Совсем скоро нам станет полноценно доступна новая версия C#, и мы продолжаем наш ежегодный цикл обзора нововведений. В этот раз команда Microsoft приготовила нам ряд очень интересных и ожидаемых изменений. Предлагаю рассмотреть их подробно.
Открылась регистрация на Всероссийскую олимпиаду по программированию «Технокубок», организованную МФТИ, МГТУ имени Н. Э. Баумана и компанией VK. В 2 026 году в ней смогут принять участие не только учащиеся 8–11 классов, но и студенты колледжей, рассказали Хабру в пресс‑службе VK.
hh.индекс в IT вырос до 27,4: по шкале hh это “рынок работодателя”.
Но в индексе нет ни цены, ни квалификации, а в обзоре той же площадки 93% работодателей жалуются на нехватку компетенций у кандидатов.
Разбираю найм как систему: кто в ней отклоняет кандидатов, не умея оценить их квалификацию, почему такие отказы никто не видит и почему собственник в итоге платит и за дефекты системы найма, и за “рынок работодателя”.
Привет, Хабр! Это Кирилл Попов, руководитель команды проекта Tracer, и Маргарита Скокова, инженер мобильных приложений Android в Одноклассниках. Ещё год назад мы называли Tracer комплексной платформой для сбора и анализа ошибок мобильных и веб-приложений. О том, как всё начиналось и развивалось, можно прочитать в статьях 2023, 2024, 2025 годов и в январской новости. В 2026 году Tracer стал observability-платформой.
В этой статье мы расскажем, что нового в Tracer вы можете использовать для разбора проблем на релизе, сбоев у пользователей и упрощения рутины. Эти инструменты открываются по запросу — будем рады пригласить вас на ранний доступ, чтобы вы попробовали новые функции раньше официального релиза.
Ещё пару лет назад комплект DDR5 на 32 ГБ был скучной строкой в сборке ПК: взял, поставил, забыл. Сегодня это одна из самых дорогих позиций, а вопрос «стоит ли апгрейдиться сейчас» превратился в экономическую задачу. Разберёмся, что именно произошло, почему ИИ‑дата‑центры оказались в одной очереди за кремнием с обычными пользователями и что с этим делать тем, кто собирает или покупает компьютер.
В жизни пентестера есть особый вид разочарования. Не оттого, что вы не нашли критическую уязвимость. А оттого, что нашли, но через неделю после того, как проект закрылся.
Это состояние — «эффект инкубации» в чистом виде. Вы сидите за чашкой кофе или гуляете по парку, перебирая в голове логику атаки на Active Directory, и вдруг вас осеняет. Находки, которые раньше казались бесполезными, складываются в идеальную цепочку компрометации. Теперь вы понимаете, как нужно было действовать, но отчет уже сдан, а доступ к инфраструктуре закрыт.
Речь не о новом эксплоите, который появился после завершения проекта: в этом случае у атакующего возникают возможности, которых раньше не было. Другое дело, когда все условия для атаки существовали изначально — не хватало только понимания, как ими воспользоваться.
Меня зовут Дмитрий Неверов, я технический консультант по тестированию внутренней инфраструктуры в Бастионе. В прошлой статье я уже упоминал постпроектную рефлексию. Теперь хочу подробнее разобрать, почему решения иногда приходят слишком поздно и что с этим делать.
«Давайте скормим модели документацию, а она сама нагенерит тест-кейсы». Вот что обычно слышишь, когда разговор заходит про нейросети в тестировании. Звучит красиво, но в моей работе это оказалось чуть ли не самым бесполезным сценарием. Я занимаюсь автоматизацией, ручные кейсы пишу не каждый день, и генерация их «по щелчку» закрывает не ту боль. Для меня настоящая боль в другом. Как понять, что вообще нужно проверять, где лежат данные, какая логика сейчас актуальна, какие сценарии уже покрыты и где документация расходится с тем, как система ведёт себя на самом деле.
Поэтому я стал относиться к LLM как к ассистенту, которому можно постепенно отдавать доступ к рабочему контексту: документации, векторному поиску по ней, базам данных, тест-кейсам и репозиторию автотестов. Всё это я подключал через MCP. И дальше расскажу, как именно всё подключал, на какие грабли наступил, а что в итоге реально выстрелило.
Это помогло. Я стал быстрее вникать в незнакомую бизнес-логику и проверять гипотезы по данным, не перечитываю каждый раз всё заново, и трачу меньше умственных сил на механический поиск. По кнопке LLM так и не генерирует ручные тест-кейсы, но это, я думаю, нормально.
Что скрывается в логах и где искать слабые места инфраструктуры?
SIEM может пропустить атаку, уязвимости — добраться до продакшена, а привычные инструменты мониторинга — не показать причину проблемы. Как находить слепые зоны в защите, анализировать сетевой трафик и выстраивать процессы безопасной разработки, чтобы снижать риски до возникновения инцидентов?
Собрали бесплатные уроки для специалистов по информационной безопасности, которые помогут разобраться с этими вопросами. В программе — практические подходы к обнаружению угроз, DevSecOps и работе с инфраструктурой.
Мониторинг и обнаружение угроз
5 ноября, 20:00. «Как построить SIEM‑мониторинг без слепых зон: от сценария атаки до источников событий». Записаться
18 ноября, 20:00. «Что SIEM не увидит „из коробки“: корреляция событий и оценка качества детектора». Записаться
DevSecOps и безопасная разработка
11 ноября, 20:00. «Как оценить зрелость DevSecOps‑команды и составить карту развития». Записаться
16 ноября, 20:00. «Швейцарский нож РБПО: карта инструментов безопасной разработки на практике». Записаться
Сети, трафик и инфраструктура
5 ноября, 20:00. «Стек сетевых протоколов и с чем его едят. На примере TCP/IP». Записаться
10 ноября, 20:00. «CRI — обзор контейнерных runtime». Записаться
17 ноября, 20:00. «Почему тормозит приложение: диагностика в Wireshark». Записаться
Чем лучше понимаешь, как устроена инфраструктура и где могут возникнуть проблемы, тем проще выстраивать эффективную защиту.
Что почитать по теме?
Безопасность инфраструктуры складывается из конкретных решений: какие права дать контейнеру, как защитить сервисы от атак и почему нельзя отключать проверку TLS ради удобства. Подобрали три статьи на Хабре, которые помогут разобраться в этих вопросах на практике.
«От capabilities к AppArmor: что реально остановит атакующего в контейнере» — узнаете, как ограничить действия злоумышленника при компрометации контейнера и снизить потенциальный ущерб.
«Прощай, Fail2Ban: усиливаем защиту Netbird и Caddy с CrowdSec» — разберётесь, как использовать анализ событий и автоматическую блокировку для защиты сервисов от подозрительной активности.
«Как выстроить доверенный TLS в Kubernetes без InsecureSkipVerify» — научитесь правильно настраивать доверие к сертификатам, сохраняя проверку подлинности соединений.
Привет! Меня зовут Александр Пивкин, я ведущий SRE-инженер в MWS Cloud Platform. Сегодня я проведу вас по короткому пути через дебри подкапотного устройства бинарных файлов и покажу, какую пользу можно извлечь из этого знания применительно, например, к SDS Ceph. Сразу отмечу, что пишу я эту статью параллельно с написанием собственно трейсера. То есть даже можно сказать, что вы наблюдаете процесс исследования и создания готового решения в прямом эфире.
В предыдущей статье я затронул тему исследования производительности кластера Ceph, а также вскользь упомянул о возможности поиска проблем с производительностью с помощью BPF. Здесь я расскажу, что такое BPF и как его применить в практической задаче.
Мы небольшая студия, делаем сайты, ботов и интеграции, часть заказов берём на Kwork. В октябре мы попались на схему, в которой деньги потеряли смешные, а вот времени и нервов ушло прилично. Пишу не ради возврата, деньги нам, кстати, вернуть пообещали. Пишу потому, что схема рассчитана как раз на добросовестных исполнителей, и потому, что по ходу разбирательства мы увидели, как молодой сервис сам подрывает доверие к себе. А доверие для облачного хранилища важнее всего остального.
На бирже появился проект: нужен парсер, чтобы выгрузить названия своих файлов из облачного хранилища aroshka.cloud. Бюджет до 15 тысяч, задача на пару часов, ничего подозрительного. Мы откликнулись.
Разбираю руткиты от ring 3 до прошивки. Как прячутся в ядре, как их ловят через rkhunter, Secure Boot и анализ памяти. С кодом на Cи.
Очередное интересное устройство от энтузиастов: карманный ноутбук, собранный на базе восьмибитного микроконтроллера AVR. Проект так и называется — AVR-Laptop. Система работает на ATmega2560 под управлением ОС реального времени FreeRTOS.
ИИ не заменит тебя. Но инженер с ИИ - заменит
Прямо сейчас рынок делится на два типа инженеров.
➖Первые до сих пор вручную копируют конфиги и разгребают тонны логов.
➖Вторые уже настроили себе цифровых помощников и пьют кофе, пока ИИ делает рутину.
Мы собрали интенсив, где учим строить реальные рабочие воркфлоу под твоим полным контролем.
Что мы там разберем:
🔹n8n на практике: свяжем GitHub, базы данных, Slack и терминал в единую автоматизированную сеть.
🔹Алерты, которые не бесят: настроим их так, чтобы в 3 часа ночи ты видел не «ERROR 500», а готовый разбор полетов от Claude Code с предложением решения.
🔹RAG и MCP-серверы: дадим ИИ доступ к твоей внутренней документации, чтобы он знал контекст твоего проекта, а не галлюцинировал.
🔹Безопасность (OWASP Top-10): сделаем всё так, чтобы твоя автоматизация не стала дырой в инфраструктуре и поводом для разговора с безопасниками.
Хватит бояться, что тебя заменят. Стань тем самым инженером, который управляет ИИ.
Октябрьская авария проверила планы восстановления у клиентов пострадавших дата-центров. Среди компаний, которые обратились к нам в эти дни, у одних плана не было, у других копии лежали рядом с рабочими серверами. Эта статья для собственников, которым важна непрерывная работа бизнеса, но которые не готовы погружаться в технические детали. Разберу базовые вещи, без которых не принять решение о резерве: почему запасной дата-центр того же провайдера не всегда спасает, чем теплый резерв отличается от бэкапа и какие семь вопросов задать ИТ-отделу. Настройку резерва потом возьмут на себя ИТ-специалисты.
Вы просите Cursor или Claude разобраться, почему деплой в AWS падает на правах. Агент смотрит в логи, кивает, генерирует IAM Policy:
“Effect”: “Allow”
“Action”: “*”
“Resource”: “*”
Пайплайн зеленый. Вы счастливы. Секьюрити-инженер — нет.
Через полгода вы открываете репозиторий и находите там десять разных стандартов Helm-чартов, IAM-роли, розданные с правами “*”, и Terraform-стейт, который превратился в минное поле. Никто не принимал решение «давайте сделаем так» — оно сложилось само, из сотни маленьких «почини вот это сейчас». Вайб кодинг в инфраструктуре работает. Проблема в том, что платите вы не в момент, когда пишете промт, а через полгода, когда разгребаете последствия.
Ниже — три антипаттерна, которые мы видели вживую, и три уровня защиты, которые мы выстроили, чтобы агенты не превращали инфраструктуру в легаси за пару месяцев.
Что такое Vibe coding в Ops, и почему он реально дает х10
Вайб кодинг — это процесс, при котором вы описываете желаемое состояние инфраструктуры естественным языком, а AI-агент пишет IaC, скрипты и манифесты. Эволюция здесь короткая и честная:
Когда происходит большая спортивная трансляция, у технической команды есть примерно 15 минут, которые особенно важно пережить. Эти 15 минут решающие — ведь миллионы зрителей почти одновременно открывают приложение, авторизуются, проверяют подписку или покупают ее, находят матч и нажимают Play. На отдельных участках нагрузка в это время может вырасти в 10–20 раз, а иногда и в 50 раз по сравнению с обычной. Видео-сервису важно выдержать этот вызов и не расстроить никого из болельщиков.
Привет, Хабр! Мы хотим рассказать, что в этот момент происходит внутри Okko: почему перед большим матчем сервис иногда специально упрощают, как мы воспроизводим поведение реальных зрителей в нагрузочных тестах и зачем регулярно нагружаем собственные системы. Приоткроем завесу тайны, как планируем инфраструктуру и раздаем видео, что спортивный пик делает с рекомендациями и какой путь проходит сигнал от стадиона до экрана пользователя.
В основе материала — выступление команды Okko на ИТ-Пикнике.
В беседе участвовали:
Иван Карев — технический директор, CTO Okko;
Николай Животворев — директор департамента разработки продукта и продуктовой платформы;
Евгений Курочкин — директор департамента обеспечения надежности и платформы разработки;
Андрей Перекрест — директор департамента эксплуатации;
Евгений Ильюшин — директор департамента управления данными и разработки систем AI;
Георгий Евграфов — директор департамента архитектуры и прямых трансляций;
Владимир Стогниенко — главный редактор Okko Спорт и спортивный комментатор.
На связи Анна Астахова, директор по развитию ИТ-интегратора «Белый код». Для компании, которая занимается производством, мы выполнили задачу — создали инструмент для поиска ошибок DATAREON Platform. Интеграционная платформа в компании используется в нескольких территориально распределенных сегментах. Рассказываю, какую схему придумали и внедрили.
На этапе проектирования схемы парковки меняются достаточно часто. Расположение парковочного места влияет на его стоимость, при корректировках плана измерять расстояния нужно каждый раз заново. Рассказываем, как мы автоматизировали этот процесс и разработали плагин для Revit. Он считает реальный путь от машино-места до лифта или выхода с парковки, затем переводит метры в деньги и показывает, как расстояние влияет на цену.
DMRConnect — наше Android-приложение для цифровой радиосвязи DMR. Оно подключается к BrandMeister и к любительским серверам по протоколу Homebrew (MMDVM), кодирует голос в AMBE+2 и превращает телефон или POC-рацию в абонента сети. До версии 2.2.0 приложение требовало Android 7.0, то есть minSdk 24, и нас это устраивало: телефонов старше почти не попадалось.
В октябре написал Алекс. У него Motorola LEX F10 — LTE-рация с сенсорным экраном 2017 года, в Россию её официально не возили. Внутри Android 5.1.1 с патчем безопасности от мая 2017-го, и обновлений уже не будет. Просьба была одна: поставить DMRConnect.
Российские банки с 1 марта 2027 года будут отказывать клиентам в переводе денег с мобильных устройств, на которых выявлено вредоносное программное обеспечение. Это позволит обезопасить россиян от мошенников, заявил директор департамента информационной безопасности ЦБ Вадим Уваров.
Привет, Хабр! С вами Евгений Соловьев.
Начинаем новую серию статей по мотивам моей книги «Платежные системы — вчера, сегодня и… завтра?», в которых мы коснемся основных принципов, правил и технологических процессов в платежных системах, построенных на принципах участия многих банков, то есть в мультибанковских платежных системах.
В этой статье поговорим о концептуальной архитектуре, правилах и принципах участия в платежных системах.