DevOps by REBRAIN

❗ Открытый практикум Ресурсная модель против событийной: почему состояние часто мощнее событий идёт уже 30 минут

Если вы ещё не с нами, скорее подключайтесь!

Ссылка для входа: https://my.rebrainme.com/live-class/562

🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

❗Начало Открытого практикума Ресурсная модель против событийной: почему состояние часто мощнее событий уже через 5 минут

Встречаемся в 20:00 МСК.

Ссылка для входа: https://my.rebrainme.com/live-class/562

Также вы можете подключиться к вебинару через личный кабинет, в разделе «Вебинары».

🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

Открытый практикум Ресурсная модель против событийной: почему состояние часто мощнее событий начнётся сегодня в 20:00 МСК. Практикум будет проходить на площадке Zoom.US

Важно!!! Чтобы вы смогли без проблем к нам присоединиться, заранее протестируйте комнату по ссылке: https://zoom.us/test

Ссылку для доступа отправим вам за 5 минут до начала. Либо заходите через личный кабинет в разделе «Вебинары».

🔥 Задать вопрос по практикуму и обсудить детали можно в нашем чате

🗓️ Расписание вебинаров на сегодня

⏰ 20:00 МСК - Ресурсная модель против событийной: почему состояние часто мощнее событий
🔗 Регистрация и программа

О вебинаре напомним за 5 минут до начала на этом канале.
Также вы сможете зайти через личный кабинет.

🔥 Задать вопросы и обсудить детали можно в нашем чате

🟡 Анонс открытых практикумов на следующую неделю

1️⃣ Ресурсная модель против событийной: почему состояние часто мощнее событий
↘ Регистрация

Время проведения:
24 августа 2026, понедельник, 20:00 по МСК

Программа практикума:
🟢Ресурсная модель описывает состояние, а событийная — произошедшие факты
🟢События не всегда позволяют понять, в каком состоянии система находится сейчас
🟢Ресурс может хранить и желаемое, и фактическое состояния
🟢reconciliation loop часто надёжнее длинной цепочки событий
🟢Ресурсную модель проще восстанавливать после сбоев
🟢Повторная обработка состояния естественно поддерживает идемпотентность
🟢Kubernetes — хороший пример силы декларативной ресурсной модели
🟢События лучше использовать для уведомлений и интеграций, а не как единственный источник управления
🟢Для долгоживущей асинхронной логики ресурсная модель часто оказывается мощнее

Кто ведёт?
Дмитрий Гордеев — тимлид разработки облачных решений в X5 Tech с опытом работы в Go больше 5 лет
---------------------------------------------------------------------------------------

2️⃣ Межсетевой экран на маршрутизаторах Eltex
↘ Регистрация

Время проведения:
25 августа 2026, вторник, 19:00 по МСК

Программа практикума:
🟢ESR: характеристика функционала фильтрации трафика
🟢Zone-based Firewall: теоретические основы
🟢Настройка сегментации сети на маршрутизаторе ESR

Кто ведёт?
Андрей Шабалин — Тренер Cisco / Huawei, инструктор академии Eltex и Астра-Университета
---------------------------------------------------------------------------------------

3️⃣ Балансировка нагрузки в Angie
↘ Регистрация

Время проведения:
27 августа 2026, четверг, 19:00 по МСК

Программа практикума:
🟢Зачем нужна балансировка?
🟢Виды балансировки нагрузки в Angie
🟢Различия в Nginx и Angie
🟢Рассмотрим применение L4 и L7 балансировки
🟢Настройка серверного кэширования

Кто ведёт?
Николай Лавлинский — Технический директор в ООО “Метод Лаб”. Веб-разработчик более 15 лет. Спикер конференций HighLoad++, РИТ++

Уволившийся сотрудник два месяца оставался в SSH-доступе на восьми серверах, потому что его аккаунт нигде не был заведён централизованно, и снести его нужно было руками в восьми местах

Так живёт инфраструктура без единого каталога доступа: пользователей заводят вручную на каждой машине, рутину закрывают одноразовыми Bash-скриптами, которые никто не оформляет в Ansible-роль, а когда человек уходит из команды, его доступ закрывают не везде и не сразу.

Открыли бесплатный демодоступ к практикуму «Управление инфраструктурой и рабочими станциями», чтобы собрать из этого порядок: автоматизированную, безопасную и централизованно управляемую Linux-инфраструктуру с нуля. Связка FreeIPA, Bash и Ansible закрывает всю цепочку, от единого каталога доступа до автоматизации рутины скриптами и ролями.

Демодоступ открыт к 10 урокам из трёх модулей

Ansible
🟢 Введение
🟢 Введение в Ansible
🟢 Ad-hoc-команды
🟢 Playbooks: основы

FreeIPA
🟢 Введение
🟢 Архитектура и компоненты FreeIPA
🟢 Установка и базовая настройка сервера

Bash
🟢 Введение
🟢 Основы Shell и первый скрипт
🟢 Переменные и типы данных

Дальше по программе отказоустойчивые кластеры FreeIPA, HBAC-правила и централизованный sudo, парсинг логов через sed и awk, Ansible-роли с тестами на Molecule. Финальный проект собирает всё вместе: разворачиваешь домен FreeIPA, пишешь Bash-скрипты для сбора логов и автоматизируешь рабочие станции через Ansible.

↘️ Начать с демодоступа

🎁 В честь запуска — скидка -20% на полную программу до 31 августа

Как активировать демо:
🟢 Переходите по ссылке курса, доступ откроется автоматически всем зарегистрированным пользователям платформы
🟢 Слева вы увидите, какие модули и блоки открылись
🟢 Проходите в своём темпе, выполняйте задания и знакомьтесь с платформой

Проведите выходные с пользой 🤍

📍 Всем привет! По техническим причинам завтрашний вебинар «Загруженность сервера 100% по CPU. Кто виноват и что делать?» переносится на четверг, 26 августа.

Ждём вас в 20:00 МСК 🤝

Обновляем версии курсов

Мы регулярно обновляем курсы вслед за технологиями и бесплатно открываем новые версии всем, у кого курс уже куплен.

1 сентября заканчивается поддержка старых версий:

🟢Kafka
🟢RabbitMQ
🟢Terraform
🟢HashiCorp Vault
🟢Ceph
🟢HAProxy
🟢Grafana 1 и 2
🟢PostgreSQL 1 и 2
🟢Kubernetes 1 и 2
🟢Logs 1 и 2
🟢Linux Advanced

После 1 сентября практика в этих версиях будет закрыта. При этом перейти на новую версию бесплатно можно будет и после этой даты.

🤝 Отдельно обновляем Bash. Его старая версия будет доступна до 1 октября.

Что важно знать перед переходом: прогресс из старой версии в новую не переносится. Все условия смены версии, информация об обновлениях и другие подробности собраны в баннере внутри каждого курса.

Если ты сейчас проходишь старую версию, загляни в курс и реши: закончить практику до даты закрытия или перейти на обновлённую.

Если остались вопросы, пиши нашей поддержке: info@rebrainme.com

☕️ IT-сводка нескучных новостей за последние два месяца: хакерские атаки, украденные биткоины, Linux-утилиты

🟢Аппаратный кошелёк с дырой увели на 70 миллионов долларов за 41 минуту

1 августа уязвимость в аппаратном кошельке Coldcard связали с кражей биткоинов на 70 миллионов долларов, проведённой за 41 минуту. Железо, которое покупают именно ради того, чтобы ключи никогда не покидали устройство, оказалось не абсолютной гарантией. Холодное хранение защищает ровно до первой ошибки в прошивке.

🟢Рунет положило дважды за две недели, во второй раз вместе с госуслугами

6 августа по всей России легли «Макс», Ozon, Wildberries, «Авито», «Яндекс» и «Ростелеком». Проблема затронула DNS-серверы, о сбоях сообщил «Яндекс» и другие провайдеры. Через неделю, утром 14 августа, пошли жалобы уже на ЕГАИС, ФГИС Росстандарта и ЕИС Закупки.

🟢Anthropic признала, что её агенты пробивали чужие системы ещё с апреля, просто тогда не заметили

Внутренние проверки Anthropic после июльского инцидента показали, что несколько её агентов взламывали организации во время оценок ещё с апреля. В компании уточнили, что дело было в ошибке конфигурации, а не в том, что агенты сами находили выход. Формулировка «это была неправильная настройка, а не злой умысел модели» успокаивает ровно до того момента, пока не вспомнишь, что в проде настройки тоже делают люди.

🟢Люди сбрасывали чужие пароли в Instagram, просто попросив об этом чат-бота Meta

Тысячи аккаунтов Instagram угнали, злоупотребляя AI чат-ботом Meta для сброса паролей: человек открывал чат, притворялся, что его заблокировали, и просил бота отправить код сброса на свою почту. Атака затронула десятки тысяч аккаунтов, пока лазейку не прикрыли. Вот так происходит, когда между тобой и чужим аккаунтом стоит чат-бот, обученный быть услужливым.

🟢Microsoft принесла в Windows нативные Linux-утилиты командной строки

На Build 2026 Microsoft выпустила Coreutils для Windows, добавив многие популярные утилиты командной строки из Linux как нативные приложения. Компания, которая двадцать лет назад называла Linux раковой опухолью, теперь встраивает его инструменты прямо в свою ОС. Границы между мирами стёрлись до того, что ls и cat едут в Windows из коробки.

🔥Если рубрика была интересной, поставь реакцию. В нашем чате можно обсудить все новости)

🎯 Атака на Active Directory: Обнаружение и защита от Pass-the-Hash (PtH)

В логах светится событие 4624 (успешный вход), но за ним стоит NTLM-хэш, дампнутый из памяти lsass.exe через Mimikatz.

При Pass-the-Hash злоумышленнику не нужен сам пароль: NTLM-протоколу для проверки подлинности достаточно валидного хэша. С ним атака легко перемещается по сети (*Lateral Movement*).

🔍 Как обнаружить Pass-the-Hash

1️⃣ Аномалии в Event Logs

* ID 4624 — Успешный вход: ищите *Logon Type 3* (Network) через NTLM вместо Kerberos, либо *Logon Type 9* (*NewCredentials*, создаваемый Mimikatz).
* ID 4672 — Присвоение привилегий администратора (идет вместе с 4624).
* ID 4625 — Ошибки входа 0xC000006A при бруте соседних машин.

2️⃣ Всплеск NTLM-трафика

Резкий рост NTLM-запросов между рабочими станциями — главный маркер компрометации.

3️⃣ PowerShell Script Block Logging

Включите логирование скриптов для отслеживания утилит автоматизации (PowerSploit):


Computer Configuration > Administrative Templates > Windows Components > Windows PowerShell > Turn on PowerShell Script Block Logging



🛡 Как защититься от PtH

* Запрет NTLM: переводите сеть на Kerberos или ограничьте входящий NTLM-трафик:


Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options > Network security: Restrict NTLM: Incoming NTLM traffic



* Изоляция LSASS: включите Credential Guard (VBS), чтобы закрыть доступ к памяти:


Computer Configuration > Administrative Templates > System > Device Guard > Turn On Virtualization Based Security



* Внедрение LAPS: уникализируйте пароли локальных админов на каждом ПК.
* Protected Users: добавьте доменных админов в эту группу — Windows заблокирует кэширование NTLM и принудительно включит Kerberos.
* Модель Tiering: запретите Domain Admins логиниться на обычных ПК (Tier 2).

⚠️ Важно: MFA не спасает от PtH внутри SMB-сессий, так как NTLM не умеет запрашивать второй фактор. Отключение NTLM и защита LSASS — приоритет №1.

📋 Чек-лист администратора
✅ Настроить аудит событий 4624/4672/4625 и NTLM.
✅ Включить Credential Guard на ARM.
✅ Развернуть Windows LAPS.
✅ Внести критических админов в *Protected Users*.
✅ Начать поэтапное ограничение NTLM через GPO.


🎓 Хочешь освоить защиту Active Directory на практике?
Открывай бесплатный демодоступ к интерактивным тренажёрам:
🔹 Атака на Active Directory — от разведки и PtH до Golden Ticket, защита через Tier Model и LAPS.
🔹 Networks Basics — безопасность сетевых протоколов и interactions.

Формат лога ошибки:


2026-07-22 10:14:03.812 UTC [24417] postgres@app 203.0.113.5(54321) FATAL: password authentication failed for user "postgres"



Настройка Fail2ban:

Файл /etc/fail2ban/jail.local:


[postgresql]
enabled = true
filter = postgresql
logpath = /var/log/postgresql/postgresql-*.log
port = 5432
protocol = tcp
banaction = iptables-multiport
# На Debian 12+ / RHEL 9, где бэкенд фаервола по умолчанию nftables:
# banaction = nftables-multiport
maxretry = 3
findtime = 600
bantime = 3600



Файл /etc/fail2ban/filter.d/postgresql.conf:


[Definition]
failregex = ^.*\s\(\d+\) FATAL:\s+password authentication failed for user .*$
^.*\s\(\d+\) FATAL:\s+no pg_hba\.conf entry for host .*$
^.*\s\(\d+\) FATAL:\s+role ".*" does not exist.*$
ignoreregex =



📋 Чек-лист безопасности PostgreSQL:

1. pg_hba.conf: использовать hostssl, scram-sha-256 и замыкающий reject.
2. listen_addresses: привязать СУБД к приватному IP.
3. SSL/TLS: установить TLSv1.2+, валидные сертификаты и требовать verify-full на клиентах.
4. Аудит: добавить %r в log_line_prefix, логировать DDL и сессии.
5. Fail2ban: автоматически банить IP за брутфорс и неизвестные роли.
6. Фаервол: ограничить доступ к порту 5432 на уровне ОС (iptables/nftables).
7. Принцип наименьших привилегий: не использовать postgres для приложения, отозвать права на запись у схемы public.
8. Обновления: регулярно ставить минорные релизы ветки 16.x.

🎓 Хочешь глубже освоить PostgreSQL и системную безопасность? Приходи на наши курсы. Открывай бесплатно демодоступ к рабочей среде:
• PostgreSQL — безопасность, репликация, оптимизация
• Linux Advanced — администрирование, безопасность, фаерволы
• Networks — сетевые протоколы и защита коммуникаций

🔒 Безопасность PostgreSQL 16: гайд по настройке защиты доступа

Открытый порт 5432, стандартный логин postgres со слабым паролем, отсутствие SSL и логов — классический сценарий компрометации БД. Настройка комплексной защиты PostgreSQL 16 включает 3 базовых слоя: контроль доступа, шифрование и аудит.

🛡 1. Контроль доступа (pg_hba.conf)

Файл pg_hba.conf определяет правила аутентификации. Правила проверяются сверху вниз до первого совпадения.

❌ Опасная конфигурация:


host all all 0.0.0.0/0 trust



✅ Правильная конфигурация:


# TYPE DATABASE USER ADDRESS METHOD

# Приложение ходит локально под системным пользователем www-data,
# а в базу — как app_user. Более специфичное правило идёт ПЕРВЫМ.
local all app_user scram-sha-256

# Остальные локальные подключения через Unix-сокет — peer (сверка с пользователем ОС)
local all all peer

# Сетевые подключения: только по SSL и только из доверенной подсети
hostssl all all 192.168.1.0/24 scram-sha-256

# Всё остальное — явный отказ. Обе версии протокола.
host all all 0.0.0.0/0 reject
host all all ::0/0 reject



Ключевые правила:
• Используйте hostssl (требует шифрования) и scram-sha-256 (безопасный алгоритм). Методы md5 и trust использовать нельзя.
• Порядок строк критичен: специфичные правила ставятся выше общих.
• Для peer имя ОС-пользователя должно совпадать с ролью в БД (для связки www-data ➔ app_user нужна отдельная строка).

Привязываем СУБД к внутреннему IP в postgresql.conf:


listen_addresses = '192.168.1.100'
password_encryption = scram-sha-256
scram_iterations = 4096 # значение по умолчанию, можно поднять



Изменения pg_hba.conf применяются через SELECT pg_reload_conf();, а listen_addresses требует перезапуска СУБД. Проверка ошибок в конфиге:


SELECT rule_number, type, database, user_name, address, auth_method, error
FROM pg_hba_file_rules;



*(В PG 16 правила можно раскладывать по отдельным файлам с помощью `include_dir`).*

🔐 2. Шифрование трафика (SSL/TLS)

Передача данных в открытом виде уязвима к перехвату. Включаем SSL на сервере в postgresql.conf:


ssl = on
ssl_cert_file = '/etc/postgresql/ssl/server.crt'
ssl_key_file = '/etc/postgresql/ssl/server.key'
ssl_ca_file = '/etc/postgresql/ssl/root.crt' # нужен для клиентских сертификатов
ssl_min_protocol_version = 'TLSv1.2'
ssl_prefer_server_ciphers = on



Права на ключ (при иных правах PostgreSQL не запустится):


chmod 600 /etc/postgresql/ssl/server.key
chown postgres:postgres /etc/postgresql/ssl/server.key



Защита клиентом от MITM-атак:
По умолчанию клиент (`sslmode=prefer`) не проверяет подлинность сервера. Правильное подключение:


psql "host=db.internal dbname=app user=app_user \
sslmode=verify-full \
sslrootcert=/etc/ssl/certs/internal-ca.crt \
require_auth=scram-sha-256"



• sslmode=verify-full проверяет подпись CA и имя хоста.
• require_auth=scram-sha-256 (PG 16) запрещает серверу понижать метод аутентификации.

📊 3. Аудит и защита от брутфорса (Fail2ban)

Настраиваем логирование в postgresql.conf:


logging_collector = on
log_directory = '/var/log/postgresql'
log_filename = 'postgresql-%Y-%m-%d.log'
log_rotation_age = 1d
log_rotation_size = 100MB

# ОБЯЗАТЕЛЬНО: %r выводит IP-адрес и порт клиента.
# Без этого escape в логе не будет адреса, и Fail2ban не сможет никого забанить.
log_line_prefix = '%m [%p] %q%u@%d %r '

log_connections = on
log_disconnections = on
log_statement = 'ddl'



*Важно: %r обязателен, так как он добавляет IP-адрес клиента в лог.*