⚡️ [ root@admin-future ~ ]# new_post

SPF/DKIM/DMARC разобрано по-настоящему

🔗 https://mfgit.ru/2026/09/29/spf-dkim-dmarc-razobrano-po-nastoyashchemu/

#adminfuture #linux #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Prometheus + Grafana vs Zabbix — реальная разница, а не маркетинг

🔗 https://mfgit.ru/2026/09/29/prometheus-grafana-vs-zabbix/

#adminfuture #linux

⚡️ [ root@admin-future ~ ]# new_post

Сертификаты и PKI: автоматизация Let’s Encrypt, свой CA и авария, которую никто не видит заранее

🔗 https://mfgit.ru/2026/09/29/sertifikaty-i-pki-letsencrypt-svoy-ca/

#adminfuture #linux #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Passkeys/FIDO2 для своей инфраструктуры, а не только для потребительских приложений

🔗 https://mfgit.ru/2026/09/29/passkeys-fido2-dlya-infrastruktury/

#adminfuture #linux #windows #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

Alert fatigue: как сделать так, чтобы дежурный не просыпался от мусорных алертов

🔗 https://mfgit.ru/2026/09/29/alert-fatigue-kak-ne-budit-dezhurnogo-zrya/

#adminfuture #linux

⚡️ [ root@admin-future ~ ]# new_post

Systemd Timers vs Cron: полный разбор для админа

🔗 https://mfgit.ru/2026/09/30/systemd-timers-vs-cron-2026-2/

#безрубрики

⚡️ [ root@admin-future ~ ]# new_post

Systemd Timers vs Cron: полный разбор для админа

🔗 https://mfgit.ru/2026/09/30/systemd-timers-vs-cron-2026-3/

#безрубрики

⚡️ [ root@admin-future ~ ]# new_post

Windows Event Viewer для Linux-админа: как парсить логи без потери разума

🔗 https://mfgit.ru/2026/09/30/windows-event-viewer-2026/

#безрубрики

⚡️ [ root@admin-future ~ ]# new_post

Backup Strategy: что выбрать в 2026 году (реальный стек)

🔗 https://mfgit.ru/2026/09/30/backup-strategy-2026/

#безрубрики

🧠 Skills: Branch Target Reuse — свежий вариант Spectre v2 крадёт хеш root за 3–5 минут. Дежурный sysctl не спасёт

Коллеги, среда — время хардкорных разборов. Сегодня погружаемся в фундаментальные проблемы кремния, которые нельзя решить галочкой в GUI.

📌 ФАКТЫ (исследование VUsec + Scuola Superiore Sant'Anna)
Механика Branch Target Reuse: когда JIT-компилятор переиспользует память под новые инструкции, аппаратный предсказатель ветвлений процессора (Branch Target Buffer) продолжает помнить старые адреса ветвлений. Атакующий манипулирует спекулятивным исполнением и читает память соседних процессов.

Масштаб по кремнию: уязвимы актуальные архитектуры Intel, AMD и Arm. На уровне микроархитектуры современных CPU банально нет механизма мгновенной синхронизации предсказателя с динамически генерируемым кодом.

PoC на Linux: непривилегированный пользователь через классический cBPF считывает хеш пароля root прямо из процесса su. Скорость утечки — около 8 байт/с (~3 минуты на ядрах Raptor Cove и ~5 минут на Lion Cove).

Идентификаторы:

CVE-2026-64507 — внедрение IBPB-flush при выделении памяти под BPF JIT.

CVE-2026-64508 — защита от JIT spraying.

Софт под ударом: затронуты не только ядра ОС, но и рантаймы: Oracle уже рандомизирует кэш кода в GraalVM, а Mozilla экстренно ужесточает изоляцию сайтов в SpiderMonkey/Firefox. Патчи для ядра Linux уже в апстриме.

⚠️ ГЛАВНЫЙ НЮАНС (почему старые рецепты не работают)
Многие админы выставляют kernel.unprivileged_bpf_disabled, будучи уверенными, что закрыли тему. Но этот параметр режет только современный eBPF.

Вектор эксплойта опирается на классический cBPF, который по умолчанию открыт любому пользователю системы через штатные сокет-фильтры (

SO_ATTACH_FILTER

).
Режим

net.core.bpf_jit_harden=2

(constant blinding) исследователи также обошли: атака замедляется, но всё равно занимает смешные 5 минут. Единственное реальное лечение — ядро с патчем.

🛠 АУДИТ ХОСТА ЧЕРЕЗ ТЕРМИНАЛ
Bash

# 1. Смотрим текущую версию ядра
uname -r

# 2. Проверяем состояние BPF и механизмов защиты
sysctl net.core.bpf_jit_enable net.core.bpf_jit_harden kernel.unprivileged_bpf_disabled

# 3. Проверяем, можно ли в теории отключить BPF JIT (если =y — флаг зашит намертво)
grep CONFIG_BPF_JIT_ALWAYS_ON /boot/config-$(uname -r)

# 4. Проверяем алгоритм хеша root в /etc/shadow:
# $y$ = yescrypt (хорошо), $6$ = SHA-512 (нормально), $1$ = MD5 (катастрофа)
awk -F: '$1=="root"{print substr($2,1,3)}' /etc/shadow

# 5. Проверяем доступность обновлений ядра в дистрибутиве
apt update && apt list --upgradable 2>/dev/null | grep -E 'linux-image|proxmox-kernel'

💡 В ЧЁМ СУТЬ И ГДЕ РЕАЛЬНЫЙ РИСК
Атака локальная, и наружу улетает хеш, а не открытый пароль.

Где риск минимален: на изолированном сервере или одиночном гипервизоре, где в консоль ходите только вы по ключам.

Где горит: любые многопользовательские среды, где чужой/недоверенный код запускается рядом с привилегированными процессами:

Общие терминальные Linux-серверы и VDI;

CI/CD раннеры с общим ядром (shared Docker-хосты без изоляции гипервизором);

Jump-хосты и бастионы с пулом из десятков инженеров.

Если пароль root у вас до сих пор захэширован в устаревший MD5 или сотрудники авторизуются через интерактивный su с общим паролем — вам не нужен никакой Spectre, чтобы получить инцидент.

🛡 ЧЕКЛИСТ ДЕЙСТВИЙ
Обновить ядра: в первую очередь накатить свежие сборки ядра на shared-хостах, терминалах и сборочных нодах CI/CD.

Аудит /etc/shadow: убедиться, что пароли хешируются современными функциями (yescrypt или SHA-512), а устаревшие алгоритмы выпилены из PAM.

Отказ от su: окончательно заблокировать прямой вход под root и перевести администрирование на персональные учетки с гранулярным sudo и логированием.

#skills #linux #kernel #security #spectre #cpu #bpf #cve #sysadmin #admin_future

🧠 Skills: RC4 в Kerberos окончательно похоронен. Если в AD что-то «само сломалось» с лета — проверяйте это первым

Коллеги, второй разбор на сегодня. Тема не просто горит — она уже сгорела у тех, кто проспал таймлайн обновлений Microsoft. Если сервисы внезапно начали сыпать ошибками аутентификации, дело наверняка в протоколах шифрования.

📌 ФАКТЫ (CVE-2026-20833, этапы выпиливания RC4)
Январь 2026 — Режим аудита: включен мониторинг событий KDCSVC с кодами 201–209 в журнале System без блокировки трафика.

Апрель 2026 — Дефолтный AES: для всех аккаунтов без явно заданных алгоритмов шифрования дефолтом стал AES. Фолбэк на устаревший RC4 был практически отключен.

Июль 2026 — Полный отказ: режим аудита окончательно удален из кода. Параметр реестра RC4DefaultDisablementPhase больше не учитывается операционной системой, а фолбэк на RC4 вырезан из протокола на уровне KDC.

Что ломается: любые учетные записи, у которых атрибут msDS-SupportedEncryptionTypes равен 0x4 / 0x7 (только RC4/DES) или вообще не задан, если клиент или сервис не умеют согласовывать AES.

💥 КТО В ЗОНЕ РИСКА
Сервисные учетки (gMSA / sMSA / обычные пользователи с SPN) с древними паролями: в базе NTDS банально отсутствуют AES-ключи до тех пор, пока учетке не сбросят пароль.

Linux-интеграции и демоны с устаревшими keytab: Samba, прокси-серверы, Java-бэкенды, Tomcat, веб-SSO, где keytab нарезался сто лет назад под RC4 (rc4-hmac).

Legacy-железо: древние СХД, прошивки принтеров/МФУ и сетевые сканеры с доменной авторизацией.

🛠 ДИАГНОСТИКА ЧЕРЕЗ POWERSHELL
Выполняем на контроллере домена или рабочей станции с RSAT:

PowerShell

# 1. Поиск сервисных учеток (с SPN) без явного AES или застрявших на RC4
Get-ADUser -LDAPFilter '(&(servicePrincipalName=*)(|(!(msDS-SupportedEncryptionTypes=*))(msDS-SupportedEncryptionTypes=4)(msDS-SupportedEncryptionTypes=7)))' `
  -Properties servicePrincipalName, msDS-SupportedEncryptionTypes, PasswordLastSet |
  Select SamAccountName, msDS-SupportedEncryptionTypes, PasswordLastSet

# 2. Мониторинг запросов билетов с шифрованием RC4 (TicketEncryptionType = 0x17)
Get-WinEvent -LogName Security -MaxEvents 2000 -FilterXPath `
  "*[System[EventID=4769] and EventData[Data[@Name='TicketEncryptionType']='0x17']]" |
  ForEach-Object { ([xml]$_.ToXml()).Event.EventData.Data |
    Where-Object { $_.Name -in 'TargetUserName','ServiceName','IpAddress' } |
    ForEach-Object { "$($_.Name)=$($_.'#text')" } } | Select-Object -First 60

# 3. Проверка событий KDC в журнале System (ошибки согласования типов шифрования)
Get-WinEvent -FilterHashtable @{
    LogName      = 'System'; 
    ProviderName = 'Microsoft-Windows-Kerberos-Key-Distribution-Center'; 
    Id           = 201..209
} -MaxEvents 50 -ErrorAction SilentlyContinue

🔧 РЕШЕНИЕ ПРОБЛЕМЫ
Включить флаг в реестре для возврата к RC4 больше нельзя — лазейку закрыли. Выход только один: планомерно переводить всё на AES.

PowerShell

# Шаг 1. Явно разрешаем использование современных типов шифрования
Set-ADUser svc_app -KerberosEncryptionType AES128,AES256

# Шаг 2. ОБЯЗАТЕЛЬНО меняем пароль (только в этот момент генерируются хеши AES!)
Set-ADAccountPassword svc_app -Reset

# Шаг 3. Перевыпускаем keytab для Linux-хостов с поддержкой AES256
# Через ktpass:
# ktpass /princ HTTP/app.corp.local@CORP.LOCAL /pass * /crypto AES256-SHA1 /ptype KRB5_NT_PRINCIPAL /out app.keytab
# Либо через msktutil:
# msktutil --enctypes 0x18 --auto-update

💡 В ЧЁМ СУТЬ

Времени на плавную раскатку больше нет — фолбэка нет физически. Отдельный маркер при ревизии: колонка

PasswordLastSet

. Если у сервисной учетки пароль не трогали с 2012 года, то помимо отсутствия AES-ключей вы получаете готовую дыру для атак Kerberoasting с мгновенным подбором слабого хеша в офлайне.

План на смену: выгрузить сервисные аккаунты без AES, запланировать смену паролей с владельцами сервисов и пересобрать ключевые keytab-файлы. Это час спокойной работы, который избавит вас от ночного дежурства при падении SSO.

#skills #activedirectory #kerberos #rc4 #aes #security #windows #powershell #sysadmin #admin_future

📋 Итоги сентября: 12 критических проверок до октябрьского Patch Tuesday

Коллеги, сегодня финал месяца и квартала. Сентябрь выдался рекордным по плотности zero-day атак и пересмотру базовых практик безопасности.

Собрал всю аналитику месяца в единый операционный чек-лист. Пройдитесь по пунктам со своей командой — для каждого блока указаны конкретное действие и целевой статус.

🔴 ПЕРИМЕТР (активная эксплуатация «в дикой природе», внесено в CISA KEV)
[ ] MikroTik RouterOS: обновить до 7.23.6+ / 7.24.3+ / 6.49.21+ (версий 7.23.5 и 7.24.2 уже недостаточно!). SSH, WinBox и WebFig категорически убрать с внешних интерфейсов.

[ ] Citrix NetScaler ADC / Gateway: накат сборок 14.1-73.37 / 13.1-64.23. Дедлайн CISA — сегодня. Обязательный съем дампов памяти и логов до обновления.

[ ] Check Point: раскатать актуальный Jumbo HF под свою ветку (R81.20 Take 166, R82 Take 126 и др.). Веб-интерфейс Management изолировать строго внутри mgmt-сети.

[ ] Roundcube Webmail: версии 1.6.19 / 1.7.4. Провести ревизию конфига virtuser_query.

[ ] WordPress: ядро 7.1.2 (или крайний бэкпорт своей ветки). Проверить флаг register_argc_argv = Off и вычистить PEAR.

🟠 ИНФРАСТРУКТУРА WINDOWS / ACTIVE DIRECTORY
[ ] Кумулятивные патчи + OOB для RDS: помимо сентябрьского LCU накатить внеплановые фиксы для Remote Desktop Services (KB5129238 / KB5129237 / KB5129235 — забираются вручную через Microsoft Update Catalog).

[ ] Microsoft SharePoint Server: убедиться в установке августовских обновлений безопасности (CVE-2026-65660, вектор переклассифицирован из Spoofing в полноценный RCE).

[ ] Окончательный отказ от Kerberos RC4: перевод всех сервисных аккаунтов (SPN) на AES128/AES256 с обязательным сбросом паролей и перевыпуском Linux-keytab.

[ ] Veeam Agent: обновить агенты резервного копирования до 13.0.3.1220+ / 13.1.1.700.

🟡 СЕРВЕРЫ LINUX И ВИРТУАЛИЗАЦИЯ
[ ] Ядро Linux: закрыть 3 критические CVE из каталога KEV (уязвимости в kTLS, ebtables, AF_ALG) + вариант Spectre v2 (Branch Target Reuse). Накатить апдейт ядра и спланировать ребут нод.

[ ] Docker Engine: просканировать сеть и убедиться, что ни один сокет демона dockerd не слушает порт TCP/2375 без mutual TLS.

[ ] Гипервизоры (ESXi / vCenter / Proxmox VE): интерфейсы управления изолированы в отдельный Management VLAN без маршрутизации в пользовательские сети; на хостах ESXi включены Lockdown Mode и execInstalledOnly.

🔵 ЖИЗНЕННЫЙ ЦИКЛ И ПЛАНИРОВАНИЕ (EOL)
[ ] Windows Server 2016: до конца поддержки (12 января 2027 г.) осталось всего 104 дня. Проекты миграции на 2022/2025 должны быть в активной стадии.

[ ] Microsoft SQL Server 2016: фаза Extended Support завершилась 14 июля 2026 г. Инстансы без контракта ESU находятся в зоне риска.

[ ] Службы WDS (Windows Deployment Services): функционал признан устаревшим (deprecated) — перевод инфраструктуры развертывания на современные механизмы.

💡 ГЛАВНЫЕ ВЫВОДЫ СЕНТЯБРЯ
Периметр — ключевая точка входа. Векторы атак на MikroTik, NetScaler, Check Point и Zyxel подтверждают: взлом начинается не с фишингового письма бухгалтеру, а с пограничного шлюза.

Окно «дикого» zero-day исчисляется неделями. Check Point Management ломали с 23 июля, NetScaler — неделями до релиза билдов вендора. Парадигма «накатил патч = чист» мертва — периметр требует форензики.

Оценки вендоров запаздывают. Баги в SharePoint мутировали из безобидного спуфинга в критический RCE, а ранние «патчи» MikroTik потребовали повторных исправлений. Каталог CISA KEV нужно перечитывать регулярно.

AI масштабирует классическую разведку. Кампании вроде Carbonato и Aurora показали: злоумышленники поручают агентам черновую работу по перебору, NTLM relay и сканированию AD, пробивая старые огрехи конфигурации за считанные минуты.

📌 План действий: забирайте чеклист, распределяйте задачи между инженерами и закрывайте хвосты до пятницы. 13 октября — следующий Patch Tuesday, встречать его нужно с чистыми хвостами по сентябрю.

#итоги #patchmanagement #checklist #security #sysadmin #admin_future

⚡️ [ root@admin-future ~ ]# new_post

Windows Event Viewer для Linux-админа

🔗 https://mfgit.ru/2026/09/30/windows-event-viewer-2026-2/

#безрубрики

⚡️ [ root@admin-future ~ ]# new_post

Backup Strategy: что выбрать в 2026

🔗 https://mfgit.ru/2026/09/30/backup-strategy-2026-2/

#безрубрики

⚡️ [ root@admin-future ~ ]# new_post

Когда развалился Active Directory: полный разбор аварии от DNS до Kerberos

🔗 https://mfgit.ru/2026/10/01/active-directory-avariya-dns-kerberos/

#adminfuture #windows #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

When Active Directory Falls Apart: A Complete DNS-to-Kerberos Incident Guide

🔗 https://mfgit.ru/en/2026/10/01/when-active-directory-falls-apart-dns-to-kerberos/

#adminfuture #windows #информационнаябезопасность

🔐 OpenSSL CVE-2026-84782: утечка сырой памяти через DTLS и тихий EOL ветки OpenSSL 3.0

Коллеги, четверг. Свежая сводка по OpenSSL — библиотеке, лежащей в фундаменте практически каждого Linux-сервера, сетевого шлюза и контейнера.

Здесь важен не только сам баг, но и тектонический сдвиг в статусе поддержки релизов.

📌 ФАКТЫ (релиз OpenSSL от 29 сентября)
Уязвимость: CVE-2026-84782, уровень критичности — High (всего в апдейте закрыто 14 CVE).

Вектор и механика: баг стреляет, если во время DTLS-рукопожатия срабатывает таймер повторной отправки (retransmission timer), когда крупное сообщение фрагментировано и ушло лишь частично. При повторе указатель буфера съезжает на середину — в результате процесс либо ловит сегфолт (DoS), либо отправляет в сырой UDP-сокет фрагменты кучи (heap memory) вообще без шифрования.

Ограничение вектора: затрагивает и клиентов, и серверы, но исключительно DTLS (Datagram TLS поверх UDP). Классический TLS поверх TCP уязвимости не подвержен.

Где закрыто публично: версии 4.0.3, 3.6.5, 3.5.9, 3.4.8.

Где фикс только платный: релизы 3.0.23, 1.1.1zj, 1.0.2zs доступны строго по контракту Premium Support. Ветки 3.1–3.3 официально EOL и даже не тестировались вендором.

Признаков активной эксплуатации в дикой природе на данный момент не зафиксировано.

⚠️ ГЛАВНАЯ СИСТЕМНАЯ НОВОСТЬ: EOL ДЛЯ OPENSSL 3.0
Публичный жизненный цикл LTS-ветки OpenSSL 3.0 завершился 7 сентября 2026 года.

Пакеты дистрибутивов: Enterprise-дистрибутивы (RHEL, Debian, Ubuntu LTS) продолжат бэкпортировать секьюрити-фиксы силами собственных мейнтейнеров в рамках своего цикла поддержки.

Где заложена бомба: кастомные Docker-образы, вендорские appliance, прошивки сетевого оборудования и софт со статической линковкой библиотек апстримных патчей бесплатно больше не получат.

🎯 КТО РЕАЛЬНО ИСПОЛЬЗУЕТ DTLS НА СЕРВЕРАХ
Если обычный HTTPS-трафик в безопасности, то под прицелом сервисы реального времени:

Корпоративные SSL VPN с быстрым UDP-транспортом: демоны ocserv (OpenConnect), шлюзы Cisco AnyConnect / FortiClient / Palo Alto GlobalProtect.

IP-телефония и видеоконференции: медиашлюзы SIP/SRTP (Asterisk, FreeSWITCH, Kamailio), узлы WebRTC (Janus, Jitsi, mediasoup).

IoT и телеметрия: протоколы CoAP over DTLS, сборщики Syslog / RADIUS over DTLS.

🛠 АУДИТ СИСТЕМЫ И ПОИСК СТОРОННИХ СБОРОК
Bash

# 1. Проверяем системную версию и установленные пакеты
openssl version -a
dpkg -l | grep -E 'libssl[0-9]' || rpm -qa | grep -i openssl

# 2. Ищем слушающие UDP-порты (потенциальные сервисы DTLS)
ss -lunp

# 3. Смотрим, какие процессы держат системную библиотеку прямо сейчас
lsof -nP 2>/dev/null | grep -E 'libssl\.so' | awk '{print $1,$2}' | sort -u

# 4. Проверяем бинарники со встроенной/статической линковкой OpenSSL
strings -a /usr/sbin/ocserv 2>/dev/null | grep -m1 -E '^OpenSSL [0-9]'

💡 В ЧЁМ СУТЬ

Сама по себе

CVE-2026-84782

— не повод для ночных дежурств: эксплуатация нестабильна, завязана на специфичный тайминг потери UDP-пакетов, а атак «в поле» пока нет.

Настоящий риск — неконтролируемый OpenSSL 3.0. Сейчас идеальный момент провести инвентаризацию: пока дыра относительно мягкая, нужно найти все изолированные бинарники и виртуальные аплайнсы, собранные на 3.0, и затребовать роадмап у вендоров до появления первого «дикого» zero-day.

🛡 ЧТО ДЕЛАТЬ
Обновить пакеты: накатить апдейты openssl / libssl из официальных репозиториев ОС.

Перезапустить VPN и телефонию: после обновления библиотек обязательно перезапустить демоны, обслуживающие DTLS (ocserv, asterisk, turnserver).

Инвентаризация: составить реестр проприетарных и контейнеризированных решений, использующих внутренний OpenSSL 3.x вне пакетного менеджера.

#openssl #dtls #tls #linux #security #vpn #cve #sysadmin #admin_future

🤖 AI-агент взломал DIVD за секунды. Вход — две zero-day в helpdesk-системе Zammad

Коллеги, показательный кейс, после которого пора окончательно пересмотреть статус «внутренних» веб-приложений и тикет-систем.

Жертвой атаки стал DIVD (Dutch Institute for Vulnerability Disclosure) — организация, которая сама специализируется на этичном хакинге, поиске уязвимостей и нотификации бизнеса о пробитом периметре.

📌 ФАКТЫ
Точка входа: цепочка из двух 0-day в популярном open-source хелпдеске Zammad:

CVE-2026-102489 (CVSS 9.4) — перехват сессии с выходом в RCE от сервисного пользователя zammad. Эксплуатируема на версиях 6.3.0–6.5.4 (в ветках 7.0.0–7.1.3 код присутствует, но не срабатывает).

CVE-2026-102490 (CVSS 9.4) — локальное повышение привилегий (LPE) из контекста zammad до чистого root. Затронут огромный пласт релизов: от 1.5 вплоть до 7.1.0-alpha. Комьюнити подтверждает активную эксплуатацию «в дикой природе».

Скорость и исполнитель: по заявлению DIVD, взлом вел автономный AI-агент. Он без участия человека выбирал следующие шаги в цепочке, поднял привилегии до root и начал эксфильтрацию данных буквально за секунды.

Что спасло инфраструктуру: дальше хоста helpdesk агент не ушел — сработала жесткая сегментация сети и автоматическая изоляция хоста.

Вердикт исследователей: немедленно накатывать актуальные сборки 7-й ветки либо наглухо закрывать доступ к Zammad извне.

🛠 БЫСТРЫЙ ЧЕК ЧЕРЕЗ ТЕРМИНАЛ
Bash

# 1. Проверяем установленную версию Zammad (deb/rpm пакет)
zammad run rails r 'puts Version.get'

# 2. Если развернуто в контейнерах (Docker Compose)
docker compose exec zammad-railsserver rails r 'puts Version.get'

# 3. Проверяем доступность веб-интерфейса извне (отдаёт ли 200/302)
curl -sI https://helpdesk.example.ru | head -1

# 4. Форензика: подозрительные процессы и сессии от сервисного юзера zammad
ps -u zammad -o pid,lstart,cmd
last -n 50
journalctl _UID=$(id -u zammad) --since "2026-09-01" | tail -50

💡 В ЧЁМ СУТЬ И ВЫВОДЫ
Тикет-система — это критический шлюз, а не просто веб-морда. Хелпдески для удобства пользователей часто выставляют наружу без VPN. При этом внутри лежат креды от почтовых ящиков (IMAP/SMTP), сервисные учетки LDAP/Active Directory и токены API. Скомпрометированный helpdesk мгновенно превращается в трамплин во внутрянку.

Время реакции человека стало равно нулю. Когда атаку ведет AI-агент со скоростью выполнения миллисекундных API-вызовов, дежурный админ или SOC физически не успеют открыть алерт. Защищает только архитектура, выстроенная заранее (в случае DIVD — изоляция хоста и запрет бокового движения).

🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Апдейт ядра системы: обновиться до актуальной версии ветки 7.x (сверьтесь со спецбюллетенем DIVD-2026-00015 на предмет точного патча под 102490).

Убрать веб-интерфейс из интернета: если мгновенно пропатчиться нет возможности — спрятать инстанс за корпоративный VPN или Cloudflare Access / ZTNA с обязательной MFA.

Изоляция хоста в отдельный VLAN: на сервере с тикет-системой должен быть перекрыт доступ к контроллерам домена, бэкапам, гипервизорам и базам данных других сервисов.

Ротация секретов: если инстанс висел в сети неприкрытым, сбросьте пароли служебных учеток Active Directory / LDAP, почтовых ящиков и перевыпустите все API-ключи внешних интеграций.

Helpdesk, корпоративная Wiki, CRM и внутренние трекеры, смотрящие в мир «для клиентов и подрядчиков», должны проектироваться и изолироваться с той же паранойей, что и публичный почтовый сервер.

#security #zammad #helpdesk #ai #segmentation #cve #sysadmin #admin_future

📊 86–97% критических уязвимостей висят дольше 90 дней. Начало квартала — повод зафиксировать жесткие SLA

Коллеги, 1 октября — точка отсчета нового квартала. Вместо очередного разбора свежего эксплойта поговорим о сухих цифрах: как инфраструктура патчится на самом деле, а не в отчетах руководству.

📌 ФАКТЫ (исследование Detectify по 1 293 организациям в США, UK и Северной Европе)
Масштаб прокрастинации: доля брешей уровня Critical / High, остающихся открытыми дольше 90 дней:

Скандинавия — 97%

Великобритания — 92%

США — 86%

Процент реального закрытия: за всё время наблюдения устранено лишь 18.6% – 31.9% найденных уязвимостей. В госсекторе за 90 дней закрывают всего 8.3% критических находок.

Фактор хайпа вокруг AI: компании с выставленными наружу AI-инструментами и LLM-сервисами устраняют критику в 2 раза медленнее. Эксперты связывают это с теневым IT (Shadow IT) и полным отсутствием инвентаризации активов.

Главный феномен — «Risk Tolerance Drift»: если уязвимость провисела в сканере достаточно долго и инцидента не случилось, система психологически начинает воспринимать ее как «допустимый и принятый риск».

⚠️ РЕАЛЬНОСТЬ СЕНТЯБРЯ: ПОЧЕМУ 90 ДНЕЙ — ЭТО ПРИГОВОР
Вспомните кейс Roundcube: вендор выпустил патч еще в мае, а массовая автоматизированная эксплуатация накрыла периметры в сентябре. Окно между релизом и атакой составило ровно 4 месяца.

Большинство компаний в это окно физически не уложились. Злоумышленникам давно не нужны дорогие zero-day — им с головой хватает n-day, годами пылящихся на периметре.

🎯 ПРАКТИЧЕСКИЙ SLA НА ПАТЧИНГ (рекомендуемая матрица)
Plaintext

Категория риска                         Целевой срок устранения
───────────────────────────────────────────────────────────────
CISA KEV + сервис торчит наружу         48 часов (авральный режим)
CISA KEV, изолированный внутренний узел 7 календарных дней
EPSS > 0.5 либо публичный рабочий PoC   14 дней
Critical / High общего профиля          30 дней
Medium и ниже                           Плановый цикл (спринт / релиз)
───────────────────────────────────────────────────────────────
Невозможно закрыть в срок:              Только через письменное 
                                        согласование исключения:
                                        конкретный владелец + 
                                        дедлайн пересмотра

🛠 БЫСТРЫЙ АНАЛИЗ ЗАВИСШИХ БАГОВ ЧЕРЕЗ PYTHON
Берем свежую выгрузку из вашего сканера уязвимостей (Tenable, OpenVAS, Qualys, Trivy) в формате CSV со столбцами host, cve, severity, first_seen:

Bash

python3 - <<'EOF'
import csv, datetime as d

now = d.date.today()
buckets = {'0-30': 0, '31-90': 0, '90+': 0}

with open('findings.csv', mode='r', encoding='utf-8') as f:
    for r in csv.DictReader(f):
        if r.get('severity', '').lower() not in ('critical', 'high'):
            continue
        try:
            first_seen = d.date.fromisoformat(r['first_seen'][:10])
            age = (now - first_seen).days
            bucket = '0-30' if age <= 30 else '31-90' if age <= 90 else '90+'
            buckets[bucket] += 1
        except (ValueError, KeyError):
            continue

print("=== ВОЗРАСТ УЯЗВИМОСТЕЙ CRITICAL / HIGH ===")
for k in ('0-30', '31-90', '90+'):
    print(f"{k:>6} дней: {buckets[k]}")
EOF

💡 В ЧЁМ СУТЬ

Основной ступор кроется не в нехватке времени у админов, а в размытой ответственности. У висящей месяцами дыры банально нет персонального владельца системы.

Срок без назначенного инженера превращается в пустой звук.

Инженер без жесткого дедлайна откладывает патч до первой аварии.

«Временное исключение» без зафиксированной даты пересмотра навсегда хоронит проблему в бэклоге.

🛡 ПЛАН НА СЕГОДНЯ
Снять слепок: сделать выгрузку из сканера и посчитать свой реальный процент хвостов «90+ дней».

Утвердить матрицу: согласовать с бизнесом и лидами разработок/эксплуатации внятные SLA по устранению.

Назначить ответственных: привязать каждую критическую дыру к конкретному системному инженеру или техлиду сервиса.

Засечь таймер: через три месяца, на старте следующего квартала, оценить динамику.

⚡️ [ root@admin-future ~ ]# new_post

DNS ломает всё: как найти причину, когда «интернет есть», но инфраструктура не работает

🔗 https://mfgit.ru/2026/10/01/dns-lomaet-vsyo-diagnostika-infrastruktury/

#adminfuture #linux #windows #информационнаябезопасность

⚡️ [ root@admin-future ~ ]# new_post

DNS Breaks Everything: Troubleshooting “Internet Works, but the Infrastructure Does Not”

🔗 https://mfgit.ru/en/2026/10/01/dns-breaks-everything-troubleshooting-infrastructure/

#adminfuture #linux #windows #информационнаябезопасность