Лига сисадминов

Наш душевный спагетти-код, их бездушный нейрослоп 😏 #ит_юмор #ai

Кластер высокой доступности с Pacemaker и Corosync на RHEL-based дистрибутивах Непрерывная доступность критичных приложений для бизнеса в цифровой среде обязательна. Кластер высокой доступности (HA) дает механизмы резервирования и failover, без которых простой не сократить: сервисы остаются онлайн даже при отказе серверов. В экосистеме RHEL-based дистрибутивов Pacemaker и Corosync - два мощных инструмента для…

Как пакет проходит через ядро Linux Большинство инженеров знают: XDP - это быстро, а nftables - «та самая штука-файрвол». Но мало кто понимает, почему под нагрузкой они ведут себя так по-разному. Ответ в том, где в ядре каждый из них работает. Чтобы рассуждать о том, куда вешать хук, об ошибках верификатора, дизайне map или о скорости обработки пакетов, вам нужна одна вещь: ясная картина того, как пакет на самом…

Docker Compose: тюнинг контейнеров с помощью ulimits и shm_size Лимиты CPU и памяти обычно покрывают очевидные ресурсы. Но еще две опции решают специфические задачи: ulimits - для лимитов ядра и shm_size - для разделяемой памяти. https://telegra.ph/Docker-Compose-tyuning-kontejnerov-s-pomoshchyu-ulimits-i-shm-size-10-03 #ит_статьи #devops #linux #docker #docker_compose #containers

Trynix - тестируем классические Linux-утилиты, ничего не устанавливая Хотите проверить кое-что в старой версии Python, скажем, в той, что из 2017 года, просто чтобы понять, оттуда ли баг, за которым вы охотитесь. Обычно это значит разыскивать Docker-образ или старый бинарник Python, чтобы прогнать свои тесты. А с trynix кликаете по ссылке, и хоп, у вас shell с вашей утилитой. Сайт сделан Farid Zakaria, который…

Читать можно. Писать — нет NVIDIA выпустила Open Agent Safety Platform . Вместе с ней — OpenShell 0.1.0. Это не новый агент. OpenShell не заменяет Codex, Claude Code, Hermes и прочие, а оборачивает их запуск. Агент сидит в песочнице: на уровне ОС ограничиваются файлы и процессы. Рядом Supervisor проверяет исходящий трафик — HTTP, GraphQL и MCP. Политики пишут на YAML. Дальше они компилируются в правила OPA Rego и…

Seccomp в K8s 3/3: измеряем, оцениваем и масштабируем Я уже который пост описываю одну и ту же сквозную мысль: можно часами собирать seccomp-профили ручной выделки и говорить, что все стало безопаснее, но сами по себе мы этого не знаем. Мы просто предполагаем. И даже когда мы хотим измерить, «хороший» ли конкретный seccomp-профиль, прийти к этому решению - та еще сложность. Например, чтобы решить, «хороший» ли…

Seccomp в K8s 2/3: обходы и брейкауты В другом посте я в основном описывал операционную нагрузку от ведения seccomp-профилей и описывал сценарии, где профиль может быть не таким эффективным, как мы думаем. Это тот пост, где я хотел вернуться к взгляду атакующего. У вас есть контейнер. Seccomp включён. Профиль выглядит разумно - нет bpf, нет ptrace, сетевые syscalls ограничены. Что делаем? Пока я собирал это…

Планы на 3 октября — прийти на RWB Infra x Security Meetup Мы направим прожекторы на инфраструктуру и информационную безопасность — туда, где за привычными решениями скрываются сложные инженерные задачи, компромиссы и неочевидные риски. Будем разбирать реальные кейсы, искать узкие места, обсуждать и показывать решения, которые помогают инфраструктуре и безопасности выдерживать рост. Когда: суббота, 3 октября, старт…

Seccomp в K8s 1/3: собираем небезопасные и неполные профили Идея seccomp-профиля для контейнера простая: ваш контейнер делает хорошие системные вызовы, давайте заблокируем плохие. Записываете системные вызовы, которые делает ваш контейнер, собираете JSON-профиль seccomp, который разрешает только их, и всё, чего ваше приложение не вызывало, блокируется. Минимальная поверхность атаки. Идеально. Мы свою работу сделали?…