#nginx #security

Частые ошибки в настройках Nginx, из-за которых веб-сервер становится уязвимым
https://habr.com/ru/company/cloud4y/blog/547164/

У Яндекса есть анализатор конфигов Nginx
Nginx configuration static analyzer
https://github.com/yandex/gixy

Извините за хайповость, но я не могу пройти мимо травли Ричарда Столлмана. Толерантные мудаки во главе с корпорациями хотят отстранить отца опенсорса - человека, действительно радеющего за OPEN Source - от того, для чего он подходит лучше кого-либо ещё. От управления опенсорс сообществом.

Если вы против этого идиотизма с толерантностью, если вы за OpenSource, если Столлман не оскорбляет вас - проголосуйте здесь пожалуйста. Это несложно, инструкция внутри

В чатике сообщают, что про кубернетес теперь можно читать на великом и могучем

https://kubernetes.io/ru/

Столлман душка

Одна из вещей за которую в том числе травили обижались на Сталлмана это сообщение в почтовую группу kabuki-west (для организации ужинов и посиделок в одном из районов Сан Франциско). Сообщение это к слову 93 года.

Я вряд ли смогу передать всю элегантность слога RMS, но все же попробую:

Народ, не могли бы вы, пожалуйста, не использовать эту рассылку для объявлений, которые не представляют особого интереса для читающих ее людей? Ежедневно рождаются сотни тысяч детей. Несмотря на то, чем грозит нам это явление в будущем, каждое отдельное деторождение не заслуживает внимания. Роды не являются каким-либо достижением -- рожать под силу даже некоторым рыбам. (А вот если вы морской конек, было бы куда интерснее, так как родил бы самец.)

Следуя вашему примеру я мог бы отправлять сюда анонс каждый раз когда написана новая программа GNU. Это происходит куда реже, чем рождение детей, а пользы от события куда больше, так как в этом действии присутствуют сознательное творчесто и тяжкий труд, а кто-то из читателей даже может счесть эту информацию полезной. Тем не менее, я считаю, что большинство читателей признали бы это выходящим за рамки и не соответствующим цели данной рассылки. Очевидно, то же относится и к детям.

Конечно, у нас есть отдельное место для анонсов новых GNU программ, и если кому-то нравится читать объявления о появлении на свет детей, возможно, вам стоит завести для этого подходящую новостную группу. Может быть rec.births? (А чтобы два раза не ходить, заведите еще и rec.deaths для некрологов -- обычно их читать куда интереснее.)

Ещё эти объявления о рождении распространяют миф о том, что ребенок - повод для гордости, который укрепляет позиции наталистов, что в свою очередь ведет к загрязнению окружающей среды, исчезновению дикой природы, нищете и в конце концов к массовому голоду.

Возможно, решившим не иметь детей людям следует также с гордостью заявлять о себе, подавая более хороший пример. Я мог бы начать. Уверен, что все участники рассылки будут рады узнать, что я не планирую размножаться.

Это тот интернет, который мы сейчас теряем. Это тот интернет который одновременно и соединял и объединял и позволял отправить Fuck you кому угодно информации и мнениям плыть без каких-либо ограничений. Нет ничего хорошего в личных нападках и травле. Но никакие запреты никогда не искоренят саму идею того что пытаются запретить.

p.s. спасибо, @toukonotes за корректорскую работу

Хорошо ли вы знаете GNU утилиты?

Вот задачка для разминки мозга:
Есть kubernetes кластер. Часть нод в нем с метками type=runner. Нужно посчитать общее количество процессорных ядер на всех нодах с этой меткой.

Можно использовать любые вспомогательные технологии: ansible, python, всё, что вам кажется правильным.

У меня есть несколько способов решения. Напишу о них до конца недели

Жду ваших решений в комментах

#задача #bash

Лайфхак: войти в айти еще в школе

IT — сфера, где кипит жизнь и много денег. И много специфических проблем. Предлагаем школьникам попробовать айти на вкус: понравится ли придумывать алгоритмы, писать и отлаживать код, работать в команде? Стоит ли развиваться в эту сторону, или лучше выбрать другую профессию? Слёрм Юниверс — это обучение, максимально приближенное к обычной работе программиста. Каким оно будет, и почему мы строим именно такое будущее: https://slurm.club/39rt9P4

#реклама

Наконец-то стекируемый свитч от Mikrotik

Иногда ответы на Stackoverflow лучше любого курса, поста или ман страницы. И это именно такой случай. Зачем нужны кавычки в bash скриптах? Не спешите закрывать пост, если не пишете баш скрипты. Тут подробно описано к чему (а главное, как) может привести несерьезное отношение к экранированию входных данных.

И в дополнение анализатор шелл скриптов. С веб версией, плагином к любимому редактору и примерами плохого кода прямо в репе

Ну и в догонку пачка полезных советов

#shell #bash #security

​Делать Infrastructure-as-code (IaC) сейчас модно, главное предварительно ознакомиться с лучшими практиками и не забыть подумать о безопасности. Для последнего существует несколько бесплатных утилит, как для конкретного решения, так и комплексных (например [checkov](https://github.com/bridgecrewio/checkov)).

Компания Checkmarx, многим известная своим SAST решением для анализа исходного кода, тоже решила сделать вклад в комьюнити и выпустила собственное opensource решение для статического анализа конфигураций — Keeping Infrastructure as Code Secure (KICS).

Поддерживает: Terraform, Kubernetes, Docker, Ansible, Helm и AWS CloudFormation.

А еще есть неплохая документация и запланированный на 15 апреля вебинар, где обещают рассказать о решении подробнее.

KICS > https://www.checkmarx.com/opensource/kics/
Docs > https://docs.kics.io
Git > https://github.com/Checkmarx/kics
Webinar > https://register.gotowebinar.com/register/3720624616764432144

Google Cloud открывает подготовку к сертификации по google cloud
Бесплатно и с менторами, похоже, даже на русском будет
https://events.withgoogle.com/road-to-google-cloud-certification/#content
Описание на русском и регистрация тут:
https://gdg.community.dev/events/details/google-gdg-moscow-presents-zachem-nuzhny-google-cloud-certifications/
10 апреля вебинар для вопросов-ответов, 15 апреля дедлайн по регистрации (заранее надо будет сделать и сдать лабу)

И здесь чат сообщества: https://news.1rj.ru/str/gdgrussiacloud

Учимся разбирать RDP трафик на запчасти. Прям берём Wireshark, смотрим где лежат ключи и лезем внутрь своими грязными руками.
https://unit42.paloaltonetworks.com/wireshark-tutorial-decrypting-rdp-traffic/

#python #vim

Время от времени захожу к Наташе @nata_samoylenko на сайт и нахожу для себя что-то новое. Вот и на этот раз обнаружил замечетельную ссылку на курс VIM and Python – A Match Made in Heaven от Real Python как совместить питон и VIM.

Круто, иду разбираться!- 🔥
Однозначно в закладки!-✌️
Мне не интересно!- 😏

Хотите обсудить? Айда в чат - https://news.1rj.ru/str/automate_devnet

Больше ресурсов вы можете найти по хештегам:
#python #vim

Impacket - коллекция Python классов для работы с разными сетевыми протоколами:
- SMB1/SMB2/SMB3
- NTLM/Kerberos authentications
- MSSQL
- LDAP
- MSRPC

▪️При использовании отпечатка пальца выбирайте для авторизации мизинец и
безымянный палец левой руки для правшей и правой руки — для левшей. Обычно
пользователи выбирают указательный и большой палец. Это удобно, но неправильно,
так как в работе со смартфоном мы в первую очередь пользуемся именно ими.
Получив «залапанный» смартфон, преступник сможет изготовить фальшивый
отпечаток за пару часов — инструкций в интернете для этого достаточно

▪️По ритму походки и сигнатуре дневной активности можно идентифицировать любого
человека в любой точки мира с новым (пустым) смартфоном в кармане. Используется
пассивный сбор данных или поведенческая биометрия (160 параметров, Unify.id,
BehavioSec.com)

Прочитайте брошюру сами и покажите родителям. Я открыл для себя два новых факта, которые привёл выше

Какие данные передаёт ваше устройство веб сайтам
http://deviceinfo.me

И инструкции по защите приватности в разных сервисах
http://privacy.kaspersky.com