DevOps FM

Github запустил Code Scanning — функцию сканирования кода на уязвимости

GitHub запустил в тестовом режиме сервис Code Scanning, основанный на алгоритмах машинного обучения.

Инструмент сканирует код и выявляет в нем распространенные типы уязвимостей. Пока функция работает только в репозиториях с JavaScript и TypeScript кодом.

DevOps'ам привет! 🦾

Здесь по ссылке - запись свежего митапа по Keycloak от Слёрм и X5 Tech. Что это за зверь такой, в чем там проблема-то, и как решать?

А во вложении ниже презентации выступающих. В общем, полезного много. Приятного изучения и хорошей недели!👍🏼

Как применять инструменты IaC в облаке

📌 Для переноса ресурсов в облако нужны специальные знания. Без них можно не только не получить ощутимых преимуществ, а наоборот — еще больше усложнить инфраструктуру, понизить ее стабильность и увеличить расходы на содержание.

🟢 О том, какими инструментами нужно владеть, чтобы управлять облачной инфраструктурой и получать максимум пользы, можно узнать на вебинаре от VK Cloud Solutions.

🔜 Когда: 24 февраля 2022, 17:00 мск

➡️ Регистрация здесь ⬅️

♾ ♾ ♾

✔️ Вебинар будет интересен DevOps-инженерам, системным администраторам, SRE-инженерам, разработчикам и другим техническим специалистам.

Случилось большое событие - выпущена версия Zabbix 6.0 LTS

Zabbix активно используется компаниями и корпорациями разной направленности по всему миру, поэтому основной целью релиза Zabbix 6.0 LTS было предоставить наиболее востребованные функции, покрывающие широкий спектр различных аспектов мониторинга.

B вот они:

🔹 HA кластер Zabbix Server из коробки. Не забываем, что кластер БД надо делать отдельно.
🔹 Новый функционал Machine learning. На практике это более продвинутые триггеры, которые могут предсказывать события на основе поступающих метрик.
🔹 Долгожданный шаблон для Kubernetes.
🔹 Новые виджеты для дашборда, в том числе geomap.
🔹 Мониторинг бизнес метрик и соответствие SLA.
🔹Новый журнал аудита. Полностью переписан весь механизм аудита, в том числе визуализация. Будут фиксироваться изменения не только на frontend, как сейчас, но и на сервере.

Помимо новых функций, Zabbix 6.0 LTS также включает множество улучшений UI/UX и повышение производительности, а также новый набор шаблонов мониторинга и интеграций для самых популярных вендоров, таких как pfSense, F5, Mikrotik, Dell, HPE и многих других.

В дополнение к функциям и улучшениям, добавленным в Zabbix 6.0 LTS, новая версия также включает изменения, представленные в предыдущих не-LTS релизах - Zabbix 5.2 и Zabbix 5.4.

Для тех, кто хочет изучить и обсудить функции, которые ждут вас в Zabbix 6.0 LTS, присоединяйтесь к вебинару, который состоится (внимание) уже завтра,
17 февраля, в 10:00 мск. Зарегистрироваться здесь ✅.

В GitHub добавили поддержку диаграмм Mermaid

В GitHub появилась возможность добавлять в md-файлы динамические диаграммы с помощью генератора Mermaid. До этого диаграммы вставлялись в виде изображений или «рисовались» с помощью символов из ASCII-таблицы. Теперь же полноценную поддержку схем добавили в синтаксис разметки Markdown.

Mermaid — инструмент для построения диаграмм и графиков, основанный на JavaScript. С его помощью можно динамически создавать блок-схемы, UML-диаграммы, графики коммитов и диаграммы Ганта. Команда GitHub объединилась с разработчиками из CommonMark и добавила нативную поддержку синтаксиса Mermaid на платформу.

Ozon Tech PostgreSQL Meetup


🗓 24 февраля (ЧТ) 16:00–19:00 (мск) состоится онлайн-митап, посвященный одной из самых популярных БД.

1. О PostgreSQL, как о сервисе для внутреннего заказчика - Алексей Игнатов, руководитель группы PostgreSQL DBA и Дмитрий Васильев, эксперт разработки информационных систем

2. Как управлять бакапами в высоконагруженной среде - Григорий Смолкин, ведущий инженер инфраструктуры

Круглый стол с представителями Avito, Yandex.Cloud, Сбер, PostgresPro.

➖➖➖

✅ Регистрация на мероприятие

HTB EarlyAccess. Эксплуатируем веб-уязвимости и мисконфиги Docker

В этой статье Хakep.RU показан про­цесс экс­плу­ата­ции несколь­ких веб‑сер­висов через раз­ные уяз­вимос­ти и тех­ники, начиная с XSS и SQL-инъ­екций и закан­чивая LFI и инъ­екци­ей команд ОС. А потом автор выбирается из Docker на основную сис­тему и заходит в дру­гой Docker, что­бы эту сис­тему порутить.

В общем, уро­вень слож­ности — Hard, но, как известно, чем сложнее пазл, тем интереснее его собирать.😏

Non progredi est regredi

- гласит крылатое выражение на латыни. Конечно каждый знает, что оно означает: не идти вперед - значит идти назад. А чтобы идти вперед, нужно постоянно учиться чему-то новому.

Итак, предлагаем DevOps-инженерам поучаствовать в бесплатном онлайн-митапе JUG.ру: Упрощаем интеграционные тесты
с помощью Testcontainers.

Когда? Уже завтра, 15 февраля в 18:00 (МСК).

Testcontainers — популярный фреймворк для тестирования приложений на Java, Go, Node.js, Python и Rust. Он позволяет создавать легковесные экземпляры баз данных, веб-браузеров или чего-либо еще, что можно запустить в Docker-контейнере.

Доклад будет полезен всем, кто хочет добавить в уже работающий проект интеграционные тесты, но при этом не хочет управлять внешними сервисами в ручном режиме. После доклада можно будет задать интересующие вас вопросы.

Зарегистрироваться можно по ссылке.

Container image: доставить это немедленно

В Рунете мало информации о том, как ускорить доставку container image. В этой статье описан опыт компании VK, который поможет администраторам больших контейнерных инсталляций ускорить доставку образов на конечные узлы, организовать альтернативный источник их получения и сделать этот процесс отказоустойчивым.

⚡️России создадут аналог GitHub для программных продуктов, созданных на бюджетные средства

Минцифры в мае этого года начнет эксперимент по созданию российского аналога Github. Там будут представлены программные продукты под открытой лицензией, созданные на бюджетные средства, например, исходные коды и программы, которые были созданы для Минцифры, МВД, Росреестра, Пенсионного фонда и других госорганов. Российские разработчики и компании смогут на добровольной основе публиковать там свои программы.

Доступ к национальному репозиторию будут иметь все физические и юридические лица «без ограничений по национальному, территориальному и иным признакам».

Обслуживать и размещать на своей IT-инфаструктуре национальный репозиторий будет отдельный оператор. Его определит Российский фонд развития информационных технологий в ближайшее время.

В январе 2020 года Минэкономики РФ предложило создать аналог GitHub за 2,1 млрд рублей. Тогда ведомство пояснило, что отечественный GitHub необходим на случай отключения России от GitHub и других подобных репозиториев «из-за репутационных и санкционных рисков».

Кстати, в России уже была одна попытка создать национальный репозиторий, которую предпринял Национальный фонд алгоритмов и программ в 2014 году по заказу Минкомсвязи. Но этот проект провалился.

❔Что думаете об этой идее?

🔹Terraform модуль для создания RBAC правил

Девопсы компании Nixys написали terraform-модуль для создания RBAC-правил, который позволяет создавать сервисные аккаунты и пользователей, а затем генерировать готовые конфигурационные файлы (kubeconfig) для них. Также с его помощью можно создавать роли, кластерные роли, и привязывать их к определенным сервисным аккаунтам, пользователям или группам. И Алексей Арчимаев написал о модуле статью, ознакомиться можно здесь.

Начиная с Kubernetes 1.6, RBAC политики включены по умолчанию. К тому же их использование помогает безопасно управлять вашим кластером. Раньше приходилось вручную создавать подобные политики, сервисные аккаунты и пользователей. И так как не удалось найти готового решения, соответствующего необходимым требованиям, было принято решение написать terraform-модуль, который упрощает процесс.

Terraform-модуль помог ощутимо повысить эффективность команды: раньше на создание RBAC-политик тратилось от 20 до 60 минут, сейчас на это уходит от 5 до 10 минут.✅

∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞ ∞∞ ∞ ∞ ∞

DevOps'ам привет!

Сразу к делу. В этой статье собраны 30 лучших Python-проектов на GitHub на начало 2022 года. В ней представлены именно репозитории с наибольшим количеством звёзд, со всеми ссылками.

Итак, предлагаем ознакомиться с лучшими репозиториями, которые: ✔️повышают производительность; ✔️облегчают машинное обучение; ✔️облегчают реальную жизнь; ✔️собирают и систематизируют полезную информацию; ✔️ чему-то учат , ✔️а также с репозиториями с фреймворками.

В общем, каждый из вас определенно найдет в этом списке что-то интересное для себя.👌🏼

❗️Уязвимость в Argo CD позволяет воровать данные с помощью диаграмм Helm

Уязвимость в инструменте Argo CD, используемом для развертывания приложений в Kubernetes, может использоваться для бокового перемещения, повышения привилегий и хищения конфиденциальной информации, включая пароли и ключи API, сообщает Xakep.RU.

Стоит отметить, что Argo CD официально используется множеством крупных компаний, включая Alibaba Group, BMW Group, Deloitte, Gojek, IBM, Intuit, LexisNexis, Red Hat, Skyscanner, Swisscom и Ticketmaster.

Проблема, обнаруженная в конце января специалистами компании Apiiro, носит идентификатор CVE-2022-24348 (7,7 балла по шкале CVSS) и затрагивает все версии Argo CD. Баг уже устранен в свежих версиях 2.3.0, 2.2.4 и 2.1.9.

Уязвимость относится к типу path-traversal (обход каталога) и позволяет злоумышленникам загружать специально подготовленные YAML-файлы Helm Chart, «выходя» из своей экосистемы приложений и получая доступ к данным других приложений, которые должны находиться за пределами области действия пользователя.

Оформляем README-файл профиля на GitHub

Летом 2020 года GitHub позволила пользователям создавать персональные README-файлы и с их помощью кастомизировать свои профили. Сама платформа при создании подобного файла предлагает уже готовый шаблон, в который можно вписать свои данные.

Но о какой кастомизации может идти речь, если у всех будут одинаково оформленные профили? За почти два года сообщество придумало множество различных способов выделиться и особенно оформить свою страницу на GitHub. Подробнее о всех фишках, а также (внимание) о генераторах, которые помогут оформить профиль читайте по ссылке.

Разработчиков топ-100 пакетов npm обязали использовать 2ФА

Администраторы Node Package Manager (npm) приняли решение обязать владельцев ста наиболее популярных (по количеству зависимостей) библиотек использовать двухфакторную аутентификацию.

На такие меры разработчики npm были вынуждены пойти из-за участившихся атак на цепочку поставок и взломов.

Новое требование безопасности вступило в силу 1 февраля 2022 года.

P.S.: Псс, не стоит использовать слишком простые пароли, или одни и те же пароли на разных сайтах 🤫

♾ Каждый DevOps-инженер не понаслышке знает, что на скорость работы сервера может влиять оочень много самых разных факторов, и найти причину замедленной работы подчас нелегко.

🗣 Александр Рогозянов по специфике своей работы в Nixys сталкивается с самыми разными конфигурациями серверной инфраструктуры клиентов. И сегодня он решил поделиться своим опытом поиска первопричины сбоев в работе редис-кластера, которая вылилась в большие временные затраты, но могла быть решена намного быстрее.

✅ Если вы начинающий администратор, или просто столкнулись с аналогичной проблемой и пока не нашли решение, для экономии драгоценного времени рекомендуем ознакомиться с этой статьей

Microsoft рассказала, что отразила рекордную DDoS-атаку на облако Azure на 3,47 Тбит/с

Microsoft выпустила отчёт по DDoS-атакам за 2021 год, в котором рассказала о нескольких крупных атаках на азиатских пользователей Azure, одна из которых произошла в ноябре.

Пиковая мощность атаки достигла показателя в 3,47 Тбит/с и объёма до 340 млн пакетов в секунду. Она исходила примерно из десяти тысяч источников из множества стран, включая США, Китай, Южную Корею, Россию, Таиланд, Индию, Вьетнам, Иран, Индонезию и Тайвань.

В декабре прошло ещё две атаки. По словам Microsoft, все их удалось отразить благодаря защите от атак DDoS Azure, поэтому клиенты компании не пострадали.