С весной приходит тепло, а со средой — новостной дайджест на DevOps FM.

🟡 OpenSSF выпустили сборник по безопасности и open source проектов.

Open Source Security Foundation опубликовали Security Baseline for Open Source Projects — документ с набором рекомендаций, направленных на повышение уровня безопасности проектов с открытым исходным кодом.

Что туда входит:
• Процессы для выявления, отслеживания и устранения уязвимостей в проектах;
• Практики по безопасному управлению зависимостями (OSA/SCA);
• Требования к созданию документации, а также рекомендации по управлению правами доступа к репозиториям и CI/CD.

Критерии безопасности и элементы управления, которым должны соответствовать проекты, организованы по уровню зрелости и категориям. Прочитать можно тут и на GitHub.

⚫️ HashiCorp — всё. IBM завершили сделку по приобретению компании.

Новости о покупке появились еще в апреле прошлого года. Не смотря на это, HashiCorp продолжит работать под своим названием и после поглощения, являясь подразделением IBM.

С этим приобретением IBM стремится продолжать инвестировать в возможности HashiCorp и расширять их, и вместе с ведущими технологиями HashiCorp и обширным сообществом разработчиков, наша цель — внедрить технологии HashiCorp в каждый дата центр.

О возможности возвращения продуктов HashiCorp (Terraform, Vagrant, Packer, Hermes, Nomad) на открытую лицензию все еще ничего не известно.

🟡 Cloudflare блокирует пользователей непопулярных браузеров, считая их подозрительными.

Пользователи браузеров Pale Moon, SeaMonkey, Falkon и других сталкиваются с блокировкой доступа к сайтам из-за системы защиты Cloudflare. Алгоритмы компании ошибочно принимают эти браузеры за ботов, что приводит к бесконечным циклам загрузки или полному отказу в доступе.

Жалобы на блокировки поступают с 2015 года, и несмотря на периодические исправления, проблема продолжает возникать снова и снова. Популярные браузеры также не гарантируют доступ — с ограничениями сталкиваются пользователи старых версий, например, Firefox 115 ESR.

Cloudflare ориентированы на корпоративных клиентов, и у обычных пользователей нет прямого способа сообщить о проблеме, кроме форума сообщества. Что иронично, доступ к нему также может быть ограничен для вышеперечисленных браузеров.

#devops #opensource #security

Выкатываем средовую подборку, ловите!

🟡 HashiCorp выпустили статью о эфемерных значениях в Terraform.

Ephemeral values позволяют безопасно работать с чувствительными данными без их сохранения в state-файле. В статье разбираются эфемерные ресурсы, write-only аргументы и механизм отложенного выполнения, предотвращающие утечки секретных данных.

⚫️ Релизнули FreeBSD 13.5

В новой версии обновили LLVM и его компоненты до версии 19.1.7; устранили проблему 2038 года в UFS1 (даты теперь поддерживаются до 2106 года) и добавили пару фичей, например запуск sysctl и ip6addrctl в изолированных jail-окружениях.

Обновляемся тут.

🟡 GitHub разобрали практический подход к решению проблем с утечками конфиденциальных данных. О том, как выявлять и устранять утечки токенов и паролей, а также рекомендации по защите данных читаем в статье.

Вместо того, чтобы зацикливаться на вопросе «насколько вы уязвимы», вы должны изначально предполагать худшее. Ваши конфиденциальные данные полностью раскрыты; считайте это данностью.

⚫️ Луки Каваллин опубликовал вводный разбор устройства ядра Linux.

Автор рассказал о ключевых механизмах, практических аспектах разработки в ядре, отличиях от пользовательского пространства и различных сложностях. Будет полезно тем, кто хочет глубже разобраться во внутренней архитектуре Linux.

#Devops #GitHub #Security #Linux

The worst time to find out you are missing logs is during an incident!

Сегодня делимся полезной серией о том, как подготовиться к облачным инцидентам. Команда Invictus IR подготовила серию статей, посвящённых стратегии реагирования на инциденты в облаке — от настройки логирования до подготовки инфраструктуры.

Первая часть — практическое руководство о том, что нужно подготовить до инцидента, включая обеспечение доступа к ключевым ресурсам и настройку ролей.

Во второй части — ключевые логи в облаке: здесь основное внимание уделяется определению и приоритизации логов, необходимых для эффективного реагирования на инциденты в AWS, Azure и Google Cloud.

Третья часть — об инфраструктуре: как подготовить среду для быстрого анализа, локализации и устранения последствий атак, а также настройка логирования в AWS и Google Cloud.

#devops #security #devsecops #cloud

Начинаем рабочую неделю с занимательной статьи от Шарона Брызинова.

Удалили секрет из GitHub? Увы, он всё равно остаётся доступен. Даже после git reset --hard HEAD~1 с последующим git push --force коммиты не исчезают навсегда — GitHub хранит их в архиве и позволяет восстановить по хешу.

Исследователь автоматизировал поиск таких «висячих» коммитов, использовав GitHub Event API, GH Archive и TruffleHog и нашёл тысячи ключей и токенов. Один из них открывал админ-доступ ко всем репозиториям Istio, что могло привести к масштабной supply chain-атаке, но уязвимость вовремя устранили.

В статье — как Шарон он наткнулся на эту проблему, получил доступы к проектам Google, RedHat и других крупных корпораций и создал open-source проект для сканирования подобных утечек.

#devops #github #security