Путь Админа

Рад был помочь! Ваш, @SaveAsBot

Подъехали эмодзи наших чатов

💪 @itmankz

🛒 @itbazarkz

👨‍🔬 @workitkz

👀 @cctvkz

📞 @sipvoipkz

🐧 @kzlug

✍️ @rootway

🌐 @ethkz

🛠️ @diykz

😆 @devnullkz

♾️ @allkzit

🧾 @kz_1c

🙃 Заключённые взломали тюремную сеть и сокращали себе сроки

В Румынии произошёл первый случай, когда заключённые реально взломали государственную тюремную систему. Осуждённый за киберпреступления запомнил логин администратора во время лечения в больнице и, вернувшись в колонию, использовал его, чтобы войти в систему IMSweb. Доступ позволил менять сроки заключения, переводить деньги, регистрировать визиты и даже улучшать условия содержания.

Аномальные траты заметила бухгалтер тюрьмы — после покупок баланс заключённых не уменьшался. Расследование показало, что хакеры провели в системе более 300 часов, а выгоду получили не менее 15 человек. Теперь проверяют всю цифровую инфраструктуру, созданную на деньги ЕС.

🥸 godnoTECH - Новости IT

Государственный руткит на экспорт: Как Китай продает технологию тотальной слежки 😶

Тут подъехала, возможно, самая жирная новость года. Утечка более 100 000 внутренних файлов из китайской конторы Geedge Networks вскрыла то, о чем мы догадывались, но боялись говорить вслух. Китай уже не просто строит свой Великий файрвол, он продают его в коробке другим странам.

Расследователи уверенно атрибутируют четыре иностранных клиента: Казахстан (K18/K24), Пакистан (P19), Эфиопия (E21), Мьянма (M22) и ещё один клиент (A24) не идентифицирован.

Ядро системы - аппаратно-программный комплекс Tiangou Secure Gateway (TSG), который ставится на магистральные каналы и точки обмена трафиком. Сверху накатывается красивая веб-морда Cyber Narrator для управления всем этим зоопарком. Функционал - истинная мечта 😨. Система умеет проводить глубокую инспекцию пакетов (DPI) с ML-классификаторами, блокируя протоколы, домены и анализируя шифрованный трафик по метаданным. В Мьянме, например, в ее базе уже 281 VPN-сервис для блокировки. Но это не просто файрвол. Это полноценная платформа для MITM-атак на уровне государства. Она может перехватывать нешифрованный трафик (в утечке есть примеры email'ов с вложениями) и, что самое страшное, внедрять вредоносный код прямо в трафик на стороне провайдера.

В утечке описана любопытная цепочка поставок. Может показаться, что это все суверенные китайские технологии, но как бы не так. В документах для Пакистана фигурируют packet broker'ы от Niagara Networks (США), L2/L3-коммутаторы H3C и лицензионные ключи от Thales Sentinel (Европа). Без валидной лицензии от Thales файрвол просто перестает работать. Дружное сотрудничество, однако 😱

Эта система уже развернута как минимум в четырех странах. В Мьянме запилили полноценный прод, который мониторит до 81 миллиона одновременных соединений на оборудовании в 26 дата-центрах. В Пакистане целая связка из интернет-файрвола и системы прослушки телефонов LIMS. А в Эфиопии, судя по логам, система имеет два режима (monitor и interfere). И она случайно переключалась в режим interfere прямо во время массовых протестов. Это не баг, это фича.

Что будет дальше? Дальше будет только хуже веселее. ML-модели будут все лучше отличать неправильный трафик (QUIC, ECH), а универсальные VPN будут жить все меньше. Скорее всего, мы увидим переход к мягким белым спискам, когда по умолчанию будет деградировать весь неопознанный шифрованный трафик. И, конечно, экспорт репутационных систем, когда для выхода в интернет понадобится KYC.

В общем, это очень удобно. Не нужно думать о настройке ACL и VPN для каждого сотрудника. Можно просто купить одну большую ACL на всю страну 🎩

Ниже, в образовательных целях, разбор скриншотов с утечки, приятного просмотра:
1 - Дашборд Мьянмы
2 - Дашборд Cyber Narrator
3 - Админка Appsketch
4 - Дашборд Network Zodiac
5 - Дашборд системы мониторинга города

Типичный 🥸 Сисадмин

По запросам тех кто пропустил

🤖35-килограммовый гуманоидный робот тянет автомобиль весом 1,4 тонны

В сети появилось видео испытаний Unitree G1, проведённых китайскими исследователями академии ИИ. Робот смог отбуксировать машину с находившимся внутри водителем.

Модель высотой 127 см имеет до 43 степеней подвижности и стоит от $16 тысяч.

@sputnikKZ

Учёные из Огайо превратили грибы — шампиньоны и шиитаке — в живые микросхемы, способные обрабатывать до 5 850 сигналов в секунду и запоминать их с точностью 90%. Такие «грибные чипы» не требуют редких металлов, потребляют мало энергии и полностью разлагаются в природе. Исследователи использовали мицелий для создания мемристоров — устройств, сохраняющих память о электрической активности, что может стать основой для экологичных вычислительных систем. Эти органические микросхемы потенциально могут заменить традиционные в низкоэнергетичных и специализированных приложениях, от носимых гаджетов до космических сенсоров, хотя пока они уступают по скорости и надёжности кремниевым чипам.

Самое время рассказать про некроботов! Возможно, вы читали о них пару лет назад, - речь не об отчетах антропологов с Гаити, а о вышедшем в 2022 году исследовании, в котором показали, как сделать из мертвого паука некробота, при помощи шприца регулируя давление внутри его тела (на видео). Но некроботика не стоит на месте. Вот что пишет о ее новых успехах Павел Лукша (это очень интересный исследователь, проектировщик и создатель будущего, он на днях завел свой тг-канал):

«На прошлой неделе я выступал в качестве keynote одной глобальной конференции, но хочу поделиться не этим, а историей человека, который выступал прямо передо мной. Рауль Родригес - один из основателей направления, которое называется "некроботика". Греческое слово "некрос" означает "мертвый", и это именно то, что вы подумали.

Но сначала контекст. Университет Рауля много работает с проектами, ориентированными на сельскую Индию. Эта часть Индии очень многочисленна (более 700 миллионов человек) и чудовищно бедна - большинство живёт на 1.5-2 доллара в день, в условиях, когда нет ни электричества, ни водопровода, ни другой инфраструктуры, привычной городскому человеку. Медицинского обслуживания тоже, по сути, нет - один врач приходится в среднем на 100 тысяч человек населения. Соответственно, многие типы болезней в сельской Индии не лечатся просто потому, что это некому делать. Среди них - относительно простые в медицинском смысле, такие как удаление катаракты.

И как-то раз Раулю пришла в голову мысль: а что, если такую операцию мог бы взять на себя медицинский робот, но не классический из стали и кремния, а частично состоящий из органической материи? И они с коллегами стали экспериментировать с возможностью создать такого робота из мертвого паука. Засушенный паук с внедренными в него наночипами оказывается тонким и точным манипулятором, который может провести операцию на катаракте за семь минут (человеку требуется около получаса). Управлять таким некроботом может медсестра со средней квалификацией - с учётом того, что основную работу делает ИИ, запущенный на портативном компьютере (вся система может питаться от солнечной батареи и не нуждаться в подключении к сети). В итоге - пациенты, у которых, по сути, нет никакой надежды (скорее ослепнут, чем до них доберется очередь плановой операции), получают свой шанс. Проект активно растет, сейчас уже действует в 80+ сельских клиниках.

Звучит это очень футурологично - и одновременно очень жутко. Понятно, что в природе круговорот живой и мертвой материи идёт постоянно. Человеческая цивилизация тоже окружает себя управляемой смертью разного рода: нам привычно есть мертвые тела животных, носить одежду и строить жилища из мертвых растений, и прочее. Но есть чувство нарушенного табу, когда цифровые системы анимируют умершее живое и превращают его в органы своих неживых систем. Словно открывается дверь в кошмарные миры, которую совсем не стоит открывать…»

(раздается скрип двери)

Напоминаю что ежегодные опросы про уровень зарплат айтишников в Казахстане будут активны еще неделю.
ЗП указывается НА РУКИ!
В этом году:
сетевик, админ, 1сник, девопс, телефонист, ибшник, схемотехник, монтажник СКС. Добавились руководитель отдела, бизнес аналитик и DBA
Все опросы в канале https://t.me/rootway/1492

Amazon наконец выкатил детальный разбор недавнего падения половины интернетов из-за`us-east-1`, и это чтиво для настоящих ценителей каскадных сбоев. Корень зла, как оказалось, в автоматике, управляющей DNS-записями для DynamoDB.

Чтобы понять механику сбоя, нужно вникнуть в их архитектуру. У них есть два независимых компонента: DNS Planner, который мониторит балансировщики и создает планы обновления DNS, и DNS Enactor, который эти планы применяет через Route 53. Для надежности в каждой зоне доступности работает свой независимый Enactor (или применяющий компонент). Все началось с того, что один Enactor столкнулся с аномально высокими задержками и завис, пытаясь применить старый план. В это время Planner продолжал генерировать новые, более свежие планы. Другой, более быстрый Enactor, подхватил свежий план, быстро его применил и запустил процедуру очистки. В рамках этой очистки он удалил тот самый старый план, с которым все еще возился первый, зависший Enactor. И ровно в этот момент первый Enactor наконец завершил свою затянувшуюся работу и применил свой, уже удаленный из системы, план. В итоге для регионального эндпоинта dynamodb.us-east-1.amazonaws.com была создана пустая DNS-запись, а система вошла в неконсистентное состояние, заблокировав дальнейшие автоматические обновления.

Дальше начался каскадный ад. Внутренний сервис EC2 под названием DropletWorkflow Manager (DWFM), отвечающий за управление жизненным циклом физических серверов, критически зависит от DynamoDB. Когда DNS отвалился, DWFM перестал продлевать временную блокировку (leases) на физические хосты. После того, как DNS для DynamoDB подняли вручную, DWFM попытался пересоздать аренду для всего парка EC2 в регионе одновременно. Это вызвало состояние, которое инженеры Amazon назвали congestive collapse, типа "застойный коллапс", когда система захлебнулась в собственном потоке задач на восстановление, и ее пришлось реанимировать вручную, выборочно перезапуская хосты.

Этот коллапс вызвал огромную очередь на обновление сетевых конфигураций в Network Manager, из-за чего новые инстансы EC2 запускались без сети. Это, в свою очередь, привело к хаосу в Network Load Balancer: хелсчеки новых инстансов проваливались, NLB выкидывал их из ротации, потом сеть поднималась, хелсчек проходил, NLB возвращал их обратно. Эта постоянная чехарда вызвала деградацию самого сервиса хелсчеков. Ну а дальше по цепочке посыпались Lambda, ECS, EKS, Fargate и все остальные, кто зависит от нормальной работы EC2.

В итоге система, созданная для предотвращения сбоя, вызвала сбой. Система, созданная для восстановления после сбоя, рухнула от нагрузки во время восстановления. Вот вам и отказоустойчивость 🎩

Типичный 🥸 Сисадмин

Вопрос дня:
Если на микротике в докере запустить спланк и сурикату, можно ли будет считать его фаерволом с ips?