Блог
-
DevOps
CoreOS объявляет rkt: \"Docker небезопасен\" и как с этим жить
CoreOS опубликовал критику модели безопасности Docker и анонсировал собственный container runtime rkt. Разбираемся, что реально беспокоит, и нужно ли нам сейчас что-то менять.
-
Информационная безопасность
Let's Encrypt: EFF и Mozilla объявили о бесплатных TLS-сертификатах через ACME
Ноябрь 2014: EFF, Mozilla и исследователи Michigan объявили инициативу Let's Encrypt - бесплатный CA с автоматизированной выдачей сертификатов по ACME-протоколу.
-
Регуляторика
242-ФЗ и малый бизнес: первый аудит хранения ПДн
Клиенты начали спрашивать про 242-ФЗ. Провели первый аудит по методике: что и где хранится, нужна ли миграция на российский ЦОД.
-
Автоматизация
Ansible Vault: шифруем секреты прямо в репозитории
Ansible 1.7 добавил Vault для шифрования секретов в playbook-файлах. Разбираем процесс миграции с файлов вне git, ротацию ключа и интеграцию с CI.
-
Системное администрирование
WSUS и группа Emergency: как три волны патчей изменили нашу конфигурацию
После Shellshock, POODLE и Sandworm пересмотрели конфигурацию WSUS: добавили группу Emergency с автоодобрением Critical/Security и научились не ждать Patch Tuesday.
-
Данные и аналитика
ETL-витрина данных: CDC вместо полной перезагрузки
ETL-джоб упал по таймауту после роста базы в 2 раза. Внедрили CDC через триггеры на источнике - окно сократилось с 4 часов до 25 минут.
-
DevOps
Fig: один файл вместо трёх команд запуска dev-окружения
Попробовали Fig для описания многоконтейнерного dev-окружения: web + postgres + redis в одном fig.yml. Разработчики сказали «наконец-то» и больше не спрашивают, как всё это поднять.
-
Информационная безопасность
MS14-060: Sandworm получает патч, мы получаем 12 часов гонки
Microsoft закрыла CVE-2014-4114 в октябрьский Patch Tuesday. Пометка Critical и активная эксплуатация in the wild - приоритизация была нулевой. 12 часов на все Windows-хосты.
-
Информационная безопасность
POODLE (CVE-2014-3566): SSLv3 отключаем везде, без исключений
14 октября Google опубликовал POODLE - атаку на SSLv3. К вечеру отключили протокол на всех серверах. Единственная проблема - IE6, который без SSLv3 не умеет в HTTPS.
-
Инфраструктура
OpenStack Juno: обновляем тестовый стенд с Icehouse и переписываем Neutron
Juno вышел - обновили стенд с Icehouse без потери данных, но конфиг Neutron L2-агента несовместим. Разбираем diff конфигов и подводные камни миграции.
-
Системное администрирование
POODLE + IE6: срочная миграция на Firefox ESR в корпоративной среде
Отключение SSLv3 у клиента с 30 машинами на WinXP/IE6 сломало доступ к банк-клиенту. Выход - Firefox ESR, единственный современный браузер, живущий на XP.
-
Информационная безопасность
Два инцидента за полгода: переходим на ежеквартальный аудит безопасности
Heartbleed в апреле, Shellshock в сентябре. Два критических инцидента за полгода - достаточный аргумент, чтобы пересмотреть периодичность аудита инфраструктуры.
-
Информационная безопасность
Shellshock: аудит CGI на Apache после патча bash
После патча CVE-2014-6271 прошлись по всем хостам с mod_cgi. Нашли три CGI-скрипта с bash в shebang - два из них мёртвые. Описываем методику быстрого аудита.
-
Информационная безопасность
Shellshock (CVE-2014-6271): экстренный патчинг под ночь
24 сентября появился Shellshock - критическая уязвимость в bash с удалённым выполнением кода. К 25-му уже гнали патчи по всем Linux-серверам, CGI на Apache - первый приоритет.
-
Информационная безопасность
Bash после Shellshock: три CVE за три дня и мониторинг версии пакета
Первый патч Shellshock оказался неполным - за три дня вышло ещё три CVE для того же механизма. Настроили мониторинг версии bash через Zabbix с триггером на несоответствие.
-
Информационная безопасность
Sandworm и CVE-2014-4114: проверяем патчи до публикации CVE
Аналитики iSIGHT предупредили об APT-группе Sandworm, использующей уязвимость в Windows OLE. Проверили патч MS14-060 на всех Windows-хостах - двух серверов в списке не оказалось.
-
Системное администрирование
Патч-менеджмент: Shellshock показал, где у нас прорехи
Shellshock вскрыл слабое место в процессе управления патчами. Ввели жёсткий регламент по CVSS и автоматизировали уведомления через RSS-фиды NVD.
-
DevOps
CoreOS: ОС как платформа для контейнеров, или зачем выбрасывать yum
Пощупали CoreOS после выхода из бета: Docker-контейнеры вместо пакетов, fleet для кластера, etcd как мозг. Интересно, но в клиентскую эксплуатацию пока не берём.
-
Данные и аналитика
Grok-паттерны для логов 1С: день на отладку, зато теперь видно что происходит
Потратили день на написание grok-паттернов под нестандартный формат логов 1С Предприятия. Описываем подход: сначала Grok Debugger, потом конфиг Logstash.
-
Регуляторика
Astra Linux Special Edition: обзор по запросу госклиента
Провели обзор Astra Linux SE для клиента из госсектора: сертификат ФСТЭК по 4-му уровню есть, совместимость с корпоративным ПО ограничена, на АРМ без сложного прикладного - работает.