный bash-скрипт Codecov воровал переменные окружения из CI/CD. Проверяем свои пайплайны и переходим на pin версий с проверкой SHA256.
-
DevOps
Terraform 0.15: sensitive outputs, предупреждения об устаревшем CLI и финальный шаг перед 1.0
Terraform 0.15 вводит sensitive outputs, которые закрывают утечку паролей в plain text в выводе. Показываем связку с Vault Dynamic Secrets на примере PostgreSQL.
-
DevOps
GitLab 13.10: Dependency Proxy как ответ на Docker Hub rate limits
GitLab 13.10 привёз улучшенный Container Scanning, Review Apps в MR и Dependency Proxy для кеширования образов Docker Hub - последнее оказалось самым востребованным.
-
Регуляторика
РКН усиливает контроль за операторами ПДн: что делать после предписания
Роскомнадзор активизировал проверки операторов ПДн в 2021-м. Разбираем кейс: клиент получил предписание - не задокументирована база ПДн в CRM. Идём по чеклисту вместе.
-
Информационная безопасность
Pulse Secure VPN под APT-атаками: экстренная проверка у клиентов с этим вендором
CVE-2021-22893 в Pulse Secure VPN активно эксплуатируется APT-группами. Проверяем версии и IoC у клиентов - VPN-периметр снова в центре внимания.
-
DevOps
Kubernetes 1.21: immutable ConfigMaps, CronJob в stable и что делать с IPv6
Kubernetes 1.21 вышел с immutable ConfigMaps/Secrets, CronJob в GA и IPv4/IPv6 dual-stack в beta. Разбираем, зачем переводить продакшн-конфиги на immutable и что dual-stack значит для корпоративных кластеров.