Информационный портал по безопасности

Коллеги, в настоящий момент в сети Интернет фиксируется мощная ботнет-атака. Все адреса сканируются на предмет наличия свежей уязвимости в программном обеспечении Cisco IOS (CVE-2018-0171, CVSS=9,8), позволяющей удаленно выполнять команды на устройствах Cisco. Бот заходит на устройство и удаляет конфигурацию, записывая вместо нее свои файлы.



Разработчики Cisco уже выпустили патчи для обнаруженной уязвимости (https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2).



Мы рекомендуем установить патчи как можно скорее. Под катом — уведомление, которое Solar JSOC рассылает клиентам, с деталями уязвимости и рекомендациями по противодействию.

Недавно Cisco узнала о некоторых хакерских группировках, которые выбрали своими мишенями коммутаторы Cisco, используя при этом проблему неправильного использования протокола в Cisco Smart Install Client. Несколько инцидентов в разных странах, в том числе некоторые из которых касаются критической инфраструктуры, оказались связаны с неправильным использованием протокола Smart Install. Некоторые эксперты считают, что ряд этих атак связан с хакерами, стоящими на службе государства. В результате мы занимаем активную позицию и призываем клиентов, снова, к оценке рисков и применению доступных методов нейтрализации рисков.

Прошедшая неделя традиционно была богатой на события в мире финтеха. Отличились многие – как компании, так и страны. Самое интересное мы выделили, представив в этом посте. И никаких апрельских шуток!







Обучение, конечно, стоит нынче недешево. Но 650 млн рублей для 70 человек?



Начнем с цифровой экономики в России. Правительство собирается потратить около 50 млрд руб. на реализацию исследований и разработок в области цифровой экономики. В частности, на разработку стратегий цифровой трансформации компаний планируется потратить около 1,37 млрд рублей. Но самое интересное даже не это, а то, что 650 млн рублей будет потрачено на обучение 70 россиян цифровой экономике за границей.



Счастливчики, входящие в команду «финтех-студентов», после завершения своего курса будут обязаны вернуться в Россию, для чего будут предусмотрены специальные пункты в нормативной базе.

Начнем рассказ о тимлидах и для тимлидов с проблем, болей, вопросов, которые могут возникнуть в больших и небольших ИТ-компаниях. Ведь, если мы не можем сформулировать задачи, то как же мы станем их решать.

Нужен ли вообще тимлид?

Что есть тимлид, какие у него задачи?

Что сначала: команда или тимлид?

Необходимы ли тимлиду технический навыки?

Вырастить или нанять?

Как понять, можно ли и нужно ли выращивать из инженера тимлида?

Сколько времени нужно, чтобы вырастить тимлида?

Менеджерские роли тимлида, какая роль предпочтительней?

Насколько важны эмоциональный интеллект и социальные навыки?

Что делать если руководитель сам является техническим специалистом и падок на микроменеджмент?

Тимлид ушел на неопределенное время (отпуск, больничный, форс-мажор), что делать?

Что делать, если тимлид уходит насовсем?

Какое должно быть соотношение менеджмента и разработки в работе тимлида?

Есть ли путь назад (и вперед)?

Какие перспективы карьеры тимлида?

Что может помешать стать тимлидом?

В чем разница между тимлидом и техлидом?

Как выявить неэффективного тимлида на ранней стадии?

Как начинающему тимлиду справиться с потоком информации?

Нужен формальный или неформальный лидер?

Junior и Senior тимлид, в чем различия и как держать их в одной команде?

Такой поток запросов выдали участники TeamLead Conf на круглый стол. Если вы уже сталкивались с какими-то из них, то, вероятно, и остальные могут вас настигнуть, есть, о чем подумать.



Под катом — обзор лучших докладов TeamLead Conf с видеозаписями и презентациями.

В этой книге вы найдете ключевые принципы, алгоритмы и компромиссы, без которых не обойтись при разработке высоконагруженных систем для работы с данными. Материал рассматривается на примере внутреннего устройства популярных программных пакетов и фреймворков. В книге три основные части, посвященные, прежде всего, теоретическим аспектам работы с распределенными системами и базами данных. От читателя требуются базовые знания SQL и принципов работы баз данных.



В обзорном посте рассматривается раздел «Знание, истина и ложь».



Если у вас нет опыта работы с распределенными системами, то последствия этих проблем могут оказаться весьма дезориентирующими. Узел сети ничего не знает наверняка — он способен только делать предположения на основе получаемых (или не получаемых) им по сети сообщений. Один узел в силе узнать состояние другого узла (какие данные на нем хранятся, правильно ли он работает), только обмениваясь с ним сообщениями. Если удаленный узел не отвечает, то нет никакого способа выяснить его состояние, поскольку невозможно отличить сетевые проблемы от проблем в узле.

Разбор последней четвёртой задачи:



code_0

Условие (упрощённо):

Под катом бенчмарки, куски ассемблера и разбор оптимизаций со стороны JVM.



Другие публикации серии: Часть 1, Часть 2 и Часть 3.

Количество серверов в нашей инфраструктуре уже перевалило за 800, хотя еще год назад их было около 500. Для работы с этим всем активно используются решения от Red Hat. Про FreeIPA — для организации и управления доступами для Linux-серверов — мы уже писали, сейчас же я хочу затронуть тему управления конфигурациями. Для этих целей у нас юзается Ansible, а с недавних пор к нему добавился AWX — представленное полгода назад решение для централизованного управления плейбуками, расписанием их запусков, управления инвентори, учетными данными для доступа к серверам, а также механизм callback'ов для запроса конфигураций со стороны сервера.



Из-за ряда вещей мы не сразу смогли интегрировать его для работы с нашим основным проектом War Robots, но полей для проверки AWX нашлось предостаточно. Во-первых, в компании ведутся разработки новых проектов, которым нужны dev/stage-окружения и, само собой, production-окружения в перспективе. А недавно к этому добавился еще и проект для внутренней аналитики, которому потребовался полностью новый кластер.



Итак, начнём!

LG Electronics сообщила о доступности webOS Open Source Edition, рассчитанной главным образом на разработчиков, разрешив другим компаниям использовать ее в своих устройствах. Это дает возможность другим компаниям задействовать webOS Open Source Edition в своих продуктах: телевизоры, IoT устройства, планшеты, или смартфоны.

Версия 1.0 новоиспеченной webOS OSE оптимизирована для Raspberry Pi 3, однако поддержка новых платформ не за горами. Страница настройки содержит инструкции по сборке прошивки для загрузки с microSD карты. Для сборки необходима Ubuntu 14.04 LTS 64-bit, 4-х ядерный процессор Intel Core i5, 8 GiB ОЗУ и 100 GiB дискового пространства.

В одном из прошлых постов мы отметили, что успешно ресертифицировали свою инфраструктуру по PCI DSS и рассказали о видах хостинга PCI DSS: co-location, IaaS Basic и IaaS Advanced. Сегодня мы подробнее поговорим о самом процессе сертификации и собственном опыте прохождения аудита.

Здравствуйте, хабровчане!



Пока не стихают холивары на тему, аморально или нет использовать бесплатные платформы для создания коммерческих продуктов, мы тихой сапой сделали это. И не стесняемся брать с клиентов деньги, потому что запилили на базе свободного кода реально классную штуку — универсальный аппаратный шлюз безопасности. Раньше у нас был коммерчески успешный межсетевой экран, но для Microsoft Windows. Бурный поток идей в какой-то момент вышел из берегов «винды», и встал вопрос — а что дальше? А дальше — Linux или Net/Open/Free BSD. Наши гуру собрались, покурили и решили вместо изобретения собственного велосипеда использовать OPNsense. Эта статья поможет тем, кто захочет сделать нечто подобное.