Всем привет! На днях вышел новый релиз системы защиты контейнеров от Aqua Security – это Aqua CSP 5.0.

В этой версии были сделаны не просто улучшения, но и добавлены крутые функции, которыми мы не можем не поделиться.

Вот некоторые из них:
📍 Интеграция с «песочницей» для контейнеров (Aqua DTA), чтобы проводить динамический анализ образов до того, как они будут запущены как контейнеры в реальной инфраструктуре;
📍 Разграничение доступа на уровне приложений (Multi-Application RBAC). Например, кроме пользователя, роли и пула разрешений, теперь можно назначать к каким приложениям специалист сможет иметь доступ (артефакты, элементы кластера (workloads) или инфраструктуры);
📍 Реализация модели рисков (Risk-based Insights). По факту это объединение найденных уязвимостей в группы (например, Remote Exploit, Network Attack Vector и пр).

Кстати, в июне 2019 вышла новая версия фреймворка CVSS 3.1. В 5-й версии консоли Aqua CSP можно увидеть данные о доступности и типах эксплоитов, используемых для взлома уязвимых приложений.

На прошлой неделе мы писали про исследование компании Aqua Security, в рамках которого ее специалистами проводилось сканирование образов в Docker Hub и было выявлено несколько зараженных контейнеров хакерской группировки DzMLT.

В рамках исследования как раз использовался продукт Aqua DTA, упомянутый выше.

Сканирование с Aqua DTA реализуется или из реестра, или в процессе CI/CD-сборки.

Запуская контейнер внутри «защищенной среды», Aqua DTA изучает его поведение в течение нескольких минут, выявляя подозрительные сетевые взаимодействия, вредоносное ПО и multi-stage/zero-day атаки.

Пока продукт является облачным сервисом, но в будущем компания планирует сделать и on-prem версию.

Описание основных функций можно найти по ссылке.

Когда-то это должно было произойти. Вся интрига была - кто купит. Лишь бы красный гигант теперь не купил SUSE :)

https://rancher.com/press/suse-to-acquire-rancher/

"Persistent Storage в Kubernetes - да или нет? И если да - то как правильно?" - один из самых частых и непростых вопросов в мире контейнеризации. С одной стороны, не рекомендуется. С другой, потребность в этом есть, и причём устойчивая.

Можно сказать, что на текущий момент технологии в этом отношении ещё далеки от стадии зрелости. Community активно работает и ищет пути развития. В рамках такого развития рабочая группа CNCF (Storage SIG) обновила свой whitepaper. Это очень полезный документ, который по полочкам раскладывает такие аспекты как:

📍 Терминология
📍 Проблематика
📍 Подходы к реалищации
📍 Типы Storage

Кроме того в документе описано текущее состояние и планы по технологическому развитию persistent Storage в кубере. Рекомендуем к прочтению!

https://www.cncf.io/blog/2020/07/06/announcing-the-updated-cncf-storage-landscape-whitepaper/

TGIF! Всем привет!

Для того, чтобы приятно провести выходные и начать изучать нечто новое совсем не обязательно разворачивать инфраструктуру, устанавливать приложения и интегрировать системы. Можно, например, воспользоваться таким сервисом, как Katacoda!

Он предоставляет «виртуальное окружение», в котором можно попробовать свои силы и сделать первые шаги, например в:

🍭 Docker
🍭 Kubernetes
🍭 Jenkins
🍭 Ansible и многое другое

Сервис дает возможность доступа к playgrounds - сконфигурированным окружениям, в которых вы можете ознакомиться с технологией. Альтернативный вариант - добавить чуть больше системности к обучению и попробовать Labs - заранее подготовленные сценарии, в которых надо выполнять задания :)

Ну а если вы все знаете, то можете помочь в развитии community и создать обучающие курсы на свой вкус и цвет, которые будут размещены на платформе!

Возможно, что вы ищете курсы по отдельным темам. Да, такое тоже есть!

🍭 Docker!
🍭 Kubernetes!
🍭 Red Hat OpenShift!
🍭 Microservices!

И, напоследок... Хотите все-таки поднять окружение самостоятельно? Тогда вас может заинтересовать вот этот проект: DevSecOps-Studio! Окружение, в которое включены такие решения, как Metasploit, Brakeman, ZAP, Gaunlt, Gitlab CI/Jenkins и многое другое!!!

А какие курсы и/или площадки для практических экспериментов используете вы? Ждем ваших ответ в чате! :)

Отличных вам выходных!

Незаметно вышел релиз 4.5.1 Red Hat OpenShift Container Platform.

Важное из нового:

📍Kubernetes 1.18
📍Elasticseach обновился до 6.8.1, вместе с этим обновилась модель данных
📍 HAProxy 2.0.14
📍 Установка на vSphere через installer-provisioned infrastructure, т.е. полностью автоматическая
📍Официальная поддержка 3х-узловых кластеров на bare metal (без воркеров)
📍Стало удобнее обновление изолированных инсталляций
📍Descheduler все еще в Tech Preview, но появилась новая стратегия RemovePodsHavingTooManyRestarts
📍Vertical Pod Autoscaler Operator (Technology Preview) - автоматизация управления requests/limits через CR
📍В мониторинге продолжает развиваться гранулярный доступ из коробки
📍Много изменений в представлении для разработчиков
📍CSI volume cloning

Если здесь есть пользователи OpenShift, расскажите в чате, на какой вы версии сейчас? Интересно, перешли хотя бы на 4.x!?

GitOps, предложенный в 2017 WeaveWorks, находит все больше практического применения в Enterprise!!!

Вот и Red Hat выпустил свой гайд и лабу для практики на базе ArgoCD, OpenShift и относительно новой фичи - Advanced Cluster Management.

Да-да, там раскатывают приложение в HA конфигурации на 3 кластера и даже без растянутой Submariner сети)

Подброности можно прочитать по ссылке!)

Новый год в июле?!

Все мы долго ждали, и вот, наконец, это свершилось! OKD 4.5 is Generally Available!

CoreOS, операторы, developer catalog и прочие фичи из OpenShift, все как мы любим!

Без дальнейших рассуждений - бежим ставить новую версию и делиться своими впечатлениями в чате! :)

https://github.com/openshift/okd

Всем привет! Компания CyberArk, известный на российском рынке производитель PAM-решений, выпустила бесплатный продукт Secretless Broker.

По факту это прокси-сервер, который берет на себя функцию инъекции секретов в контейнеры. При этом приложению знать секрет совсем не требуется.

Как это работает:

🍭Приложение подключается к брокеру
🍭Брокер берет секрет из системы управления секретами
🍭Брокер инициирует сессию с целевой системой (например, к БД), используя секрет
🍭Брокер "соединяет" трафик между приложением и целевой системой

Брокер представляет собой sidecar контейнер, который разворачивается "рядом" с контейнером приложения.

Более детальную информацию можно получить тут.

Всем привет!

Есть свежий пост про новый функционал в Red Hat OpenShift 4.5.1!!!

С пылу с жару (еще неделя не прошла, ну почти :) ) ребята подготовили обстоятельный и подробный пост, доступный по ссылке!!!

Привет!

Если вам интересна статистика по использованию Open Source при разработке ПО, то рекомендуем обратить внимание на отчет компании Synopsys (2020 Open Source Security and Risk Analysis (OSSRA) Report).

Отчет содержит сводную информацию о таких аспектах как:

🍭 Использование Open Source в различных отраслях
🍭 Какой Open Source используют больше всего
🍭 Как часто не соблюдаются правила лицензирования Open Source
🍭 Информация о наиболее "популярных" уязвимостях в Open Source компонентах и многое другое

Скачать материал можно по ссылке :)

Вышла новая версия HashiCorp Vault 1.5!

Буквально на днях обновился этот крутой и популярный тул, который умеет secrets management, PKI и много чего ещё!!!
В новом релизе много фич, которые делают его ещё более годным для true Enterprise-внедрений.

Как вам такое?!
🍬 Нативная поддержка в Red Hat OpenShift
🍬 Поддержка HA Storage для разных бэкендов
🍬 Поддержка сертификатов VMware и NetApp ONTAP

Нам очень 👍! И это далеко не все :) Подробности можно прочитать тут: https://www.hashicorp.com/blog/vault-1-5/

Всем привет! Ещё один инструмент для аудита кластера Kubernetes с говорящим названием - kubeaudit.

Kubeaudit - это cli утилита, с помощью которой можно просканировать кластер на различные аспекты безопасности.

Например :
🍡Запуск контейнера из-под рута
🍡Наличие расширенных привилегий (capabilities)
🍡Отсутствие network policies с настройкой default-deny и пр.

Утилита поддерживает 3 режима работы:

🍡манифест - сканирование файла манифеста кластера. В этом режиме утилита также позволяет патчить конфигурацию кластера с использованием команды autofix
🍡локальный - сканирование файла конфигурации кластера (kube/config)
🍡режим кластера - сканирование всего кластера.

Более детальная информация доступна тут.

Привет! Этим теплым июльским днем хотим поделиться зимней историей, как наша команда автоматизировала ввод в строй нескольких десятков серверов у ритейлера, чтобы успеть модернизировать ЦОД к новогоднему пику продаж.

Комплекс управления конфигурациями сложился как матрешка:

☃️ Cobbler,
☃️ HashiCorp Vault,
☃️ Ansible и AWX,
☃️ и все покрыл Molecule


*Спойлер: ЦОД был вовремя модернизирован, а Дед Мороз доставил детям миллионы подарков! 🎁
https://habr.com/ru/company/jetinfosystems/blog/513132/

Всем привет!

Если вы уже успели заскучать от типовых атак на торчащие наружу облачные Docker API с последующим майнингом криптовалюты, то как раз для вас подъехала отличная статья! :)

Исследователи компании Intezer обнаружили новое вредносное ПО (это backdoor), назвав его Doki. Конечно, все в итоге сводится к вышеуказанному, но атака в совокупности с Doki реализуется действительно изящно.

Тому есть 2 причины:

Во-первых, в скомпрометированной инфраструктуре запускаются легитимные образы (это alpine с установленным curl).

Выглядит это примерно так:
🍡К Docker API создаётся запрос с указанием параметра для привязки папки контейнера к рутовой директории сервера
🍡С использованием сервиса Ngrok загружаются вредоносные файлы через curl (сетевые сканеры и "плохие бинари", среди которых и был обнаружен Doki)

Во-вторых, Doki - это такой вредонос под Linux, который не смогли выявить даже 60 антивирусов VirusTotal. К тому же он использует незадокументированный метод связи со своим оператором, используя blockchain-технологию криптовалюты Dogecoin для динамической генерации его доменных имён C2 .

Но об этом вам лучше почитать в самой статье по ссылке.

P. S. И немного про Ngrok.

Всем привет! Time to robotize!

Вы знали, что типовые рутинные процессы, выполняемые человеком в информационных системах, можно типизировать, алгоритмизировать и автоматизировать?

Для этих целей существуют специальные платформы под названием Robotic Process Automation (RPA).
Решили немного рассказать про них.

Зачем нужны RPA?
По факту есть 2 большие цели:
🍪Автоматизация простых рутинных операций или даже реализации сложных бизнес-процессов
🍪Скорость и минимизация ошибок при решении различных задач вроде почтовой рассылки или аггрегации данных из разных систем (сокращение человеческого фактора)

Почему именно RPA, а не 'классическая' автоматизация?
Есть несколько причин:
🍪Возможность использования сторонних библиотек: компьютерное зрение, OCR, встраиваемые внешние модули AI
🍪Не надо переделывать бизнес-процесс, он автоматизируется as is (роботы воспроизводят действия пользователей)
🍪Общая среда управления роботами: расписание, балансировка нагрузки, запуск разных процессов из единой точки.

Где это может быть применимо на примерах?
🍪Продажи (проверка наличия товаров на складе, письма)
🍪HR (сборка заявок в HR службу)
🍪Финансы (формирование рассылок отчётов)
🍪Внутренний контроль (аналитика по финансовой отчётности)
🍪Управление информацией (проверка контрагентов)
И это ещё не все.

Какие RPA платформы можно встретить на рынке?
🍪UIPATH (наиболее известное решение)
🍪Robin (первое решение в реестре российского ПО)
🍪Blue Prism
🍪Automation Anywhere

Если интересно, расскажем в чем разница. Пишите в чатик

Всем привет!

Сегодня скажем пару слов про харденинг и полезные инструменты для него. А так же можно ли упростить этот процесс.

Если компании не чужда автоматизация развертывания инфраструктуры, тогда относительно легко задать параметры конфигураций целевых систем.
Развернув таким образом, например, виртуальную машину, отвечающую необходимым compliance требованиям организации.

Но ведь в процессе жизненного цикла эта конфигурация может изменится!
Как понять, не произошло ли критичных с точки зрения безопасности изменений в конфигурации?
К счастью, есть решение!
Фреймворк Inspec разработанный компанией Chef, одним из лидеров в вопросах управления конфигурациями, поможет провести аудит целевых систем, не затрагивая при этом непосредственно конфигурацию. Мы не передаем и не заменяем на серверах конфигурации, но проводим проверку и получаем отчёт о конкретных изменениях в них.

Плюшки inspec:
🍩 Возможность выполнять проверки в удаленных системах посредством ssh и winrm (для Windows).
🍩 Возможность применять профили проверок из github на лету, без pull’ов.
🍩 Поддержка аудита для docker контейнеров и облачных провайдеров (AWS, Azure).
🍩 Из удаленных систем берутся только значения проверяемых параметров. Нарушить работоспособность своим сканированием нельзя.
🍩 Легко кастомизируемые профили проверок. Нет нужды проверять все параметры конфигурации систем. Проверяем только необходимое нам.
🍩 Встроенный supermarket с большим набором готовых проверок под различные системы и прикладное ПО (от Windows до Kubernetes).
Решение может быть интегрировано в конвейеры разработки, IaC системы и в целом обладает большой гибкостью применения!

Больше информации на сайте и github разработчиков.

https://inspec.io
https://github.com/inspec/inspec
Stay safe. Stay secure. 😷

Нашли картинку, которая наглядно изображает, как с помощью инструментов DevSecOps автоматизировать рабочую рутину. Машина Голдберга, которую мы все заслужили 🤓 Всем хорошей и продуктивной пятницы: https://twitter.com/memenetes/status/1287923648787931136?s=09

И снова привет!

Недавно наткнулись на агрегированную подборку материалов по DevOps. Она включает в себя информацию о различных решениях (зачастую и в большей степени open source), которые могут пригодиться для таких задач, как:

🍭 Code review
🍭 Chat and Chat Ops
🍭 Chaos Engineering (куда уж без этих 🙈)
🍭 Secret Management
🍭 Monitoring
🍭 И многое другое :) Позиций и правда больно много, чтобы все перечислять

В дополнение, помимо технологий, есть ссылки на полезные ресурсы (книги, конференции) и... DevOps Roadmap - прямо путь самурая путь DevOps'era с указанием компетенций, которые ему надо развить - хоть на стену вешай!!!
Кстати, а согласны ли вы с таким развитием специалиста? Ждем вас в чате для обсуждения!

Ссылка на Awesome DevOps: тут! Всем отличного дня!

GitHub
wmariuss/awesome-devops
A curated list of awesome DevOps tools, platforms and resources - wmariuss/awesome-devops

Что делать, если хочется Infrastructure as a Code, а вся инфраструктура уже развернута? Встречайте Terraformer - CLI для анализа существующей инфраструктуры и автоматической генерации tf и tfstate, aka reverse Terraform.

Помимо крупнейших облаков умеет работать с Yandex.Cloud, OpenStack, Kubernetes и много чем ещё. VMware не умеет :( есть issue, но без движения с апреля.

Вот тут можно посмотреть пример работы.
“Infrastructure to Code: Terraformer” by Amet Umerov https://link.medium.com/VHHyplG1D8

Привет!

Решили познакомиться с новыми CI/CD инструментами (не Jenkins’om единым!) и наткнулся на интересную статью про … Docker!!! А именно – antipatterns и как можно их избежать.

У автора интересная подача, которая начинается с простого – «Не путайте виртуальные машины и контейнеры. Контейнеры – не виртуальные машины!». Не с точки зрения техники, скорее с точки зрения восприятия. Это важно, потому как это подводит к таким советам, как:

🍭 Образ контейнера – новая «единица обмена» информацией. Dev больше не дает код/приложение Ops и не просит его «развернуть». Он дает Dockerfile!

🍭Образы должны быть максимально простыми. И даже образы контейнеров можно «дробить» (есть интересный подход через multistage build, где результирующий Dockerfile не содержит «лишней» информации, что делает его легче, менее многослойным)

🍭 Не «вшивайте» конфигурационную информацию ИТ-окружения в Dockerfile – это подводит нас к тому, что Dockerfile в Dev, Test, QA, Cert, Pre-prod и Prod – это один и тот же образ!

🍭 А как тогда передать конфигурацию?.. В run-time, например, в качестве переменных окружения - в статье есть отличные примеры и инструменты, которые позволяют это делать!

И это далеко не все (согласно рекомендациям, статья занимает 19 минут)!