Облачные бэкапы нередко завязаны на корпоративный Active Directory и виртуально не изолированы от рабочей сети. Стоит злоумышленнику закрепиться на машине, подключённой к сети, как он начинает перемещаться по ней горизонтально, чтобы добыть админские учётки — кейлоггерами, фишингом или просто из документации, валяющейся на серверах. Если в его руках окажутся админ-учётки AD, все бэкапы, защищённые этим AD, становятся уязвимы.
Если данные хоть сколько-нибудь дороги, то бэкапилка либо вообще не в домене (если с ней работают 1-2 инженера) либо под неё он отдельный (если больше).
и да, хорошим тоном будет ещё и двухфакторка, immutable, WoRM и всё такое, но это уже потом, а базовый принцип - компрометация AD никак не должна достать подсистему РК.
Особенно, если виртуализация MS-based (Hyper-v Cluster или S2D) - оно принципиально НЕ работает без домена. Я бы переформулировал так: Система виртуализации не входит в домен, в котором живут пользователи и сервисы, т.е. если домен есть, то он отдельный (и лес отдельный), доступы в него отдельные, с выделенных станций управления, ограниченных по сети, и УЗ никак не связаны с обычными. То же касается подсистемы бэкапа.
Собственно, проблема как раз в том, что в интернете полно ошибочных, недостоверных, кривых, неполных данных, откровенного вранья и троллинга. Зачасутую, отличить это от правды не может и человек, а уж нейронка-то и подавно. И это раз за разом проявляется. На выходе - логически связный и полноценный текст, содержащий одну или более фактических ошибок.
бред написан, писал или тролль, или полный нуб в вопросе.
по пунктам:
>> А вот вы пробовали задать ББ, если освещение ртутными лампами? - пробовали. Данные о том, какой ББ был выставлен камерой, в равке сохраняются. Обработчик может использовать их, а может выставить свой ББ.
>> да, в зависимости от фактического количества света (которое известно фотоаппарату как ИСО), допустимая зашумленность теней тоже обычно известно. Но программе-обраюботчику равов камера об этом тоже ничего не расскажет. - ой, а шо это тут у нас - ааа, да это же ISO value в момент съёмки. А данные по шумам в тенях замечательно берутся из Dark Frame (кадр с ТОЙ же камеры с НУЖНЫМ iso, желательно ± той же выдержкой с надетой крышечкой )
Роутеры с 2.5G портами чаще всего имеют один 2.5G и это WAN, а LANы 1G. Хрен знает, какой дятел это придумал, учитывая что провы как раз 2.5 вряд ли дадут в обозримом будущем. Но это факт.
есть рациональное зерно в словах твоих, странник...
вот только.. это железо 2010-11 годов, пора бы ему в мусорку уже наверно )
неужели появится non-sucking AD replacement? :)
прям бомбануло с этого абзаца:
Облачные бэкапы нередко завязаны на корпоративный Active Directory и виртуально не изолированы от рабочей сети. Стоит злоумышленнику закрепиться на машине, подключённой к сети, как он начинает перемещаться по ней горизонтально, чтобы добыть админские учётки — кейлоггерами, фишингом или просто из документации, валяющейся на серверах. Если в его руках окажутся админ-учётки AD, все бэкапы, защищённые этим AD, становятся уязвимы.Если данные хоть сколько-нибудь дороги, то бэкапилка либо вообще не в домене (если с ней работают 1-2 инженера) либо под неё он отдельный (если больше).
и да, хорошим тоном будет ещё и двухфакторка, immutable, WoRM и всё такое, но это уже потом, а базовый принцип - компрометация AD никак не должна достать подсистему РК.
шикарный гайд!
я конечно, не очень понимаю, зачем вообще в 26 году Legacy и уделять ему время, но респект за старание!
+1
Реально спорный момент.
Особенно, если виртуализация MS-based (Hyper-v Cluster или S2D) - оно принципиально НЕ работает без домена. Я бы переформулировал так: Система виртуализации не входит в домен, в котором живут пользователи и сервисы, т.е. если домен есть, то он отдельный (и лес отдельный), доступы в него отдельные, с выделенных станций управления, ограниченных по сети, и УЗ никак не связаны с обычными. То же касается подсистемы бэкапа.
Собственно, проблема как раз в том, что в интернете полно ошибочных, недостоверных, кривых, неполных данных, откровенного вранья и троллинга. Зачасутую, отличить это от правды не может и человек, а уж нейронка-то и подавно. И это раз за разом проявляется. На выходе - логически связный и полноценный текст, содержащий одну или более фактических ошибок.
Не упомянута замечательная прога для обработки RAWов - RAW Therapee.
На мой скромный взгляд, она лучше и удобнее лайтрума.
бред написан, писал или тролль, или полный нуб в вопросе.
по пунктам:
>> А вот вы пробовали задать ББ, если освещение ртутными лампами? - пробовали. Данные о том, какой ББ был выставлен камерой, в равке сохраняются. Обработчик может использовать их, а может выставить свой ББ.
>> да, в зависимости от фактического количества света (которое известно фотоаппарату как ИСО), допустимая зашумленность теней тоже обычно известно. Но программе-обраюботчику равов камера об этом тоже ничего не расскажет. - ой, а шо это тут у нас - ааа, да это же ISO value в момент съёмки. А данные по шумам в тенях замечательно берутся из Dark Frame (кадр с ТОЙ же камеры с НУЖНЫМ iso, желательно ± той же выдержкой с надетой крышечкой )
остальное в том же духе.
Cloud-native интересная и нужная штука, дял тех, кто пишет (или внедряет готовый) cloud-native-софт. И неудобная хрень для тех, кто нет)
для экспериментов отличная штука, для прода нунафиг так делать) Хотя видел и прод на флешках. Уводил )
так в том и дело, что то, что называют AI, не AI в полном смысле слова. Оно не умеет думать, а только надрюкивать на результат.
Так машин обучают люди, которые сами такие )
... и что бы несчастному программисту дало правило "работать в2ём", если он встал не там?
Второй бы попытался его выдернуть из-под несущейся тележки? было бы два пятна на полу вместо одного...
Довольно круто, молодцы, если оно реально заработало.
"Не слышал" - не значит "не было".
Было такое. :(
Толсто)
Вообще без совещаний - никак. Сделать так, чтоб их было поменьше = искусство.
блин, всегда радуют такие статьи, когда IT помогает реальному миру, и реальному производству. Как бывший инженер, зеленю )
всю свою историю человечество воевало между собой силой групп сплочённых и целеустремлённых невежд.
Роутеры с 2.5G портами чаще всего имеют один 2.5G и это WAN, а LANы 1G. Хрен знает, какой дятел это придумал, учитывая что провы как раз 2.5 вряд ли дадут в обозримом будущем. Но это факт.