Пятничное, но в четверг. То, что вы обязательно посмотрите, но никогда не потащите в свой продакшн. Лёгкий http-сервер написанный на bash. Идея не нова, но каждый раз вызывает у меня восхищение. Умеет в get- и post-запросы, а остальные методы вам просто не нужны, даже если вы считаете иначе. Называется sherver. Приятная плюшка - он умеет раздавать статику!

https://github.com/remileduc/sherver

Переезд в Yandex.Cloud и год жизни после: что получили, с какими особенностями столкнулись и как их обошли / Хабр
https://habr.com/ru/company/m2tech/blog/595841/

В этом году, проводя свои тренинги по безопасности Kubernetes, я был приятно удивлен встретить компании, у которых микросервисы, реализующие бизнес-задачи, выполнялись с описанием:

securityContext:
  capabilities:
  drop:
    - all

Это очень круто уменьшает attack surface для побега из контейнера через уязвимости ядра хостовой ОС (особенно с учетом того, что CAP_NET_RAW есть by default).

НО стоит помнить, что все равно остаются системные вызовы, через которые можно это совершить (через них также возможно совершить побег через хостовое ядро).

При этом мой хороший товарищ, автор великолепной Linux Kernel Defence Map подсказал замечательную статью проекта grsecurity под названием "False Boundaries and Arbitrary Code Execution" (заметка не свежая, но актуальная и по сей день). Где рассказывается о том, что capabilities в архитектурном плане скажем так не без греха, и в каком-то плане даже сломаны.

Это полезно знать как blue team, так и red team. Поэтому даже в условиях drop all стоит заботиться о том, что происходит в ваших контейнерах. Тоесть runtime security все равно остается важным элементов Kubernetes security.

Uptrace

Distributed tracing using OpenTelemetry and ClickHouse 

#clickhouse #tracing #opentelemetry