Обновить

Моя лента

Тип публикации
Порог рейтинга
Уровень сложности
Предупреждение
Войдите или зарегистрируйтесь, чтобы настроить фильтры

Почему UFW не спасает от Docker: анатомия сетевой подставы и что ищут боты в открытых портах БД

Типичная картина при переезде на свежий VPS. Подняли чистую Ubuntu или Debian под новый проект, сразу навели базовый порядок: ufw default deny incoming, снаружи оставили только 22, 80 и 443. Глянули ufw status — всё четко, лишнего не торчит. Дальше ставится Docker, через компоуз взлетает бэкенд с PostgreSQL и Redis. Чтобы удобно ходить в базу с ноута через DBeaver и гонять миграции, на автомате дописываем ports: - "5432:5432". Кажется, что мы в домике: наружу ничего не светит, фаервол же режет всё, кроме веба и SSH.

А через пару дней прилетает абуза от хостера или срабатывает алерт в мониторинге: все ядра в полке, в htop резвится какой‑нибудь kdevtmpfsi или kinsing, а вместо таблиц в базе лежит одна записка README_TO_RECOVER с биткойн‑кошельком. Грабли старые, как сам Docker. Но на них с завидной регулярностью наступают и джуны, и вполне опытные админы, привыкшие доверять выводу ufw status.

Почему UFW не спасает от Docker: анатомия сетевой подставы и что ищут боты в открытых портах БД
Статья

Продавцы воздуха: как вернуть человечеству доступ к собственным знаниям

Уровень сложностиСредний
Время на прочтение11 мин
Охват и читатели482

Почему самый мощный инструмент для систематизации знаний, который мы когда-либо создавали, используют, чтобы отгородить людей от знаний, и каким могло бы быть более разумное разделение труда между людьми и моделями.

В романе Александра Беляева «Продавец воздуха» (1929) делец Бэйли выкачивает атмосферу планеты и продаёт людям воздух в баллонах. Сегодня тоже история повторяется со знаниями: то, что принадлежало всем, становится товаром. Ниже статья о том, как это можно изменить.

Читать далее

Новости

Статья

Упаси вас выбрать английский первым языком для своего ребёнка

Уровень сложностиПростой
Время на прочтение12 мин
Охват и читатели1.6K

Читателю, вероятно, уже привиделось выступление Михаила Задорнова с его знаменитым «Ну тупы-ы-ые!», рассуждениями о том, что «Ра» — это свет, а русский язык — прародитель всего сущего.

Более технически подкованные, возможно, вспомнили Эдсгера Дейкстру, его Go To Statement Considered Harmful и совершенно беспощадные высказывания о BASIC.

Что ж, дабы сразу отвести от себя подозрения в принадлежности к первой категории — и, возможно, заслужить некоторое доверие второй, — предлагаю начать с одного любопытного научного факта.

Английская орфография замедляет освоение базовых навыков чтения примерно в 2,5 раза по сравнению с большинством исследованных европейских орфографий.

Нет, это не моя оценка. Seymour, Aro & Erskine (2003), Foundation Literacy Acquisition in European Orthographies, British Journal of Psychology.

Исследование охватило 13 европейских орфографий и показало, что овладение базовыми навыками распознавания знакомых слов и самостоятельного чтения незнакомых буквенных последовательностей занимает у детей, обучающихся на английском, порядка двух с половиной лет и более. В большинстве сравниваемых языков сопоставимый уровень достигается приблизительно за год.

Причём авторы обнаружили не просто количественное различие. Они предположили, что при определённой степени непрозрачности орфографии меняется сам механизм освоения чтения: к алфавитному декодированию приходится подключать логографическое распознавание слов.

Иными словами, там, где один ребёнок учится читать, другой вынужден учиться ещё и узнавать написанное.

read^W прочесть
Статья

Как мы аппаратную часть Baseband Unit разрабатывали: от идеи до серийного производства

Время на прочтение18 мин
Охват и читатели1.7K

Привет, Хабр! Меня зовут Руслан Лисевич, я разрабатываю BBU, а это — восьмая статья цикла о разработке базовых станций в YADRO.

В 2022 году перед нашей командой стояла амбициозная цель: создать конкурентоспособную базовую станцию мирового уровня. Сегодня покажу, как мы ее достигали на примере разработки аппаратной части BBU — YADRO BTS8100. Обсудим требования к оборудованию операторского класса, подготовку концепции, прототипирование, структурную схему BBU, плату вычислительного модуля и не только.

Читать далее
Статья

Почему мы выбрали комиссию до 5% в Vaari

Уровень сложностиПростой
Время на прочтение5 мин
Охват и читатели1.3K

С продажи товара за 2 000 рублей продавец получает не 2 000 рублей прибыли. Из этой суммы нужно оплатить сам товар, упаковку, доставку, продвижение и другие расходы. Комиссия площадки забирает свою долю из той же выручки.

Для маркетплейса эта комиссия — доход. Для продавца — расход, который нужно учитывать в каждой продаже. Когда проектируешь площадку, приходится держать в голове обе стороны этого расчёта.

Я CPO Vaari. Мы готовим маркетплейс к запуску и выбрали комиссию от 0 до 5% в зависимости от категории. Первые три месяца комиссия будет нулевой.

Причина этого решения довольно практичная: нам нужны продавцы, которым выгодно продолжать работать с нами. У бизнеса должны оставаться деньги на следующую закупку, развитие продукта и исправление ошибок. Если площадка забирает слишком большую для конкретного продавца часть его заработка, дальнейший рост становится сложнее для обоих.

Пока это наша ставка на модель сотрудничества. Реальных данных, которые доказывали бы её устойчивость в Vaari, у нас ещё нет. Но уже сейчас она влияет на то, как мы строим продукт.

Читать далее
Статья

Агент починил красный CI: исправил тест, а не код

Уровень сложностиСредний
Время на прочтение10 мин
Охват и читатели1.9K

AI‑агент исправил упавший CI, сборка стала зелёной — можно мержить? В эксперименте с двумя AI‑ассистентами выяснилось, что при конфликте тестов со спецификацией агенты могут менять сами тесты, подгоняя результат под ожидаемый. В статье разбираем шесть ошибок в организации работы с AI‑агентами и способы защитить тестирование от незаметной подмены требований.

Проверить AI-агента
Статья

Как изучить с 0 алгоритмы и структуры данных — для тех, кто не проходил, через олимпиады

Время на прочтение5 мин
Охват и читатели1.6K

Алгоритм изучения алгоритмов и структур данных с 0 - рекоммендации бесплатных ресурсов для практики и онлайн курсов

Читать далее
Статья

Как найти реальных покупателей с помощью транзакционного таргетинга

Время на прочтение4 мин
Охват и читатели1.6K

Привет! Меня зовут Юлия, в Amberdata я отвечаю за коммуникацию с партнерами и решение их задач с помощью данных  DMP. Сегодня расскажу, как найти для вашего бизнеса реальных покупателей с помощью рекламы на основе транзакционных данных (это информация о реальных покупках людей и их покупательском поведении).

Что такое транзакционный таргетинг

Это особый подход к рекламе, при котором аудиторию сегментируют на основе данных о покупках пользователей за конкретный временной период. Источником таких данных выступает инфраструктура онлайн-касс и сервисов, работающих с фискальными чеками: производители кассовых решений и операторы фискальных данных. Они формируют обезличенную базу с информацией о покупках, которая позволяет выделять аудитории по категориям товаров, частоте и давности покупок.

Путь этих данных выглядит так.

Читать далее
Статья

Рефакторинг карьеры: как в «Ростелекоме» трансформируют навыки сотрудников под новые бизнес-задачи

Уровень сложностиПростой
Время на прочтение5 мин
Охват и читатели1.7K

Должность не всегда отражает весь профессиональный опыт человека. Об этом важно помнить как сотруднику, так и работодателю. Иногда именно дополнительные непрофильные знания и навыки помогают найти задачи и направления, в которых специалист может принести гораздо больше пользы, чем на своей текущей позиции.

Привет, Хабр! Меня зовут Ольга Лапшина, я HR-бизнес-партнер блока информационной безопасности «Ростелекома». В этой статье расскажу, как мы оцениваем опыт сотрудников и находим возможности для карьерного развития внутри компании, даже если события меняются быстрее, чем штатное расписание.

Читать далее
Пост

Привет хабр еще раз! Сегодня мы обсудим тему из книги Black Hat Rust, а именно подраздел первой главы «Почему Rust?». Этот кусок текста уже полностью адаптирован и ничего больше не должно резать слух.

Итак: Почему Rust?

Мир безопасности (и, в более широком смысле, софта) страдает от слишком большого количества языков программирования со слишком большим количеством граблей. Приходится выбирать между быстрым, но небезопасным (C, C++…) и медленным, но в основном безопасным (Python, Java…).

Может ли кто‑то быть экспертом во всех этих языках одновременно? Я так не думаю. Бесчисленные баги и уязвимости в инструментах атакующих доказывают, что я прав.

А что, если бы вместо этого у нас был один‑единственный язык?

Язык, который, будучи освоенным, удовлетворял бы все потребности области:

  • Шеллкоды

  • Кроссплатформенные инструменты удалённого доступа (RAT)

  • Многоразовые и встраиваемые эксплойты

  • Сканеры

  • Фишинговые наборы инструментов

  • Встраиваемое программирование

  • Веб‑серверы

  • и так далее

А что, если бы у нас был единственный язык, который достаточно низкоуровневый, но при этом предоставляет высокоуровневые абстракции, исключительно быстр и легко кросс‑компилируется? И всё это при безопасности памяти, высокой переиспользуемости и исключительной надёжности.

Никаких больше странных тулчейнов, странных сборщиков бинарников, уязвимого сетевого кода, инжектируемых фишинговых форм…

Вы поняли: Rust — язык, чтобы править всеми.

Из‑за инерции Rust ещё не получил широкого распространения в индустрии безопасности, но, как только техлиды и независимые хакеры осознают эту реальность, я считаю, изменения произойдут очень быстро.

Конечно, есть подводные камни и пара вещей, которые нужно знать, но всё это освещается в следующих главах.

Также можете почитать еще несколько моих уже готовых наработок, это главы с 0 по 2. Там текста гораздо больше! Найти их можно в моем репо на гитхабе вот ссылка еще раз: https://github.com/smokeplay250-png/black‑hat‑ru/ чтобы найти мои наработки вам надо перейти из main в /black hat books/in work/ru black hat rust/

Теги:
0
Комментарии1
Статья

AnythingLLM: чат по своим документам без подписки OpenAI

Время на прочтение9 мин
Охват и читатели1.6K

Представьте, что у вас на диске лежит папка с договорами, сотня PDF, конспекты и внутренняя документация. Вы открываете ChatGPT, загружаете один файл — он его читает, но стоит загрузить больше, контекст переполняется, или просто теряется файл. А если файлов десять? Двадцать? Подписка стоит денег, из России нужен VPN, и даже с ним модель не знает, что написано в ваших таблицах, если вы не скормите ей всё вручную.

Вот тут и появляется AnythingLLM — опенсорсное приложение, которое превращает ваши файлы в базу знаний и позволяет общаться с ними через любую LLM. Хотите локально и бесплатно на своей видеокарте? Пожалуйста. Хотите через облачную модель, но без подписки OpenAI и танцев с бубном? Тоже вариант, и ниже мы разберём его по шагам. Эта статья — про то, как за вечер собрать приватного ассистента, который отвечает по вашим документам. С блекджеком и RAG!

Читать далее
Статья

Что значит «продавец сам решает»: как мы строим Vaari

Уровень сложностиПростой
Время на прочтение5 мин
Охват и читатели1.8K

В требованиях к акциям Vaari мы записали: участие продавца добровольное. Уместилось в одну строку. А дальше понадобилось определить, кто выбирает товары, когда фиксируется цена, что происходит при изменении условий и можно ли выйти из акции, если магазин приостановил продажи.

Без этих ответов два человека могут прочитать одну строку и спроектировать два разных продукта.

Я CPO Vaari — маркетплейса, который мы сейчас готовим к запуску. Мы хотим дать продавцам возможность развивать свой бизнес на площадке: управлять участием в акциях, понимать условия привлечения покупателей, показывать особенности своего бренда. При разработке выясняется, сколько отдельных решений стоит за каждым из этих намерений.

Разберу три таких решения. Акции и учёт покупок из собственных каналов продавца уже реализованы локально и проходят подготовку к запуску. Витрину с историей бренда пока проектируем. Данных о влиянии этих механик на реальные продажи у нас ещё нет.

Читать далее
Статья

Как не потерять лицензию ФСТЭК России: новые перечни, сроки и чек-лист проверки

Время на прочтение10 мин
Охват и читатели1.6K

10 и 11 августа 2026 года ФСТЭК России утвердила новые редакции двух перечней:

- для выполнения работ и оказания услуг, установленных Положением о лицензировании деятельности по технической защите конфиденциальной информации (ТЗКИ) – 10 августа;

- для выполнения работ и оказания услуг, установленных Положением о лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации (СрЗИ) – 11 августа.

Для соискателей лицензий перечни применяются с 1 декабря 2026 года, действующим лицензиатам оборудование нужно привести в соответствие перечням до 1 марта 2027 года.

Разбираем, что изменилось и кого это коснется, а в конце дадим чек-лист, что проверить в первую очередь.

Читать далее
Статья

Тёмная тема в промышленных системах – не тренд, а необходимость

Уровень сложностиПростой
Время на прочтение6 мин
Охват и читатели1.7K

Тёмная тема – это не просто модный тренд, а необходимость для металлургического производства. В этой статье мы расскажем о нашем опыте проработки тёмной темы для MES-системы, внедрённой на Череповецком металлургическом комбинате. Вы узнаете, почему мы вообще за неё взялись, что оказалось сложнее всего в процессе, и какие принципы проектирования мы сформулировали.

Читать про кейс

Ближайшие события

Статья

Что будет, если постоянно держать ноутбук на зарядке

Уровень сложностиПростой
Время на прочтение5 мин
Охват и читатели1.8K

Ноутбук для многих пользователей давно уже превратился из средства для работы в пути в обычный компьютер, который в течение всего рабочего дня, а то и дольше, подключен к сети питания. Он стоит на столе, выводит изображение на монитор, а зарядку из него часто не вынимают месяцами. При этом советы, как не убить батарею, дают ровно противоположные. Одни уверены, что зарядку надо выдергивать, как только индикатор дошел до 100%, иначе аккумулятор быстро умрет. Другие отвечают, что контроллер давно все решает сам. Один пользователь Хабра так и пишет, что ноутбук у него всегда стоит на зарядке, а отключает он его, только когда нужно, и батарея спустя два с лишним года якобы ведет себя как в первый день.

Читать далее
Статья

Хаос как сервис: как мы в Авито проверяем устойчивость в проде и подключаем к этому LLM

Уровень сложностиСредний
Время на прочтение17 мин
Охват и читатели1.8K

Привет! Меня зовут Илья Садыков, я работаю в команде TestOps в PaaS Авито. Мы отвечаем за инструментарий хаос-тестирования — подхода, при котором в систему намеренно внедряются сбои для её проверки. 

В этой статье я покажу карту нашего хаос-ландшафта, расскажу, зачем нам собственный оркестратор, и подробно разберу, как во всё это встроена LLM. Рассмотрим кейсы от автоматического разбора прошлых инцидентов (LSR) до генерации AI-conclusion по конкретным экспериментам. Все архитектурные решения, о которых расскажу в статье, — из нашего реального продакшена.

Читать далее
Пост

Средний чек за период: как усреднение дневных значений меняет результат

В дневном отчёте уже есть средний чек. Можно ли получить показатель за месяц, просто усреднив значения по дням?

Разберём на условном примере за два дня. Учитываем только оплаченные заказы в рублях, без возвратов. Каждому заказу соответствует одна итоговая сумма.

1 ноября:
Оплаченных заказов — 1.
Общая сумма заказов — 1 000 ₽.
Средний чек — 1 000 ₽.


2 ноября:
Оплаченных заказов — 9.
Общая сумма заказов — 900 ₽.
Средний чек — 100 ₽.

Если взять среднее арифметическое двух дневных значений, получим:
(1 000 + 100) / 2 = 550 ₽.

Но за весь период покупатели оплатили 10 заказов на общую сумму 1 900 ₽.

Правильный средний чек за период:
1 900 / 10 = 190 ₽.
Разница существенная: 550 ₽ против 190 ₽.

Почему результаты отличаются? При усреднении дневных показателей каждый день получает одинаковый вес. День с одним заказом влияет на результат так же сильно, как день с девятью.

Оба результата математически корректны, но описывают разные показатели. 550 ₽ — среднее арифметическое дневных средних чеков. 190 ₽ — средний чек по всем оплаченным заказам за период.

Если нужен второй показатель, простое усреднение дневных значений может дать неверный ответ. Иногда результаты совпадут, например при одинаковом количестве заказов каждый день. Но рассчитывать на такое совпадение нельзя.

В SQL эта ошибка возникает, когда сначала считают средний чек по дням, а затем применяют AVG к полученному столбцу. Функция усредняет дневные значения, не учитывая, сколько заказов стоит за каждым из них.

Поэтому в дневной витрине полезно сохранять исходные составляющие: сумму оплаченных заказов и их количество. Для расчёта за месяц сначала складываем суммы и количества, затем делим одно на другое. Так результат не зависит от округления дневных средних.

Если за период нет оплаченных заказов, средний чек не определён. Ноль в таком случае может создать ложное впечатление, что заказы были, но ничего не стоили.

Похожая ловушка встречается при объединении конверсий по каналам и средних показателей по филиалам. Перед усреднением стоит проверить, что именно должно иметь одинаковый вес: день, заказ, пользователь или другая единица наблюдения.

Интересно, как у вас устроены итоговые строки в BI-отчётах: показатели пересчитываются из исходных сумм и количеств или усредняются готовые значения?

Теги:
0
Комментарии0
Новость

Squarespace сокращает штат на 19%, чтобы реорганизовать работу в пользу небольших команд, ориентированных на ИИ

Время на прочтение1 мин
Охват и читатели2K

Компания‑разработчик конструктора сайтов Squarespace объявила об увольнении около 300 сотрудников или 19% персонала в инженерных и продуктовых подразделениях, пишет Business Insider. Генеральный директор компании Энтони Касалена рассказал, что Squarespace реорганизует работу в пользу небольших команд, ориентированных на использование искусственного интеллекта.

Читать далее
Статья

Как приручить LLM-дракона. Архитектура корпоративного AI-шлюза и ограничения классических прокси в работе с нейросетями

Уровень сложностиСредний
Время на прочтение5 мин
Охват и читатели3K

Первый шаг при стихийном внедрении нейросетей — закрыть прямой доступ наружу и направить запросы через привычный корпоративный прокси. Однако у генеративного ИИ иная специфика: стандартные прокси не умеют выявлять конфиденциальные данные в ответах моделей, не видят утечек в промптах и не защищают от перерасхода токенов.

Под катом — первая часть цикла о создании корпоративного AI-шлюза: почему классические балансировщики не рассчитаны на работу с LLM, как устроена специализированная архитектура и как платформа AI Оптимум обеспечивает контроль контекста, прозрачный учет токенов и безопасность данных.

Кат
Статья

От снижения рисков к цифровой платформе: как мы локализовали CRM в АстраЗенека, Россия и Евразия

Уровень сложностиПростой
Время на прочтение8 мин
Охват и читатели3.1K

В 2022 году у нашей команды была конкретная задача: подготовить локальную замену глобальной CRM так, чтобы сотрудники могли продолжать привычную работу без сбоев. Система уже была частью повседневных процессов. В ней планировали визиты к специалистам здравоохранения, фиксировали результаты взаимодействий и работали с коммуникациями.

Главным стимулом для локализации стал риск отключения глобального решения. Но были и другие причины: желание получить больше гибкости в развитии системы, упростить ряд процессов и объединить несколько существующих локальных решений в единую платформу.

Тогда никто не думал о цифровом помощнике, искусственном интеллекте, автоматическом планировании визитов или переносе других корпоративных систем внутрь CRM. Основной задачей было сохранить непрерывность работы бизнеса и взять под контроль дальнейшее развитие платформы.

Спустя несколько лет стало понятно, что результат оказался значительно масштабнее первоначального замысла.

Читать далее
Статья

Проверка позиций сайта через API: три месяца я снимал «Яндекс», а отвечал Google

Уровень сложностиСредний
Время на прочтение6 мин
Охват и читатели2.9K

Я снимаю позиции статей, которые выходят не на моём сайте, а на чужих площадках: в отраслевых медиа, блогах, сообществах. Вебмастер и Search Console тут не помогают, они показывают позиции только по домену, который ты подтвердил как свой. Поэтому проверка позиций сайта у меня устроена по-простому: платный API отдаёт органическую выдачу по запросу, скрипт ищет в ней URL статьи и пишет место в базу.

Три месяца, с 7 июля по 13 октября 2026 года, скрипт исправно работал, и за это время в базе накопилось 42 477 строк замеров, и в отчётах они назывались «позиции сайта в Яндексе». 13 октября оказалось, что все они сняты с Google.

Ниже как это получилось, как я теперь проверяю, какой поисковик на самом деле отвечает, и что поменялось в выводах, когда те же ключи сняли в Яндексе.

Один символ в адресе

У провайдера выдачи два адреса с одинаковым форматом ответа:

Читать далее
1
23 ...