Большая статья в NYT с рассказом о том, как именно был сделан прошлый взлом Твиттера. Все как обычно: социальная инженерия помогла попасть во внутренний Slack работников твиттера. А оттуда в админскую панель, используя пароль из того же слака. Это, кстати, последствия карантина и надомной работы - все работают из дома, так что даже некоторые внутренние интерфейсы теперь доступны без vpn, без двухфакторной аутентификации.
Вообще очень поучительно, обязательно прочитайте https://www.nytimes.com/2020/07/17/technology/twitter-hackers-interview.html

update: Твиттер по сути подтвердил статью в NYT https://blog.twitter.com/en_us/topics/company/2020/an-update-on-our-security-incident.html

Пятничная эротика. Вдохновленный тем, как устроено управления пакетами в языке програмирования GO, проект import.pw позволяет вам добавить в ваш шелл скрипт импорт какого-либо модуля по прямой ссылке. Пример из официальной документации:

#!/usr/bin/env import
import "https://git.io/fAWiz"
add 20 22
# 42

Модуль после первой загрузки кешируется на диск и в последующем будет переиспользоваться без загрузки через сеть. Впрочем, политики кеширования конфигурируемы. Заявлено, что проект работает без проблем с ash, ksh, zsh и само собой bash.

https://github.com/importpw/

Эта пятница не перестает удивлять. В аккаунте Microsoft на GitHub появился репозитории с версией утилиты procmon для Linux.

Те, кто занимался разработкой под операционную систему Windows, наверняка знают и с теплотой вспоминают пакет утилит от Sysinternals, разрабатываемый в те далекие годы, Брайсом Когсуэллом и Марком Русcиновичем. Наверное, сейчас Марк больше известен как автор безусловно замечательной книги "Windows Internals" о внутреннем устройстве Windows. В те времена большие корпорации не покупали пачками стартапы, но Microsoft приобрел Sysinternals с их наработками. Стоит отметить, что некоторые утилиты (такие как ProcessExplorer) дублировали функционал встроенных в Windows средств, но значительно расширяли доступные возможости.

Утилита procmon (сокращение от Process Monitor) позволяла отлаживать приложения, предоставляя пользователю удобный интерфейс для мониторинга системных вызовывов и обращений к файловой системе с системным реестром. Версия для Linux, по очевидным причинам, не является прямым портом утилиты, а является эдаким переосмыслением, призванным упростить жизнь разработчикам под Linux, предоставляя средства контроля активностей в операционной системе.

https://github.com/microsoft/ProcMon-for-Linux

Mastering JQ: Part 1
https://codefaster.substack.com/p/mastering-jq-part-1-59c

Недавно Бизли зарелизил Practical Python Programming -- курс по Питону, который он создавал и преподавал 13 лет. Выглядит курс очень круто, покрывает всё самое нужное, от установки питона и типов данных и до тестирования и создания и установки пакетов.

Еще одна тулза доя chaos инжиниринга. 👹

https://github.com/Trendyol/gaos

⏱ Use systemd timers instead of cronjobs - systemd таймеры, как с ними обращаться, как заменить ими cron, что из этого может получиться. #напочитать #systemd | Блог | Канал

Как ограничить частоту запросов в HAProxy: пошаговая инструкция

Ограничение частоты запросов в HAProxy — один из самых популярных методов защиты сервера от DoS-атак, но в интернете трудно найти понятную инструкцию, как конкретно его настроить. Методом проб и ошибок автор заставил HAProxy ограничить частоту запросов по списку IP-адресов, который обновляется в реальном времени.

Перевели его статью — надеемся, что с ней вам не придется тратить на это столько времени и усилий, сколько пришлось потратить ему.

Наблюдаемость SRE: пространства имен и структура метрик

Структурированные пространства имен метрик важны для быстрого доступа к информации во время инцидентов. Один из способов, который эффективен при создании гибкой модели метрик, — думать о них как о дереве.

Перевели статью, в которой рассматриваются свойства пространств имен метрик, позволяющие постепенно увеличивать детализацию запросов и переходить к подмножествам данных, а также просматривать метрику с точки зрения метрик, из которых она состоит.

Sysdig подготовили 12 рекомендаций по поводу сканирования образов контейнеров.

Рассказывают о скане на этапе сборки, так и в реджистри. Ну и немного рекламируют свою платформу

#kubernetes #security

Касательно переменной PATH и статьи выше (https://xn--r1a.website/count0_digest/4482): один из читателей прислал отличную схему-статью на эту тему
https://shreevatsa.wordpress.com/2008/03/30/zshbash-startup-files-loading-order-bashrc-zshrc-etc/
#shell #path

Сегодня мне прилетело как-то слишком много материалов, так что буду разгребать по очереди.

Статья коллеги с прошлой работы про Terraformer - как перегонять существующую инфру в TF код.

#terraform

https://habr.com/ru/post/512084

#clickhouse #go #log

Бесплатные лекции про распределённые системы от профессора Lindsey Kuper: https://www.youtube.com/playlist?list=PLNPUF5QyWU8O0Wd8QDh9KaM1ggsxspJ31

В сети стали доступны доклады с прошедшего Airflow Summit 2020.
Безусловно все докладчики выступали удалённо (мы этот год запомним навсегда)
Из докладов, которые хотелось бы отметить:

- Advanced Apache Superset for Data Engineers
- Data engineering hierarchy of needs
- Airflow the perfect match in our analytics pipeline
- Data flow with Airflow @ PayPal

Смотреть весь плейлист

Microservices Security in Action

Brief content:
- Microservices security landscape
- First steps in securing microservices
- Securing north/south traffic with an API gateway
- Accessing a secured microservice via a single-page application
- Engaging throttling, monitoring, and access control
- Securing east/west traffic with certificates
- Securing east/west traffic with JWT
- Securing east/west traffic over gRPC
- Securing reactive microservices
- Conquering container security with Docker
- Securing microservices on Kubernetes
- Securing microservices with Istio service mesh
- Secure coding practices and automation

#literature #k8s #docker