Блог
-
Системное администрирование
DR-тест Kubernetes: восстановление etcd-кластера за 12 минут - проверено заранее
Провели первый плановый DR-тест Kubernetes-кластера клиента: восстановление из etcd-снапшота. 12 минут простоя - это цифра, которую хорошо знать до, а не во время реального сбоя.
-
DevOps
Docker EE с Kubernetes: Swarm остаётся, K8s добавляется - смотрим что это даёт
Docker Enterprise Edition добавил Kubernetes рядом со Swarm в одном дистрибутиве. Разбираем что это означает для клиентов, которые уже работают на Swarm.
-
Данные и аналитика
PostgreSQL 11 GA: обновили первый продакшн DWH - partition pruning сам, JIT ускорил аналитику
Обновили боевой DWH с PostgreSQL 10 до 11. Partition pruning по дате стал автоматическим, JIT-компиляция дала 20-30% на аналитических запросах без ручной настройки.
-
Информационная безопасность
SIEM, корреляция и ГосСОПКА: первые попытки настроить передачу инцидентов
ФСБ уточняет требования к взаимодействию с ГосСОПКА для значимых объектов КИИ. Технических деталей интеграции мало, но организационный контур уже понятен.
-
Инфраструктура
Storage Spaces Direct на WS2019: NVMe-кластер и дедупликация, которая работает не по расписанию
Первый кластер S2D на WS2019 с NVMe: дедупликация в реальном времени вместо еженедельного расписания. За неделю освободила 40% занятого места без ночных окон.
-
Автоматизация
Ansible Tower 3.3: Workflow Templates и цепочки плейбуков с ветвлением
Ansible Tower 3.3 добавил Workflow Templates - визуальный граф плейбуков с ветвлением по успеху/ошибке. Провизионирование, конфигурация и smoke-тест теперь единый управляемый поток.
-
Информационная безопасность
Kubernetes NetworkPolicy с Calico: неделя проектирования, зато east-west трафик под контролем
Внедрили Calico NetworkPolicy в кластере клиента. Первый блок правил проектировали неделю - зато теперь любой Pod общается только с явно разрешёнными соседями.
-
Информационная безопасность
Hyper-V WS2019: Shielded VM с упрощённым HGS и LAPS против lateral movement
Развернули Shielded VM в новом кластере на WS2019 - HGS теперь не требует отдельного AD-леса. Добавили LAPS на гостевые VM, закрыли lateral movement через локальные admin-аккаунты.
-
DevOps
Alertmanager 0.15: многоуровневый routing и silence management - как мы победили alert fatigue
Настроили routing в Alertmanager 0.15: критические алерты - в PagerDuty, предупреждения - по командам в Slack, ночные - только SMS. Alert fatigue снизился заметно.
-
DevOps
GitLab 11.4 SAST в реальном пайплайне: ложноположительные и настоящие SQL-инъекции
Запустили встроенный SAST из GitLab 11.4 на внутреннем проекте. Половина находок - мусор, но несколько реальных SQL-инъекций в legacy-коде нашёл честно.
-
Регуляторика
План защиты значимого объекта КИИ: типовая структура по Приказу №239 и связь с ISO 27001
ФСТЭК разъяснила состав плана защиты значимых объектов КИИ. Разработали типовую структуру документа - оказался объёмнее ожидаемого, но логика совпадает с ISO 27001.
-
Системное администрирование
WSL на Windows Server 2019: Ansible и мониторинг без Linux jump-server
WSL в GA Windows Server 2019 оказался рабочим инструментом: запускаем Python-скрипты мониторинга и Ansible-плейбуки прямо на Windows-хосте без отдельного Linux-прыжка.
-
Регуляторика
Реестр отечественного ПО: 5000 продуктов - это много или мало?
Реестр Минцифры перевалил за 5000 позиций. Смотрим, что внутри: в инфраструктуре и ИБ продукты есть, но функциональная зрелость - разная история.
-
Системное администрирование
Storage Migration Service на реальном сервере: WS2008R2 переехал за полдня
Перенесли файловый сервер клиента с WS2008R2 на WS2019 через Storage Migration Service. Инвентаризация, перенос данных и cutover - без тихой паники и без ночного простоя.
-
DevOps
Kubernetes 1.12: RuntimeClass и gVisor - два runtime в одном кластере
Kubernetes 1.12 вышел в сентябре 2018 с RuntimeClass в alpha. Тестируем gVisor рядом с containerd на одном кластере: что работает, что нет, зачем вообще это нужно.
-
Инфраструктура
Windows Server 2019 GA: разворачиваем первый тест в лабе - Storage Migration Service
Microsoft выпустила WS2019 GA 2 октября. В тот же день подняли тест в лабе: Storage Migration Service для файловых серверов - та фича, которую ждали дольше всего.
-
Информационная безопасность
HashiCorp Vault 0.11 и dynamic secrets: как мы перестали хранить пароли к PostgreSQL в конфигах
Перевели ротацию credentials к PostgreSQL на Vault dynamic secrets. Пароль живёт 1 час, создаётся под каждый деплой - утечка из конфига перестала быть рабочей угрозой.
-
Автоматизация
Ansible 2.6 и network-модули: плейбук вместо трёх часов на коммутаторах Cisco
Ansible 2.6 расширил поддержку сетевых устройств. Написали network-плейбук и прогнали конфигурацию VLAN на тридцати Cisco-свитчах - вместо ручной работы через консоль.
-
Данные и аналитика
ClickHouse 1.1.54388: Materialized Views вместо ночных ETL-задач на 500M строк событий безопасности
Внедрили ClickHouse для аналитики событий безопасности у клиента. Materialized Views заменили ночной ETL - агрегации теперь строятся инкрементально на лету.
-
Информационная безопасность
OpenSSH 7.8 отключил DSA по умолчанию: как мы перегенерировали ключи у трёх клиентов за выходные
OpenSSH 7.8 убрал поддержку DSA-ключей и устаревших алгоритмов по умолчанию. После обновления у трёх клиентов встала автоматическая репликация - пришлось массово переходить на Ed25519.