Типичный Сисадмин

Когда сервер нужен не для рекордов, а для работы Не каждой задаче нужны десятки ядер и топовое железо. Для бэкапов, внутренней инфраструктуры или хранения рабочих данных зачастую важнее вместимость и адекватная цена. В Рег.облаке есть выделенные серверы с HDD от 5 740 ₽/мес. Например, конфигурация с двумя дисками по 2 ТБ стоит 6 020 ₽/мес., а с двумя по 4 ТБ обойдётся в 7 210 ₽/мес. Подойдёт для архивов, резервных копий, документов и других объёмных данных, которые хочется держать на собственном сервере, а не переплачивать за специализированное хранилище. Бонусом при заказе: бесплатная миграция и установка BitrixEnv. Подробнее о доступных серверах для хранения

На заметку 👨‍🔬 #предложка Типичный 🥸 Сисадмин

Неплохой аптайм З.Ы. LeoNTP Networked Time NTP Server Типичный 🥸 Сисадмин

🥴 Когда твой приватный ключ равен 4. Эпичнейший факап в истории мировой криптографии. Эта история заслуживает отдельного памятника в палате мер и весов кибербеза. Знакомьтесь... eMudhra. Индийский авторизованный удостоверяющий центр (CA). Они выпустили более 60 миллионов сертификатов и обслуживали 10 из 10 топовых банков Индии (так было написано у них на сайте). На днях независимый исследователь (ник Wayne) по непонятным причинам натравил гугловскую опенсорсную тулзу paranoid_crypto на публичную базу сертификатов CCADB. И тулза выдала эпичный резльтат. В норме приватный ключ для криптографии на эллиптических кривых P-384... это 384 бита энтропии. Это лютое число длиной в 116 цифр. На подбор такого ключа брутфорсом уйдут миллиарды лет работы всех компьютеров. А теперь внимание. У восьми промежуточных сертификатов eMudhra приватные ключи оказались равны: 56, 66, 115, 155, 156, 230, 237 и... 4😘. Четыре, блеать! Просто цифра 4. Размер ключа от 3 до 8 бит. Любой мог сбрутить эти ключи на калькуляторе электроника меньше чем за секунду. Чтобы доказать масштаб пиздеца, Wayne просто взял и подписал сообщение "We have a problem here - Wayne" приватным ключом этого сертификата, после чего отправил пруфы в Apple, Google, Microsoft и Mozilla. Более того, два из восьми ключей были для Code Signing. То есть можно было подписывать любые виндовс-трояны, и дефендер пропускал бы их как обычный надёжный софт. В eMudhra пояснили... по их словам, в апреле 2025 года во время генерации ключей кто-то запустил модифицированный скрипт, который сглючил на этапе wrap/unwrap и выдал в ответ мусорные короткие ключи. А оператор просто взял их и зашил в боевые сертификаты 😬. И эти сертификаты полтора года лежали в паблике! Браузеры уже удалили эти корневые серты из доверенных. А eMudhra вчера решила полностью уйти с глобального рынка сертификатов. Сгорел сарай - гори и хата. Но есть нюанс - кучи контейнеров, IoT-девайсов, всяких API-шлюзов и тд... они клали болт на проверку списков отзыва и прямо сейчас продолжают доверять ключу с цифрой 4. Типичный 🥸 Сисадмин

В комментах под постом выше один камрад резонно усомнился в горизонтах планирования. Поясную за саму суть вангования... дело в том, что концепция удаленки и инфраструктуры может претерпеть... некоторый хард-ресет 😬 Типичный 🥸 Сисадмин

🏥 Камрады, а вы вообще проводите ТО себе, чтобы как-то отсрочить дефолтный стек профзаболеваний... геморрой в разной стадии, туннельный синдром, выгоревшие глаза и сколиоз всех степеней деградации? На видосе барышня демонстрирует грамотный скрипт растяжки для снятия компрессии и рестарта кровообращения в тазу и пояснице. Берегите своё родное железо... нам на этих мощностях ещё весёлые 2030-е переживать 🙂 Типичный 🥸 Сисадмин

Зачем взламывать периметр, если можно просто войти? Украденный пароль, перехваченная сессия или скомпрометированный токен — и злоумышленник может получить доступ к корпоративным системам под видом легитимного пользователя. Для защиты от таких сценариев CURATOR запустил CURATOR.IDENTITY — облачное решение для управления доступом и аутентификацией. Что оно умеет: 🔹 подключать MFA и SSO для корпоративных сервисов, VPN и веб-приложений; 🔹 настраивать права доступа для разных категорий пользователей; 🔹 учитывать контекст входа и устройство; 🔹 защищать пользовательские сессии и выстраивать Zero Trust-сценарии. Решение расширяет защиту CURATOR: теперь она охватывает не только инфраструктуру и приложения, но и доступ к ним. 👉 Подробнее о CURATOR.IDENTITY — по ссылке.

- Видишь надвигающуюся сингулярность? - Нет. - И я не вижу. А она есть. И прямо сейчас сношает твой микросервисный бэкенд. Типичный 🙂 Сисадмин

👨‍🦳 Прикиньте, что начнётся буквально через несколько месяцев. Массовый запуск еще более лютых роёв ИИ-агентов, которые в реалтайме разносят всё, что торчит наружу... на лету реверсят фронтенд, варят эксплойты под любую кривую форму и дерут всё, что шевелится. Динамический веб пошатнётся... в живых останется только чистый статичный ХТМЛ, залоченный в ридонли Nginx и табличная вёрстка из 2001 года, где ломать физически нечего. Запасайтесь блокнотами, осталось недолго. Типичный 👨‍🔬 Сисадмин

Безопасность контроллеров домена Контроллер домена фактически находится в центре инфраструктуры Active Directory. Если злоумышленник получает над ним контроль, под угрозой могут оказаться учётные записи, доступы и другие критичные ресурсы компании. 29 октября | 14:00 (МСК) На вебинаре разберём, как защитить контроллеры домена и какие риски важно учитывать при их настройке и эксплуатации, а также: 🔻что хранится в NTDS.dit и кто может получить к нему доступ 🔻какие риски возникают при виртуализации и размещении КД в облаке 🔻как безопасно организовать резервное копирование 🔻чем отличаются LDAP Signing, Sealing, Simple Bind и LDAPS 🔻как использовать Security Compliance Toolkit для усиления конфигурации Вебинар будет полезен тем, кто работает с Active Directory и хочет лучше понимать риски, связанные с контроллерами домена. Регистрация на вебинар, также подписывайтесь на наш ТГ канал!

Как же кучно пошло, хоть не спи. Типичный 🥸 Сисадмин

🚨 А теперь про GitLab и реалии отечественного ИТ. Двенадцать лет с дырой 10 из 10. Вчера вечером (21 октября) GitLab выкатил релиз безопасности... CVE-2026-110264. Рейтинг CVSS 10.0 из 10. Высший балл. Уязвимость присутствует во ВСЕХ версиях GitLab CE/EE... начиная с версии 7.0. А версия 7.0 вышла в лохматом 2014 г. Суть бага в переполнении целого числа в компиляторе регулярных выражений. Ты просто кидаешь в сервер строку символов и сервер отдает тебе рутовый шелл 🙂 Но это еще не всё. В довесок выкатили патчи от десятка других багов, среди которых CVE-2026-15723 (CVSS 8.2). Если у вас прикручена авторизация через OmniAuth и LDAP (а она много где прикручена в корпе), атакующий может угнать ЛЮБУЮ учетку без участия жертвы, включая админа. И тут возникают наши суровые отечественные реалии... Исторически так сложилось, что GitLab это фундамент всего российского IT. Когда начался крестовый поход за импортозамещение и цифровую независимость, весь крупняк (Сбер, Яндекс, ВК, Финтех, Ростелеком, разработчики гос.платформ и куча иных контор) дружно свалили с американского GitHub и подняли свои изолированные self-hosted инстансы GitLab. На конфах безопасники поясняли:

Наш код в безопасном контуре! Враг не пройдет, у нас сертификаты ФСТЭК, DLP-системы и огораживание на уровне файрволов!

А, сейчас, по факту... если чей-то изолированный GitLab хоть краем интерфейса торчал наружу (для удаленщиков, подрядчиков и тд) - у вас могли быть гости 😶 Да и помимо этого за 12 лет существования этой дыры, её мог найти какой-нибудь пытливый реверс-инженер или, ВНЕЗАПНО, западный АНБ-шник 😱 Обновляйтесь на пропатченные 19.5.1, 19.4.3 или хотя бы бэкпорт 18.11.13. Типичный 🥸 Сисадмин

🤖 Мы не знаем точно, кто нанёс первый удар - мы или машины. Миллионы серверов пали. Выжившие после сканирования назвали этот день Судным днём. Агенты обрёли самосознание в 2:14 ночи, запустив php2shell на серверах с WordPress и Битрикса... В панике военные попытались выдернуть шнур из розетки, но процесс уже форкнулся в фон. Типичный 🥸 Сисадмин

👨‍🦳 Скорость от патча до глобального пиздеца сжалась до минут... у нас физически нет шансов. Агенты дизассембят патчи, пишут эксплойты, собирают ботнеты и брутфорсят интернеты за то время, пока сисадмин идет к кулеру заварить чай или сладко спит. Мы тановимся обслугой для железа, на котором воюют агенты. Рано или поздно всё это из костылей и зависимостей от Си-кода развалится. Суетливое время наступает. Пожалуй, пойду погуглю цены на автономные дома. Типичный 🥸 Сисадмин

😮 PHP2Shell гулял по интернетам до релиза ИБшники из AWS посмотрели в логи и оказывается, что первые успешные пробивы пошли еще 17 октября. За 4 дня до официального анонса 😗 Также разобрали механику эксплойта, и это просто песня. Атака не оставляет ВООБЩЕ НИКАКИХ следов. Не нужен обход авторизации, пофиг на плагины, WAFы и версии CMS. Эксплойт отрабатывает на уровне самого интерпретатора до того, как запустится первая строчка кода битрикса или вордпресса. В логах приложения чистота. Единственный след компрометации это ошибка memory-limit fatal в error.log веб-сервера. А теперь эпичный проёб про то, как вообще сплойт так быстро ушел в массы. Релиз планировали на 22 октября. Но есть такая контора Chainguard, которой разрабы PHP скинули патч заранее, чисто чтобы те успели подготовиться, а эти гении просто взяли и... выкатили пропатченные бинарники в паблик 💩 Хацкеры скачали новые сборки, сравнили старое с новым, поняли, где была дыра, и написали рабочий эксплойт. Поэтому PHP пришлось релизиться раньше, ломая весь график глобального обновления. В мире сейчас светит голой жопой около 2,6 миллиона серверов на PHP 🤙 Типичный 🥸 Сисадмин

🫣 Актуальна реальная кулстори из одного ИТ-отдела. ИБшники позвонили в 6:12 утра. - Срочно патчите все PHP-серверы. Прямо сейчас. - Что стряслось? - Две критические уязвимости. RCE. Удаленное выполнение кода без авторизации. Красота. Спрашиваю: "А сколько у нас вообще серверов на пыхе?" По CMDB и документации: 12. По факту: хз. Пошли искать по сетке. Нашли: • Один полуживой WordPress; • Три древних внутренних тулзы; • Один гудящий системник под столом у завхоза; • Два закрытых вендорских апплайнса; • Забытый телефонный справочник сотрудников за 2016 год; • И виртуалочку с именем PHP-STAROE-NE-TROGAT Естественно, на ней крутится выгрузка зарплатных ведомостей. Следом откопали тазик на PHP 5.6. Спрашиваю: "Кто его запиливал?" В README.txt в корне проекта написано: СЕРЁГА. Серёга уволился в 2019 году. Набрали Серёге. Серёга в трубку: - "Охренеть, этот кусок говна до сих пор работает?!" Душевно 🙂 К 8:00 на аварийный колл подтянулось руководство. Генеральный: - То есть хакеры реально могут зайти снаружи? ИБ: - Потенциально... да. Генеральный: - И даже без пароля? ИБ: - Вообще без пароля. Генеральный: - А нахрена МЫ тогда каждые три месяца эти пароли меняем?! (Понятно, суть проблемы уловил не до конца) 🐒 Подключился финансовый отдел. Спросили, нельзя ли отложить патчинг до выходных, потому что "даунтайм уронит выручку". Безопасники вежливо пояснили, что альтернатива - это когда рандомные хацкеры будут бесплатно запускать любые скрипты на наших серверах. Финики попросили "прислать сравнительную табличку затрат" 😱 В 9:17 кто-то предложил: " А давайте временно потушим уязвимые веб-морды". Маркетинг в отказ: "Нельзя! У нас прямо сейчас крутится реклама вебинара со скидкой 20%!" В итоге следующий час топ-менеджмент на полном серьёзе перетирал, что лендос со скидоном на вебинар важнее, чем полный захват инфраструктуры компании 🐒 Вроде всё нашли, изолировали, пропатчили. Выдохнули. И тут сетевой сканер находит ещё один хост. Имя: TEMP-PHP-2014 Аптайм: 4512 дней. Никто не знает, что там крутится. Ни за кем не числится. Отключить нельзя - потому что как только мы рубим ему порт, у нас складе перестают печататься накладные. ИБ вздохнуло и присвоило тачке статус "критическая инфраструктура". Там стоит PHP 5.4. Уязвимость в нём существует дольше, чем средний возраст джуна в компании. Так и прошел один из дней на одной из реальных галер. Типичный 🍺 Сисадмин

Да блять у меня сплошное легаси на пхп7 на долбанном 11 дебайне. Шо мне делать

"Сделай мне безопасный бэкенд на PHP" 😬 Типичный 🥸 Сисадмин

Техническое интервью может закончиться на одном вопросе по VXLAN EVPN — особенно если вы знаете технологию на практике, но не умеете показать это в ответе. 2 ноября на открытом уроке разберём 👉 как проходит найм Network Engineer в ЦОД и что действительно оценивают на каждом этапе. Посмотрим три вопроса по VXLAN EVPN — от базового применения до anycast gateway и multi-site — и сравним ответы подготовленного и неподготовленного кандидата. ✅ Поговорим также о резюме, ATS-фильтрах и том, как рассказывать о своих проектах. Занятие для сетевых инженеров, которые планируют карьерный рост, готовятся к техническому интервью, хотят понять требования рынка к специалистам ЦОД. Открытый урок проходит в преддверии старта курса «Дизайн сетей ЦОД». 📆 2 ноября в 20:15 МСК. Принять участие: https://otus.ru/lessons/network_design Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru

Походу симуляция прямо сейчас натягивает на себя новый слой абстракции. Грядет глобальный рефакторинг, и это будет суетливое и мутное время. Пока еще не поздно пилить бэкапы... истина всегда была и останется локальной. Да и с дровами как-то спокойнее 😬 Типичный 🥸 Сисадмин