Keycloak как OIDC-провайдер для Kubernetes: наводим порядок с доступами
В какой-то момент почти в каждом Kubernetes-кластере наступает день, когда kubeconfig с правами cluster-admin перестаёт быть временным решением и внезапно становится: так исторически сложилось. Пользователей становится больше, доступы плодятся, а вопрос: кто и зачем может удалить namespace в проде?...
Контроль целостности с помощью inotify, недостатки инструмента
Привет, Хабр! Если интересно проанализировать недостатки инструмента inotify с позиции решения ИБ-задачи контроля целостности (именно самого инструмента в его первозданном виде), то добро пожаловать под кат! Введение Давайте поговорим о такой задаче информационной безопасности, как контроль...
На волне хайпа: Security-аудит AI-агента Clawdbot
2026 год. AI-агенты с доступом к вашему ПК — уже реальность. Но насколько это безопасно? Провёл комплексный аудит Clawdbot (~1300 файлов) по OWASP Agentic Top 10, STRIDE и CWE/SANS. Результаты: eval() включён по умолчанию, нет rate limiting, 50 реальных сценариев атак — от reverse shell до...
[Перевод] Управление нагрузкой на периферии: масштабирование мониторинга файлов на базе eBPF
Мониторинг целостности файлов выглядит простым ровно до тех пор, пока не пытаешься сделать его полезным для расследований и одновременно не убить прод. Сканы пропускают «изменил и откатил», inotify не даёт нужного контекста, auditd начинает стоить слишком дорого. В Datadog пошли через eBPF и...
Почему все сканеры и IDS не заменят понимания сети
Статья о том, почему в реальной инфраструктуре знание сетей даёт больше, чем любой набор инструментов безопасности. Про сегментацию, реальные потоки данных и то, почему инструменты часто показывают последствия, а не причины. Читать далее...
Побойтесь ДевОпса сударь…
Как-то, у нашей компании накопился ряд задач, связанных с администрированием наших серверов, и руководство приняло решение, что всё-таки нам нужен DevOps, который закроет наши вопросы и будет в долгую сопровождать нашу команду. Решились. Разместили на https://hh.ru/ вакансию. Нашли человека в...
DevSecOps или задача трех тел
Если совершенно случайно в вашей работе возникают критические ошибки на проде, которые исправляются слишком долго. А еще, возможно, специалисты по безопасности начинают выявлять уязвимости только после релиза. Или вдруг в команде используются ручные проверки, например: сборки кода выгружаются...
«Элементарно, Компот!»: разбираем задания киберучений CyberCamp 2025
«Собака BUGскервилей» и «Однажды в Bravera Capital» — вы, наверное, подумали, что это названия свежих детективных романов? На самом деле это заголовки заданий киберучений главного онлайн-кэмпа по практической кибербезопасности CyberCamp 2025. Задания CyberCamp 2025 стали еще ближе к реальным...
DevSecOps для всех: как развернуть стенд за 15 минут
Перед каждой презентацией одна и та же история: собираешь инфраструктуру вручную, молишься богам DevOps и придумываешь отговорки на случай внезапных багов. С DevSecOps особенно весело: мало установить сам продукт, нужен целый зоопарк из GitLab, Kubernetes, сканеров безопасности и систем управления...
Скважины, потоки и GC: как Java помогает качать нефть и сохранять ИТ-ресурсы и кадры
Многие промышленные системы ТЭК десятилетиями держались на Java. И это помогло им избежать полного ребилда. Если коротко: нефтегазовые компании в России не стали переписывать свои системы с нуля — они просто остались на Java. Только теперь — на отечественной. Читать далее...
Архитектура Rootless Podman: Полное руководство по контейнерам
Контейнеры без root, где каждый процесс запускается от имени обычного пользователя. Как это работает? Как обычный пользователь может изолировать процессы, создавать сетевые пространства и управлять хранилищем без единой привилегии? Давайте разберемся, что скрывается за rootless Podman :) Читать...
User Namespaces в Kubernetes
Уважаемые коллеги, добрый день! Одно из самых интересных последних фич в безопасности для Kubernetes, которое появилось, это реализация User Namespaces в Kubernetes. В этой статье мы разберемся, как простое включение User Namespaces одной строчкой может улучшить безопасность в несколько раз. Читать...
DevSecOps практики CUSTIS: социальная инженерия
С каждым годом роль DevSecOps в обеспечении безопасной разработки ПО становится всё больше и больше. Масло в огонь подливает стремительное развитие ИИ. Больше не в моде письма от «нигерийских принцев» и многомиллионных выигрышах. На смену им пришли дипфейки, имитирующие голос, внешность и поведение...
Как мы изобрели свой велосипед с vuls и запустили сканирование уязвимого ПО на базе OpenSource решения
Как сканировать любую инфраструктуру на уязвимости — без агентов, бесплатно, через Jump Host и без боли? Мы в K2 Облаке искали именно такое решение — и не нашли. Зато взяли Open Source-инструмент Vuls и сделали из него полноценный автоматизированный сервис с GitLab-интеграцией, красивыми...
Как подружить Bitwarden CLI с пайплайном деплоя
Недавно впервые занялся деплоем своих проектов и столкнулся с привычной для новичка проблемой: как аккуратно подгружать секреты для бэкенда и фронтенда. На словах всё просто: подключи .env. На деле — копипаст, дублирование, отсутствие истории и точного контроля доступа. Решение — Bitwarden Secrets...
Foreman в изоляции: как мы построили отказоустойчивую и безопасную систему для массового деплоя ОС
Делимся опытом трансформации нашей инфраструктуры: от децентрализованных экземпляров Foreman с публичными IP до защищённой, изолированной архитектуры с централизованным управлением через GitLab, повышенной безопасностью и легкой масштабируемостью. Читать далее...
Мы доверяли фрилансеру. Он ушёл — и унёс всю инфраструктуру с собой
Кажется, выстраиваешь стартап на доверии, а потом внезапно обнаруживаешь, что главный технический специалист… не оставил тебе даже пароля от GitHub. Ни в шутку, ни в полсилы. Всё, с чем работала команда: домены, серверы, CI/CD, база клиентов, мониторинг - оказалось привязано к личным аккаунтам...
Успех секрета: как доставлять секреты в приложения безопасно и без головной боли
Мы видели много инфраструктур и встречали самые разные способы доставки секретов в приложения, развёрнутые в кластерах Kubernetes. Но ни один из этих способов не был одновременно удобным и по-настоящему безопасным. В статье расскажем про существующие варианты, посмотрим на их плюсы и минусы и...