TGViewer
Channel Public Channel
DevOps MemOps

DevOps MemOps

@devops_memops

Всё о DevOps

Для связи - @raz_raz
Заказать рекламу через биржу: https://telega.in/c/devops_memops
Open in Telegram
Subscribers
6.31K
Photos
3.4K
Videos
535
Links
5.4K

Showing posts older than #8076 · Back to latest

Older Posts 20 shown
Post #8073 1.45K
nodes/proxy GET: Лишнее разрешение Kubernetes

RBAC-разрешение nodes/proxy GET позволяет любому ServiceAccount выполнять код внутри любого Pod в кластере, не оставляя ни единого следа в журналах аудита. В этой статье подробно описана проблема, способы проверки уязвимости, необходимые исправления и превентивные меры, которые можно принять, если вы не можете сразу применить патч.


📌 Подробнее: https://blog.zwindler.fr/en/2026/05/19/nodes/proxy-get-one-kubernetes-permission-too-many

MemOps🤨
Zwindler's Reflection nodes/proxy GET: One Kubernetes permission too many TL;DR This is a bit old now, but I still wanted to share a quick write-up on the topic.\nBack in January, a cybersecurity researcher reported a Kubernetes flaw that generated quite a buzz. It had been a while since we had a Kube vulnerability that got people…
  • 👍 1
Post #8071 1.47K
В статье "We Tested Copy Fail in Kubernetes: PSS Restricted and RuntimeDefault Did Not Block AF_ALG" детально изучается уязвимость ядра CVE-2026-31431 (писали о ней тут и тут) в рамках ее эксплуатации в Kubernetes c разными механизмами защиты. Из нее можно узнать, что:
- Pod без root прав,
- Pod с отключёнными capability,
- Pod c RuntimeDefault профилем для seccomp,
- Pod c Pod Security Standards в режиме Restricted,

Все равно может быть проэксплуатирован через CVE-2026-31431.

В качестве тестовых окружений исследователи взяли OS Talos и EKS на Amazon Linux.

Спасти нас тут могут специально созданный seccomp профиль и обновление самого ядра.


📌 Подробнее: https://juliet.sh/blog/we-tested-copy-fail-in-kubernetes-pss-restricted-runtime-default-af-alg

MemOps🤨
Juliet Copy Fail in Kubernetes: RuntimeDefault Did Not Block AF_ALG - Juliet We tested CVE-2026-31431 Copy Fail on Talos and EKS. RuntimeDefault did not block AF_ALG, Localhost seccomp blocked the path, and the CVE is now in CISA KEV.
  • ❤ 2
Post #8068 1.43K
Написать NetworkPolicy — полдела, вопрос в том, как убедиться, что она реально работает так, как вы задумали. Статический анализ манифестов тут бессилен: он не знает ни про CNI, ни про то, кто и куда на самом деле дотягивается в вашем кластере. Тут в тему kubesonde — оператор, который не читает YAML, а активно прощупывает связность между Pod'ами изнутри кластера.

Работает так: ставите CRD и создаете объект Kubesonde с указанием неймспейса и режима (probe: all). Дальше он в каждый Pod подкидывает ephemeral container (по умолчанию instrumentisto/nmap для проб и свой gonetstat для наблюдения за открытыми портами) и начинает гонять коннекты во всех направлениях. Результат забирается через port-forward и curl localhost:2709/probes в JSON, который можно закинуть в их же веб-UI и посмотреть матрицу «кто до кого дошел». Есть непрерывный режим, исключения-включения по селекторам и, самое интересное, возможность прописать в спеке ожидаемый исход (action: Allow / Deny) — то есть это уже не сканер, а тесты на вашу сетевую изоляцию, которые можно гонять в CI после каждого изменения политик.

Инструмент академический — Apache 2.0, 18 звезд, вырос из работы Analyzing Microservice Connectivity with Kubesonde на ESEC/FSE 2023 и используется как рантайм-часть в исследовании сетевых мисконфигов в Helm-чартах, о котором мы писали недавно. Инструмент явно для dev/test/stage окружений, но ни как ни для prod.


📌 Подробнее: https://github.com/kubesonde/kubesonde

MemOps🤨
GitHub GitHub - kubesonde/kubesonde: Kubesonde: network policy testing and verification in K8s Kubesonde: network policy testing and verification in K8s - kubesonde/kubesonde
  • ❤ 3
Post #8065 1.47K
uncloud — лёгкий инструмент для развертывания и управления контейнеризованными приложениями в сети Docker-хостов. Мост между Docker и Kubernetes.

📌 Подробнее: https://github.com/psviderski/uncloud

MemOps🤨
GitHub GitHub - psviderski/uncloud: A lightweight tool for deploying and managing containerised applications across a network of Docker… A lightweight tool for deploying and managing containerised applications across a network of Docker hosts. Bridging the gap between Docker and Kubernetes ✨ - psviderski/uncloud
  • ❤ 3
Post #8063 1.56K
Подборка интерактивных тренажеров для DevOps

▪️ Deadnodes — тренировка в формате production-инцидента: получаем сломанное окружение, ищем root cause и восстанавливаем систему. Есть сценарии по Linux, Kubernetes, networking и базам данных.

▪️ iximiuz Labs — набор hands-on лабораториий с Linux, контейнерами и Kubernetes. Можно самостоятельно разбирать networking, container internals и troubleshooting-сценарии разной сложности.

▪️ Anycast и BGP — меняем маршруты и отключаем PoP, чтобы посмотреть, что происходит с трафиком и TCP-соединениями. Можно разобрать проблемы с long-lived connections и capacity при отказе части инфраструктуры.

▪️ Kubernetes Scheduler Simulator — практика работы с Filter/Score, resource requests, taints и tolerations. Можно посмотреть, почему Pod оказывается Pending, и сравнить стратегии размещения.

MemOps🤨
Deadnodes DevOps troubleshooting practice with scenarios Deadnodes runs real incident labs for teams that want practical DevOps training.
  • 👍 5
Post #8060 1.43K
Создание консоли безопасности Kubernetes с открытым исходным кодом с использованием MCP

Об этом и идёт речь в данной серии: о создании консоли безопасности Kubernetes с открытым исходным кодом, которая собирает данные о состоянии безопасности, уязвимостях, политиках и работе в реальном времени, по возможности представляет их в виде нативных объектов Kubernetes и подключает эти данные к серверу MCP, чтобы ИИ-агент мог помогать с классификацией инцидентов по всему стеку.


📌 Подробнее: https://cloudsecburrito.com/building-an-oss-kubernetes-security-console-with-mcp

MemOps🤨
CloudSecBurrito Building an OSS Kubernetes Security Console Use CRDs, MCP, and open source security signals to build a Kubernetes investigation layer for runtime, posture, policy, and vulnerability triage.
  • ❤ 2
Post #8057 1.67K
🐳 Docker выпустила Sandboxes - изолированные среды специально для AI coding agents.

Идея простая: дать агентам вроде Claude Code, Codex, Gemini CLI, Copilot CLI, OpenCode и Kiro больше свободы, но не давать им свободно ломать хост-систему.

Каждый агент запускается в отдельной microVM и получает только рабочую директорию проекта. Внутри он может:

- устанавливать пакеты;
- менять конфиги;
- запускать сервисы;
- поднимать собственные Docker-контейнеры;
- выполнять долгие задачи без постоянного подтверждения действий.

При этом Docker позволяет отдельно контролировать filesystem, network и credentials, а сам sandbox после работы можно просто удалить.

Это инфраструктурный слой для эпохи автономных coding agents: агенту дают почти полный контроль внутри песочницы, но хост остаётся изолированным.


📌 Подробнее: https://www.docker.com/products/docker-sandboxes/

MemOps🤨
  • ❤ 5
Post #8044 1.39K
Создание ИИ—агента, который управляет вашими операциями SRE - Чему я научился, что работает и как Вы тоже можете это сделать

Не более разумное оповещение. Не лучшая панель мониторинга. Настоящая логическая система, которая читает Splunk, запрашивает AppDynamics, проверяет модули Kubernetes, выполняет поиск в Confluence runbooks, просматривает то, что недавно было развернуто GitLab, и возвращается с диагнозом и предлагаемыми действиями.


📌 Подробнее: https://blog.stackademic.com/building-an-ai-agent-that-runs-your-sre-operations-what-i-learned-what-works-and-how-you-can-do-8a3801124bdc

MemOps🤨
Medium Building an AI Agent That Runs Your SRE Operations — What I Learned, What Works, and How You Can Do It Too Every SRE team has the same story. Here is how we change the ending.
Older posts →
Threads Profile ViewerView any public Threads profile without an account.Open ThreadLook →Writing with AI? Make it sound human.Metric37 rewrites AI drafts so they read naturally. Free AI detector, 1,500 words free.Try Metric37 →