12612
Пишу о Linux и администрировании серверов. Связаться с автором: @servers Заметки в браузере: https://sysadmin.pm/ Буст канала: https://t.me/sysadminnotes?boost
В коллекцию ссылок. Поисковик по популярным платформам online курсов (Coursera, edX, Udacity и т. п.):
https://www.moocha.io/
Просто вводим запрос и получаем ссылки на соответствующие курсы.
К слову, тут опять какое-то "Жжжжж..." вокруг Telegram в РФ началось. Как считаете, этому каналу нужен резервный источник, например в Твиттере (не обязательно в нём), или нашей аудитории блокировка не страшна, в виду специфики интересов и знаний собравшихся?
👾 Нужен резерв где-то ещё. При блокировке доступа не будет.
😈 Резерв не нужен, при блокировке доступ всё равно получу.
Есть такой проект - TurnKey GNU/Linux - в рамках этого проекта, мы можем скачать дистрибутив с уже готовым для работы определённым набором ПО. Огромным плюсом такого подхода, является то, что администратор может буквально за несколько минут получить систему с уже настроенным софтом.
Скорее всего, вы в курсе о существовании TurnKey, но если нет, загляните сюда за подробностями:
https://www.turnkeylinux.org/
Я же, хотел бы поделиться вот таким вот Github репозиторием:
https://github.com/tklx/
Это проект TKLX - реализация TurnKey Linux на контейнерах. В репозитории доступны серверы БД, веб-серверы, прокси и несколько других готовых к работе приложений.
#turnkey #tklx
Ну что, друзья, я таки смог вырваться в отпуск (начал собираться ещё в конце августа, да), так что в ближайшие недели полторы тут будет чуть тише чем обычно. Но совсем без каких-то интересностей не останемся точно - подкопилось некоторое количество фидбеков, с которыми я вас обязательно познакомлю. Продуктивного и позитивного дня всем. 🤓
Читать полностью…
И вот ещё немного Github'а. Скрипт для авторматической генерации конфигов веб-сервера из заранее описанного .yml. Поддерживаются Apache и Nginx.
https://github.com/devilbox/vhost-gen
#nginx #apache #vhostgen
Ну что, друзья, каналу 5 месяцев. Прирост новых участников несколько уменьшился, но этим вопросом я обязательно займусь отдельно. Мы тут в любом случае топим за качество, а не за количество. 🤓 А пока что, традиционный дайджест прошедшего месяца.
В этом месяце мы на канале:
🔐 Шифровали сообщение прямо в терминале:
🔐 /channel/SysadminNotes/408
🚷 Запрещали доступ к чужим процессам:
🚷 /channel/SysadminNotes/409
📈 Тестировали диски с помощью fio:
📈 /channel/SysadminNotes/431
💻 Разбирали утилиты для шаринга терминала:
💻 /channel/SysadminNotes/476
⏱ Выполняли нагрузочное тестирование с siege:
⏱ /channel/SysadminNotes/436
🆖 Разбирались с Rate limit в Nginx:
🆖 /channel/SysadminNotes/464
⚙️ Ставили ModSecurity для Nginx:
⚙️ /channel/SysadminNotes/468
⚠️ Вспоминали о DDOS Deflate:
⚠️ /channel/SysadminNotes/466
🔏 Генерировали CAA запись:
🔏 /channel/SysadminNotes/465
📉 Знакомились с мониторингом sysdig:
📉 /channel/SysadminNotes/472
🖱Приняли на вооружение Linuxbrew:
🖱/channel/SysadminNotes/475
И делали/узнавали ещё много полезных вещей. Отдельно рекомендую посмотреть посты по тегу #nginx - было много хорошего в этом месяце. Без занятных записей в #security так же не обошлось.
👨🏻💻 Кроме того, в связи с последними новостями о Telegram, не лишним будет напомнить о существовании вот этого сводного поста с OpenVPN, 3proxy, SSH туннелями. По всему происходящему, к слову, #естьмнение, и я обязательно доберусь до его изложения, а пока что, ссылка на тот самый пост:
/channel/SysadminNotes/202
Делитесь с коллегами и товарищами информацией о канале, приглашайте их присоединиться к нам, делайте форварды в чаты, где людям будет интересен материал. А мы продолжаем работать, друзья. Спасибо всем кто уже составил мне здесь компанию. 🤓
И вот ещё веб-сервер с функциями защиты от XSS и CSRF атак и SQL инъекций. SSL\TLS, аутентификация, сжатие, URL rewriting, CGI\FastCGI, IPv6 и ещё много того, то должен уметь делать веб-сервер, hiawatha делать умеет.
Желающим попробовать что-то кроме Nginx в проекте очень рекомендую к ознакомлению.
https://github.com/hsleisink/hiawatha
#hiawatha
💻 О том как можно расшарить вывод теримнала в вебе, и о том как можно организовать совместную работу над одной сессией терминала из разных мест.
📗 Открыть на сайте
#ttyd #gotty #tmate
Записки админа
Продолжая тему sysdig - графическая утилита для анализа scap файлов - функционал тот же что и у csysdig, но выглядит, конечно, куда приятней.
https://github.com/draios/sysdig-inspect
#sysdig
@
Записки админа
📉 Разбираемся с sysdig и csysdig - утилитами для мониторинга работы процессов и активности системы в реальном времени.
📗 Открыть на сайте
#будничное #sysdig #scysdig
@
Red Hat Enterprise Linux Network Performance Tuning Guide
А вот рекомендации по оптимизации уже от Red Hat. Там уже не только sysctl.
#будничное #sysctl
🆖 Небольшой мануал о том, как подружить между собой ModSecurity и Nginx. Ставим, настраиваем, проверяем работу и получаем почти что ModSecurity WAF для Nginx Plus.
📗 Открыть на сайте
#будничное #nginx #modsecurity
🏷 Пара слов о том, что такое CAA запись, для чего она нужна, как её правильно использовать для защиты своего домена и сайта, и как её можно быстро сгенерировать с помощью https://sslmate.com/caa/
📗 Открыть на сайте
#будничное #ssl #dns #caa
А вы уже прописали CAA для своих доменов?
✅ - Да, CAA уже использую.
❎ - Нет, CAA не использую.
https://www.youtube.com/watch?v=8IksUajJZ04
Трансляция от Selectel. Вдруг кому-то будет интересно. 🤓
Начальный курс по Google Cloud Platform от CBT Nuggets.
#видео #google
Слушайте, давно хотел на эту тему поговорить, а тут и повод нашёлся, и время появилось. Для многих всё будет очевидным, для кого-то покажется скомканным, но всё же.
Для начала предыстория - недалече как вчера, появилась заметка о том, как ФБР арестовали далеко не малолетнего, но к сожалению, дебила, терроризировавшего человека через интернет. Сама по себе драма интереса не вызывает, там всё как обычно - парень получил доступы к данным жертвы, слил себе что-то приватное, а после начал творить всякое.
Интересно в данном случае другое - пойман парень был с помощью данных, полученных от VPN сервиса PureVPN, которым пользовался для своих тёмных делишек. И всё бы ничего, только вот PureVPN, до последнего позиционировал себя как сервис, который не следит за активностью пользователей и не ведёт логи, фиксируя только время посещения.
Такие дела.
Помнится, на канале я проводил опрос о доверии к сторонним поставщикам услуг VPN, тогда выяснилось что не многие, но всё же доверяют сторонним компаниям. По моему, это действительно хороший повод задуматься, а стоит ли так поступать? Стоит ли верить стороннему, пусть и популярному сервису, обещающему приватность и анонимность? Аналогичный вопрос к сервисам-обзорщикам провайдеров, которые якобы что-то там проверяли и убеждались в чём-то.
К слову, после того опроса, мне некоторые приводили в качестве аргумента репутацию и известность сервиса. Якобы известный сервис вряд ли станет подставлять сам себя, ведь тогда доверие к нему будет подорвано. Передаю привет этим читателям отдельно.
На мой скромный взгляд, сегодня пользователю доступно большое количество разных, готовых к работе решений, которые позволяют всего за один вечер (а то и быстрее), пусть не детально, но разобраться в вопросе, и настроить собственный VPN для своих нужд.
Некоторые конечно же могут подметить, мол, вероятность ошибки при самостоятельной настройке у пользователя будет выше, чем вероятность ошибки у сервиса, который этим занимается. Соглашусь. Однако я смотрю на это примерно так - пусть лучше что-то пойдёт не так из-за моей собственной ошибки, чем всё развалится из-за того что сторонний сервис сделал что-то, решил закрыться, оказался прижат к стенке, или решил вдруг стать белым и пушистым и кому-то там помогать.
Да, собственный сервер требует определённых знаний, да, он будет стоить пользователю каких-то денег (аж от 1 евро\месяц), и да на настройку потрбуется время. Однако при этом, настроив всё необходимое, пользователь выиграет гораздо больше, чем несколько часов сэкономленных при использовании стороннего решения. Имея собственный сервер, пользователь останется хозяином своих данных, а это, как мне кажется, многого стоит сегодня.
Я уверен, большинство читателей канала уже давно работают через свои собственные VPN серверы, но есть и те, кто всё ещё пользуется чем-то публичным. Подумайте, друзья, оно вам действительно нужно?
https://thehackernews.com/2017/10/no-logs-vpn-service-security_8.html
https://torrentfreak.com/purevpn-logs-helped-fbi-net-alleged-cyberstalker-171009/
#естьмнение
P. S. Сообщением выше есть опрос о дополнительном канале связи. Если ещё не поучавствовали в нём, обязательно прокрутите и ответьте. Это важно. Спасибо.
То что могло бы быть отдельными постами, но в связи с поломкой планшета превращается в публикации-коротыши.
1. В личные сообщения подемтили, что если проект TurnKey вам показался интересным, то стоит так же обратить внимание и на Bitnami. Большое количество разных приложений, работа с облачными сервисами, и всё то что многие любят сегодня.
https://bitnami.com/
2. В уютненьком @safelinux чатике напомнили, что вебинар по Intel ME от Positive Technologies уже прошёл. Тем кто пропустил, но был заинтересован ссылка ниже. Те кто не любит ходить дальше Tlg, зайдите в указанный выше чат, там видео ещё вчера было загружено и готово для просмотра.
https://youtu.be/PiUd2v4bejM
P. S. Никогда не начинайте настройку техники за несколько часов до отъезда. Это как с серверами и их обновлением за несколько часов до нового года. 😔
#фидбечат
Скрипт для автоматической настройки StrongSwan VPN сервера для Ubuntu и Debian.
https://github.com/philpl/setup-strong-strongswan
#фидбечат #strongswan #vpn
📖 Я думал что таким уже давно никто не занимается, но нет. Потребовалось ограничить рефспам атаку на сайт одного из клиентов. По ситуации появилась соответствующая заметка.
📗 Открыть на сайте
#будничное #nginx #refspam
Начнём месяц с Github'а, пожалуй. Вот, например, занятный репозиторий, созданного на основе Ansible инструмента, который за одну команду (как обещают создатели), превратит сервер на Ubuntu в машину противовеса цензуре.
https://github.com/jlund/streisand/blob/master/README-ru.md
Загляните за утренним (обеденным?) кофейком, возможно проект покажется интересным.
#ansible #security
А теперь ребята готовят вебинар на эту тему. Заявлено бесплатное участие для всех желающих, но требуется предварительная регистрация. Загляните если интересно:
https://www.ptsecurity.com/ru-ru/research/webinar/285539/
#intel
Ещё один неплохой pastebin сервис в коллекцию ссылок:
https://glot.io/
Желающие могут сделать себе такой же, исходники доступны на Github:
https://github.com/prasmussen/glot
#фидбечат #pastebin
Записки админа
🐧 Несколько слов о Linuxbrew. К нему я в будущем буду время от времени обращаться при установке какого-то ПО с гитхаба, так что эта заметка точно лишней не будет.
📗 Открыть на сайте
#linuxbrew #brew
@
Записки админа
К слову, как раз сейчас sysdig проводит двухдневную конференцию. Запись прошедшего дня уже есть на ютубе:
https://youtu.be/-Z17GnfcmFU?t=2007
Трансляция второго дня так же будет доступна на канале sysdig'а. Ребята основательно проходятся по теме контейнеров, поднимают вопросы безопасности, показывают свои продукты, работающие на основе sysdig и обещают ещё много интересного. Пожалуй, вечерком, под чаёчек, стоит запустить и посмотреть.
#видео #sysdig
@
Записки админа
Меж тем, в ядре обнаружена очередная уязвимость (CVE-2017-1000253), которая позволяет при её использовании повысить привилегии в системе. Под ударом оказались версии:
- CentOS 7 до выпуска 1708;
- RHEL 7 до выпуска 7.4;
- CentOS и RHEL 6;
В последних обновлениях CentOS 7 и RHEL 7 уязвимость была закрыта, так что обязательно установите их, если ещё не сделали этого.
Подробности можно найти здесь:
http://seclists.org/oss-sec/2017/q3/541
#security #kernel
@
⚙️ ️Буквально пара слов и примеры использования параметров ядра для увеличения производительности сети. Не претендую на истину в последней инстанции, просто записал то, что в разных ситуациях на разных площадках использую сам.
📗 Открыть на сайте
#будничное #sysctl
💭 Помогая одному товарищу, пришлось оперативно вспомнить старый добрый DDOS Deflate и его использование. Собственно, заметка по работе с этим скриптом прилагается.
📗 Открыть на сайте
#будничное #ddos
👨🏼💻 Заметка о настройке rate limit в Nginx. Небольшой разбор настройки ограничений и создание белого списка для них.
📗 Открыть на сайте
#будничное #nginx
Очень маленький командный интерпретатор.
https://github.com/rain-1/s
#shell
Тем временем, мой Wordpress прислал уведомление о том, что он обновился до версии 4.8.2. Разработчики закрыли 9 серьёзных проблем безопасности (SQL injection и пачка XSS), так что обязательно обновитесь, если ещё не сделали этого.
Подробности здесь:
https://goo.gl/msR29d
К слову, судя по всему, CVE-2017-8295 разработчики так и не закрыли. При том что первые репорты об уязвимости получили ещё аж в июле 2016.
Подробности уязвимости можно найти здесь:
https://goo.gl/ZKwABg
Если кратко - злоумышленник может сформировать определённый HTTP запрос, содержащий предустановленную переменную hostname и в то же время инициирующий сброс пароля для нужного пользователя. В ходе выполнения атаки, письмо будет отправлено на почту того пользователя, чей пароль сбрасывается, но в полях From и Return-Path уже будет стоять ящик атакующего на проблемном домене.
Если атакующий, при этом, сделает так, что почта пользователя окажется не доступна, то письмо для сброса пароля будет перенаправлено на email злоумышленника. Так же, при ответе пользователем на письмо (Но разве на них кто-то отвечает?), ответ уйдёт злоумышленнику.
Проблема актуальна на серверах с Apache, и так как патчей и исправлений разработчиками представлено не было (они, судя по всему, не считают эту проблему критической), специалисты рекомендуют в конфиге апача использовать опцию UseCanonicalName, которая позволит установить статическое значение SERVER_NAME, что не даст злоумышленнику подменить переменную.
#wordpress #security