Заранее хочу попросить прощения у читателей, за то, что размещаю эту статью в хабе про будущее. С одной стороны хаба «Экономика» на Хабре почему-то нет, а с другой большинство из вас живёт в России и состояние нашей экономики прямо относится к нашему с вами будущему. Итак поехали.

В последнее время в России идёт много споров вокруг нашей плоской шкалы налога на доходы физических лиц.

Везде говорят, что прогрессивная шкала выгодна (далее ПрШН) бедным, но невыгодна богатым. И из-за этого разговоры о ней остаются лишь разговорами, не переходя в практическую плоскость.
В данной статье я хочу опровергнуть тезис, что прогрессивная шкала невыгодна бизнесменам России.

Возникла у меня необходимость выводить дашборд с мониторингом на несколько экранов в офисе. В распоряжении имеется несколько стареньких Raspberry Pi Model B+ и гипервизор с практически неограниченным количеством ресурсов.

По видимому Raspberry Pi Model B+ не обладает достаточной произвольностью чтобы держать постоянно запущенным браузер и отрисовывать большое количество графики в нем, из-за чего бывает, что страница частично глючит и часто вылетает.

Нашлось достаточно простое и элегантное решение, которым я и хочу с вами поделиться.

Исторически сложилось, что sudo права регулировались содержимым файлов из /etc/sudoers.d и visudo, а авторизация по ключам велась с использованием ~/.ssh/authorized_keys. Однако с ростом инфраструктуры возникает желание управлять этими правами централизованно. На сегодняшний день вариантов решения может быть несколько:

• Система управления конфигурацией — Chef, Puppet, Ansible, Salt
• Active Directory + sssd
• Разнообразные извращения в виде скриптов и ручного редактирования файлов

На мой субъективный взгляд, оптимальным вариантом централизованного управления является все-таки связка Active Directory + sssd. Преимущества данного подхода вот в чем:

• Действительно Единый централизованный каталог пользователей.
• Раздача прав sudo сводится к добавлению пользователя в определенную группу безопасности.
• В случае различных Linux-систем возникает необходимость вводить дополнительные проверки на определение ОС при использовании систем конфигурации.

Сегодняшняя сюита будет посвящена именно связке Active Directory + sssd для управления правами sudo и хранением ssh ключей в едином репозитории.
Итак, зал застыл в напряженном молчании, дирижер поднял палочку, оркестр приготовился.
Поехали.

Думаете, самое важное в компании — обеспечить безопасность корпоративного сетевого периметра и серверной инфраструктуры? Это правда лишь отчасти: создать защищенный периметр сейчас в принципе невозможно, только если в компании не применяются строжайшие правила ИБ, «белый список» сайтов, исключительно бумажная переписка и запайка USB-портов на компьютерах, а со смартфоном дальше ресепшена вообще не пускают. Если это не про вашу компанию, то имейте в виду: сегодня главной зоной риска становятся как раз конечные устройства, и одного только антивируса для их защиты недостаточно. Да, антивирус заблокирует распаковку архива с опасным файлом, а браузер запретит посещение скомпрометированного сайта, но есть множество угроз, перед которыми базовые пакеты защиты бессильны. Дальше мы расскажем о некоторых из них — и о способах защиты.

Друзья, нам с вами несказанно повезло. Тот парень еще не уехал, и я выпросил у него резюме. Не потому, что хочу взять его на работу — не тот я человек. Просто мне кажется, оно стоит того, чтобы быть опубликованным. Хотя бы потому, что в нем 22k букв. Вы еще где-нибудь такой кошмар встречали?

А этот парень утверждает, что именно так надо писать резюме. Бумажки, заполненные по стандартным формам сайтов, приличные люди читать не будут. Не знаю, прав он, или нет — вам судить. Ну и по факту поглядим, найдет он работу с такой простыней, или нет.

Итак, дальше — сплошная цитата без моих правок.

Я не люблю стандартные резюме. Но объективно понимаю, что вы, скорее всего, обо мне ничего не знаете, и этот пробел надо восполнить. Поэтому я напишу необычное резюме. Резюме-статью.

Наливайте чайку или кофейку, у нас тут лонгрид.

Это второй в серии еженедельных дайджестов о технологиях, людях и том, как они влияют друг на друга.

Штраф за нарушение закона о персональных данных составляет до 75 тыс. рублей. Как обезопасить себя от нарушений при обработке персональных данных? Выполнены ли вами все требования законодательства?

С 1-го июля 2017 года штрафы были увеличены и стали зависеть от вида нарушений. Да, прошло достаточно много времени, но, как это часто бывает, особенно в России, где, как ни в какой другой стране, популярно выражение «Строгость законов компенсируется необязательностью их исполнения.», бизнес достаточно инертен и поэтому даже спустя почти два года не успел адаптироваться под изменившиеся правила регулирования. Так давайте быстро пройдёмся по основным моментам.

В конце марта издание Motherboard опубликовало статью о потенциальном взломе инфраструктуры компании Asus. Получив частичный доступ к ресурсам компании, злоумышленники смогли распространить среди клиентов, установивших утилиту Asus Live Update для своевременной загрузки новых драйверов, подписанную официальным сертификатом версию программы с вредоносной функциональностью. Про эту атаку, обнаруженную специалистами «Лаборатории Касперского», мы писали в начале апреля.


«Лаборатория Касперского» опубликовала расширенный отчет о ShadowHammer 23 апреля. Этот весьма увлекательный, хотя и совершенно технический документ рекомендуется к прочтению целиком, а в этом посте будет лишь краткое описание части находок. Самое интересное — это потенциальная связь ShadowHammer с зараженными копиями не самой лучшей компьютерной игры про зомби и скоординированная атака на разработчиков программного обеспечения.

Исследовательская группа по безопасности Varonis обнаружила и исследовала
глобальную кибератаку, использующую новый штамм вредоносного программного
обеспечения Qbot. Кампания активно нацелена на американские корпорации, но поразила сети по всему миру — с жертвами по всей Европе, Азии, России и Южной Америке — с целью кражи конфиденциальной финансовой информации, включая учетные данные банковских счетов.

Чтобы нацелить кибератаку на бухгалтеров, можно использовать рабочие документы, которые они ищут в сети. Примерно так в последние несколько месяцев действовала кибергруппа, распространяющая известные бэкдоры Buhtrap и RTM, а также шифраторы и ПО для кражи криптовалют. Большинство целей расположены в России. Атака реализована путем размещения вредоносной рекламы в Яндекс.Директ. Потенциальные жертвы переходили на сайт, где им предлагалось скачать вредоносный файл, замаскированный под шаблон документа. Яндекс удалил вредоносную рекламу после нашего предупреждения.

Исходный код Buhtrap в прошлом был слит в сеть, поэтому его может использовать кто угодно. Мы не располагаем информацией относительно доступности кода RTM.

В посте расскажем, как атакующие распространяли вредоносное ПО с помощью Яндекс.Директ и хостили его на GitHub. Завершит пост технический анализ малвари.

Продолжение рассказа «Карьера программиста».

Закончив вечернюю школу, пришла пора поступать в университет. В нашем городе был один университет технической направленности. В нем же, был один факультет «Математики и Информатики», на котором была одна кафедра «Компьютерных систем», где обучали будущих IT-шников — программистов и админов.

Выбор был невелик и я подал документы на специальность «Программирование вычислительной техники». Впереди было 2 вступительных экзамена. По языку и математике.

Экзаменам предшествовало собеседование, и выбор формы обучения — бюджет или контракт, т.е. бесплатно или за деньги.

На моем собеседовании присутствовали родители, которые переживали за поступление.

Разумеется они выбрали контрактную форму обучения. Стоила она к слову около 500$/год, что на 2003 год были большие деньги, особенно для нашего маленького города. Хорошо помню диалог отца с девушкой из приемной комиссии:

Девушка: Вы можете попробовать сдать экзамены на бюджет, а если не получится, тогда перейти на контракт. Оплатить можно частями.
Отец: Нет, мы уже решили, что будем поступать на контракт
Девушка: Ну почему же, вы ничем не рискуете
Отец: Нет, это все равно риск. Скажите, а на контракт все поступают?
Девушка: Да, все поступают. Наверное только полные дебилы не могут
Отец: Тогда у нас шансы есть… ухмыльнувшись, сказал он, и мы подписали документы на поступление

Добрый день, коллеги!

Сегодня хочу высказаться о новом законопроекте порожденном Минкомсвязи России. Заранее прошу прощения за огромные объемы законодательного текста, поскольку приведу интересные отрывки в виде цитат. Чтобы уважаемые читатели не затрудняли себя поиском законопроекта в Консультанте.

Преамбула проекта она обычная. Речь идет о внесении изменений и дополнений в федеральный закон N 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Дальше можете пропустить, если лень поглощать бюрократическую речь. Но лучше вчитайтесь, а то потом будет поздно. Госдума это «не место для дискуссий», так что, скорее всего и закон нас ждет такой же, как и его проект.

Систематически вести задачи я пытался, наверное, раз 20-25. И каждая попытка срывалась, как теперь я понимаю, по двум причинам.

Во-первых, для того, чтобы выделять время ведению задач, нужно понять — зачем это делается.
Ты начинаешь вести задачи, тратить на это время, делаешь меньше задач, все это начинает копиться — во имя чего?

Любую работу сложно вести, когда ты не понимаешь, для чего. «Упорядочить жизнь» — не самая адекватная цель, так как «упорядоченная жизнь» — это достаточно размытое явление. А вот «снизить уровень тревоги, снизив уровень неизвестности» — цель гораздо конкретнее и лучше, на которую вполне можно потратить час в день.

Во-вторых, все методологии, которые я читал, описывают сразу конечное состояние процесса. «Вам нужно взять ToDoIst, разбить по проектам, интегрировать с календарем, делать ревью задач за неделю, приоритезировать их…» Это сложно начать делать сразу. Как и в программной разработке, я считаю, что нужно пользоваться методом прогрессивного джпега — итеративно.

Поэтому пройдусь по своим “итерациям”, и, может быть, в таком же виде это пригодится и вам. В конце концов, чем не повод использовать майские каникулы, чтобы выйти на работу, используя новую (относительно) парадигму?

А как я к этому пришёл, можно прочитать здесь.

В Microsoft изменили требования к объему устройства хранения для установки операционной системы.

Теперь, в Windows 10, начиная с версии 1903 (это обновление ожидается в мае 2019 г.), минимально необходимый для функционирования операционной системы объем свободного дискового пространства составляет не менее 32 ГБ для 32- и 64-разрядных версий.

Поговорив в прошлых статьях о вариантах, «отечественных» гипервизорах и «отечественных» Операционных Системах, продолжим сбор информации о необходимых системах и сервисах, которые на этих ОСях можно развернуть.

Я на digital рынке с 2008 года, и за это время видел переход от веб-сайтов на Joomla (помните такую? ) до сегодняшнего Интернета с его mobile-first приложениями и сотнями миллионов IoT устройств, подключенных в сеть.
Атаки в Интернете также за это время неплохо развилиcь :)
Но рынок защиты от DDoS и используемые операторами технологии защиты от атак остаются все еще достаточно сильно закрытым.
Расскажу, что узнал про него, поддерживая веб-сайты и интернет-сервисы, находящиеся под непрерывными атаками несколько последних лет.


Регулярные атаки. 350k req total, 52k req legitimate

Я пишу письмо, а мне не отвечают. Я пишу ещё одно, а в ответ молчание. Наконец, я пишу третье с текстом вроде «Чувак, а ты ещё заинтересован в нашем сотрудничестве?». Тут получаю ответ: «Жду не дождусь когда начнём работать, шли презентацию». Я стараюсь строить свою переписку по определённым принципам, чтобы сдвигать общение с мёртвой точки. В статье поделюсь некоторыми своими наработками, расскажу как задолбать молчунов полюбить милашек-адресатов, а они ответили взаимностью.

Облачные технологии стали определяющим вектором развития ИТ. Они постоянно эволюционируют, дополняются новыми сервисами. По оценкам IDC, в ближайшей перспективе российский рынок SaaS будет расти в восемь раз быстрее рынка ПО в целом, а рынок IaaS – в девять раз быстрее рынка инфраструктурного ИТ-оборудования.

Что же такое IaaS, SaaS и PaaS? Эти термины означают примерно следующее: в первом случае пользователь получает в своё распоряжение виртуальный компьютер с ОС и требуемыми ресурсами, во втором – доступ к готовым приложениям, в третьем – среду разработки, базу данных, сервер приложений, инструменты бизнес-аналитики и проч. Облачные сервисы, предоставляющие пользователям «виртуальные рабочие места» (Virtual Desktop Infrastructure, VDI) – один из примеров IaaS.