Блог
-
DevOps
Kubernetes 1.15: CRD versioning помог мигрировать схему операторов без downtime
Обновили кластеры до Kubernetes 1.15: versioning в CRD позволил плавно мигрировать схему операторов, а kubectl diff наконец показывает что изменится до apply.
-
Данные и аналитика
ClickHouse Kafka Engine: события из брокера напрямую в таблицы, ETL на выброс
Настроили Kafka Engine в ClickHouse: топики читаются нативным консьюмером, данные попадают в ReplicatedMergeTree через MaterializedView - без Python-скриптов и без ночных батчей.
-
DevOps
OPA в Terraform CI: plan не применяется, если открывает 0.0.0.0/0 или создаёт IAM-роль с admin
Добавили Open Policy Agent в Terraform-пайплайн: политика живёт в git рядом с кодом, блокирует опасные изменения до apply и проходит code review наравне с инфрой.
-
Информационная безопасность
BlueKeep в Metasploit: провели финальный скан и закрыли историю для заказчиков
Модуль BlueKeep появился в Metasploit Framework - порог входа для атакующих упал до нуля. Провели финальный скан периметра и передали журнал работ заказчикам.
-
DevOps
GitOps-пайплайн: тег в git - релиз без SSH на сервер
Выстроили полный цикл: тег запускает CI, образ идёт в registry, бот открывает PR в helm-values, ArgoCD синхронизирует кластер. Никакого ручного доступа к продакшну.
-
Инфраструктура
WPA3-Enterprise: сертификация завершена, первые точки доступа дорогие, 192-битный режим интересен не всем
Разобрали миграционный путь с WPA2 на WPA3 для корпоративного WLAN: 192-битный режим реален, но оборудование пока кусается по цене.
-
Данные и аналитика
Debezium CDC вместо ночного ETL: изменения из PostgreSQL в Kafka за секунды
Заменили ночные ETL-выгрузки на Debezium 0.9 CDC через logical replication slot: изменения в PostgreSQL появляются в Kafka-топике за секунды, аналитические витрины обновляются в near-real-time.
-
Системное администрирование
Zabbix 4.2 и Prometheus exporter: одна консоль для системных метрик и метрик приложений
Обновили Zabbix до 4.2 и подключили prometheus-экспортеры узлов - теперь в одной консоли видны и системные метрики хостов, и метрики приложений без отдельного Prometheus.
-
Информационная безопасность
SIEM для субъекта КИИ: QRadar, Splunk и MaxPatrol на пилотном стенде
Сравнили три SIEM на пилотном стенде для субъекта КИИ: лицензионная стоимость Splunk оказалась вне досягаемости SMB, MaxPatrol лучше знает российские угрозы, но требует серьёзной настройки.
-
Регуляторика
Проверка ФСТЭК по КИИ: камень преткновения - версии сертифицированных СЗИ
Помогали заказчику пройти проверку ФСТЭК по КИИ. Главная проблема - расхождение между сертифицированными версиями СЗИ и тем, что реально установлено в системе.
-
Инфраструктура
vSphere 6.7 Update 2: HTML5-клиент догнал Flash, vSAN Skyline следит за дисками
Обновили vSphere-кластер до 6.7U2: HTML5 vSphere Client закрыл последние пробелы относительно Flash-версии, vSAN Skyline Health упростил диагностику дисков.
-
Регуляторика
Методика ФСТЭК по оценке угроз для КИИ: разбираем проект и что он меняет на практике
ФСТЭК выпустил проект методики оценки угроз для КИИ. Разобрали ключевое: модель угроз теперь привязана к конкретному объекту, а не к абстрактному уровню защиты.
-
DevOps
Docker 19.03 RC: BuildKit по умолчанию, параллельные этапы сборки и rootless mode
Включили BuildKit на CI-серверах под Docker 19.03 RC: многоэтапные сборки пошли быстрее за счёт параллельных stages и правильного кеширования слоёв.
-
DevOps
OTel Collector как посредник: декаплируем приложения от Jaeger и Prometheus
Подключили OpenTelemetry Collector между сервисами и бэкендами наблюдаемости - смена Jaeger на Zipkin превратилась из деплоя в правку конфига.
-
Информационная безопасность
BlueKeep: patch-weekend для устаревшего зоопарка - как мы обновили всё включая WS2003
Экстренный патчинг под CVE-2019-0708: обновили все хосты включая Windows 2008 R2, на трёх WS2003 включили NLA как временную меру до полной замены.
-
DevOps
Terraform 0.12: вынесли инфру трёх стендов в один модуль с for_each - новое окружение теперь одна строка в tfvars
Рефакторинг под Terraform 0.12 GA: три стенда из отдельных директорий переехали в единый модуль с for_each по map. Новое окружение - одна запись в tfvars.
-
Информационная безопасность
BlueKeep (CVE-2019-0708): аудит периметра выявил 23 хоста с открытым RDP без NLA
Microsoft закрыла критическую уязвимость в RDP. Провели экстренный аудит: 23 хоста с открытым 3389/tcp, без NLA, без мартовских патчей - и это только внешний периметр.
-
Информационная безопасность
BlueKeep ретроспектива: у 60% клиентов не было актуального реестра хостов с открытым RDP
Microsoft называет риск BlueKeep-червя реалистичным. Провели ретроспективу митигации по всем заказчикам - главный вывод оказался про CMDB, а не про патчинг.
-
Данные и аналитика
KSQL на Kafka: аналитики пишут SQL, Java Streams лежат на полке
Подняли Confluent KSQL поверх Kafka с POS-событиями: real-time агрегации без Java, аналитики получили привычный SQL и первые инсайты за часы вместо дней.
-
Инфраструктура
Cilium 1.4 как CNI в Kubernetes: eBPF вместо iptables и видимость трафика на уровне HTTP
Сравнили Cilium 1.4 с Calico на нагрузочном тесте в управляемом кластере: pod-to-pod быстрее, а мониторинг трафика на уровне HTTP/gRPC - совсем другой класс.