Статьи / Закладки / Профиль RBelov / Хабр

Родион Белов @RBelov

ГАП

Профиль Публикации 2Комментарии 26Закладки 15

strkvch 29 дек 2020 в 10:12

Контролируем подрядчиков на ответственном проде: внедрение DLP + UAM (промшпионаж, логи действий)

6 мин

9.6K

Информационная безопасность*Блог компании КРОКУправление проектами*

Кадр из художественного фильма TWARDOWSKY 2.0

У заказчика есть главная система, через которую он делает продажи всего-всего. К ней имеют доступ подрядчики, которые разрабатывают и дополняют эту систему, а также персонал изнутри. Когда речь про железо, всё достаточно просто: подрядчик приходит в ЦОД, а безопасник из офиса контролирует его по видео. А вот когда речь про разработку, проконтролировать «закладки» или вынос информации — так не выйдет.

Чтобы подрядчики с доступом к боевой системе и тестовому стенду не устроили что-то злонамеренное, нужен контроль либо на стороне подрядчика, либо на стороне заказчика. Про людей подрядчика заказчик ничего не знает: они не сидят у него в офисе, им нельзя дышать в затылок. Тяжело разобраться, кто и с какой задачей подключается.

Собственно, дальше мы начали внедрять систему защиты.

Первое и важное — выдали персонифицированные сертификаты для идентификации каждого сотрудника. Потом развернули терминальный сервер, через который все подключаются. На терминальном сервере стояли агенты решения ObserveIT, которые позволяли записывать и анализировать действия подрядчика. То есть, по сути, собиралась форензика, доказательная база. Подрядчики были предупреждены заранее, что их действия записываются.

Вторая часть задачи была в том, чтобы проконтролировать утечки. Первого же злонамеренного «сливальщика» мы поймали через неделю после внедрения.

Читать дальше →

+40

IvanPopkov 28 дек 2020 в 15:02

Настоящий металл: как сплавить команды в горниле совместной разработки

11 мин

5.2K

Блог компании КРОКУправление разработкой*Управление проектами*

У нас было 2 проектных менеджера, 72 эксперта от производства, 33 высококлассных спеца из двух IT-команд, несколько десятков систем управления производством по всей стране, а еще, разработчики КРОК и Группы НЛМК прежде не работали вместе.

Звучит как организационный ад, и это недалеко от истины. Но мы справились и теперь хотим поделиться опытом работы в объединенной команде Группы НЛМК и КРОК в масштабном проекте по развитию информационных сервисов службы продаж.

+25

scanavie 25 дек 2020 в 12:14

Айдентика личного бренда для самых маленьких

13 мин

4.9K

Блог компании КРОКДизайнЛайфхаки для гиков

Помимо основной работы в ИТ-компании КРОК, я также веду кружок спортивного программирования в вузе, у которого даже есть свой паблик. Так вот, порой ведешь блог, и кажется, что надо бы и аватарку красивую поставить, и как-то украсить страничку, картинки к постам в одном стиле запилить… но что-то все не получается, какое-то некрасивое все выходит, и вообще, что вы пристали, я программист! А нанимать профессионального дизайнера чтобы нарисовал дизайн систему для паблика из 50 человек… а вдруг не стрельнет, чем я ему платить буду?

К счастью, создать для своего бложика простую айдентику чисто “на первое время”, чтобы выглядеть “прилично” можно и без помощи дизайнера. Рассказываю как!

+30

greenerest 24 дек 2020 в 16:43

Доверенная третья сторона: как с ее появлением меняется электронная подпись

16 мин

13K

Информационная безопасность*Блог компании КРОКИсследования и прогнозы в IT*Законодательство в IT

За последние 10 лет принципиальным образом так и не решились вопросы удобного и долговременного (или еще «архивного») хранения документов c электронной подписью (ЭП) и их обмена со взаимным доверием. Да, есть специальные «архивные» разновидности расширенных форматов ЭП (CAdES-A и XAdES-A), которые содержат несколько меток времени, списки отозванных сертификатов и цепочки удостоверяющих центров (УЦ) на момент формирования ЭП. Есть варианты решений с «переподписанием» документов с ЭП или созданием доверенной среды для их хранения. Однако все это не добавляет «юзабилити». Появились и новые проблемы: отсутствие единой политики применения квалифицированных сертификатов в коммерческих информационных системах (особенно на торговых площадках), из-за чего в сертификаты начали добавлять узкоспециализированные OID; отсутствие единого реестра выданных сертификатов при значительном увеличении их числа; большое количество УЦ и их «текучка»; попытки мошенничества с недвижимостью и налоговыми декларациями при помощи квалифицированных сертификатов с ЭП, полученных мошенническим образом.

Принятые 27 декабря 2019 г. изменения в Федеральный закон «Об электронной подписи» нацелены на то, чтобы, наконец-то, устранить большинство этих проблем, узаконить облачную ЭП, а также фактически перестроить рынок удостоверяющих центров. Закон также вводит новый институт – доверенную третью сторону (ДТС). Нормы о ДТС должны вступить в силу с 1 января 2021 года. Несмотря на это, почти все, что связано с ДТС, еще в ожидании разъяснений и регламентации со стороны регуляторов. Попробую описать подробно, что нас ждет.

Читать дальше →

+39

earkhipov 23 дек 2020 в 10:45

Утро 1 января: что нужно знать про новый закон об удаленке

6 мин

54K

Блог компании КРОКЗаконодательство в ITКарьера в IT-индустрииIT-компанииУдалённая работа

В 2020 году многие компании переводили сотрудников на удалёнку. Далеко не всегда они оформляли это юридически правильно. Одно из типичных нарушений - отправить работника на удалёнку без его письменного согласия.Но знали ли вы, что все это время не было никакого правового статуса у удаленки в ТК РФ?

В декабре Госдума приняла закон, который меняет правила удалённой работы. Новое регулирование вступает в силу с 1 января 2021 года. Больше нельзя будет снижать ЗП сотрудника из-за удалёнки, а для подписания большинства документов теперь не нужна электронная подпись. Об этих и других фактах читайте ниже.

+104

101

AnLivenskaya 22 дек 2020 в 09:47

Из тестировщиков в агенты изменений департамента: путь в 10 лет и два выгорания

15 мин

12K

Тестирование IT-систем*Блог компании КРОКУправление разработкой*Карьера в IT-индустрии

Хабр, привет! Меня зовут Ася, я ведущий инженер-тестировщик (QA Lead) в КРОК.

Недавно я отметила десятилетний юбилей в компании и в тестировании одновременно — да, за столько лет мне не надоело ни там, ни там. Хотя насчет тестирования было по-разному — успела даже дважды выгореть (один раз из-за декрета), стать контрол-фриком и влюбиться в профессию заново.

Про профессию тестировщика часто слышу, что это самый легкий и быстрый порог входа в ИТ — а там и на разработчика переучиться можно. Я же наоборот — училась на разработчика и даже успела им немного поработать, но душа к этому не лежала, потому что искать баги намного веселее. За всю мою карьеру я участвовала в совершенно разнообразных проектах: документооборот, файлообменники, статистические наблюдения, обработка обращений пассажиров в ЦППК, учет оборудования. А потом поняла, что этот опыт можно масштабировать на свою жизнь и даже на работу целого департамента. Так я стала агентом изменений департамента разработки программного обеспечения (ДРПО).

В этой статье хочу рассказать про свой путь и постараться ответить на вопрос, который мучает многих тестировщиков — а есть ли ~~жизнь на Марсе~~ задор и челленджи после многих лет в тестировании?

Читать дальше →

+36

RPOkruchin 17 сен 2020 в 10:02

СХД, которая не устаревает. Никогда

7 мин

25K

IT-инфраструктура*Блог компании КРОКХранение данных*

Поначалу история звучит довольно просто: СХД хорошо работает три года на расширенной гарантии, относительно нормально живёт четвёртый, а на пятый покупается новая вместо устаревшей. Вендоры выжимают из вас деньги повышением стоимости поддержки и всякими платными фичами вроде поддержки VDI. Можно поломать эту схему? Наверное, да.

Компания вышла на рынок с интригующим предложением: железяка всегда работает, всегда делает это быстро, стоимость поддержки каждый год одна и та же, все фичи доступны сразу. Ну то есть просто взяли коробку и время от времени меняют в ней комплектующие так, что они устаревают примерно со скоростью замены. Раз в три года обновляются контроллеры, есть возможность замены старых дисков на более современные, т. е. занимаемое СХД в стойке место может не только расти, но и уменьшаться, при этом объём и производительность увеличиваются.

Собственно, первое, что вы видите в стойке — это ручки с названием модели, за которые можно и нужно дёргать контроллеры из массива.

Делается это без выключения, наживую, и запас производительности такой, чтобы банковские системы не тормозили во время замены. Чтобы так получилось, понадобилось написать собственную файловую систему (точнее, аналог RAID), собрать внутри кластер и сделать ещё пару улучшений, заодно выкидывая оверхед, доставшийся от жёстких дисков.

Давайте посмотрим, что получилось и как получилось. Начнём с архитектуры.

Для начала — процедура работы с массивом не предусматривает кнопок питания. Совсем. Не понадобится. Для выключения достаточно просто выдернуть кабели из PDU.

+75

mgramin 1 сен 2020 в 10:00

Awesome-лист своими руками, или GitHub вместо блокнота

13 мин

12K

Блог компании КРОКАдминистрирование баз данных*GitHub*Лайфхаки для гиков

Технотекст 2020

Привет, Хабр! Наверное, у каждого из нас есть такой файлик, куда мы припрятываем что-то полезное и интересное для себя. Какие-то ссылки на статьи, книги, репозитории, мануалы. Это могут быть закладки в браузере или даже просто открытые вкладки, оставленные на потом. Со временем все это разбухает, ссылки перестают открываться, а большая часть материалов просто устаревает.

А что если поделиться этой годнотой с сообществом и выложить этот файлик на гитхаб? Тогда ваши труды могут быть полезны еще кому-нибудь, а поддерживать актуальность можно совместно, принимая обновления от желающих через старые добрые PR'ы. Именно для этого предназначен проект Awesome lists. Он входит в ТОП-10 репозиториев гитхаба, обладает 138К звезд, и ссылка на ваши труды может оказаться прямо в его корневом README, что привлечет огромную аудиторию к вашему творчеству. Правда, для этого придется немного постараться. О моем опыте таких стараний хочу поделиться с вами.

Меня зовут Максим Грамин. В КРОК занимаюсь Java-разработкой и исследованиями в области БД. В этом посте я расскажу, что такое Awesome Lists и как сделать свой настоящий официальный awesome-репо.

Читать дальше →

+32

NSlyadneva 27 авг 2020 в 11:01

Как правильно составить ТЗ на администрирование: наши грабли

10 мин

14K

Системное администрирование*IT-инфраструктура*Блог компании КРОК

Вообще, тема неисчерпаемая. Ковыряется как-то Лёшка (наш инженер) в стойке в ЦОДе повышенной ответственности, где стоит несколько банков. В соседнем ряду наблюдает совершенно дикую картину: парень подошёл к блейду. Выдернул жёсткий диск, что-то записал, ВОТКНУЛ ЕГО НАЗАД, выдернул второй, записал, поставил, выдернул третий. Лёша ему: «Пссс, парень, ты чего?» Он: «Ну так инвентаризация же!» И сразу как-то всё стало понятно.

Я работаю в департаменте вычислительных систем КРОК, мы поддерживаем всё то, что можно кинуть в стену. То есть сервера, системы хранения данных и прочее дорогое железо в дата-центрах. Ну и то, что на нём — операционки, базовую инфраструктуру. Простейшая базовая услуга — ЗИП, то есть замена комплектующих вовремя. Более сложные — это заменять сисадминов заказчика.

Самый страшный момент контракта — это составление техзадания. Расскажу про те грабли, которые мы ощупали вместе с клиентами и о том, как их избежать. Ну и приложу пример шаблона ТЗ, который используем мы.

Читать дальше →

+51

AKogun47 25 июн 2020 в 10:17

Используем Xtend для прикладной кодогенерации: сеанс чёрной магии с разоблачением

12 мин

6.8K

Java*Анализ и проектирование систем*Eclipse*Проектирование и рефакторинг*Блог компании КРОК

Туториал

Технотекст 2020

Привет Хабр! Меня зовут Когунь Андрей. В КРОК я руковожу группой разработчиков Java (у нас большая распределённая по всей стране команда). Ещё я провожу встречи московского сообщества Java разработчиков JUG.MSK. Делаю это исключительно в корыстных целях: фотографируюсь там со всеми докладчиками, и однажды открою галерею с самыми интересными людьми в мире Java-разработки. Также помогаю делать конференции для разработчиков: JPoint, Joker и DevOops — в качестве члена программного комитета. Ну и для души, так сказать, преподаю Java-технологии студентам.

В КРОК мы с коллегами в основном занимаемся заказной разработкой. Одно из наших направлений — так называемые учётные системы. Их надо делать по возможности быстро. Они типовые, различия обычно наблюдаются только в доменной модели. Поэтому мы постоянно боремся за то, чтобы писать меньше бойлерплейт-кода, будь то тривиальные геттеры-сеттеры, конструкторы и т.п. или CRUD-репозитории и контроллеры. Мы для этого активно пользуем кодогенерацию.

Про неё сейчас и расскажу: покажу как взять кодогенерацию под контроль, чтобы она стала реально полезным инструментом разработчика. Попутно расскажу про технологию Xtend и покажу практические приёмы как с ней можно работать. Покажу как создавать собственные активные аннотации, писать и отлаживать код процессора аннотаций.

Читать дальше →

+39

LawCroc 29 апр 2020 в 15:01

Юридический ликбез: как санкции влияют на покупку софта и железа и какие там подводные камни

7 мин

11K

Системное администрирование*Блог компании КРОК

После первой волны санкций были внесены изменения в закон об информации в части реестра отечественного ПО. Теперь для государственных органов и компаний он является приоритетом для закупки по 44-ФЗ. С недавнего времени аналогичный приоритет предоставляется ПО из стран ЕАЭС, однако есть особенности с недостатком ПО в этих списках, чтобы закрыть все потребности предприятий.

Ещё для государственных органов предусмотрены другие подзаконные акты. Так, по вопросу автоматизации государственного контроля действует Приказ Минкомсвязи России от 03.06.2019 N 252, в котором не только подчёркивается приоритет отечественного ПО, но и даже указан опенсорс.

Таким образом, государство говорит нам, что на первом месте отечественное и евразийское ПО, затем идёт опенсорс (если, например, идёт речь о разработке информационных систем для госорганов), а уже потом — иностранное ПО.

Все эти и другие протекционистские меры вызваны не только желанием поддержать отечественных разработчиков и производителей. Отчасти это реакция на внешнеэкономические санкции. Из-за них образовалась ситуация, когда вендоры продают софт с опаской или не продают вовсе.

Вендору выгодно продавать подписку, а покупателю — получить договор на постоянную лицензию с санкциями в форс-мажорах. Примерно то же касается железа, только там речь про обслуживание и обновление прошивок-драйверов. Я бы хотел рассказать о том, как вся эта ситуация влияет на рынок.

Начнём мы с вопроса о том, что вообще такое «санкции» и как они работают — и что нужно знать, например, CTO или системному администратору про них.

Читать дальше →

+31

Lara_ball007 23 апр 2020 в 09:57

Какие ошибки делают руководители на удалёнке

8 мин

33K

Блог компании КРОКУправление разработкой*Управление проектами*Удалённая работа

Привет, Хабр! Я не разработчик, а менеджер. Меня некоторое время учили управлять людьми, а потом я погрузилась в мрачный мир разработки, где всё идёт не так, как говорят в университете. Сейчас я руковожу практикой управления жизненным циклом программного обеспечения и хочу рассказать несколько, возможно, важных для тимлидов и ПМ'ов вещей, которые касаются перехода на удалёнку. Потому что в наших командах люди было уже начинали так косячить. А потом покажу и расскажу про наш стек автоматизации для удалёнки, и о том, как мы аппрувим релизы из чатов на телефоне одной кнопкой, а не поднимая VPN в защищённый периметр, и это ускорило согласования, и это помогает согласовывать день в день.

Первый совет — хватит доставать своих людей!

Я знаю, звучит очень глупо, но многие руководители, не видя людей рядом, начинают как-то компенсировать своё желание убедиться, что они работают. Происходят вот такие чаты:

Дятел-менеджмент в чистом виде

Если стоит задача повысить эффективность команды сейчас и в перспективе — оставьте людей в покое. И установите 15-минутные дейли по утрам. Я уже успела увидеть и общепроектные синхры раз в четыре часа, и дейли по два часа, и впадающих во фрустрацию менеджеров, привыкших договариваться сидя лицом к лицу с кем-то.

Читать дальше →

+50

Levandovskiy 14 ноя 2019 в 10:01

Как мы летали на дронах по мусорным полигонам и искали утечки метана

6 мин

16K

IT-инфраструктура*Блог компании КРОКМультикоптеры

Карта полёта, отмечены точки с концентрацией метана свыше 3 000 ppm*m. И это много!

Представьте себе, что у вас есть мусорный полигон, который время от времени дымит и воняет. Связано это с тем, что при гниении органики образуются различные газы. При этом образуется не только метан, но и совсем ядовитые газы, поэтому полигоны ТБО иногда нужно обследовать.

Обычно это делается пешим обходом с носимым детектором метана, но на практике это очень сложно, долго и вообще не особо нужно владельцам мусорного полигона.

Зато это нужно правительству города, муниципальным властям, области и т. д., где находится полигон или санкционированная свалка, экологам и простым людям, которые хотят дышать чистым воздухом.

Услуга автоматизированного замера уровня метана с помощью дронов очень востребована в Европе.

Мы, с нашими партнёрами из компании Пергам, провели совместную работу в этом направлении и получили интересный результат.

Читать дальше →

+50

SStrelkov 26 сен 2019 в 10:03

Какие проекты имеет смысл начинать и что нужно промышленности от ИТ сейчас

12 мин

19K

Блог компании КРОКУправление проектами*

Одна из главных задач ИТ сейчас в производственном секторе — уменьшить количество аварий.

Что сейчас меняется на производствах?

Один из самых важных вопросов сейчас — это нулевая смертность. Потери персонала происходят по двум основным причинам: несоблюдение техники безопасности и алкогольные приключения с несоблюдением техники безопасности. Второй важный вопрос — контроль правильности операций и оптимальная загрузка производства.

Всё идёт к тому, что через десять лет все сотрудники производств будут «под колпаком». Сейчас уже есть пилоты, но до массового распространения технологий ещё пара лет. Будет интерфейс руководителя производства, подозрительно напоминающий компьютерную игру. Там положение каждого сотрудника, свойства и состояния каждого станка, очередь задач, самочувствие каждого, тип исполняемых операций. Смысл в том, чтобы оцифровать всё и контролировать правильность исполнения процессов. И ещё вспомогательный AI будет оптимизировать задачи сотрудников — уже есть примеры, где работа распределяется по оптимальной загрузке станков и навыкам рабочих, правильно кластеризуется и выстраивается в оптимальной последовательности.

Читать дальше →

+27

AFeokt 18 мая 2017 в 10:06

Микросегментация сетей в примерах: как эта хитро закрученная штука реагирует на разные атаки

10 мин

33K

Системное администрирование*IT-инфраструктура*Блог компании КРОКСетевые технологии*

Раньше, когда нужно было что-то разграничить (например, сервера с обработкой платежей и терминалы юзеров офиса), просто строили две независимых сети с мостом-файерволом в середине. Это просто, надёжно, но дорого и не всегда удобно.

Позже появились другие виды сегментации, в частности, по правам на основе карты транзакций. Параллельно развивались ролевые схемы, где машине, человеку или сервису назначаются свои конкретные права. Следующий логический виток — микросегментация в виртуальных инфраструктурах, когда DMZ ставится вокруг каждой машины.

В России пока есть единичные внедрения подобных защитных построений, но скоро их точно будет больше. А потом мы, возможно, не будем даже понимать, как можно было жить без такого. Давайте рассмотрим сценарии атак на такую сеть и как она на это реагирует.

Читать дальше →

+23