🛡 Разбираемся с уязвимостями платежей

В продолжение поста про заголовки безопасности HTTP, рассказываем про безопасность платежей. Уязвимости в платежных системах могут проявляться по-разному:

➖ Манипуляция ответами: Хакеры перехватывают и изменяют ответы сервера во время проведения платежной транзакции.
➖ Атаки на проверку карт: Сценарии используют украденные данные карт для проверки их действительности.
➖ Межсайтовый скриптинг (XSS): Внедрение вредоносного кода для захвата платежных данных пользователей.
➖ SQL-инъекции: Внедрение вредоносных данных с целью манипуляции базами данных, где хранятся платежные данные.

👉 Руководство построено по структуре:

— Сценарий атаки
— Пример несоответствующего кода
— Поток атаки в несоответствующем коде
— Пример совместимого кода

Зная эти сценарии и используя примеры, вы сможете обезопасить платежные данные и узлы своих клиентов. Пользуйтесь и делитесь с коллегами 🫡

#devsecops

@DevOpsKaz 😛

🔥 Опасности и подводные камни Platform Engineering

Разработка платформ — это как инфраструктура v2.0. И вот какие ошибки здесь могут быть:

— Ошибка 1: Слишком много запущенного ПО
— Ошибка 2: Продуктовые команды несут ответственность за безопасность
— Ошибка 3: Недостаток инструментов для анализа и понимания кода
— Ошибка 4: Непонимание клиента
— Ошибка 5: Команда DevOps — это не команда продукта
— Ошибка 6: Недостаток внимания к бюджету на архитектуру
— Ошибка 7: Закапсулированность в своей важности

👉 Читать полную версию

@DevOpsKaz 😛

🔥 Оставьте заявку на международный конкурс «Проект Года» профессионального сообщества Global CIO

16 сентября открылся прием заявок на конкурс «Проект года» международного профессионального ИТ-сообщества Global CIO, в котором ИТ-руководители со всего мира представляют свои лучшие ИТ-проекты.

В прошлом году в конкурсе приняли участие проекты из 15 стран, почти 500 ИТ-руководителей высшего звена голосовали за проекты и обсуждали эффективность заявленных ИТ-решений в комментариях.

Опыт, которым обмениваются участники в рамках «Проекта года», способствует развитию всей индустрии информационных технологий. В числе победителей прошлых лет можно отметить такие компании как: Malaysia Airports Holdings Berhad, Istanbul Metropolitan Municipality, Центральный Банк Республики Узбекистан, Commercial Bank Kyrgyzstan, Halyk Bank, UZCARD, Казахтелеком, Altel, SEG ENERA, Шуртанский ГХК, KZ Recycling.

В конкурсе нет жюри, победители определяются с помощью специально разработанной экспертами методологии, которая включает в себя как онлайн-голосование членов профессионального сообщества, так и комплексную оценку масштаба, важности реализации проекта, а так же пользы для профессионального сообщества.

Прием заявок продлится по 31 октября 2024 года. Проекты могут подавать как ИТ-руководители конечных заказчиков, так и поставщики ИТ-решений. Подача заявок проходит онлайн.

Участие в конкурсе БЕСПЛАТНОЕ.

👉 Посмотреть подробные условия и заявить проект

Задать вопросы о конкурсе можно по адресу project@globalcio.com

Международное профессиональное ИТ-сообщество Global CIO объединяет более 5000 ИТ-руководителей высшего звена из 80 стран мира.
Миссия Global CIO — находить, консолидировать и продвигать лучшие ИТ-практики, формировать комфортную среду для обмена опытом, способствовать профессиональному росту участников сообщества.

Без лишних слов

@DevOpsKaz 😛

🛡 Понятия и принципы изоляции контейнера

В статье Armosec объясняются ключевые различия между традиционным root-процессом и процессом, запущенным внутри контейнера. Также здесь описаны методы изоляции.

Даже root-процесс может быть изолирован с помощью пространства имен Linux от других ресурсов в контейнере. Например:

➖ Изоляция пространства имен процесса: корневой процесс не увидит и не сможет обращаться к другим процессам на той же машине.
➖ Изоляция сетевого пространства имен: корневому процессу будет назначен собственный сетевой стек независимо от фактического сетевого стека.
➖ Изоляция файловой системы: корневой процесс увидит подмножество файловой системы хоста.
➖ Изоляция пространства имен IPC: корневой процесс будет иметь свой собственный набор средств межпроцессного взаимодействия, которые изолированы от других процессов за пределами пространства имен.

Однако запуск контейнеризованных корневых процессов может представлять угрозу безопасности из-за потенциальных уязвимостей в ядре Linux. Ситуацию немного смягчает настройка уровня процесса, называемая «возможностями». Она обеспечивает более детальный контроль доступа, чем при использовании только UID.

Также в статье говорится о важности запуска контейнера не из под root.

Читайте и делитесь с коллегами 🫡

@DevOpsKaz 😛

🔥 Самое интересное про казахстанские IT и Digital в одной папке

Собрали в одном месте каналы, которые делятся событиями, новостями и практиками на казахстанском IT-рынке. Что внутри:

— аналитика и разборы инфоподов
— подборки вакансий
— анонсы ивентов
— IT-сообщества и локальные коммьюнити

👉 Подписывайтесь и не пропускайте самое интересное

@DevOpsKaz 😛

☄️ Что делает AWS Lambda таким быстрым?

1️⃣ Вызов функций: AWS Lambda поддерживает синхронный и асинхронный вызов.

— При синхронном вызове — клиент вызывает функцию напрямую и ждет, пока она вернет результат, используя AWS CLI, SDK или другие сервисы.
— При асинхронном вызове — клиент отправляет запрос и не ожидает немедленного ответа. Вместо этого событие добавляется в очередь SQS, где процессы-поллеры обрабатывают их позже​.

2️⃣ Assignment Service

Сервис назначения управляет средами выполнения Lambda. Он построен на Rust для высокой производительности и обеспечивает отказоустойчивость за счет разделения на лидера и ведомых.

3️⃣ Firecracker MicroVM

Это облегченный менеджер виртуальных машин для запуска serverless-рабочих нагрузок, таких как AWS Lambda. Он использует виртуальные машины на базе ядра Linux для создания быстрых и защищенных сред

4️⃣ Component Storage

Lambda управляет состоянием, включающим исходные данные и код функции, используя техники оптимизации, такие как Chunking для эффективного хранения образов контейнеров и конвергентное шифрование для безопасности данных.

Этот механизм позволяет Lambda эффективно управлять ресурсами и снижать задержки холодного старта, например, с помощью функции SnapStart, которая предварительно инициализирует окружение

@DevOpsKaz 😛

💥 ГЕЙМ ДЕВЕЛОПЕРЫ, РАЗРАБОТЧИКИ, AI ИНЖЕНЕРЫ!

Decentrathon 2.0 — самый масштабный хакатон в Казахстане с призовым фондом $50,000!

Независимо от региона, вы можете поучаствовать бесплатно, прокачать навыки, получить оффер от партнеров и добавить кейс в портфолио 💯

🏆 Призовой фонд — $50,000
🎮 Треки: GameDev, Blockchain, AI, Telegram mini-apps
📅 18-19 октября
📍 17 регионов Казахстана
💻 Офлайн, онлайн

👉 Зарегистрироваться

Подробнее на decentrathon.ai

👉 Присоединяйтесь к чату, чтобы найти команду

🔥 Полный гайд по тестированию на проникновение в Kubernetes

👉 Сохраняйте в закладки советы по настройке безопасной инфраструктуры на базе Kubernetes.

Содержание гайда:

— DNS
— Node
— Pod
— Etcd
— Kube-proxy
— Role-Based Access Control
— Стороннее ПО
— Облака
— Автоматизация эксплуатации

Эта wiki-страница поможет защитить ваши кластеры и их компоненты уже на самых ранних этапах развертывания.

#k8s #kubernetes #devsecops

@DevOpsKaz 😛

🔥 5-ый Azure AI Day при поддержке Microsoft уже 19 октября!

Конференция собирает вместе тех, кто не просто живет облаками, но и успешно прокладывает в них новые маршруты.

Вы сможете погрузиться в мир искусственного интеллекта, узнать о самых свежих решениях на базе Azure, и конечно, зарядиться знаниями от экспертов, которые знают, как использовать данные на полную катушку.

📌 Что вас ждёт:

— Выступления и мастер-классы
— Инсайты от лидеров отрасли
— Реальные кейсы применения Data & AI
— Нетворкинг с профессионалами

Azure AI Day — место, где рождаются новые идеи, заводятся полезные связи и трансформируется бизнес. Это место, где технологические мечты превращаются в реальность.

📍 Когда? 19 октября в 13:00
📍 Где? Алматы, MOST IT HUB + онлайн

👉 Регистрируйтесь бесплатно

📈 Мониторинг функций AWS Lambda

Всё, что нужно знать о мониторинге AWS Lambda: инструменты, метрики и передовые методы отслеживания работоспособности и эффективности ваших бессерверных приложений

👉 Руководство поможет вам выявлять проблемы на ранних стадиях и оптимизировать производительность.

#AWSLambda #Serverless #Monitoring

@DevOpsKaz 😛

☄️ Новости и релизы инструментов DevOps

➖ PipeCD — платформа непрерывной доставки GitOps для приложений в разных средах, выпустила версию v0.49.0. Улучшенная поддержка AWS Lambda, улучшения ECS, поддержка OIDC для SSO и отправка трассировок OpenTelemetry в управляющую плоскость.

➖ Devtron — платформа для интеграции инструментов в Kubernetes, обновлена до версии v0.7.2. Поддержка создания плагинов на уровне конвейера, поддержка TLS для Git и GitOps, вебхуков GitLab, асинхронное обновление приложений Argo CD и другие функции.

➖ Cortex — масштабируемое хранилище для Prometheus, выпустил версию v1.18.0 с множеством обновлений. В их числе: экспериментальная поддержка записи гистограмм, фильтрация оповещений (API ListRules), новый механизм отклонения запросов, ограничитель по принципу токен-бакета и другое.

➖ Argo Workflows — движок для оркестрации параллельных заданий в Kubernetes, выпустил версию v3.6.0-rc1 с сотней изменений. Среди новых функций: поддержка Prometheus TLS по умолчанию, настраиваемые индивидуальные метрики, метрики OpenTelemetry, поддержка эфемерных учетных данных для S3 и множество улучшений в интерфейсе.

@DevOpsKaz 😛

☄️ Нашли вам занятие на выходные — погрузитесь в теорию и практику Linux на воркшопах с ведущими экспертами индустрии.

👉 Регистрируйтесь до 4 октября здесь.

Какие воркшопы уже есть:

➖ Приватный self-hosted мессенджер — 12 октября
➖ Создание приватного сетевого контура для связи удаленных площадок — 19 октября
➖ Приватное облачное хранилище файлов — 26 октября

Воркшопы подойдут, если вы:
— Уже знакомы с Linux и всегда выбираете командную строку вместо UI
— Умеете побеждать рутину с помощью автоматизаций Bash или Python
— Знаете основы TCP/IP, DNS и HTPP
— Хотите обучаться на реальных кейсах

Длительность одного воркшопа: 7 часов по субботам.

Воркшопы проходят в небольших группах, поэтому количество мест ограничено — необходимо пройти отбор.

@DevOpsKaz 😛