Неплохо. Можно ещё проще если установить стандартный экспорт Cost and usage reports в s3 (https://youtu.be/KEeJEZTYE8E ) тогда все данные по потреблению будут под рукой. можно написать простенькие Athena SQL и дергать их из лямбды, сравнивать с порогами и останавливать проштрафившихся. А ещё приделать красивые дашборды Quicksight и нотификации командам что мол квота по тегу приближается к 80 % и потом начнутся расстрелы.
Данные по экспорту обновляются каждый час. Но для большинства случаев этого вполне хватает.
Спасибо за статью. Никогда не думал что на хабре про танго прочитаю.
Дополнительные причины танцевать танго по категориям:
Фронтэндщики — можно надеть туфли со скинами и выравнивать повороты (хиро) и делать адаптивный дизайн в соответсвии с размером танцпола
Тестировщики — можно прогонять фигуру много раз чтобы понять где слёт с оси и поднять жира Тикет чтобы подкорректировать бэкэнд на стороне партнерши. ( в 100% случаев бага на своём бекэнде)
Бекэнд — можно понять досконально все мышцы центры и скручивания главное не разучится ходить по улице (см принцип сороконожки)
ДевОпс — собрать танец в новом музыкальном окружении из имеющихся частей, зарелизить туда несколько супер модных техник которые только вчера в ютубе увидел и при этом не положить Бой<\s> Партнершу.
Проджект менеджер — можно использовать навыки синхронизации партнёрш чтобы все пришли на ту милонгу которую надо когда надо. При этом остаётся только правильно мереджить ожидания стейкхолдеров.
Тот, кто получит доступ к хосту для целей reverse shell, разве не сможет залить на сервер свой собственный netcat?
Может но не так просто чем если nc уже там. Можно и однострочник на питоне сделать
Как и вся другая ИБ эта мера чтобы уменьшить вероятность и усложнить эксплуатацию уязвимости а не исключить ее полностью
Ну, хорошо, мы так делать не будем. Это остановит злоумышленника?
Ну как раз появление странных логов от неаккуратных сканеров может быть хорошим звоночком
А как технически это отличать?
См в статье. Мое скромное понимание в том что фаервол можно сконфигурять 2 варианта ответа
1) REJECT — в этом случае мы говогрим всему миру что тут есть Фаервол и он посылает тебя подальше с явным сообщением что сюда не ходи. Соответсвует как правило 'Connection closed'
2) DROP — тогда ответ не отличим от отсутствующего сервиса. Ответ не посылается и клиента просто игнорят — нас тут нет. Как правило это скорее показывается как 'Timeout'
Внутри сети обычно хорошие админы и сетевики ставят REJECT чтобы облегчить дебаг и вовне DROP чтобы не облегчать (см выше)
Дислкожа — я не сетевик так что поправляйте если что
С точки зрения админа и безопасника устанавливать netcat без особой необходимости на хостах наверное не надо, чтобы не облегчать задачу тому кто захочет каким нибудь 'reverse shell' баловаться.
Eще есть такой аспект что рвать коннект для теста не всегда хорошо для приложения (могут появляться нежелательные ошибки в логах) и утилиты типа tcping более мягко обходятся с сервером. Хотя tcping вроде тоже не может отличить дропнутый фаерволом пакет от не слушающего сервера.
А есть что то менее мощное чем nc чтобы такое диагностировало?
По поводу происхождения гречки от греков(?). Интересный факт что на французком она называется Sarrasin — Сарацинами называли жителей востока не только ближнего. А вот гречневая каша в готовом виде так и называется 'Kasha' вполне известное обывателям слово.
Делал похожий анализ. Мне показалось интересным сравнивать скорость паления цены на машину с пробегом или годами.
Некоторые падают быстрее ( французы все приходят к нулю через 3 года исчезают) некоторые падают медленнее ( немцы кроме vw).
Некоторые сильно сбрасывают цену в начале (выезд из салона) но потом достаточно долгое плато. Вот такие и нужны на вторичке. Купил Вольво в результате.
Спасибо большое за статью. Очень хорошо описаны некоторые сценарии.
Странно что не прозвучало про престатеров (prestataires). Специфика местного трудового законодательства которое до сих пор не смотря на все усилия Правых, не даёт уволить человека если только он не вредит намеренно, приводит к тому что французские компании просто не нанимают. А когда нужны руки обращаются к специальным конторам SSII которые предоставляют контрактников по сходной цене без обязательств. Цена на специалиста по девонские может быть от 600 до 850 в день, но сроком на от 3 месяцев и как получится. Обычно до трёх лет. После трёх лет такой консультант имеет право запросить компанию нанять его на прямую. Но хорошим спецам это обычно даром не надо.
Такие фирмы — поставляют человеченку на трудовой рынок Франции тоннами. Они бывают однодневные и весьма солидные, но как только у специалиста складывается собственные отношения с миром айти и находятся клиенты от таких контор лучше держаться подальше. Однако как вариант входа на рынок это может быть весьма интересно.
Ещё не могу молчать про 1 страничные cv. Я нанимаю девопсов в Париже уже 3 года постоянно. Даже при минимальной текучке в команде как минимум одна вакансия у меня открыта. Все потому что чтобы найти замену человекам которых переманивают у меня в другие отделы у меня уходит по 3-4 месяца и по 20 интервью с горе девопсами. Плакать хочется после каждого второго.
Так вот — никто никто на свете не мерит Cv в страницах. Кроме того чем более детально расписано тем больше за что цепляется глаз и будет о чем поговорить. А уж если человек по стару пишет то это вообще прекрасно — может он и доки писать сподобится :)
Вообщем ещё раз спасибо за статью. Если кому интересно как сложно найти девопсов во Франции могу рассказать подробнее
Очень востребованы хорошие админы. Особенно если в купе с девопс навыками. И не очень востребованы средние. Специфика рынка такая что все стараются все администрированием спихнуть в офшор или в облако. Так что эникейщикам туго. А тем кто может автоматизировать вполне хорошо.
На полном серьезе думаю про аудио кассеты для детей. 3-7 лет. Аудиосказки. Это просто как будто специально сделано для детей. Не то что современные плееры.
— навигация в мп3 плеере совсем не такая как в ютубе, с которой дети на ты. А выбрать и вставить кассету в плеер намного проще.
— Аудио как физический обьект — Кассеты все были разные. Я помню что робин гуд был черной кассетой, а маленький принц на прозрачной сони. Даже читать еще не надо. Подходит для трех — четырех леток
— Крупные кнопки,
— 45 минут а потом нужно сделать перерыв.
К сожалению как во многих других аспектах технический прогресс последних лет только удаляет от идеала.
Пытался найти мп3 плеер на флешках — как замену физической кассете — ничего подобного не нашел. Нужно постоянно нажимать по 4-5 разных кнопок после того как вставил флешку.
Вобщем дарю идею стартапа — плеер на флешках который начинает играть сразу с воткнутой флешки, запоминает позицию файла. Пойду что ли на разбери поиграюсь.
goaccess.io
Оставлю ссылку. Анализ аксесслогов разных форматов + htop-like cli gui + web GUI = <3. Ставится из epel. Я узнал про него недавно так что и вам простительно.
Немного пришлось повозиться чтобы сделать реалтайм но все решаемо.
R прекрасен но для сисадмина не сильно перспективно. А уж надеятся что будут 2 сисадмина которые смогут это поддерживать в одном пространственно временном континууме- полная утопия.
Спасибо за статью. Grafana прекрасный инструмент но вот consolidation совершенно не очевидный аспект. Приходится каждому пользователю отдельно объяснять почему его метрика при зуммировании меняется в два раза. Многие отказываются от использования графаны потому что не хотят об этом постоянно думать и переходят на другие графики когда есть возможность (вместо jmx смотрят jvm метрики в аппдинамикс например). Очень неудачно.
Ещё раз отличная статья. Хотелось бы чтобы попалась раньше, до того как набил своих шишек.
Ну как же, физическое ограничение доступа, ограничение доступа к системам и базам для девелоперов. Все это как минимум не помогает, а иногда и прямо направленно прямым текстом на то чтобы и сговорится для форда было сложнее и как следствие сложнее и просто договориться.
Очень странно что у вас не влияет. Расскажите про девопс в pcidss по подробнее если затрагивали этот кусок.
Как вы девопсите на pci-dss периметре? Секьюрити правила для зон где хранится и обрабатывается платежная информация как будто специально сделаны чтобы усложнить коммуникацию опсов и девелоперов.
Неплохо. Можно ещё проще если установить стандартный экспорт Cost and usage reports в s3 (https://youtu.be/KEeJEZTYE8E ) тогда все данные по потреблению будут под рукой. можно написать простенькие Athena SQL и дергать их из лямбды, сравнивать с порогами и останавливать проштрафившихся. А ещё приделать красивые дашборды Quicksight и нотификации командам что мол квота по тегу приближается к 80 % и потом начнутся расстрелы.
Данные по экспорту обновляются каждый час. Но для большинства случаев этого вполне хватает.
Спасибо за статью. Никогда не думал что на хабре про танго прочитаю.
Дополнительные причины танцевать танго по категориям:
Фронтэндщики — можно надеть туфли со скинами и выравнивать повороты (хиро) и делать адаптивный дизайн в соответсвии с размером танцпола
Тестировщики — можно прогонять фигуру много раз чтобы понять где слёт с оси и поднять жира Тикет чтобы подкорректировать бэкэнд на стороне партнерши. ( в 100% случаев бага на своём бекэнде)
Бекэнд — можно понять досконально все мышцы центры и скручивания главное не разучится ходить по улице (см принцип сороконожки)
ДевОпс — собрать танец в новом музыкальном окружении из имеющихся частей, зарелизить туда несколько супер модных техник которые только вчера в ютубе увидел и при этом не положить
Бой<\s> Партнершу.Проджект менеджер — можно использовать навыки синхронизации партнёрш чтобы все пришли на ту милонгу которую надо когда надо. При этом остаётся только правильно мереджить ожидания стейкхолдеров.
To be continued...
Может но не так просто чем если nc уже там. Можно и однострочник на питоне сделать
Как и вся другая ИБ эта мера чтобы уменьшить вероятность и усложнить эксплуатацию уязвимости а не исключить ее полностью
Ну как раз появление странных логов от неаккуратных сканеров может быть хорошим звоночком
См в статье. Мое скромное понимание в том что фаервол можно сконфигурять 2 варианта ответа
1) REJECT — в этом случае мы говогрим всему миру что тут есть Фаервол и он посылает тебя подальше с явным сообщением что сюда не ходи. Соответсвует как правило 'Connection closed'
2) DROP — тогда ответ не отличим от отсутствующего сервиса. Ответ не посылается и клиента просто игнорят — нас тут нет. Как правило это скорее показывается как 'Timeout'
Внутри сети обычно хорошие админы и сетевики ставят REJECT чтобы облегчить дебаг и вовне DROP чтобы не облегчать (см выше)
Дислкожа — я не сетевик так что поправляйте если что
С точки зрения админа и безопасника устанавливать netcat без особой необходимости на хостах наверное не надо, чтобы не облегчать задачу тому кто захочет каким нибудь 'reverse shell' баловаться.
Eще есть такой аспект что рвать коннект для теста не всегда хорошо для приложения (могут появляться нежелательные ошибки в логах) и утилиты типа tcping более мягко обходятся с сервером. Хотя tcping вроде тоже не может отличить дропнутый фаерволом пакет от не слушающего сервера.
А есть что то менее мощное чем nc чтобы такое диагностировало?
Делал похожий анализ. Мне показалось интересным сравнивать скорость паления цены на машину с пробегом или годами.
Некоторые падают быстрее ( французы все приходят к нулю через 3 года исчезают) некоторые падают медленнее ( немцы кроме vw).
Некоторые сильно сбрасывают цену в начале (выезд из салона) но потом достаточно долгое плато. Вот такие и нужны на вторичке. Купил Вольво в результате.
Спасибо большое за статью. Очень хорошо описаны некоторые сценарии.
Странно что не прозвучало про престатеров (prestataires). Специфика местного трудового законодательства которое до сих пор не смотря на все усилия Правых, не даёт уволить человека если только он не вредит намеренно, приводит к тому что французские компании просто не нанимают. А когда нужны руки обращаются к специальным конторам SSII которые предоставляют контрактников по сходной цене без обязательств. Цена на специалиста по девонские может быть от 600 до 850 в день, но сроком на от 3 месяцев и как получится. Обычно до трёх лет. После трёх лет такой консультант имеет право запросить компанию нанять его на прямую. Но хорошим спецам это обычно даром не надо.
Такие фирмы — поставляют человеченку на трудовой рынок Франции тоннами. Они бывают однодневные и весьма солидные, но как только у специалиста складывается собственные отношения с миром айти и находятся клиенты от таких контор лучше держаться подальше. Однако как вариант входа на рынок это может быть весьма интересно.
Ещё не могу молчать про 1 страничные cv. Я нанимаю девопсов в Париже уже 3 года постоянно. Даже при минимальной текучке в команде как минимум одна вакансия у меня открыта. Все потому что чтобы найти замену человекам которых переманивают у меня в другие отделы у меня уходит по 3-4 месяца и по 20 интервью с горе девопсами. Плакать хочется после каждого второго.
Так вот — никто никто на свете не мерит Cv в страницах. Кроме того чем более детально расписано тем больше за что цепляется глаз и будет о чем поговорить. А уж если человек по стару пишет то это вообще прекрасно — может он и доки писать сподобится :)
Вообщем ещё раз спасибо за статью. Если кому интересно как сложно найти девопсов во Франции могу рассказать подробнее
Очень востребованы хорошие админы. Особенно если в купе с девопс навыками. И не очень востребованы средние. Специфика рынка такая что все стараются все администрированием спихнуть в офшор или в облако. Так что эникейщикам туго. А тем кто может автоматизировать вполне хорошо.
В | есть /n на конце а в |- нет
В | есть /n на конце а в |- нет
С телефона это не про самостоятельност выбор и тд. И уж точно не про ограничение 40 минут.
Погуглил — классные колонки только плеерер непонятно зачем сзади а не спереди. Юсб проводок исправляет доступ к порту но вот кнопки сзади это зря.
Идея с кассетами в том чтобы ребёнок сам мог выбирать что слушать. А мишки это не про то.
— навигация в мп3 плеере совсем не такая как в ютубе, с которой дети на ты. А выбрать и вставить кассету в плеер намного проще.
— Аудио как физический обьект — Кассеты все были разные. Я помню что робин гуд был черной кассетой, а маленький принц на прозрачной сони. Даже читать еще не надо. Подходит для трех — четырех леток
— Крупные кнопки,
— 45 минут а потом нужно сделать перерыв.
К сожалению как во многих других аспектах технический прогресс последних лет только удаляет от идеала.
Пытался найти мп3 плеер на флешках — как замену физической кассете — ничего подобного не нашел. Нужно постоянно нажимать по 4-5 разных кнопок после того как вставил флешку.
Вобщем дарю идею стартапа — плеер на флешках который начинает играть сразу с воткнутой флешки, запоминает позицию файла. Пойду что ли на разбери поиграюсь.
Испугали. Может всё-таки 1.2?
Оставлю ссылку. Анализ аксесслогов разных форматов + htop-like cli gui + web GUI = <3. Ставится из epel. Я узнал про него недавно так что и вам простительно.
Немного пришлось повозиться чтобы сделать реалтайм но все решаемо.
R прекрасен но для сисадмина не сильно перспективно. А уж надеятся что будут 2 сисадмина которые смогут это поддерживать в одном пространственно временном континууме- полная утопия.
Отличный список вопросов — прямо как план на статью.
Спасибо за статью. Grafana прекрасный инструмент но вот consolidation совершенно не очевидный аспект. Приходится каждому пользователю отдельно объяснять почему его метрика при зуммировании меняется в два раза. Многие отказываются от использования графаны потому что не хотят об этом постоянно думать и переходят на другие графики когда есть возможность (вместо jmx смотрят jvm метрики в аппдинамикс например). Очень неудачно.
Ещё раз отличная статья. Хотелось бы чтобы попалась раньше, до того как набил своих шишек.
Ну как же, физическое ограничение доступа, ограничение доступа к системам и базам для девелоперов. Все это как минимум не помогает, а иногда и прямо направленно прямым текстом на то чтобы и сговорится для форда было сложнее и как следствие сложнее и просто договориться.
Очень странно что у вас не влияет. Расскажите про девопс в pcidss по подробнее если затрагивали этот кусок.
Спасибо за подробный рассказ.
Как вы девопсите на pci-dss периметре? Секьюрити правила для зон где хранится и обрабатывается платежная информация как будто специально сделаны чтобы усложнить коммуникацию опсов и девелоперов.