Психоанализ входящих заявок в хелпдеск доказал, что существует всего три первородных архетипа:

1. Оно само;
2. Я ничего не нажимала;
3. До вас всё работало.

Все остальные заявки лишь невротическая рябь на поверхности небытия.

Типичный 🆒 Сисадмин

💀 Половина магистральной оптики в РФ умирает от старости

Минцифры выкатило на согласование проект обновленной стратегии развития отрасли связи до 2035 года. И если отжать оттуда тонну воды, то в сухом остатке вскрылось интересное... более 50% всех магистральных линий связи в стране выжрали свой ресурс.

Немного матчасти:
🟢Ничто не вечно под луной, особенно диоксид кремния в агрессивной среде. Со временем начинается помутнение сердечника, диффузия водорода (еще его называют - водородное потемнение) и появление микротрещин от сезонных подвижек грунта.
🟢Если 20 лет назад по свежему волокну DWDM-сигнал спокойно пробивал 80-100 км без регенерации, то сегодня свет рассеивается и вязнет.
🟢Растет число ошибок, падает SNR, а современные протоколы модуляции на таком мутном мыле просто не поднимаются. Чтобы это хоть как-то жило, приходится либо понижать канальные скорости, либо утыкивать трассу промежуточными усилителями EDFA через каждые пару десятков километров.

Великие стройки российского интернета гремели на стыке веков... транссибирская магистраль "Москва - Хабаровск" от РТК сдана в 1999 году, сеть ТрансТелеКома на 45 000 км вдоль шпал РЖД поехала в октябре 2001г. Вся эта махина строилась на импортных кабелях Corning и Alcatel, закопанных четверть века назад.

Тут уже и посчитали, что до 2030 года нужно перекопать и переложить более 400 000 км кабеля. При средней стоимости прокладки магистральника по суше в 1 млн рублей за километр (а через реки, болота и вечную мерзлоту ценник умножается на три) - это минимум 400 миллиардов рублей как с куста 🤑

И тут, ИМХО, начинается самое занятное... а во что перекладывать-то? Своего производства волокна полного цикла в товарных объемах у нас как не было, так и нет. Будем снова закупать китайские по оверпрайсу с наценкой в 300% за параллельный импорт, заливать их в отечественную изоляцию на местных кабельных заводах и называть это 100% суверенным кабелем для нацпроекта 🤔

Операторы, конечно, делают грамотно, притворяясь шлангом... мол, "ну кабель же не умирает ровно через 25 лет, если одно волокно в пучке слепнет, то мы перекинем трафик на соседнее, еще живое волокно в жиле". Правда резервные волокна в той же трубке старели ровно столько же лет и в тех же грунтовых водах.

Никто и не спорит, что трафик только за 10 лет вырос в 10 раз (до 218 экзабайт), сети надо модернизировать, а зависимость от китайского кабеля - снижать. Строить новые ВОЛС необходимо. Но прогревать население и бизнес байками про протухшее помутневшее стекло, чтобы ловко обосновать бюджет в полтриллиона рублей - это моё увОжение, маркетологи отработали себе на премию 🎩

Угадайте с трех раз, в чьи платежки впишут эти 400 миллиардов на перекопку траншей? 😬

Типичный 🥸 Сисадмин

В мире есть 10 типов людей: те, кто может уехать на этом лифте, и те, кто пойдет пешком 🏥

Чтобы попасть на этаж 5, тыкаем: 1, 0, 1.

Типичный 🥸 Сисадмин

😬 Легендарный Quantum Fireball в своей финальной стадии эволюции.

З.Ы. Священная заповедь про "не выбрасывай старье, когда-нибудь оно пригодится" снова доказала свою силу.

Типичный 🥸 Сисадмин

🍺 Пятничный филологический холивар... Логитеч, Асусь, Гнилобайт и прочие травмы слуха.

На днях в комментах под постом про шарики от мышек внезапно вспыхнул классический, покрытый мхом холивар. Я написал "Логитеч", и тут же языковеды в комментах пояснили что "вообще-то Лоджитек!", затем подтянулись эстеты с "всегда был Логитек" 😂

В преддверии пятничного сброса энтропии грех не поковырять эту рану.

Давайте расставим точки над Ё. Мы все прекрасно знаем, как это читается в оригинале. Я с эникейской юности уяснил правила игры в нашем с вами АйТи... вся индустрия построена на том, чтобы читать заморские бренды максимально всрато и как написано. Ведь когда мы в девяностых и начале двухтысячных читали названия железок исключительно глазами в прайсах Ultra Electronics и на коробках с радиорынка, рождался тот самый легендарный админский суржик. Это не ошибка, это уже наш культурный код 😊

В итоге родилась целая кунсткамера названий, от которых у современных маркетологов смузи носом идет. Вспомним же классику:

🟢 Logitech (Логитеч / Логитек / Лоджитек).
Швейцарцы в 1981 году скрестили французское logiciel (софт) и греческое technologie. По канонам это вообще "ЛожитЭк". Буржуи на презентациях говорят "лОджитек". Но для русского эникея, чистившего спиртом валики в шариковых мышах, это навсегда останется родным и непобедимым Логитечем.
И точка.

🟢 Zyxel (Зухель / Зуксель / Зайксел).
Главная скрепа эпохи диалапа. Корпоративные мануалы называли контору "Зайксел". Но для миллионов людей, сидевших по ночам в FIDO и державших на тумбочке внешний модем со стрекочущими релюшками, это был, есть и будет "Зухель" (в крайнем случае "Зюксель"). Назови модем Зайкселом на сходке сисопов в 2002 - засмеяли бы всем кабаком.

🟢 Nginx (Энджин-икс / Нгинкс / Энжинкс).
Создатель Игорь Сысоев русским языком пояснил, что проект называется "Engine-X", то есть "Энджин-икс". Но в логах и консолях мы читали буквы подряд. В результате родился легендарный мутант Нгинкс\Нджинкс (иногда Энгинкс).

🟢 Palit (палИт / пАлит).
Официальное тайваньское ударение на "А". Но Рунет нулевых единогласно переставил ударение на "И", моментально родив... "Palit - твой дом спалит" или "Palit - воняет и горит" 😂

🟢 Gigabyte (Гигабайт / Джигабайт / Гига / Гигабуте).
По-английски это звучит "Джигабайт". В наших реалиях это всегда был "Гигабайт", а в темные времена кривых кондёров - до Гнилобайта.

🟢 ASUS (Асус / Асусь / Эйсус).
Сами тайваньцы выдрали это слово из латинского Pegasus (Пегас), чтобы в телефонных справочниках быть сверху на букву "А". Англоязычные вендоры всегда форсили "Эйсус". Но покажите мне хоть одного нормального сисадмина в трениках, который в 2005 году просил со склада материнку от Эйсуса? Асус - это база.

🟢 Xerox (Ксерокс / Зирокс).
Классика филологического побоища. Американе читают букву X в начале слова как Z (Зирокс). Но в Рунете слово мутировало до глагола "отксерить" и стало именем нарицательным для любых копиров планеты. Скажи в бухгалтерии "пойду отзироксую накладную" - и смотри в глаза за реакцией 😡

🟢 ASRock (Асрок / Азрок / Жопорок).
Контора изначально отпочковалась от ASUS как ультрабюджетный суббренд для тех, кому не хватало на нормальную плату. Английское "Аз-рок" окрестили "Асроком", а за раннюю нестабильность биосов - Жопороком. Бренд давно делает неплохие доски, но осадочек в памяти остался.

🟢 Seagate (Сигейт / Сеагате).
Тут даже спорить не о чем... почти каждый читал на коробке с барракудой именно Сеагате. В воспоминаниях сразу всплыл знаменитый щелчок смерти ⚰️

🟢 Cisco (Циско / Цыска / Сиско / Киска).
Название образовано от Сан-Франциско, и англоязычный мир говорит «Сиско». Но в российском энтерпрайзе оборудование именуется исключительно Цыска.

🟢 Broadcom (Бродком / Броадком / Блядком).
Вендор чипов Wi-Fi и гигабитных сетевух. По-английски "Бродком". Но в среде красноглазых за закрытые блобы, кривые проприетарные драйверы b43 и пляски с ndiswrapper фирма получила единственное заслуженное имя - Блядком. Поднять Wi-Fi на ноуте с этим чипом в 2007 году было подвигом.

И так во всем. Мы поднимали веб-серв апач, писали на джаве (хотя она ява), и подключались через вифи.

Наш рунглиш это святое. Тогда он отсеивал чужаков и объединял своих. Если человек в нулевых говорил зайксел, мы сразу выкупали, что перед нами либо маркетолог, либо еще хуже (хотя что может быть хуже 🙂). А если "Зуксель" - значит, свой брат-эникей.

Типичный 🥸 Сисадмин

Это если один свисток отвалится, то мышь переключится на резервный канал?
#предложка

Типичный 🥸 Сисадмин

🍕 Анатомия эпичного факапа или как на самом деле вынесли Додо Пиццу.

🚩 Дисклеймер: Материал носит исключительно ознакомительный и аналитический характер для специалистов по информационной безопасности. Данные взяты из открытых отчетов исследователей. Автор категорически осуждает киберпреступность.

Помните недавний пост про слив базы Додо? Так вот, история получила продолжение. Наливайте чай иди открывайте крафтовое - у нас тут нарисовался неплохой пятничный чтиво-тред 😮

Всё началось с банального анализа APK из Google Play. Внутри которого разрабы забыли карту внутренней кухни на почти сотню сетевых адресов бэкенда (причем некоторые отдавали ответы вообще без авторизации) 😥

Главной же точкой входа стала облачная аналитическая платформа Databricks. Один из её открытых адресов из-за кривых прав доступа позволял читать внутренние файлы системы обычным GET-запросом без всяких токенов. Оттуда и вытащили конфиг с зашитым PAT-токеном, подняли свой кластер и получили полный удаленный контроль над сервером 😱

Интересный нюанс... Databricks на уровне платформы отслеживает вывод команд и заменяет найденные токены на [REDACTED]. Однако эта защита не сработала как задумывалось. Атакующие просто завернули вывод секрета в base64 и Databricks пропустил 😶

С root-правами на кластере хакеры постучались в защищенное хранилище ключей через стандартный Secrets API. Хранилище отдало десятки паролей в открытом виде.... ключи от всех облачных хранилищ Azure, админку к системе бизнес-аналитики, ключи каталога метаданных и сервисные учетки Azure с правами на всю облачную подписку ⚰️

Дальше начался сущий ад безопасника...
🟢В метаданных одной из систем данные для входа лежали… открытым текстом прямо в строке подключения.
🟢В декомпилированном внутреннем CLI-инструменте нашли шлюз к основным рабочим базам MySQL. Пробросили сетевой порт через систему управления контейнерами и вошли под дефолтной учеткой.
🟢В админке финансового контура лежали исходные ключи двухфакторок, с помощью которых сгенерили себе вечные веб-сессии в обход любой двойной защиты 😱

Хакеры даже не стали мучить базы тяжелыми SQL-запросами (чтобы не спалиться по логам и нагрузке ЦП). Имея на руках ключи от хранилищ, они пошли напрямую к файлам данных. Суммарно за выходные в трубу улетело ~3.7 ТБ данных, а это 15 лет заказов, адреса с геокоординатами, телефоны, пароли в древнем MD5 и данных тысяч сотрудников.

В воскресенье безопасники Додо проводили плановое ТО. Они сменили часть токенов, но забыли про одно из внутренних авторизационных приложений. Через него доступ был обновлен. В итоге через 6 часов взломщики просто перевыпустили токен и продолжили качать. При этом защитный экран WAF за все дни отреагировал лишь однажды, заблокировав один IP-адрес из-за внутренних ошибок сервера, но пропустив аномальный трафик скачивания терабайтов информации 🤯

Главный вывод сей басни:
У конторы формально было всё по ГОСТу и лучшим практикам... и WAF, и MFA, и хранилища клучей, и аудит. Но безопасность цепочки всегда равна прочности самого слабого звена. Достаточно было оставить одну тестовую дыру наружу и забыть пароль в конфиге - и весь эшелонированный периметр превратился в решето.

В ваших конторах секреты из хранилищ тоже передаются плейнтекстом в query-параметрах, или вы пока шифруетесь? И главный вопрос - дадут додокоины за моральный ущерб.

Типичный 🥸 Сисадмин

Вечер пятницы повышенной надежности. Всем спокойных выходных!

З.Ы. Балансировка нагрузки ровно по 150 мл 🍷

Типичный 🥸 Сисадмин