Архив рубрики: Security

Безопасность операционных систем и сетей.

Cloudflare: ускоряем работу WordPress с плагином Automatic Platform Optimization

30 марта 2022
 

 Давно уже видел проблему со скоростью загрузки блога. У меня на машине он открывается сравнительно быстро за счёт кеша браузера, а вот для других посетителей скорость достаточно печальная, что подтверждается проверкой на, например, https://gtmetrix.com: 4.3 секунды до полной загрузки – мрак. Внизу страницы видим топ проблем: Во-первых – ах… удивляемся с размера страницы в 1.16… Читать далее »

SSH: ошибка “Too many authentication failures” и её решение

19 марта 2022
 

 При подключении по SSH начала появляться ошибка “Too many authentication failures“. Ошибка и причины Причина достаточно простая: SSH-клиент при подключении сначала пытается использовать ключи, которые загружены ssh-agent, и только потом использует ключ, переданный клиенту опцией -i. Сама ошибка выглядит так: Что бы убедиться, что сначала используются ключи ssh-agent – выполняем подключение в дебаг-режиме, добавляем -v:… Читать далее »

AWS: Trusted Advisor, часть 2 – алерты CloudWatch и уведомления в Slack

25 ноября 2021
 

 В продолжение темы по работе с AWS TrustedAdvisor – рассмотрим настройку отправки уведомлений и обновление данных в Trusted Advisor. Начало – AWS: Trusted Advisor, часть 1 – обзор возможностей. Что бы настроить уведомления – используем метрики Trusted Advisor, которые он шлёт в CloudWatch, см. список на странице Trusted Advisor metrics and dimensions. Далее, CloudWatch будет… Читать далее »

AWS: Trusted Advisor, часть 1 – обзор возможностей

25 ноября 2021
 

 AWS Trusted Advisor – инструмент от AWS, позволяющий проверить аккаунт и используемые в нём ресурсы на предмет оптимизации расходов, производительности, безопасности и отказоустойчивости. При этом доступные вам рекомендации зависят от типа Support Plan вашего аккаунта. К счастью, у нас Premium, так что есть возможность показать все детали Trusted Advisor. Общая документация тут – Проверки AWS… Читать далее »

Kubernetes: Helm – “x509: certificate signed by unknown authority” и ServiceAccount для Pod

28 сентября 2021
 

 Имеются у нас Github runners, которые запущены в виде подов в Kubernetes-кластере, см. Github: обзор Github Actions и деплой с ArgoCD. На них выполняеттся сборка docker-образов и их пуш в Docker Hub, а затем деплой приложения с Helm или ArgoCD. При первом запуске helm install в поде получаем ошибку “x509: certificate signed by unknown authority“:… Читать далее »

AWS: отключить TLS 1.0 и TLS 1.1 на Application LoadBalancer

27 сентября 2021
 

 Если проверить любой AWS Application LoadBalancer с сертификатом из AWS Certificate Manager с настройками HTTPS Listener по-умолчанию – то получим уровень В, что, конечно, не слишком красиво: Основная “претензия” SSL Labs – поддержка версий TLS 1.0 и 1.1, которые уже считаются устаревшими. AWS LoadBalancer SecurityPolicy и версии TLS За поддерживаемые версии SSL/TLS в AWS отвечают… Читать далее »

Git: сканирование репозиториев с Gitleaks и запуск из Jenkins

12 августа 2021
 

 Утечка конфиденциальных данных, таких как пароли или RSA-ключи в репозиторий Github, даже в приватный – очень неприятное событие, и хотелось бы иметь представление о том, кто и что пушит в репозитории нашей Github-организации. Утилиты сканирования Для проверки репозиториев имеется достаточно много утилит: Gittyleaks – выглядит неплохо, но последнее обновление репозитория 2 года тому Repo Supervisor… Читать далее »

Tableau: установка Tableau Bridge для доступа к базам данных в приватных сетях

9 августа 2021
 

 Для доступа к серверам баз данных, к которым нет доступа из мира (а так и должно быть – доступ только внутри VPC) Tableau предлагает использовать Tableau Bridge. Идея заключается в том, что мы устанавливаем Bridge внутри сети, из которой есть доступ к базам данных, а затем в datasource настраиваем доступ к базе как Private access.… Читать далее »

Let’s Encrypt: SSL и ошибка SERVFAIL looking up CAA for domain.com

29 июля 2021
 

 Отвалился один из сайтов, начал падать с ошибкой Connection reset. По конфигам NGINX всё хорошо, должен работать. В логах ошибок NGINX тоже пусто, конфиги PHP-FPM правильные. Проверяем curl-ом: Причина Так как ошибка выше прилетает от SSL_connect, то первая мысль – проверить сертификат, хотя если бы он проекспайрился – ошибка была бы другая. Тем не менее,… Читать далее »

AWS: Route53 Private Hosted Zones – прячем домены от мира

23 июля 2021
 

 Private Hosted Zone в AWS Route53 позволяет ограничить доступ к DNS-записям домена, таким образом оградив её от атак типа DNS Enumeration, или DNS brute-force, когда атакующий перебирает доступные записи домена, после чего получает список ендпоинтов для проверок на уязвимости. Для подобных переборов существует множество готовых решения, например DNSEnum, DNSRecon, Fierce или даже обычный Nmap и… Читать далее »