OpenSSH теперь сам отбивается от брутфорса

В Ubuntu 26.04 из коробки едет OpenSSH 10.2 с директивой PerSourcePenalties (представлена в 9.8)— и она включена по умолчанию, хотя в sshd_config про неё ни строчки.
sshd сам начисляет «штрафы» подозрительным IP (брутфорс, сканеры, краши) и временно режет им соединения — без iptables, без внешних демонов, без root. Накопился штраф → сокет закрывается ещё до запуска аутентификации.
Проверить у себя:

sshd -T | grep -i persource

⚠️ Работает по IP, так что VPN/CGNAT/офисы могут наказать сразу группу пользователей.

Постоянных банов нет — только временные.

Замена ли это Fail2Ban? Нет — скорее быстрая первая линия обороны против шума и лёгкого брутфорса. Fail2Ban остаётся для долгих банов и других сервисов.

🔗 Разбор с экспериментами и сравнением: https://habr.com/ru/articles/1032648/

#ssh #fail2ban #security

Вышел ceph 20.2.2 (Tentacle)

Второй минорный релиз в ветке Tentacle, как обычно всем пользователям этой ветки рекомендуют обновиться.

Из отмеченных изменений:

* Платформы: добавлена поддержка пакетных установок на Rocky Linux 10 , полный сипсок тут
* MDS: пофиксили segfault возникавший из-за некорректной постановки ретрай запросов в очередь
* OSD
* PGLog: исправлен баг чтоб точно атачить правильную версию к missing list когда игнорятся логи.
* Data Integrity: добавлены ассерты поволяющие явно поймать потенциальную порчу данных в OSD missing list
* RGW
* Lifecycle: починены lifecycle-переносы зашифрованных multipart-объектов
* REST: RESTArgs::get_string() теперь корректно декодирует URL в котором есть параметры запроса.
* RADOS
* Linger: пофиксили много косяков в проверках, устранили use-after-free уязвимость, убрали утечку памяти в LingerOp, и что-то еще.
* neorados Watch/Notify: Теперь overflow маркер добовляется в очередь только на первом сообщение. Устранён двойной вызов cleanup при получении ошибки после запуска maybe_cleanup(). И что-то еще.
* Async Utilities: пофиксили некорректное удаление объектов из списка async-сервисов
* Dashboard
* NVMeoF: полный редизайн UI с поддержкой DHCHAP controller key, шифрованием namespace и настройкой secure listeners
* Pools & RGW: добавлена валидация stretch-кластера, исправлены проблемы с остановкой\рестартом RGW, баги sync policy, добавлена поддержка MSR EC профиля.
* NFS: добавлен тоггл видимости снапшотов CephFS, пофиксили создание экспортов и исправлена проблема с консистентностьб значения path
* ceph-volume: при сканировании инвентаря теперь автоматически пропускаются RAM-диски (/dev/ram*)
* extblkdev: пофиксили assert в FCM-плагине при работе с multivolume-устройствами

Подробнее тут:
https://ceph.io/en/news/blog/2026/v20-2-2-tentacle-released/

#ceph #tentacle #release #blog #cephexpert

Трансляция SPbLUG (@spblug)

Тема: Синхронизация времени: история, протоколы, особенности. От первых часов до современных серверов и протоколов.

Докладывает: Михаил, главный инженер ООО "Сети WEBA"

Синхронизация времени: история, протоколы, особенности.
https://rutube.ru/video/0c9684977690d5b9c6927cc9d9beec76/

UPD Трансляция закончилась, запись доступна по ссылке + прицепил к посту

Massimiliano Oldani (sgrakkyu) опубликовал PoC, который из непривилегированного процесса внутри изолированного по сети контейнера даёт полноценный побег на хост с root. В основе — свежезакрытая уязвимость IPv6-стека ядра Linux: при сборке UDPv6-фрагментов через splice() ядро выделяло буфер только под заголовки, забывая про перенос выровненных байтов (fraggap), и запись уходила за конец объекта прямо в служебную структуру skb_shared_info.

Дальше один испорченный байт nr_frags разворачивается в page use-after-free и технику Dirty Pagetable с произвольным чтением/записью ядра: KASLR обходится через SMP-трамплин, SELinux глушится подменой пролога avc_denied(), а сам побег из контейнера делается через core_pattern. Всё срабатывает детерминированно, без heap-grooming и без каких-либо привилегий.

Баг тихо жил с ядра 6.0, но эксплуатировать его стало возможно только с версии 6.6, после которой он попал во все поддерживаемые ветки и был незаметно убран коммитом в середине июня — без CVE, без advisory и без бэкпорта в stable, что автор и критикует: фикс лежит в открытом дереве, фактически раздавая рабочий 0-day. Опубликованный PoC намеренно ослаблен и работает только на ядрах без CONFIG_INIT_ON_ALLOC (RHEL/CentOS). Боевую версию обещают после выхода патчей.

Проектирование POSTGRES: как задумывалась популярная СУБД

Чтиво на выходные. 8 июля у PostgreSQL юбилей — ей исполняется 30 лет. В 1996 году Марк Фурнье из компании Networking Services предоставил первый внешний сервер для разработки опенсорсного проекта Postgres. До этого СУБД разрабатывали на мощностях Калифорнийского университета в Беркли .

В день рождения PostgreSQL на Хабре опубликовали перевод статьи, которая послужила основой этой СУБД. Кстати, у неё тоже юбилей — 40 лет с момента выхода.

@usr_bin_linux

Kubesplaining — CLI-инструмент для анализа безопасности Kubernetes, написанный на Go. Он позиционируется как «Cloudsplaining для Kubernetes».

В отличие от большинства сканеров (Kubescape, Trivy, Polaris), которые ищут отдельные misconfigurations, данный инструмент строит граф privilege escalation и показывает реальные многошаговые цепочки атаки от любого непривилегированного субъекта до критических:
- cluster-admin / system:masters
- node-escape (привилегированные поды + hostPath)
- доступ к секретам в kube-system

Он использует BFS поиск по RBAC + состоянию подов и выдаёт полную цепочку с объяснениями, evidence и remediation.

Ключевые возможности:
- Модули (всего ~45 правил): RBAC (wildcard, impersonation, bind/escalate и т.д.), Pod Security, NetworkPolicy, Admission Webhooks, Secrets, ServiceAccounts, Least-Privilege (на основе audit logs).
- Поддержка живого кластера, snapshot (JSON) и отдельных манифестов.
- Отличные отчёты: интерактивный HTML, JSON, CSV, SARIF (для GitHub Code Scanning).
- CI-friendly: --baseline, --ci-mode, delta-анализ.
- Полностью offline-анализ после скачивания snapshot'а.
- Хорошая документация, примеры remediation (kubectl patch, Kyverno/Gatekeeper).

Здесь можно посмотреть демо отчет.

Python и DevOps: Ключ к автоматизации Linux (2022)

Это практическое руководство научит вас использовать Python для повседневных задач администрирования Linux с помощью наиболее удобных утилит DevOps, включая Docker, Kubernetes и Terraform.

#Книга #RU #Python #DevOps #Docker #Terraform #Kubernetes #Linux

💿 Cracking the Linux Boot Code - занятное чтиво от инженеров Oracle о диагностике запуска и загрузки системы...

- Linux Boot-Time Diagnostics Foundations;
- Deep-Dive Linux Boot Diagnostics.

Первая статья описывает базовые методы диагностики загрузки, а вторая показывает углублённые техники и подходы.

#linux #boot #debug

Speedtest Tracker — свой мониторинг качества интернет-канала

Когда интернет периодически тормозит, одной проверки через Speedtest может быть недостаточно. К моменту проверки проблема уже исчезает, а для обращения к провайдеру нужны цифры и история.

На просторах Гитхаба нашлось интересное self-hosted-решение — Speedtest Tracker. Оно автоматически запускает тесты скорости по расписанию, сохраняет результаты и показывает, как менялось качество соединения.

Что можно отслеживать:

— скорость загрузки и отдачи;

— ping и jitter;

— потерю пакетов;

— успешные и неудачные проверки;

— отклонения от заданных пороговых значений.

В интерфейсе есть графики, история запусков и экспорт данных в CSV. Можно выбрать конкретный сервер Speedtest или задать список серверов, чтобы результаты не зависели от одной точки измерения.

Если скорость или задержка вышли за допустимые пределы, Speedtest Tracker может отправить уведомление по электронной почте, через webhook или Apprise. Последний позволяет подключить Telegram, Discord, Ntfy, Pushover и множество других сервисов.

Для интеграции с существующим мониторингом есть:

— endpoint с метриками Prometheus;

— готовый дашборд для Grafana;

— отправка данных в InfluxDB 2.x.

Разворачивается в контейнере. Для небольшой инсталляции достаточно SQLite, а для более серьёзного стенда можно использовать MariaDB, MySQL или PostgreSQL.

Самый очевидный вариант использования Speedtest Tracker для мониторинга домашнего подключения, каналов в филиалах, резервных линий и точек выхода в интернет. Также пригодится, если нужно подтвердить, что провайдер систематически не выдерживает заявленные параметры.

Но, как всегда, есть нюанс: тест скорости сам создаёт заметную нагрузку на канал. Поэтому интервал запуска нужно выбирать осознанно. Кроме того, результат характеризует маршрут от сервера, на котором запущен Speedtest Tracker, до выбранного тестового узла. В итоге получается домашний SLA-мониторинг.

Репыч на GitHub

Документация

Интеграция с Prometheus

@usr_bin_linux