K16S - еще один self-host симулятор экзаменов по сдаче Certified Kubernetes Security Specialist (CKS) и Certified Kubernetes Administrator (CKA).

📌 Подробнее: https://github.com/immanuwell/k16s-exam-simulator

MemOps🤨

MemOps 😃

Sofka — новый Kubernetes TUI на Rust, который позиционируется как переосмысление k9s. Главная идея — единый пайплайн работы с Kubernetes-ресурсами, благодаря чему CRD поддерживаются без отдельного интерфейса, а Flux CD интегрирован прямо в TUI.

Помимо привычного просмотра Pod’ов, логов и YAML, есть command palette, работа с namespace, Helm и встроенные операции Flux. Интерфейс асинхронный и не блокируется при проблемах или задержках Kubernetes API.

Есть read-only режим, проверки авторизации перед действиями, предупреждения о мутациях управляемых ресурсов и локальный журнал действий.

📌 Подробнее: https://github.com/nklmilojevic/sofka

MemOps🤨

MemOps 😃

AegisBPF — eBPF-based runtime security агент, который использует BPF LSM для блокировки нежелательных файловых и сетевых операций непосредственно на уровне ядра Linux. В отличие от инструментов, ориентированных в первую очередь на обнаружение, AegisBPF делает акцент именно на enforcement. Jперация может быть остановлена через -EPERM ещё до завершения syscall.

Также из интересного – поддержка inode-based правил и обработка OverlayFS copy-up, что особенно актуально для контейнеров. Проект умеет применять сетевые deny-правила для IPv4/IPv6, портов и CIDR, а политики можно ограничивать конкретными cgroup.

Отдельно стоит обратить внимание на aegis-next — исследовательский прототип с BPF arena, provenance-графами и дополнительными механизмами enforcement. Проект пока молодой и активно развивается, но выглядит интересно для тех, кто исследует runtime security Linux и Kubernetes через eBPF.

📌 Подробнее: https://github.com/ErenAri/Aegis-BPF

MemOps🤨

MemOps 😃

codegraph

Предварительно индексированный граф знаний кода, автоматически синхронизируется при изменениях кода, для Claude Code, Codex, Gemini, Cursor, OpenCode, AntiGravity, Kiro и Hermes Agent — меньше токенов, меньше вызовов инструментов, 100% локально

📌 Подробнее: https://github.com/colbymchenry/codegraph

MemOps🤨

MemOps 😃

Статья "Аудит-политика Kubernetes: чек-лист против типовых слепых зон в правилах". В рамках данного материала автор отмечает тонкие, но очень важные моменты при составлении и контроле Audit Policy. Она позволит избежать очень популярные ошибки при написании политики аудита в Kubernetes. Самое важно тут, что стоит помнить всегда, что правила применяются сверху в низ и их надо писать от частного к общему. Если вы вообще не понимаете, о чем идет речь, то перед этим изучите материал «Kubernetes Audit Log на страже безопасности кластеров».

📌 Подробнее: https://habr.com/ru/articles/1080076/

MemOps🤨

MemOps 😃

Сайт https://kubernetes3d.com/rack визуализирует кластер Kubernetes в виде серверной стойки, причём всё выполнено в полноценном 3D. Есть отдельные виды спереди, сзади и сбоку, и каждый показывает один и тот же кластер с разных ракурсов.

Обратите внимание: все кнопки и сцены здесь интерактивны, поэтому сайт отлично подходит ещё и для изучения концепций.

📌 Подробнее: https://kubernetes3d.com/rack

MemOps🤨

MemOps 😃

chatto — полнофункциональное приложение для командного и группового чата, которое легко развернуть самостоятельно.

📌 Подробнее: https://github.com/chattocorp/chatto

MemOps🤨

MemOps 😃

В новой версии Kyverno 1.19.1 был исправлен ряд уязвимостей. Самая критичная, GHSA-5qq8-67g6-4h2w, позволяет через apiCall в namespaced Policy обойти namespace isolation и выполнить POST запрос от имени ServiceAccount Kyverno, вплоть до создания MutatingWebhookConfiguration и повышения привилегий до cluster-admin. Уязвимость имеет CVSS 9.9.

GHSA-c5qq-7g2q-cpqp позволяет через percent-encoded .. обойти проверку namespace и читать ресурсы за его пределами, а исправление для GHSA-q825-p383-r9v5 устраняет SSRF в legacy apiCall, который мог использоваться для доступа к cloud metadata и внутренним сервисам с токеном Kyverno.

Также исправлены GHSA-59v6-2x73-wfg4, позволяющая namespaced policy читать cross-namespace данные через globalcontext.Lib, и GHSA-5cjf-wwfg-pj4c, позволяющая через PolicyException обойти проверку подписей образов в ImageValidatingPolicy.

Для всех пяти advisories CVE пока не назначены.

MemOps🤨

MemOps 😃

APKUpdater OSS — инструмент с открытым исходным кодом, который упрощает процесс поиска обновлений для установленных приложений. Он работает аналогично магазину приложений, но собирает обновления из множества независимых источников.

Этот проект является глубоко модифицированным и современным форком оригинального APKUpdater, созданного rumboalla. Огромное спасибо оригинальному автору за великолепную основу!

Возможности:
— интеграция с RuStore: загрузка APK и changelog напрямую из официального российского магазина.
— поддержка пользовательских Git-репозиториев: добавляйте проекты с GitHub/GitLab, настраивайте пакет, regex для APK и получайте обновления наряду со стандартными источниками.
— редизайн на Material Design 3: обновлённая навигация, карточки, типографика, плавные переходы и поддержка динамических цветов.
— безопасная смена пакета: приложение устанавливается как com.apkupdateross, не конфликтуя с оригинальным APKUpdater.
— источники обновлений: APKMirror, Aptoide, F-Droid, IzzyOnDroid, APKPure, GitLab, GitHub, Google Play, RuStore и ваши собственные Git-репозитории.
— поиск приложений: быстрый поиск по поддерживаемым площадкам.
— автопроверки: расписание фоновых проверок с уведомлениями и настройкой интервала (1/3/7 дней).
— режимы установки: обычный Session Installer, Root и Shizuku.
— современный дизайн и поддержка Android 7.0 (24) – Android 16 (36).
— темы: тёмная, светлая, системная, а также динамические цвета Android 12+.
— прямая и root-установка APK без рекламы и трекеров.

📌 Подробнее: https://github.com/EikeiDev/apkupdateross

MemOps🤨

MemOps 😃

Четыре паттерна Docker Compose, которые спасли нас от многих часов отладки

Полдюжины сервисов на одном VPS: база, шлюз API, пара воркеров, Redis. Compose тут очевидный выбор, вот только первые конфиги обычно собираются методом тыка.

Показателен первый паттерн, про хелсчеки. Слишком агрессивный вариант с interval: 5s и start_period: 5s перезапускает контейнер раньше, чем тот успевает подняться, и вместо диагностики вы получаете бесконечный цикл рестартов.

Остальные три из той же категории: не про красоту конфига, а про то, что реально ломается на длинной дистанции. Разбор с готовыми кусками compose-файла.

📌 Подробнее: https://dev.to/sirmax/4-docker-compose-patterns-that-saved-our-team-hours-of-debugging-3pp0

MemOps🤨