⚡️ AegisBPF — превентивная Runtime Security в ядре Linux через eBPF LSM

Когда речь заходит о безопасности контейнеров и хостов, большинство Security-агентов работают по принципу «обнаружили — подняли алерты».

AegisBPF меняет этот подход и смещает фокус на принудительное блокирование.

Вместо того чтобы сидеть в userspace и ловить события из tracepoints, агент использует BPF LSM (Linux Security Modules). Это позволяет рубить вредоносную или нежелательную активность буквально «на лету» — системный вызов отсекается с ошибкой -EPERM ещё до того, как операция успеет завершиться в ядре.

Чем интересен AegisBPF:

⚪️ Поддерживает inode-based правила и корректно обрабатывает специфичный для контейнеров copy-up в OverlayFS (большинство банальных фильтров по путям «ломаются» именно на этом)

⚪️ Позволяет задавать сетевые deny-правила для IPv4/IPv6, портов и CIDR-блоков

⚪️ Все политики безопасности можно гибко привязывать к конкретным cgroup, что делает инструмент отличным кандидатом для защиты Kubernetes-подов.

Эксперименты в aegis-next:

В репозитории отдельно развивается исследовательский прототип aegis-next. Там авторы уже тестируют использование BPF arena (механизм для разделяемой памяти между ядром и userspace, появившийся в свежих ядрах), построение provenance-графов (графов происхождения процессов/файлов) и новые векторы enforcement.

Проект пока молодой, но архитектурно выглядит очень здраво. Если вы исследуете тему BPF LSM, защищаете K8s-кластеры или ищете lightweight-альтернативу тяжелым runtime-агентам — однозначно стоит закинуть в закладки и покрутить в тестовой среде.

@DevOpsKaz 😛

🔥 DevOps-проекты для портфолио и подготовки к собесам

Разбирать теорию по документации — ок, но на собеседованиях всегда спрашивают за реальный опыт и архитектурные решения. Репозиторий DevOps-Projects — это готовый задачник из 54 практических кейсов, каждого из которых хватит, чтобы собрать рабочий стенд за выходные и уверенно защитить его на интервью.

Все проекты разложены по уровням (от базовых до Advanced) и разбиты по ключевым направлениям: AWS / Azure / K8s, IaC, GitOps, DevSecOps, Observability и Serverless.

Что стоит покрутить в первую очередь:

⚪️AI App & EKS (project-28): деплой OpenAI Chatbot UI в EKS с IaC на Terraform, жестким харденингом и Jenkins-пайплайном.

⚪️GitOps + Vault (project-45): полноценная связка Jenkins + ArgoCD + HashiCorp Vault для безопасной работы с секретами без хардкода в Git.

⚪️Observability Lab (project-51): настройка сквозной трассировки и метрик с помощью OpenTelemetry, Prometheus и Grafana.

⚪️Supply Chain Security (project-53): подпись контейнерных образов (Cosign), генерация SBOM и автоматическое сканирование уязвимостей в CI/CD (Trivy).

⚪️OpenTofu & AWS Free Tier (project-52): для тех, кто хочет пощупать OpenTofu вместо классического Terraform без выхода за пределы бесплатного лимита AWS.

То, что надо для пятницы. Делитесь с коллегами 🫡

@DevOpsKaz 😛

Свяжемся с победителями в течение 24 часов и раздадим подарки👆

Благодарим всех за участие! 🙏

⚡️ Data Science в банковской сфере: как алгоритмы принимают решения

15 сентября пройдёт лекция о том, как Data Science уже используется в банковской сфере и влияет на решения, которые принимаются каждый день.

Разберут кредитный скоринг, выявление мошеннических операций, персонализацию предложений и расскажут, как AI будет менять работу банков в ближайшие годы.

Участие бесплатное.

👈 Регистрируйтесь

Место: IT-hub «Терриконовая долина», Караганда, ул. Алалыкина, 12
Формат: офлайн / онлайн

@DevOpsKaz 😛

🔥 Karmada от Huawei теперь Graduated в CNCF: мультикластерная оркестрация Kubernetes на прод уровне

Karmada позволяет заводить и оркестрировать приложения на множестве кластеров Kubernetes и в разных облаках, не внося никаких изменений в сами приложения. Проект развивает идеи Kubernetes Federation v1 и v2, предоставляя нативные Kubernetes API для управления гибридной и мультиоблачной инфраструктурой. CNCF выдали высший статус зрелости проекту.

Karmada предоставляет автоматизацию для гибридных и мультиоблачных сценариев (Active-active, Remote DR, Geo Redundant):

⚪️ Совместимость с Kubernetes Native API: для описания рабочей нагрузки используются стандартные манифесты Kubernetes. Вносить изменения в приложения при переходе от одного кластера к множеству не требуется.

⚪️ Propagation Policy: отдельный API для определения правил размещения ресурсов по кластерам (Cluster Affinity, splitting, rebalancing). Поддерживается связь 1:n — не нужно указывать ограничения каждый раз при создании приложений.

⚪️ Override Policy: автоматическая адаптация конфигураций под конкретные кластеры (например, замена префиксов контейнерных образов или классов хранилищ в зависимости от облачного провайдера или региона).

⚪️ Компоненты Control Plane:

— Karmada API Server & ETCD — точка входа и хранилище объектов.
— Karmada Scheduler — планировщик для мультикластерного размещения.
— Karmada Controller Manager — включает в себя Cluster Controller (управление жизненным циклом кластеров), Policy Controller (связывает ресурсы с PropagationPolicy), Binding Controller (создает ResourceBinding и Work) и Execution Controller (доставляет ресурсы в member-кластеры).

Дорожная карта на 2026 год включает развитие приоритетного вытеснения (priority-based preemption), мультикластерные очереди для AI/batch-задач, а также поддержку Kubernetes Dynamic Resource Allocation (DRA) для распределения GPU и других ускорителей между кластерами.

@DevOpsKaz 😛

🔥 DevOps — это не только инструменты и сервисы

DevOps слишком часто сводят к инструментарию: CI/CD-пайплайнам, IaC, автоматическому тестированию, мониторингу или частоте деплоев. Однако концепция The Three Ways (поток, обратная связь, непрерывное обучение) никогда не ограничивалась только доставкой кода. Это универсальные принципы, как информация проходит через систему, как система учится на результатах и как это обучение меняет будущие действия.

По сути, Three Ways — это воплощение цикла PDSA (Plan-Do-Study-Act) из концепции Lean, принципы которого также прослеживаются в Agile, Product Management и Design Thinking.

⚪️Поток

— Локальная оптимизация — ускорение движения кода от разработчика до продакшена, уменьшение размера батчей, автоматизация деплоев
— Поток ценности начинается задолго до написания кода
— Организация может выкатывать код 20 раз в день, но при этом тратить 6 месяцев на принятие решения о том, что именно создавать

⚪️Обратная связь

— Автотесты, метрики телеметрии и алерты мониторинга.
— Возможность быстро подсветить аномалию, чтобы остановить процесс до того, как будет произведен некачественный продукт
— Ценность продукта может определить только клиент. Если клиент не пользуется функцией, процесс ее создания не принес ценности

⚪️Непрерывное обучение

— Обработка полученной обратной связи и изменение поведения или понимания системы.
— Каждая дорожная карта и гипотеза — это предположения. Больше Потока создает больше возможностей для Обратной связи, а больше Обратной связи создает возможности для Обучения, которое, в свою очередь, оптимизирует Поток
— Принципы Three Ways одинаково применимы как к одной строчке кода, так и к исследованию пользователей, ретро команд или стратегическим решениям руководства на уровне всей организации

Эти принципы нельзя запечатывать внутри инженерного инструментария. Идеальный DevOps масштабирует циклический подход (Поток → Обратная связь → Обучение) на всю организацию, от работы отдельного инженера до формирования продуктов и бизнес-стратегии.

@DevOpsKaz 😛

🔥 Планы на 3 октября — прийти на RWB Infra x Security Meetup

Мы направим прожекторы на инфраструктуру и информационную безопасность — туда, где за привычными решениями скрываются сложные инженерные задачи, компромиссы и неочевидные риски.

Будем разбирать реальные кейсы, искать узкие места, обсуждать и показывать решения, которые помогают инфраструктуре и безопасности выдерживать рост.

📅 суббота, 3 октября, старт в 13:00
Где: Москва + онлайн

В программе 8 докладов, разделенных по двум тематическим трекам

Трек Infra:

• Тюнинг Gitlab CE как реакция на быстрый рост нагрузки
• Путь баланса и компромиссов в DCIM
• Единая инфраструктура доверия: PKI на базе Vault
• Kubernetes vs Bare Metal: что может пойти не так

Трек Security:

• DevSecOps: от сканирования в пайплайне к платформе — и обратно
• Почти эффективный VM: как мы боролись с хаосом в инфраструктуре и сократили время обработки уязвимостей
• Как защищать данные, когда единого периметра больше нет
• От заявки до доступа за 90 секунд: как шесть инженеров управляет доступом в тысяче систем

Регистрация уже открыта — не откладывайте заявку и приглашайте коллег (количество мест на площадке ограничено)!

🎟️ Подробнее о программе — на сайте

🔥 PostTechHackathon — 25-27 сентября

Участникам предстоит решить два реальных технологических кейса:

⚪️ Jana Address — нормализация адресов и геокодинг
⚪️ Digital HR — единая платформа для управления сотрудником

В каждом кейсе 3 призовых места с денежными призами:

🥇 250 000 ₸
🥈 150 000 ₸
🥉 100 000 ₸

3 дня и реальные бизнес-задачи. Готовы показать, на что вы способны?

👈 Регистрируйте команду

Место: IT-hub «Терриконовая долина», Караганда, ул. Алалыкина, 12
Формат: офлайн / онлайн

@DevOpsKaz 😛

⚡️ Героизм в SRE: как выявить системную проблему и перестать на неё закрывать глаза

Google SRE разбирает паттерн, который многие команды видят, но не называют вслух. Этот паттерн — героизм. Инженер закрывает своим разрыв между обещаниями системы и тем, что она реально умеет. Тикеты закрыты, SLO зелёный. Но только потому, что один человек работает по 12-16 часов и проверяет графики по выходным.

Знакомо?

⚪️ Очередь тикетов с SLO, который нельзя выполнить за рабочий день при таком потоке заявок
⚪️ Сервис с 99.99% доступности, который держится на ручном откате канареек и перезапуске задач до алертов
⚪️ launch process с нестабильной автоматизацией, которую держат за руку все выходные перед запуском.

Во всех трёх случаях система сломана. Просто это не видно, пока герой на месте. И выходит, что героизм убирает давление, которое должно запускать исправление в самой системе.

Похоже, команды, которые годами держат надёжность на одном инженере, просто не заметили, что система не готова работать без него.

👈 Читать статью полностью

@DevOpsKaz 😛