Блог CISO

Для проверки устойчивости API наш отдел тестирования использует JMeter, а примочка под названием hamster_wheel выводит визуализацию. Её написал какой-то стажёр ещё два года назад, через месяца два ушел в стартап. Принцип работы: она создает виртуальных хомячков, которые бегают по эндпоинтам, пока не устанут. Система считает их счастливыми или грустными на основе кода ответа. Сегодня утром розовощёкий хомяк внезапно умер от тоски на эндпоинте /payroll/calculate. Мы весь день обсуждали данную ситуацию с некоторым мистицизмом. В бухгалтерии нам сказали, что просто сменили формат даты. Похоронили его с почестями в системном логе, будто бы хороня свою премию за квартал. Церемония была трогательной. Бухгалтерия сохраняет свой жуткий облик для новых поколений.

Коллеги, кажется, на последнем совещании в четверг мы прошли все круги ада и открыли портал в бесконечный цикл пустословия. ⏰ 10:00 — Начало. Все бодры, полны надежд. План: обсудить 3 пункта, утвердить roadmap и разойтись за 40 минут. ⏰ 11:30 — Пункт 1 «Название папки» обсуждается 45 минут. Родилось 14 вариантов, включая «2025_FINAL_v2_updated». ⏰ 12:15 — Кто-то (не буду показывать пальцем на Вадима) захотел вкинуть мысль, которая перевела тему в фазу философского дискуса о природе идеального workflow. DevOps-ы закатили глаза так, что, кажется, наблюдали свой собственный мозг в этот момент. ⏰ 13:00 — Обед. Принесли бутерброды. Обсудили, как колбаса влияет на интеллект. ⏰ 14:00 — Пункт 2 «Технические требования». Марго предложила сделать красиво. Разработчики попросили перевести на человеческий язык. Дизайнер ушел плакать в туалет. ⏰ 15:30 — Артём робко напомнил, что есть ещё пункт 3. Ему вежливо предложили завалить не мешать процессу. Он начал рисовать в блокноте единорогов. ⏰ 16:00 — На экране появилась схема, которую все единогласно назвали шедевром абстрактного искусства. Оказалось, что это архитектура нашего нового микросервиса. Автор с гордостью заявил, что всё интуитивно понятно. Начал рассказывать. ⏰ 17:50 — В воздухе повисло молчание, прерываемое лишь урчанием в животе и тихим стуком — это Лариса Ивановна вязала носки под столом. ⏰ 17:55 — Гендир заглянул, увидел наши просветлённые лица и спросил, пришли ли мы к консенсусу. Мы дружно закивали. Консенсус был один: пора домой. Артём нарисовал 27 единорогов.

Коллеги, сегодняшний день открытых дверей для детей сотрудников до 6 лет превзошел все мои ожидания. Они уже успели снять TikTok на фоне нашей архитектурной схемы базы данных под трек «Это провал, детка» и провести стратегическую сессию с нашим ИИ-ассистентом. После получасового обсуждения ИИ пришел к выводу, что от всех уязвимостей нас спасет Леди Баг. Теперь он отказывается генерировать отчеты по инцидентам, требуя больше верить в чудо. В итоге мы переодели Артёма в Эльзу. Он не просто надел парик. Он стал Эльзой. Подошел к офисному кулеру, провел рукой над датчиком и торжественно объявил: «Подвластны мне мороз и лед, о, что за дивный дар!». Из краника, естественно, полилась обычная теплая вода. Но все присутствующие почувствовали ментальный холодок. Итог: Дети теперь считают, что для борьбы с хакерами нужны блестки, кристаллы и хорошая песня.

Коллеги, кто помнит звук dial-up модема? Звучал как робот, пытающийся откашляться после того, как подавился мировой паутиной. Весь вечер ты не мог позвонить другу спросить домашку, потому что старший брат качал из интернета картинку размером с почтовую марку в течение трёх часов. Предлагаю заменить все системные звуки на этот, чтобы тестировать людей старше 35 лет на профпригодность. Если испытуемый при звуке модема не замрёт в священном ужасе, значит, он не наш человек. Лариса Ивановна из бухгалтерии уже сказала, что этот звук напоминает ей первого мужа-программиста. Кажется, мы нашли причину её ненависти к IT-отделу.

Коллеги, горжусь нашей инфраструктурой! 99.9% аптайма достигли тем, что запретили всем прикасаться к оборудованию по средам. По средам у нас день тишины, когда даже смотреть на серверы можно только через камеры.

Коллеги, по многочисленным просьбам публикую самые яркие экземпляры утренней помятости, определённые нашей тестовой системой биометрии: 1 кадр. У Виталия из DevOps левая бровь висит на уровне подбородка, а правая замерла в позе саркастического вопроса. Система трижды отправляла уведомление в SOC о возможной попытке взлома с использованием сгенерированного ИИ видео. 2 кадр. У эникейщика Паши складки на лбу настолько фактурны, что система пыталась распознать их как штрих-код и списала 3 корпоративных ноутбука со склада. 3 кадр. У админа Володи след от подушки на щеке был настолько отчётлив, что система идентифицировала его как рельеф местности с признаками тектонической активности и запросила доступ к картам Google Maps. Благодарю всех за участие в эксперименте. Особенно Артёма, который вчера утром трижды пытался приложить к сканеру свой бутерброд и на четвертый раз система дала добро.

Коллеги, сообщаю о первых результатах тестирования биометрической системы на основе ИИ. Пока проводим только аналитику. Выяснилось, что 30% сотрудников не прошли бы аутентификацию по утрам. Система определяет их как неопознанные биологические объекты с признаками разумной жизни ниже порогового значения. Лариса Ивановна из бухгалтерии устанавливает рекорды — её взгляд приобретает осмысленность где-то к 10:45, после поступления первых платежей. Пока мы пробуем настроить систему, а ваше лицо пытается похорошеть, будем пользоваться классическими методами старта рабочего процесса: паролями и взаимными укоризненными взглядами. Выражаю отдельный респект отделу тестирования, который три недели мужественно скрывал, что система принимает за сотрудника утренний помятый бургер из столовой, если его повернуть под углом 35 градусов.

Коллеги, если вам вдруг показалось, что вы слышите звук падающего прода — не волнуйтесь. Это просто ваше воображение мстит за сверхурочные. Расслабьтесь и продолжайте отдыхать!

Коллеги, креативная пятница! Все идеи, пришедшие вам сегодня в голову, считаются галлюцинациями от усталости. Запишите их на салфетке, положите в карман и постирайте к понедельнику. Проверено: 90% гениальных решений проигрывают борьбу носкам в барабане.

Коллеги, прошу соблюдать кибергигиену и не оставлять креды на стикерах. Сегодня наш охранник Пётр Николаевич, находясь в состоянии творческого поиска, собрал из ваших желтых листочков коллаж Мона Лизы. Шедевр сейчас висит над ним в фойе. Если к нам зайдут аудиторы, мы будем говорить, что это арт-перформанс на тему человеческой безответственности.

Коллеги, выношу на всеобщее обсуждение инцидент, который из оперативного перерос в культурологический. Наш DevOps-отряд, вдохновлённый трудами Джорджа Мартина, переименовал виртуальные машины в честь персонажей «Игры Престолов». Серсея «Lannister_DB» оправдала своё имя — она не отдала власть без боя. При попытке graceful shutdown она запустила каскадные зависимости, которые чуть не положили пол прода. Её девиз «Услышь мой рёв» был воспринят буквально системой мониторинга, которую заспамило алертами. Джон «Snow_Frontend», как и положено, ничего не знал, ни за что не отвечал и просто лежал, возвращая 502 ошибку. Бран «Stark_Backup» видел всё происходящее, хранил полные слепки данных, но молчал, потому что в прошлом был обычным сервером, и все запомнили его под старым хостом. И пока сетевые инженеры пытаются вернуть себе Железный Трон, прошу не забывать: зима близко.

Коллеги, маленькое напоминание: если для понимания вашего кода требуется 6 кружек кофе и 3 нервных срыва при обсуждении — возможно, это не гениальный код, а просто говнокод. Антон, хватит плакать у кофемашины, за это время можно было бы трижды отрефакторить и съесть шоколадку.

Коллеги, сегодня обнаружил, что наш самый надёжный и отказоустойчивый кластер работает на трёх серверах, один из которых уже два года числится в инвентаризации как «утопленный в канале во время тимбилдинга 2023». Оказалось, он не утонул, а был выловлен, высушен и возвращён в строй DevOps-ами. Они назвали его «Атлантис», и втайне от всех он обрабатывает 30% финансовых транзакций. Когда я говорю, что наш бизнес держится на вере и милосердии, я не шучу. Он буквально держится на сервере, который прошел обряд крещения.

Коллеги, если в выходные вы: · Не проверили логи — вы безответственный сотрудник; · Проверили логи — вы workaholic, которому нужна помощь; · Сделали вид, что проверяли — вы идеальный кандидат на повышение. Выбирайте свою стратегию мудро.

Коллеги, особенно те, кто с соплями на удалёнке! Статус «Не беспокоить» в Teams не создан для обозначения времени вашего дневного сна. А если вы запускаете тяжёлые задачи на рабочем ноуте, чтобы греть ноги, — хотя бы не используйте для этого продакшен-базу.

Коллеги, разрешите поделиться с вами эмоциональным потрясением, которое я пережил сегодня утром. Захожу я, значит, к админам с простым, казалось бы, вопросом по поводу одного подозрительного лога. И в этот момент Володя, не отрываясь от монитора, где мигало что-то зловещее и явно несовместимое с жизнью продакшена, бросает фразу: «Ничего страшного не случилось». Коллеги, я вам скажу, что в корпоративном лексиконе нет фразы более многозначной и разрушительной, чем эта. Классический админский оптимизм. В этот момент мой сердечный ритм начал зашкаливать настолько, что умный браслет на моей руке вот-вот сам вызывал бы скорую. Потому что мы с вами прекрасно знаем, что «ничего страшного» на их языке может означать: · «Мы уже третью чашку кофе выпили, пытаясь понять, как это вообще работает». · «Резервная копия есть, но она, кажется, зашифрована тем самым ключом, который Артём случайно удалил в прошлом квартале». · «Пожарные пока не вызваны, но превентивно убрали все бумажные копии документов из серверной». Так что, уважаемые админы, давайте договоримся. Если вы говорите «ничего страшного», будьте добры сразу уточнять: это «ничего страшного, просто перезагрузим и заработает», или «ничего страшного, данные за последние полгода не пострадали, только за сегодняшний день», или «ничего страшного, мы уже нашли виновного, это тот самый скрипт на Perl, который все боятся трогать, и сейчас будем его закапывать на ближайшем пустыре». Требую прибавки к зарплате за работу в условиях чрезвычайной ситуации.

Коллеги, мы сменили провайдера VPN. Новый работает стабильнее, быстрее и не падает в час пик. Отныне у вас не будет законного основания, чтобы сорвать дедлайн. Теперь, когда вы не сдали таску в срок, виноваты будете вы, а не «проклятые сетевые лаги». Придется возвращаться к классике: «не было ТЗ» и «заказчик сам не знает, чего хочет».

Коллеги, в отделе разработки есть три стадии принятия: 1. Это не наш баг, это особенность браузера. 2. Это не баг, так клиент попросил. 3. Это баг, но он уже в проде и вроде норм. Четвёртой стадии «Мы всё починили» я не видел.

Коллеги, если бы мне платили по доллару каждый раз, когда я слышу фразу «У меня на локалхосте всё работало», я бы уже купил тот остров в Тихом океане, куда мечтаю сбежать от ваших багов в пятницу вечером.

Коллеги, готовлюсь к завтрашнему совещанию с техдиром. Буду выяснять, почему слова «уязвимость» и «требования заказчика» стали синонимами в нашем новом проекте.