DevOps by REBRAIN

Формат лога ошибки:

2026-07-22 10:14:03.812 UTC [24417] postgres@app 203.0.113.5(54321) FATAL:  password authentication failed for user "postgres"

Настройка Fail2ban: Файл /etc/fail2ban/jail.local:

[postgresql]
enabled   = true
filter    = postgresql
logpath   = /var/log/postgresql/postgresql-*.log
port      = 5432
protocol  = tcp
banaction = iptables-multiport
# На Debian 12+ / RHEL 9, где бэкенд фаервола по умолчанию nftables:
# banaction = nftables-multiport
maxretry  = 3
findtime  = 600
bantime   = 3600

Файл /etc/fail2ban/filter.d/postgresql.conf:

[Definition]
failregex = ^.*\s<HOST>\(\d+\) FATAL:\s+password authentication failed for user .*$
            ^.*\s<HOST>\(\d+\) FATAL:\s+no pg_hba\.conf entry for host .*$
            ^.*\s<HOST>\(\d+\) FATAL:\s+role ".*" does not exist.*$
ignoreregex =

📋 Чек-лист безопасности PostgreSQL: 1. pg_hba.conf: использовать hostssl, scram-sha-256 и замыкающий reject. 2. listen_addresses: привязать СУБД к приватному IP. 3. SSL/TLS: установить TLSv1.2+, валидные сертификаты и требовать verify-full на клиентах. 4. Аудит: добавить %r в log_line_prefix, логировать DDL и сессии. 5. Fail2ban: автоматически банить IP за брутфорс и неизвестные роли. 6. Фаервол: ограничить доступ к порту 5432 на уровне ОС (iptables/nftables). 7. Принцип наименьших привилегий: не использовать postgres для приложения, отозвать права на запись у схемы public. 8. Обновления: регулярно ставить минорные релизы ветки 16.x. 🎓 Хочешь глубже освоить PostgreSQL и системную безопасность? Приходи на наши курсы. Открывай бесплатно демодоступ к рабочей среде: • PostgreSQL — безопасность, репликация, оптимизация • Linux Advanced — администрирование, безопасность, фаерволы • Networks — сетевые протоколы и защита коммуникаций

🔒 Безопасность PostgreSQL 16: гайд по настройке защиты доступа Открытый порт 5432, стандартный логин postgres со слабым паролем, отсутствие SSL и логов — классический сценарий компрометации БД. Настройка комплексной защиты PostgreSQL 16 включает 3 базовых слоя: контроль доступа, шифрование и аудит. 🛡 1. Контроль доступа (pg_hba.conf) Файл pg_hba.conf определяет правила аутентификации. Правила проверяются сверху вниз до первого совпадения. ❌ Опасная конфигурация:

host all all 0.0.0.0/0 trust

✅ Правильная конфигурация:

# TYPE    DATABASE        USER            ADDRESS                 METHOD

# Приложение ходит локально под системным пользователем www-data,
# а в базу — как app_user. Более специфичное правило идёт ПЕРВЫМ.
local     all             app_user                                scram-sha-256

# Остальные локальные подключения через Unix-сокет — peer (сверка с пользователем ОС)
local     all             all                                     peer

# Сетевые подключения: только по SSL и только из доверенной подсети
hostssl   all             all             192.168.1.0/24          scram-sha-256

# Всё остальное — явный отказ. Обе версии протокола.
host      all             all             0.0.0.0/0               reject
host      all             all             ::0/0                   reject

Ключевые правила: • Используйте hostssl (требует шифрования) и scram-sha-256 (безопасный алгоритм). Методы md5 и trust использовать нельзя. • Порядок строк критичен: специфичные правила ставятся выше общих. • Для peer имя ОС-пользователя должно совпадать с ролью в БД (для связки www-data ➔ app_user нужна отдельная строка). Привязываем СУБД к внутреннему IP в postgresql.conf:

listen_addresses = '192.168.1.100'
password_encryption = scram-sha-256
scram_iterations = 4096          # значение по умолчанию, можно поднять

Изменения pg_hba.conf применяются через SELECT pg_reload_conf();, а listen_addresses требует перезапуска СУБД. Проверка ошибок в конфиге:

SELECT rule_number, type, database, user_name, address, auth_method, error
FROM pg_hba_file_rules;

*(В PG 16 правила можно раскладывать по отдельным файлам с помощью `include_dir`).* 🔐 2. Шифрование трафика (SSL/TLS) Передача данных в открытом виде уязвима к перехвату. Включаем SSL на сервере в postgresql.conf:

ssl = on
ssl_cert_file = '/etc/postgresql/ssl/server.crt'
ssl_key_file  = '/etc/postgresql/ssl/server.key'
ssl_ca_file   = '/etc/postgresql/ssl/root.crt'   # нужен для клиентских сертификатов
ssl_min_protocol_version = 'TLSv1.2'
ssl_prefer_server_ciphers = on

Права на ключ (при иных правах PostgreSQL не запустится):

chmod 600 /etc/postgresql/ssl/server.key
chown postgres:postgres /etc/postgresql/ssl/server.key

Защита клиентом от MITM-атак: По умолчанию клиент (`sslmode=prefer`) не проверяет подлинность сервера. Правильное подключение:

psql "host=db.internal dbname=app user=app_user \
      sslmode=verify-full \
      sslrootcert=/etc/ssl/certs/internal-ca.crt \
      require_auth=scram-sha-256"

• sslmode=verify-full проверяет подпись CA и имя хоста. • require_auth=scram-sha-256 (PG 16) запрещает серверу понижать метод аутентификации. 📊 3. Аудит и защита от брутфорса (Fail2ban) Настраиваем логирование в postgresql.conf:

logging_collector = on
log_directory = '/var/log/postgresql'
log_filename = 'postgresql-%Y-%m-%d.log'
log_rotation_age = 1d
log_rotation_size = 100MB

# ОБЯЗАТЕЛЬНО: %r выводит IP-адрес и порт клиента.
# Без этого escape в логе не будет адреса, и Fail2ban не сможет никого забанить.
log_line_prefix = '%m [%p] %q%u@%d %r '

log_connections = on
log_disconnections = on
log_statement = 'ddl'

*Важно: %r обязателен, так как он добавляет IP-адрес клиента в лог.*

🟡 Анонс открытых практикумов на следующую неделю 1️⃣ OSPF. Протокол динамической маршрутизации ↘ Регистрация Время проведения: 11 августа 2026, вторник, 19:00 по МСК Программа практикума: 🟢OSPF: основные теоретические сведения 🟢Установка соседcких отношений 🟢Базовая настройка протокола OSPFv2 Кто ведёт? Андрей Шабалин — Тренер Cisco / Huawei, инструктор академии Eltex и Астра-Университета --------------------------------------------------------------------------------------- 2️⃣ Типовые задачи эксплуатации дисков и файловых систем ↘ Регистрация Время проведения: 12 августа 2026, среда, 20:00 по МСК Программа практикума: 🟢Увеличение/уменьшение пространства 🟢Замена дисков 🟢Изменение типа носителя Кто ведёт? Андрей Буранов — системный администратор в департаменте VK Play, 10+ лет опыта работы с ОС Linux, 8+ лет опыта преподавания. Входит в топ 3 лучших преподавателей образовательных порталов --------------------------------------------------------------------------------------- 3️⃣ Nftables ↘ Регистрация Время проведения: 13 августа 2026, четверг, 19:00 по МСК Программа практикума: 🟢Недостатки iptables 🟢Структура объектов конфигурации nftables 🟢Синтаксис команды nft 🟢Настройка сетевого фильтра с помощью nft 🟢Сохранение и восстановление конфигурации Кто ведёт? Николай Лавлинский — Технический директор в ООО “Метод Лаб”. Веб-разработчик более 15 лет. Спикер конференций HighLoad++, РИТ++

🔥Уже в понедельник стартует интенсив по безопасности операционных систем, еще есть свободные места За 8 живых занятий с Константином Зубченко вы пройдёте харденинг Linux и Windows по CIS Benchmarks, разберёте права и привилегии, безопасный запуск процессов и контейнеров, шифрование и работу с секретами, изоляцию ядра и защиту от Container Escape, сетевую безопасность и Network Policies в Kubernetes, аудит через Falco и Sysmon. На каждом занятии отдельный блок про LLM: как автоматизировать генерацию политик AppArmor и Seccomp, писать regex для поиска секретов в коде и первично разбирать логи на признаки компрометации. Вас ждёт: 🟢 8 живых занятий с Константином Зубченко 🟢 7 практических заданий с проверкой 🟢 Практика на виртуальных стендах 🟢 Автоматизация безопасность с помощью LLM 🟢 Чат с Константином и участниками интенсива 🟢 Записи интенсива доступны только участникам

Программа интенсива: 10.08.2026 — Модели безопасности ОС и поверхность атаки DAC/MAC в Linux и Securable Objects в Windows, эксплуатация дефолтных сервисов, харденинг по CIS Benchmarks. 14.08.2026 — Пользователи, группы, права и привилегии SUID/SGID, Token Impersonation и Rotten Potato в Windows, аудит sudoers. 19.08.2026 — Процессы, службы и безопасный запуск приложений Харденинг systemd-юнитов, атаки на автозапуск и Unquoted Service Path, non-root контейнеры. 26.08.2026 — Файловая система, секреты и безопасная работа с данными LUKS, BitLocker, извлечение секретов из LSASS и слоёв Docker-образов, секреты через Vault. 31.08.2026 — Ядро, изоляция, контейнеры и механизмы ограничений Namespaces, Cgroups, AppArmor и Seccomp, побег из контейнера, Pod Security Standards. 03.09.2026 — Сетевая безопасность ОС и контейнерных сред iptables/nftables, Network Policies в Kubernetes, защита Metadata API и Kubelet API. 07.09.2026 — Аудит, мониторинг и безопасный жизненный цикл ОС Auditd, Sysdig, Falco в Linux, Sysmon и WEF в Windows, детекция скрытной активности. 10.09.2026 — Q&A: архитектурный разбор и разбор кейсов Сложные сценарии защиты гибридных сред Linux + Windows + Kubernetes.

↘️ Подробная программа 🟢Какие есть форматы участия? • Только интенсив: 8 живых занятий с Константином Зубченко + практические задания с проверкой • Только практикум "Повышение привилегий в Linux": 10 заданий, 80% практики + автопроверки и проверка инженерами финального задания • Практикум + Интенсив Практикум "Повышение привилегий в Linux"+ 8 живых занятий с Константином Зубченко Кто ведёт интенсив Константин Зубченко — ведущий инженер в компании BI.ZONE. За годы работы в отрасли прошёл путь от анализа защищённости промышленных систем до инженерных и экспертных ролей в крупных российских компаниях. Участвовал в сложных проектах на стыке разработки и информационной безопасности, усиливая команды и процессы. Его опыт — это сочетание практического пентеста, инженерного мышления и глубокого понимания современных ИБ-подходов. 🟡 Старт — 10 августа 🎁 Сейчас действует скидка до 10 000 рублей, в зависимости от формата участия. ↘️ Узнать подробности и занять место

❗ Открытый практикум Как взлом CI/CD приводит к компрометации Kubernetes. Разбираем реальную атаку. идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/563 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума Как взлом CI/CD приводит к компрометации Kubernetes. Разбираем реальную атаку. уже через 5 минут Встречаемся в 20:00 МСК. Ссылка для входа: https://my.rebrainme.com/live-class/563 Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум Как взлом CI/CD приводит к компрометации Kubernetes. Разбираем реальную атаку. начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

VictoriaMetrics: в 7 раз меньше потребление памяти, чем у Prometheus Классический Prometheus начинает потреблять терабайты оперативной памяти и валиться по OOM, как только метрик становится миллионы в секунду. VictoriaMetrics решает это горизонтально масштабируемой архитектурой и потреблением памяти в разы ниже при той же нагрузке. Мы собрали практикум по VictoriaMetrics, чтобы инженеры прошли путь от одиночной ноды до геораспределенного отказоустойчивого кластера с полным пониманием устройства TSDB и всех компонентов экосистемы VM. В программе вас ждет: 🟢Развертывание и масштабирование кластерной архитектуры VictoriaMetrics (vmstorage, vminsert, vmselect) 🟢Настройка отказоустойчивого сбора метрик с помощью vmagent с локальной буферизацией и релейблингом 🟢Проектирование мультитенантных систем мониторинга и ограничение доступа через vmauth 🟢Оптимизация дискового пространства методами дедупликации и гибких политик хранения (retention) 🟢Написание сложных аналитических запросов на MetricsQL и оптимизация правил алертинга во vmalert" ↘️ Подробная программа В финальном проекте вы развернете в Docker Compose production-ready мониторинг-стек: кластер VictoriaMetrics с репликацией, vmagent для сбора метрик, vmauth для разграничения доступа тенантов и vmalert с отправкой алертов в Alertmanager. Проведете хаос-тест: отключите узел хранения под нагрузкой и убедитесь, что данные не потерялись. Дополнительно настроите автоматическое резервное копирование. Практикум уровня Middle. Нужны базовые навыки администрирования Linux, опыт работы с Docker и Docker Compose, понимание базовых концепций мониторинга. Отдельно мы добавили тренажёры — это более сложные практические задачи на инфраструктуре. 🎁 До 24 августа действует скидка 5 000 рублей для новых участников ↘️ Практикум VictoriaMetrics ↘️ Практикум VictoriaMetrics + тренажёры Если вы DevOps-инженер, SRE или системный администратор и масштабируешь мониторинг за пределы возможностей Prometheus — этот практикум для вас 🤍

🗓️ Расписание вебинаров на сегодня ⏰ 20:00 МСК - Как взлом CI/CD приводит к компрометации Kubernetes. Разбираем реальную атаку. 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

❗ Открытый практикум Файловые системы идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/527 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума Файловые системы уже через 5 минут Встречаемся в 20:00 МСК. Ссылка для входа: https://my.rebrainme.com/live-class/527 Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум Файловые системы начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🎥 Если интересуешься безопасностью или понимаешь, что без неё в работе теперь никак, лови подборку вебинаров с Константином Зубченко. В подборке: 🟢Как захватывают Active Directory 🟢Базовое управление уязвимостями 🟢Харденинг Linux-сервера 🟢Пентест внешних сервисов организации ↘️ Смотреть подборку А если после вебинаров захочется разобраться глубже — 10 августа Костя проводит интенсив «Безопасность операционных систем»: 8 живых занятий про харденинг Linux и Windows, защиту Kubernetes от Container Escape и автоматизацию рутины через LLM. ↘️ Узнать про интенсив Константин Зубченко — ведущий инженер в BI.ZONE. Прошёл путь от анализа защищённости промышленных систем до инженерных и экспертных ролей в крупных российских компаниях, участвовал в проектах на стыке разработки и информационной безопасности. Его опыт — это сочетание практического пентеста, инженерного мышления и понимания современных ИБ-подходов. В следующих подборках будем знакомить вас с другими спикерами, которые проводят у нас открытые практикумы 🤍

🗓️ Расписание вебинаров на сегодня ⏰ 20:00 МСК - Файловые системы 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

❗ Открытый практикум LVM. Часть вторая идёт уже 30 минут Если вы ещё не с нами, скорее подключайтесь! Ссылка для входа: https://my.rebrainme.com/live-class/526 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума LVM. Часть вторая уже через 5 минут Встречаемся в 20:00 МСК. Ссылка для входа: https://my.rebrainme.com/live-class/526 Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум LVM. Часть вторая начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары». 🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🔥 Новый траблшутинг! Postfix под спам-атакой — приведи почтовый сервер в чувство и забери доступ к практикуму Postfix на проде захлёбывается: Load Average выше 10, диск забит на 100%, в очереди зависло больше 50 000 писем. Легитимная почта не уходит, клиенты звонят в поддержку, а сервер вот-вот ляжет окончательно. Тебе предстоит подключиться к живой Ubuntu 22.04 с Postfix и Dovecot по SSH. Нужно разобрать логи SASL-авторизации, найти скомпрометированный ящик, через который льётся спам, заблокировать его и вычистить очередь, не задев ни одного письма реальных пользователей. Формат: 🟢доступ к рабочей инфраструктуре с 10 по 17 августа 🟢симулятор реального инцидента, без подсказок и менторов в процессе 🟢19 августа в 19:00 мск — разбор задачи с инженером 🎁 Призы 🏆 инженер, который решит задачу быстрее всех, получит доступ к одному из практикумов стоимостью до 30 000 руб. на выбор 🟢 среди остальных участников, справившихся с задачей, разыграем две годовые подписки на вебинары ↘️ В этот раз участие стоит 1 ₽ — цена держится до 19 августа, дня эфира с разбором. С 20 августа доступ будет стоить 1500 ₽. Это первый платный траблшутинг в Rebrain, и вот почему: на прошлые задачи регистрировались сотни человек, а до решения доходили единицы. Бесплатная регистрация ничем не обязывает, а задача откладывается на потом. По сути, рубль - это небольшой депозит за обещание довести дело до конца, а не бросить его на полпути 🤝 ↘️ Участвовать за 1 ₽ Сервер ждёт. 50 000 писем в очереди сами себя не разберут 😉

🗓️ Расписание вебинаров на сегодня ⏰ 20:00 МСК - LVM. Часть вторая 🔗 Регистрация и программа О вебинаре напомним за 5 минут до начала на этом канале. Также вы сможете зайти через личный кабинет. 🔥 Задать вопросы и обсудить детали можно в нашем чате

🔥Интенсив по безопасности ОС стартует уже 10 августа — собрали ответы на частые вопросы и коротко рассказали, как всё будет За 8 живых занятий с Константином Зубченко вы пройдёте харденинг Linux и Windows по CIS Benchmarks, разберёте права и привилегии, безопасный запуск процессов и контейнеров, шифрование и работу с секретами, изоляцию ядра и защиту от Container Escape, сетевую безопасность и Network Policies в Kubernetes, аудит через Falco и Sysmon. Отвечаем на вопросы 👇🏼 🟢Какие входные требования для участия в интенсиве? Чтобы успешно пройти программу, вам потребуются следующие знания: • уверенное администрирование Linux (права доступа, процессы, systemd, сетевой стек) • базовое понимание контейнеризации (Docker, Kubernetes) • навыки работы с командной строкой Bash 🟢В каких занятиях будем говорить про LLM? На каждом занятии (8 живых эфиров) предусмотрен отдельный блок про LLM под конкретную тему: как автоматизировать генерацию политик AppArmor и Seccomp, писать regex для поиска секретов в коде и первично разбирать логи на признаки компрометации. 🟢Что будет в финальном проекте? Вам нужно будет обеспечить безопасность ОС приложениям с уязвимостями. Студент создаст и защитит от атак 2 стенда с использованием: конфигураций сетевой изоляции (Network Policies), профилей ограничений системных вызовов (AppArmor/Seccomp), правил непрерывного аудита (Falco/Sysmon) и минимизацией привилегий для Linux-нод и Windows-сервера. 🟢Какие есть форматы участия? • Только интенсив: 8 живых занятий с Константином Зубченко + практические задания с проверкой • Только практикум "Повышение привилегий в Linux": 10 заданий, 80% практики + автопроверки и проверка инженерами финального задания • Практикум + Интенсив Практикум "Повышение привилегий в Linux"+ 8 живых занятий с Константином Зубченко 🟡 Старт — 10 августа 🎁 Сейчас действует скидка до 10 000 рублей, в зависимости от формата участия. ↘️ Узнать подробности и занять место