Блог
-
Системное администрирование
Патч-менеджмент после WannaCry: пересматриваем SLA с 30 до 7 дней для CVSS>=9
WannaCry показал: MS17-010 был доступен за 60 дней до эпидемии, но тысячи организаций его не поставили. Пересматриваем SLA на критические патчи.
-
Инфраструктура
WannaCry и плоские сети: срочный аудит топологии и план микросегментации
WannaCry вскрыл проблему плоских L2-сетей: бухгалтерия, производство и ИТ в одном сегменте. Идём к клиентам с аудитом топологии и планом VLAN + ACL.
-
Информационная безопасность
WannaCry: анатомия атаки - EternalBlue, DoublePulsar, дроппер, шифровальщик
12 мая 2017 WannaCry заразил сотни тысяч машин через EternalBlue. Разбираем цепочку: эксплойт, имплант, дроппер, шифрование. Наши клиенты не пострадали - MS17-010 стоял с марта.
-
Информационная безопасность
WannaCry: чеклист реагирования - SMBv1, MS17-010, kill switch, изоляция, восстановление
WannaCry продолжает распространение. Публикуем рабочий чеклист: отключение SMBv1, патч MS17-010, блокировка 445, kill switch, изоляция и бэкапы.
-
Инфраструктура
Ceph Luminous preview: BlueStore в продакшн и первые замеры против FileStore
Разворачиваем тестовый кластер на Luminous dev-preview: сравниваем IOPS и latency BlueStore vs FileStore на одном железе, смотрим на erasure coding и нюансы миграции OSD.
-
Информационная безопасность
Windows Defender ATP preview: EDR прямо в ОС без агента - смотрим на телеметрию
Microsoft открыл preview Windows Defender ATP - EDR без отдельного агента для Windows 10 и Server 2016. Сравниваем телеметрию с нашим стеком Sysmon+ELK на пилоте.
-
DevOps
Docker Swarm Mode vs Kubernetes: честное сравнение после года в проде
Год с Docker Swarm в продакшне и полгода пилота на Kubernetes. Сравниваем честно: где Swarm выигрывает простотой, а где экосистема K8s уже перевешивает.
-
Регуляторика
187-ФЗ о КИИ: разбираем проект подзаконных актов по категорированию объектов
ФСТЭК опубликовал проекты подзаконных актов к 187-ФЗ. Три категории значимости, критерии, ГосСОПКА. Разбираем что это значит для ТЭК и транспорта.
-
Информационная безопасность
Shadow Brokers: полный дамп - EternalBlue, DoublePulsar в открытом доступе
14 апреля Shadow Brokers слили полный арсенал АНБ: EternalBlue, EternalRomance, DoublePulsar. Экстренная проверка MS17-010 и блокировка 445/TCP у клиентов.
-
Данные и аналитика
Grafana 4 alerting: когда дашборд умеет звонить, и зачем это нужно рядом с Alertmanager
Grafana 4 добавила alerting прямо в дашборды. Переносим часть правил из Prometheus Alertmanager в Grafana и разбираемся, кто за что отвечает.
-
Информационная безопасность
SMBv1 в корпоративной сети: отключаем через GPO после дампа Shadow Brokers
После публикации EternalBlue прошлись по всему парку: отключили SMBv1 через GPO, закрыли 445 между сегментами. Алгоритм проверки и типичные сюрпризы - принтеры, NAS.
-
DevOps
Terraform 0.9: единый remote backend для всей команды
Terraform 0.9 переосмыслил remote state: теперь backend - отдельный блок с инициализацией. Переезжаем на S3 + DynamoDB lock и описываем структуру workspace.
-
Информационная безопасность
Linux auditd как аналог Sysmon: детектирование execve, ptrace и сетевых событий
После внедрения Sysmon на Windows закрываем пробел на Linux: auditd с детализированными правилами, пересылка в ELK через Filebeat. Правила и нагрузка на систему.
-
Автоматизация
Mozilla SOPS vs Ansible Vault: шифрование отдельных полей YAML в GitOps-пайплайне
Протестировали SOPS от Mozilla как альтернативу ansible-vault: шифрование отдельных полей YAML, нормальный diff в git, интеграция с AWS KMS и HashiCorp Vault.
-
Регуляторика
Реестр отечественного ПО в 2017: аудит у клиента с госучастием
Клиент с госучастием попросил аудит ПО на соответствие реестру Минкомсвязи. Разбираем что реально заменить без боли, а где риск выше возможной выгоды.
-
Данные и аналитика
Elastic Beats в продакшне: Filebeat и Metricbeat вместо logstash-forwarder
Заменили logstash-forwarder на Filebeat и Metricbeat на всех серверах - потребление памяти упало в четыре раза. Конфиги модулей, pipeline в Logstash, Kibana-дашборды.
-
DevOps
HashiCorp Vault: dynamic secrets для PostgreSQL, PKI-backend и AppRole в CI/CD
Вынесли все пароли из ansible-vault и конфигов в HashiCorp Vault 0.7: dynamic secrets для PostgreSQL, PKI для внутренних сертификатов, AppRole для CI/CD.
-
Инфраструктура
Storage Spaces Direct на трёх узлах: гиперконвергенция без SAN на GA-релизе
Тестируем Windows Server 2016 S2D в продакшн-конфигурации: три узла с NVMe/SSD, IOPS, latency и поведение при вылете диска - без SAN и без лишних лицензий.
-
Информационная безопасность
MS17-010: патчим EternalBlue до того, как это стало обязательным
Microsoft закрыл критическую дыру в SMBv1 - ту самую, которую АНБ эксплуатировало через EternalBlue. Развернули патч через WSUS, проверили изолированные сегменты вручную.
-
Информационная безопасность
Shadow Brokers: АНБ теряет инструменты, мы проверяем периметр
Shadow Brokers опубликовали первую партию эксплойтов АНБ против Windows и Cisco. Провели инвентаризацию SMBv1 и IKE на периметре, изолировали уязвимые сегменты.