MemOps 😃

PodDisruptionBudget не запретит kubectl delete

Три Ready-реплики, minAvailable: 2. При добровольном выселении через Eviction API бюджет не позволит опустить число доступных Pod ниже двух. На этом механизме основан и обычный kubectl drain.

А прямое удаление Pod или Deployment обходит PDB. Если удалить две реплики вручную, бюджет не превратит этот запрос в отказ. PDB также не предотвращает аппаратный сбой: он ограничивает определённые добровольные disruption, а не гарантирует доступность приложения.

При обслуживании проверяйте не только YAML с minAvailable, но и путь, которым инструмент убирает Pod. Eviction и DELETE похожи по результату, но разные по защите. Контроллер восстановит реплики, однако это не означает, что перерыва не было.

📌 Подробнее: https://kubernetes.io/docs/concepts/workloads/pods/disruptions/

MemOps🤨

MemOps 😃

net-merge — используйте все свои сетевые адаптеры одновременно в Windows/Linux/Mac: балансировка нагрузки для каждого соединения по Wi-Fi, Ethernet и телефонным/USB-модемам (TUN + Wintun)

Объедините Wi-Fi, Ethernet и точки доступа мобильной связи, чтобы при загрузке файлов, играх и работе браузера суммировалась скорость всех подключений. net-merge использует все ваши сетевые адаптеры одновременно. Работает на Windows, macOS и Linux . Бесплатно. Нет ни аккаунта, ни сервера, ни VPN.

📌 Подробнее: https://github.com/rohit267/net-merge

MemOps🤨

MemOps 😃

OpenStatus — open source-платформа для uptime-мониторинга и управления инцидентами

Проект объединяет в одном решении мониторинг сайтов и API, публичные status pages и координацию инцидентов.

В решении реализован подход Infrastructure as Code: мониторы, страницы состояния и каналы оповещения описываются в YAML или Terraform и применяются через CLI либо CI/CD. Есть MCP-сервер, позволяющий управлять мониторингом и инцидентами с помощью AI-ассистентов — Claude, ChatGPT или Cursor.

OpenStatus можно использовать как облачный сервис или развернуть самостоятельно через Docker. Проект распространяется под лицензией AGPL-3.0 и может стать открытой альтернативой коммерческим сервисам мониторинга доступности.

📌 Подробнее: https://github.com/openstatusHQ/openstatus

MemOps🤨

Вот как...

MemOps 😃

В ядре Linux развивается BPF ksock – API, позволяющий BPF-программам работать с сетевыми сокетами и отправлять данные напрямую из ядра. Изначально проект ориентирован на передачу телеметрии, событий и уведомлений без необходимости обрабатывать их в отдельном пользовательском процессе.

В первой реализации API доступны пять kfunc для создания UDP-сокета, подключения к удалённому адресу, отправки данных и управления временем жизни сокета. Это позволит, например, передавать события безопасности из BPF LSM даже при недоступности пользовательского агента, а также снизить накладные расходы на копирование и обработку телеметрии.

Авторы рассматривают и более широкие сценарии — от heartbeat-механизмов до DNS-серверов внутри ядра. Пока API ограничен рядом типов BPF-программ и UDP, но в планах – полноценная поддержка TCP, приёма данных и дополнительных операций с сокетами.

📌 Подробнее: https://lpc.events/event/20/contributions/2430/attachments/2202/4900/ksock_lpc2026_tardy_kourtis.pdf

MemOps🤨

MemOps 😃

Учёт нагрузки при планировании в Kubernetes 1.37

Kubernetes 1.37 закрывает этот разрыв тремя вещами: набором переиспользуемых API-интерфейсов, общей библиотекой Go workloadbuilder и обновлённой, явной интеграцией Job, построенной на обоих этих компонентах.

📌 Подробнее: https://helayoty.substack.com/p/workload-aware-scheduling-in-kubernetes-284

MemOps🤨

MemOps 😃

Ваш OIDC-издатель Kubernetes — это всего два статических файла

Как мы интегрировали локальные кластеры Kubernetes в GitOps-платформу на базе AKS, не пересобирая каждый раз контрольную плоскость при создании нового кластера.

📌 Подробнее: https://medium.com/@post_26031/your-kubernetes-oidc-issuer-is-just-two-static-files-77e627437314

MemOps🤨

MemOps 😃

KServe от нуля до продакшена: Практическое руководство инженера по обслуживанию моделей на Kubernetes

В этом руководстве предполагается, что вы уже глубоко знаете Kubernetes (Deployments, Services, RBAC, HPA, Ingress/Gateway API, CRDs). Оно не повторяет основы Kubernetes — оно объясняет всё, что KServe добавляет поверх него, и раскрывает каждую концепцию через работающий пример.

📌 Подробнее: https://medium.com/@chebba.asma/kserve-from-zero-to-production-a-hands-on-engineers-guide-to-model-serving-on-kubernetes-216d2c9078f6

MemOps🤨

Попробовали:
1. Не успели
2. Колеса стоят поперёк

MemOps 😃

Picosnitch — мониторинг сетевого трафика на каждый исполняемый файл с помощью BPF

Получение уведомлений при подключении к сети новой программы или при ее изменении

Контролирует пропускную способность сети, разбивая трафик по исполняемым файлам, хэшам, родителям, доменам, портам или пользователям с течением времени

При желании можно проверить хэши или исполняемые файлы с помощью VirusTotal

Хеши исполняемых файлов кэшируются на основе устройства + inode для повышения производительности и работают с приложениями, запущенными в контейнерах

Используется BPF для точного мониторинга пропускной способности с низкими накладными расходами и fanotify для контроля исполняемых файлов на предмет модификации

Поскольку приложения могут вызывать других пользователей для отправки/получения данных для них, родительский исполняемый файл и хэш также регистрируются для каждого соединения

Прагматичный и минималистичный дизайн, сфокусированный на точном обнаружении с четким сообщением об ошибке, когда это невозможно

📌 Подробнее: https://github.com/elesiuta/picosnitch

MemOps🤨

MemOps 😃

GitLab Secrets Manager выдаёт секреты только нужным задачам CI/CD

Ключ для выкладки в production не нужен задаче, которая проверяет форматирование кода. Если обе получают его через общую переменную, компрометация любой из них расширяет область утечки.

В GitLab Secrets Manager задача явно запрашивает секрет через secrets: в .gitlab-ci.yml. Доступ можно ограничить веткой, её защищённостью и целевым окружением. Например, разрешить чтение только из защищённой ветки для production/*.

Значение хранится в OpenBao. Задача получает его по короткоживущему токену, а в окружение передаётся путь к временному файлу. В аудите чтения сохраняются идентификаторы задачи и конвейера.

Это не отменяет ротацию: если задача успела прочитать и передать ключ злоумышленнику, ключ нужно заменить. Динамические учётные данные пока заявлены как следующая возможность.

Secrets Manager доступен в GitLab 19.5 на Premium и Ultimate для GitLab.com и собственной установки. Поддержка Dedicated появится позже.

📌 Подробнее: https://about.gitlab.com/blog/secrets-manager-ga/

MemOps🤨

MemOps 😃

🫣 Актуальна реальная кулстори из одного ИТ-отдела.

ИБшники позвонили в 6:12 утра.

- Срочно патчите все PHP-серверы. Прямо сейчас.
- Что стряслось?
- Две критические уязвимости. RCE. Удаленное выполнение кода без авторизации.

Красота.

Спрашиваю: "А сколько у нас вообще серверов на пыхе?"
По CMDB и документации: 12.
По факту: хз.

Пошли искать по сетке. Нашли:
• Один полуживой WordPress;
• Три древних внутренних тулзы;
• Один гудящий системник под столом у завхоза;
• Два закрытых вендорских апплайнса;
• Забытый телефонный справочник сотрудников за 2016 год;
• И виртуалочку с именем PHP-STAROE-NE-TROGAT
Естественно, на ней крутится выгрузка зарплатных ведомостей.

Следом откопали тазик на PHP 5.6.
Спрашиваю: "Кто его запиливал?"
В README.txt в корне проекта написано: СЕРЁГА.
Серёга уволился в 2019 году.
Набрали Серёге. Серёга в трубку:
- "Охренеть, этот кусок говна до сих пор работает?!"
Душевно 🙂

К 8:00 на аварийный колл подтянулось руководство.

Генеральный:
- То есть хакеры реально могут зайти снаружи?
ИБ:
- Потенциально... да.
Генеральный:
- И даже без пароля?
ИБ:
- Вообще без пароля.
Генеральный:
- А нахрена МЫ тогда каждые три месяца эти пароли меняем?!
(Понятно, суть проблемы уловил не до конца) 🐒

Подключился финансовый отдел. Спросили, нельзя ли отложить патчинг до выходных, потому что "даунтайм уронит выручку".
Безопасники вежливо пояснили, что альтернатива - это когда рандомные хацкеры будут бесплатно запускать любые скрипты на наших серверах.
Финики попросили "прислать сравнительную табличку затрат" 😱

В 9:17 кто-то предложил: " А давайте временно потушим уязвимые веб-морды".
Маркетинг в отказ: "Нельзя! У нас прямо сейчас крутится реклама вебинара со скидкой 20%!"

В итоге следующий час топ-менеджмент на полном серьёзе перетирал, что лендос со скидоном на вебинар важнее, чем полный захват инфраструктуры компании 🐒

Вроде всё нашли, изолировали, пропатчили. Выдохнули.
И тут сетевой сканер находит ещё один хост.

Имя: TEMP-PHP-2014
Аптайм: 4512 дней.

Никто не знает, что там крутится.
Ни за кем не числится.
Отключить нельзя - потому что как только мы рубим ему порт, у нас складе перестают печататься накладные.

ИБ вздохнуло и присвоило тачке статус "критическая инфраструктура".

Там стоит PHP 5.4.
Уязвимость в нём существует дольше, чем средний возраст джуна в компании.

Так и прошел один из дней на одной из реальных галер.

Типичный 🍺 Сисадмин