Админим с Буквой

Авторизация в Sonarqube через Gitlab с self-signed сертификатами

1) по-очереди импортируем цепочку в java trusted keystore

cat /tmp/ca.pem | keytool -import -noprompt -trustcacerts -alias ca -storepass password -keystore sonarqube.jks

2) добавляем property в файл sonar.properties (можно через ENV) который укажет на наш jks

sonar.web.javaOpts=-Djavax.net.ssl.trustStore=/etc/sonarqube.jks -Djavax.net.ssl.trustStorePassword=password

3) (монтируем в контейнер)\(пересобираем и заливаем в контейнер) sonarqube.jks

4) далее все по инструкции интеграции гитлаба и сонара, будет работать.

Заработал мерч за этот вопрос:))))

Говорит что ИБ аппрувит все секреты которые кладутся в локбокс. Интересно, какой штат безопасников они имеют, которые только этим и заняты, чтобы работа не стояла.

Просят подключить access transparency чтобы помочь обучить их модель:) идея в целом интересная- не только проводить факт аудита доступа через бастион от сотрудников облака, но еще и суммаризировать, проверять через яндекс гпт и выдавать клиенту

Сканируем пдн по бакетам

Посетил Yandex Cloud Security Day (3). В целом технички тут не было (среди первой половины докладов), прикрытый маркетинг, парочку слайдов тем не менее выложу.

Отдельная просьба оргам, если вдруг меня прочитаете - не ставьте спикера в центре слайда, пожалуйста. И выделяйте больше времени на вопросы, ведь они есть.

https://samuel.karp.dev/blog/2024/11/containerd-2.0-kubecon-na-2024/

OracleLinux

sudo dd iflag=direct if=/dev/<device_name> of=/dev/null count=1
echo "1" | sudo tee /sys/class/block/<device_name>/device/rescan

https://www.opennet.ru/opennews/art.shtml?num=61935

https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/

An issue was discovered in GitLab CE/EE affecting all versions starting from 8.14 prior to 17.1.7, starting from 17.2 prior to 17.2.5, and starting from 17.3 prior to 17.3.2, which allows an attacker to trigger a pipeline as an arbitrary user under certain circumstances. This is a critical severity issue (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, 9.9). It is now mitigated in the latest release and is assigned CVE-2024-6678.

Занимательная минутка

А вот вам кусочек мануала из архива Игоря Минуткина:
~$ < grep grep grep > $~
Как вы думаете, что здесь делает Игорь?

✍️ Михаил Шуфутинский печатает

https://www.elastic.co/blog/elasticsearch-is-open-source-again

Новости от Леонида

Парочка новых вакансий DevOps в BI.ZONE

SIEM/Storage - https://hh.ru/vacancy/106473681

PAM - https://hh.ru/vacancy/106468355

СМР - https://hh.ru/vacancy/101660085

Intdev - https://hh.ru/vacancy/106119670

В команду ко мне (@bykva), вопросы можно тоже в лику задавать мне (@bykva). Вилки в паблик не будет.

🔥 А вот и она — долгожданная программа

Мы отобрали доклады для конфы и составляем расписание. Часть его — уже на сайте. Скоро опубликуем программу целиком.

Следите за обновлениями!

Посмотреть программу

Продолжаем играть с экселем, на очереди калькулятор зарплат. не очень понравились те что в интернетиках, к тому же в экселе всегда можно что-то "на полях" посчитать дополнительно, поэтому написал свой. Калькулятор поможет менеджерам считать бюджеты своим сотрудникам.

https://docs.google.com/spreadsheets/d/1gcamk55q2WENk9bFISUFSOTKYmR8MieIZgB8c8OsDvw

работает только на тех зарплатах где есть прогрессивная шкала налогооблажения (>2,4млн в год) и до 20млн в год. пусть кто получают больше 20 сами себе пишут 😱

В ИТ существуют некоторые профессии, задачи которых могут быть не до конца понятны, например менеджер проектов и product owner. Данный канал рассказывает про про изнанку жизни менеджеров, продуктов и управленцев с изнанки, рассуждает, почему софт скилы так важны в современном ИТ и несёт самое важное - личный опыт.

А также
- автор канала рассказывает, от чего зависит успех продукта в сфере IT
- делится своими мыслями о мотивации команд
- рассуждает по поводу важности онбординга клиентов для проекта и почему инженеры тоже должны принимать в этом участие
- почему product owner - это своего рода директор

Подписывайтесь на канал, будем расширять свои горизонты в сфере IT вместе.

Появилась новая уявзимость в SSH, Race condition to RCE - cve-2024-6387

Уязвимости подвержены версии SSH начиная с 8.5p1(включительно) до 9.8p1(не включительно)
Более подробно информацию можно посмотреть по адресу:

https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server

Уязвимость детектируем только по версии SSH, т.к. ее эксплуатация занимает несколько часов в лабораторных условиях.

Для устранения уязвимости необходимо обновление, в качестве временной меры можно ограничить возможность подключения к SSH с внешних IP-адресов.

Благодарю всех кто накидал необоснованных, бездумных, желчных комментариев. Вам же с вашего дивана виднее как надо. Вам же точно понятно как лучше в конкретной компании для конкретной вакансии в конкретных условиях проводить собеседование. В заголовке поста написано слово «инструмент». Не нравится - идём мимо. Я не лезу в ваш монастырь с советами. Все компании проводят собесы по-своему, беря в пример 5 встреч как Яндекс или Тинёк, которые одним покажутся дичью, а другим - суровой необходимостью. Для тех, кто не способен прочитать в оригинальном посте что вопросы - моя субъективная история, желаю чтобы вы никогда не попадали на руководящие должности.

Комменты более недоступны в этом канале. Всем лучи добра

Подсел на сервис https://suno.com (не реклама) - с точки зрения девопс мне понравилось что можно описать песню как код, похоже на формат ini. получается довольно забавно

UPD: https://www.suno.wiki/ вот тут много по разметке текста

Инструмент для проведения собесов

Решил, что в целом уже можно поделиться своим инструментом который я сделал для проведения собесов. Я обкатал его на порядка 50 собесах и кажется что он готов для публики. Этот гугл таблица, в которой можно натыкать вопросы разных категорий, разных уровней сложности и содержащие несколько ключевых точек.

Главные фишки документа - решить следующие задачи:
1) получить одинаковый результат оценивания кандидатов, при проведении собеседования разными людьми. вопросы унифицированы, разбиты на ключевые точки, которые показывают глубину знаний человека.
2) наличие артифакта, который уменьшает субъективное мнение рекрутёра, ведь при наличии ключевых точек видно что именно кандидат знает про тот или иной вопрос. т.е. можно после собеса посоветоваться с коллегами
3) приведение субъективного мнения к математическому. Документ автоматически рассчитывает баллы и говорит какой уровень у кандидата - жун\мид\сеньёр. Чаще всего математически подсчитанный результат совпадает с моим субъективным мнением.
4) Разные вопросы под разные вакансии. Можно сформировать вопросы под конкретную вакансию в зависимости от необходимостей конкретного отдела. Так, вы можете определить core технологии, без которых существование инженера невозможно в команде. Добавить опциональные знания и знания расширенного кругозора.
5) Добавление баллов на лету. если человек раскрывает вопрос очень круто можно накинуть баллов на каждый вопрос в отдельности (или отнять)

Более подробно - в ридми документа. (Точка входа - где собес проводить - страничка Sheet1 - исторически сложилось, лень переименовывать)

Предполагаемый флоу работы - вы копируете документ-шаблон, именуете его фио кандидата, натыкиваете ответы, получившийся документ прикрепляете с комментарием в хантфлоу или что-то иное.

З.Ы. Вопросы и ключевые точки - моё субъективное мнение. Вы можете писать в доку свои вопросы, если хотите использовать док для себя. Но холиварить о вопросах и ключевых точках я не очень готов. Документ не идеален, некоторые ключевые точки плохо прописаны, я уже это не меняю - в любом случае и вопросы и ключевые точки - помогаторы при оценке человека, а не идеальный "тест"
З.З.Ы. "математика" сделана немного кривовато, т.к. не все можно сделать "чисто" с функционалом гугл таблиц. Если будете что-то менять в своей копии -делайте аккуратно.
З.З.З.Ы - дополнения и улучшения принимаются. лучше через ЛС.

https://docs.google.com/spreadsheets/d/1D2B6Xzse3fYtrTD0RcbNAeK9N7ORPHzhMGTOvaEtbCA/edit?usp=sharing

И еще один конец эпохи

https://habr.com/ru/articles/824806/

ICQ с 26 июня всё. Эпоха, конечно, давно ушла, но все равно немножко жаль.

https://icq.com/

🔤

Повышение цен на «БеКон-2024»!

5 июня в Москве компания Luntry проведет вторую конференцию по безопасности контейнерных сред — «БеКон». Приобрести билеты по прежним ценам можно до 29 мая.

Для подписчиков канала действует скидка 10% на билет для физических лиц по промокоду BYKVAADM

промокод действует до 4 июня

Подробнее о «БеКон-2024»

Конференция призвана помочь компаниям перейти на новый уровень понимания контейнерной безопасности и адаптировать современные подходы по ее обеспечению.

Для кого: для архитекторов, инфраструктурных и платформенных команд, DevOps/DevSecOps, специалистов и руководителей ИБ-департаментов.

Что в программе:

В этом году на конференции выступят эксперты из samokat.tech, Tinkoff, Luntry, СберТех, Яндекс Финтех, Флант и Лаборатории Числитель.

На мероприятии мы создаем комфортную атмосферу для продуктивного обмена опытом и знаниями: краткие технические доклады до 30 минут дают максимум пользы, а перерывы между ними отлично подходят для нетворкинга.

Ознакомиться с полной программой конференции и приобрести билет можно по ссылке.

Товарищи, устал искать, обращаюсь за помощью к комунити! Покажите мне, слепошарому, может кто-то знает, или работал, где находится описание API Yandex Vendor (янекс еда), с помощью которого я смогу обратиться к яндекс и получить список заказов в ресторане?

Спасибо 😍

Тут недавно (пере)выложили исходники MS-DOS, и в своем праздношатании по ним обнаружил забавный костыль. Думаю там такого еще очень много, но читать, конечно, все это времени нет =)

https://github.com/microsoft/MS-DOS/blob/main/v4.0/src/BIOS/MSDISK.ASM#L118

Интересно, они реально проводили испытания с фокус группой что за 2 секунды нельзя успеть у флоппика дискету поменять? =))

®️ Запускаем call for papers!

Пятый OFFZONE пройдет 22–23 августа в Москве, в Культурном центре ЗИЛ.

В этом году у нас еще больше зон для выступлений: добавились AI.Zone и Threat.Zone.
Ждем доклады на самые разные темы: open-source, применение AI/ML в кибербезопасности, уязвимости в парсерах, пентест Wi-Fi и не только. Не бойтесь предложить что-то свое :)

Спикеры, которые пройдут отбор, получат: бесплатные проходки на конфу и Speaker party, наш мерч, а также другие плюшки в зависимости от зоны.

Присылайте заявки на доклады до 12 июля. 

Узнать больше и подать заявку