Posts of 3side кибербезопасности

Про инференс и ответственность Тут у Максимова в канале (на видео) много размышлений на тему безопасного инференса для ИИ. И тут получается интересно — у нас с развитием ИИ "кибербез" будет делиться на два направления, которые мы сейчас хорошо видим даже в стартапах. Первое — это классическая ИБ, пусть с использованием ИИ (как 4sec и множество других продуктов), то есть мы делаем принципиально все то же самое, просто другими методами, на другом технологическом стеке, с другой архитектурой, ML и прочим. А вторая — это непосредственно безопасность ИИ, и это просто другой мир, и мы вообще не уверены, что это "кибербез" в привычном нам понимании, это именно "безопасность ИИ". Тут даже классическая триада "конфиденциальность, целостность, доступность" немножко по-новому начинает ложиться. У нас главная проблема — не в их "нарушении" в явном виде а в том, следует ли модель первоначальной установке человека. И вот есть уже вагон примеров, когда нет, не следует даже прямым указаниям. А есть еще другой вопрос — кто отвечает за проблемы с ИИ. Вендор ИИ? Очевидно, нет, причем вне зависимости от страны происхождения, это не вопрос "суверенного" ИИ. Пользователь? Кажется, да, но это ломает привычную историю с перекладыванием ответственности. В общем, чем дальше, тем больше будет проблем.

Толерантность к чужим взломам Знаете за сегодня на звонках меня трижды спросили, "у вас наверное заказов то прибавилось". По мнению моих собеседников на это должно напрямую влиять число последних известных взломов. А их было много: - Binance - Росстат - Система оповещений в экстренных ситуациях в 2х странах - Хостинг Beget - Polymarket - Биллборды в Египте, демонстрирующие контент 18+ И это только известные случаи за последнюю неделю! Но это уже не кейс аэрофлота, это стало практически обыденностью, и потеряло значимость в глазах бизнеса. Уже не пугает, пока не коснется именно их. Именно поэтому мы никогда не "торговали страхами", как многие коллеги по рыку. А рассказывали честно и обучали. Сознательные заказчики всегда возвращаются к нам, а паникеры, то есть то нет.

Новый выпуск «КиберКухни» уже вышел! Темы выпуска: CTF как социальный лифт в ИБ: как ИИ изменит соревнования? Может ли школьник обойти опытных специалистов в CTF? Поможет ли ИИ победить в киберсоревнованиях? И как CTF помогает начать карьеру в информационной безопасности? Обсудили это с Виктором Мининым — Организатор Кубка CTF России и Летней школы CTF, председатель Правления Ассоциации руководителей служб информационной безопасности (АРСИБ), Руководитель направления «Цифровой наставник» ВОД Наставники России Вместе с ведущим Егором Шляховым разобрали, как меняются соревнования, чему действительно учит практика и что ценят работодатели. Смотрите новый выпуск «КиберКухня | Эгида-Телеком» на всех платформах: ▶️ YouTube ✴️Дзен 📹 RuTube ❤️ VK Видео

Binance и Polymarket взломаны Кажется этот день станет по настоящему черным для рынка криптовалют. На момент написания поста с криптобиржи Binance увели более $3,5 млрд, и появились первые подтверждения их взлома. Правда пока отрицают ущерб средствам пользователей, хотя что еще может говорить пресс-служба в такой ситуации? Параллельно приостановили платежи Polymarket, их взломали из-за атаки на цепочку поставок. Об ущербе пока неизвестно. Крипторынок уже реагирует и стоимость валют идет вниз. С интересом ждем возможной аттрибуции злоумышленников и отчета о расследовании после.

Обновляемая и агрегированная статистика по подтвержденным угрозам от Solar! Бесплатно, пользуйтесь) https://kiberboloid.ru/dashboard/

Итак, Телеграм весной отбрехались, что уязвимости в стикерах нет (твердо и четко) Но кажется подьехал долгожданный, но наглядный ответ от исследователя! Дыра есть, и она может использоваться как своего рода бекдор. Читать анонс доклада тут: https://www.offensivecon.jp/speakers/2026/saifeldeen-aziz.html Перевод на русский анонса: В начале этого года компания ZDI обнаружила критическую уязвимость в Telegram с первоначальным показателем CVSS 9,8, который позже был снижен до 7,0. В Telegram утверждали, что меры по устранению уязвимостей на стороне сервера сделали уязвимый код на стороне клиента недоступным. В этом докладе мы представляем результаты нашего независимого годичного исследования Telegram, показывающие, что это предположение неверно. В докладе рассказывается о множестве новых уязвимостей в Telegram, которые можно использовать без дополнительных действий, о множестве способов обхода мер защиты на стороне сервера и клиента в Telegram, а также о примитивах эксплойтов, которые мы разработали. Мы начали с фаззинга rlottie, библиотеки для рендеринга анимированных стикеров в Telegram, с помощью больших языковых моделей, и обнаружили множество уязвимостей, связанных с повреждением памяти, которые затрагивают клиенты Telegram на iOS, Android и ПК. Неожиданностью стали не только сами ошибки, но и то, насколько сильно модель рисков Telegram зависела от защиты от вредоносных стикеров с помощью проверки на стороне сервера. Затем мы показали, как обнаружили отдельные логические уязвимости в процессах доставки и проверки стикеров в Telegram, и объединили их в цепочку, превратив предположительно недоступную поверхность атаки rlottie в благодатную почву для поиска уязвимостей. Наконец, мы применили эти уязвимости к Telegram для iOS, чтобы добиться выполнения кода, и изучили ограничения получившегося эксплойта. Даже после того, как мы сообщили о своих выводах, Telegram продолжает полагаться в основном на меры по ограничению доступа, в то время как уязвимый код рендеринга по-прежнему используется в официальных клиентах. Мы оставляем читателей с непростым вопросом: следует ли считать эту модель — возможность нулевого клика, полностью контролируемую поставщиком защищенных сообщений, — мерой по смягчению последствий, архитектурным риском или чем-то вроде бэкдора?

No text

No text

No text

Папка освещения SOC-форума Завтра стартует форум, послезавтра на нем буду я. А чтоб точно ничего интересного не пропустить, Киберболоид собирает папку каналов, которые будут освещать мероприятие! Подписывайтесь) https://t.me/addlist/MxpxSuzywc9mYWRi

Кофе, SOC и логи. Эпизод №61, прямой эфир Через несколько минут начинаем, подключайте ваши безопасные интернет-приёмники с TLS 1.3, музыка уже играет здесь 🗣 https://itradio.su/streaming и тут 🗣 https://stream.itradio.su О чём: Обсуждение лучших новостей инфобеза за неделю с 19 по 25 октября 2026 г. Ведущие: Александр Антипов, Денис Батранков, Александр Копылов, Антон Клочков. Специальный гость: Антон Бочкарев, экс-редтимер, фанат социальной инженерии, создатель проектов 3side и 4sec, пытающийся защищать малый и средний бизнес. Когда: 25.10.2026 11:00 – ссылка на наш календарь Задаём свои вопросы в чате подкаста с тегом #csl61 ---------------------------------------- Слушайте новые эпизоды там, где вам удобно: https://pc.st/1729572913 Поддержать проект своим трудовым рублём: https://itradio.su/donations ----------------------------------------- @ITRadiosu #csl

SOC Forum 2026 изнутри 28 октября во второй день мероприятия я присоединюсь к редакции «Киберболоида» в кластере «Ломоносов». Буду ходить по интересным секциям, ловить интересных спикеров, и напишу для Киберболоида пару обзоров, обязательно поделюсь инсайтами! Возможно даже что-то снимем) Упор сделаю на визионерскую составляющую и будущее кибербеза. Также Киберболоид мне обещали показать и дать потыкать их новый дешборд киберугроз, обязательно посмотрю, оценю и покажу! Ловите меня у стенда редакции, буду рад пообщаться лично) Антон Бочкарев

Gitlab - тоже обновлять и срочно Ночь будет веселой! Еще один крит уже с оценкой 10.0 в GitLab CVE-2026-110264, выполнение кода без условий и очень просто.

Обновите PHP - это срочно Сегодня были выпущенны экстренные обновления для двух критических уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619). Если вы используете этот язык на вашем сайте, значит вам нужно срочно поставить обновления! Эты дыры будут использовать в ближайшие часы по всему Интернету. Безопасные версии: • 8.5.12 • 8.4.27 • 8.3.36 • 8.2.35 Все версии ниже указанных - уязвимы, если об этом напрямую не указано напрямую вашим вендором. После обновления до указанных версий обязательно перезапустите PHP-FPM. Если PHP установлен из репозитория дистрибутива (Ubuntu, Debian и иные), номер безопасной версии может отличаться, ориентируйтесь на обновление пакета безопасности от Ubuntu, Debian или другого дистрибутива. Как проверить, что из дистрибутива поставилась защищенная версия? Пример команды для PHP8.5: apt download php8.5-common dpkg-deb --fsys-tarfile php8.5-common_*.deb \ | tar -xO ./usr/share/doc/php8.5-common/changelog.Debian.gz \ | zcat | head -80 Если в чейнжлоге пишет про уязвимости CVE-2026-109618 и CVE-2026-109619, то все ок, ставим последнюю версию по чейнжлогу, например так: sudo apt install -y php8.5 php8.5-cli php8.5-fpm php8.5-common \ php8.5-mysql php8.5-curl php8.5-mbstring php8.5-xml php8.5-zip \ php8.5-gd php8.5-intl php8.5-bcmath Проверяем, что встала последняя версия, пример: dpkg -l | grep php8.5-common # должно быть 8.5.4-0ubuntu1.5 Если обновиться сразу не получается - это ОЧЕНЬ плохо, но • Отключите upload_progress. Задайте session.upload_progress.enabled = 0 в php.ini или в настройках пула FPM, через ini_set() и .user.ini это не сработает. Затем перезапустите все воркеры PHP-FPM. • Ограничьте размер запросов. Если загрузка файлов не нужна, задайте post_max_size = 8M , если нужна, то 32M , а upload_max_filesize сделайте меньше post_max_size . • На PHP 8.5 дополнительно задайте fatal_error_backtraces = 0 . Эти меры снижают риск, но не защищают полностью, поэтому обновиться все равно нужно как можно быстрее. P.S. Я по одному из наших проектов проверял версию по будильнику из такси, раздавая себе интернет с телефона. Так себе удобство, но как иначе? Зато я уверен.

Кофе, SOC и логи. Анонс №61 О чём: Обсуждение лучших новостей инфобеза за неделю с 19 по 25 октября 2026 г. Ведущие: Александр Антипов, Денис Батранков, Александр Копылов, Антон Клочков. Специальный гость: Антон Бочкарев, экс-редтимер, фанат социальной инженерии, создатель проектов 3side и 4sec, пытающийся защищать малый и средний бизнес. Когда: 25.10.2026 11:00 – ссылка на наш календарь Трансляция будет здесь🗣https://itradio.su/streaming и тут 🗣 https://stream.itradio.su Задаём свои вопросы в чате подкаста с тегом #csl61 ----------------------------------------- Слушайте новые эпизоды там, где вам удобно: https://pc.st/1729572913 Поддержать проект своим трудовым рублём: https://itradio.su/donations ----------------------------------------- @ITRadiosu #csl

"США читают ваши ДТП": разбираем новость Mash ТГ-канал Mash написал, что данные о российских машинах, авариях, штрафах и владельцах, включая чиновников и военных, через компанию Audatex доступны американскому фонду Vista Equity Partners! Сильное заявление, мы проверили по открытым данным и реестрам. Цепочка владения полностью подтверждена По ЕГРЮЛ единственный участник ООО "Аудатэкс" - голландская Audatex Network Services Netherlands B.V. Обе компании перечислены среди дочерних обществ американской группы Solera в её проспекте IPO 2024 года в SEC. Solera была куплена в 2016 году фондом Vista Equity Partners. Через калькуляторы "Аудатэкса" страховщики, СТО и эксперты считают ремонт по ОСАГО и КАСКО. А платный сервис AudaHistory за 160 рублей показывает по VIN историю расчётов ремонта с 2005 года. Что не подтверждено "Данные МВД и ФССП уходят в Audatex". Доказательств этому нет и само собой ФССП заявляет, что Audatex не подключён к межведомственному обмену. Это максимально логично, ведь российское ООО - разработчик ПО, а не страховщик или госорган. "Легально трансгранично передаёт". В реестре операторов ПДн РКН у "Аудатэкс" все чисто, никакой трансграничной передачи нет, базы в России. Но насколько это правда, а не ширма? Неизвестно. Данные текут и в обход ДТП с 2015 года, ограничения и розыск по VIN любой может посмотреть на сайте Госавтоинспекции. Для этого не нужны ни фонд, ни ЦРУ. Активно торгуют базами страховщиков на форумах, они появляются в ботах-пробива, и даже в специализированных сервисах для автоподборщиков. В чем еще может быть проблема Юрисдикция. Американский CLOUD Act позволяет требовать данные у компаний под контролем США, даже если сервер стоит в другой стране. Локализация решает, где лежат данные, но не решает, кто владеет компанией и данными. То есть фактически данные "защищены" и в "суверенном ЦОД", но в любой момент могут быть запрошены в нарушение 152-ФЗ. Зависимость от вендора. Все споры по ОСАГО держатся на одном иностранном поставщике! Причем на фактически зарубежном, звучит как проблема. Итог - Mash прав Цепочка юрлиц до владения США подтверждается документами. Тезис «США имеют доступ» и да, и нет, фактов передачи мы не нашли, "на бумаге" этого нет, если не нарушается 152-ФЗ, а ведь у нас же совсем его никто не нарушает, верно? А вот правильнный и важный вопрос "кто в итоге контролирует данные российского ООО"! Американцы могут по закону запросить все данные! А сколько у нас еще таких "наших" компаний, данные которых могут в любой момент запросить из США из наших суверенных ЦОДов?

FirstVDS взломан Но не по их вине. Оказывается, в современной панели управления хостингом vmmanager 6 была критическая и до жути простая уязвимость! Она позволяла через ссылку на iso-образ передать еще и команду, которая немедленно выполнялась от имени root на стороне сервера панели. То есть любой клиент мог в 1 строчку захватить сервер хостера! Как уязвимость не была найдена ранее в столь популярном и критичном продукте? Неизвестно. По сообщениям FirstVDS злоумышленники массово собирали пароли, ключи и токены со всех доступных им серверов, хостер уже разослал инструкции потенциально пострадавшим. Всем остальным хостерам, использующим данную панель, срочно проверить себя на следы компрометации.

Боты пробива — ветряные мельницы Знаете, всё больше вижу активности вокруг борьбы с ботами пробива, но что произойдёт, если они окончательно уйдут в подполье? Это урежет лишь массовое использование утечек! У всех, кто их использовал во зло, доступ останется. Фактически это лишь скроет вершину айсберга и усложнит мониторинг с благими целями. Конечно, основная проблема тут — источники. Боты ведь только агрегаторы, строятся они на утекших базах. А что у нас утекло и сейчас присутствует на форумах? Кое‑что гораздо страшнее «Додо Пиццы»: * База «Роспаспорта» Там 1,2+ млрд строк с данными на декабрь 2021 года. Говорят, там суммарно данные примерно 160 млн граждан России, а именно — документы с фотографиями и адреса! * Объединённая база «Туроператоры» Там 126+ млн строк с данными на июнь 2026 года. Говорят, утекло из fstravel.com, tui.ru и samo.ru. Данные о пассажирах, их заказах, визах и подобное. Если бы подобных утечек не было, то и боты были бы не нужны. Оборотные штрафы введены, но они так и не применяются. А А уж кто ответит за массовые утечки государственных структур? Ведь именно они опаснее всего!

Рекламный баннер, который вас взломает Google шесть лет держал израильскую компанию Discover-Tech в списке проверенных рекламных партнёров — пока ее баннеры заражали устройства жертв шпионскими программами. Нажимать ничего было не нужно: было достаточно, что реклама просто появилась на экране. Её баннеры шли через Яндекс и Google, крутились в Viber и Duolingo, на BBC и «Нью-Йорк таймс», попадали в сети НАТО и российских госорганов. А в совете директоров сидел человек, который раньше продавал Pegasus. Доказано заражение сотрудников «Аль-Джазиры», но это лишь вершина айсберга. По данным исследователей, атаки шли как минимум в девяти странах, а «подходящими» для вредоносного кода система отметила больше 3,6 миллиона человек. Кто за этим стоит и как выпускники подразделения 8200, продавцы Pegasus и Predator и одна рекламная фирма связаны с теневой империей израильского кибершпионажа? Рассказываем по отчёту канадской Citizen Lab.

⏹️Хакеры ударили не по данным, а по товару Хакеры вмешались в системы управления холодильниками Danfoss в сотнях французских магазинов, включили длительную разморозку и испортили продукты. ⏪ Атаковали не отдельные холодильники, а общие контроллеры, доступ к которым часто открыт через интернет для подрядчиков, объясняет основатель 3side/4sec Антон Бочкарев: «В этом режиме камеры штатно нагреваются, чтобы растопить лед. Просто его продержали часами» ⏪ CEO «белых хакеров» Singleton Security Егор Богомолов отмечает: «Атака на инженерку бьет не по данным, а по физическому товару и людям. Тут нельзя “восстановиться из бэкапа”» Полностью исключить кибератаки невозможно, отмечает председатель ПК РАД КОП Рустам Гусейнов. Поэтому защита оборудования должна сочетаться с готовностью быстро восстановить работу после инцидента. 1⃣2⃣3⃣4⃣ Подписаться

Подтверждено: вас можно взломать через рекламный баннер. Даже без клика по нему. Мы тут много писали про израильский "наступательный" кибербез — например, как одна из местных компаний (умышленно или нет) засветила интерфейс управления системой для взлома мессенджеров. Теперь есть история еще фееричнее. Исследовали из канадской Citizen Lab вчера еще раз технически доказали: шпионское ПО можно доставлять через обычную таргетированную рекламу. Технику назвали AdFection, работает это так: израильская компания Discover-Tech выдавала себя за провайдера интернет-рекламы и покупала показы в Google, Yandex и других сетях. Баннер выглядел совершенно безобидно, но в момент показа незаметно сообщал серверу, кто его видит. Если этот человек был в списке целей, на телефон приходил вредоносный код и устанавливал шпионскую программу. Если нет, ничего не происходило, поэтому проверки рекламных сетей ничего подозрительного не находили. Именно так взломали как минимум 45 устройств сотрудников телеканала Al Jazeera, а в реальности - почти наверняка и множество других. За четыре месяца компания попыталась показать свою рекламу почти 4 миллиарда раз. Баннеры появлялись в Viber, Duolingo, Truecaller и на 120 тысячах сайтов, в том числе в сетях НАТО, Еврокомиссии, министерств обороны разных стран и российских госорганов. Вишенка на торте: Google годами держал эту компанию в списке «сертифицированных» партнёров. Хотите знать больше? Традиционно, если этот пост наберет 50 реакций, мы детально и подробно опишем, как все это произошло!

Народное голосование Всем привет, тут началось народное голосование премии: «Новая элита кибербеза» Я участвую в номинации ИБ-предприниматель, по результатам народного голосования сформируют шорт-лист, а далее будет оценка жюри, поэтому буду рад поддержке! Правда нас, ИБ-предпринимателей до 33 лет включительно всего трое, поэтому интересно, как будут выбирать? Голосовать тут: https://secpost.ru/rating-eleet

Datasuckers: ломали тех, кто ломается Была такая группировка в далёком 2011 году — называлась LulzSec. Пора её вспомнить, уж очень похожая вышла ситуация. Девиз LulzSec был прост: «Мы проорали с вашей безопасности». Они ломали всех, до кого могли дотянуться, достаточно простыми методами и очень громко об этом заявляли, обязательно публикуя материалы. Целились именно в крупные и известные компании. Тогда СМИ писали о них как о гениях и самой крутой группировке, хотя на деле они лишь собирали низковисящие фрукты. И вот новоиспечённая группа Datasuckers делала ровным счётом то же самое. Буквально недавно они взломали TezTour, Dodo Pizza и украинский ATBmarket. После взломов они активно пиарились, общались с аудиторией в комментариях в своём ТГ-канале, выкладывали материалы, включая отчёты по взлому! Что мы увидели в отчетах? Работу прокачанной нейронки с поддержкой специалиста уровня junior+ / middle-pentester. Никаких уязвимостей нулевого дня, редких техник, непубличных эксплойтов, кастомного вредоносного ПО. Буквально, любой пентестер мог это повторить, а при должной удаче и студент с хорошей нейронкой. По поводу того, где живут участники группы, тут внутри нашей команды мнение разделилось - версии были разные (Украина, Европа, иные страны). Но всегда мелькало и мнение «они просто не думают о последствиях» и могут жить в зоне досягаемости Российского правосудия, что в итоге и оправдалось! СМИ пишут, что первого их участника уже задержали. Им оказался 19-летний парень из Барнаула. Как именно его нашли - подробно не пишут, но кажется, у него в какой-то момент засветился домашний IP =) Остальные участники тоже установлены, пишут о гражданах Казахстана и Беларуси. Вспоминаем и взлом Гемотеста, где злоумышленник транслировал весь взлом в свой личный ТГ-канал, где не скрывал свою личность, буквально записывая кружочки! Итого Что LulzSec, что взломщик Гемотеста, что Datasuckers - получили свою минуту славы за взлом того, что получилось сломать, и были арестованы. Стоило того? P.S. Пост перевыложили, так как Markdown оказывается на разных устройствах выглядит по разному и поэтому текст с ним получается уродлив! Пока от экспериментов с ним откажемся.

Для тех кто перепугался что это нейропост, писалось человеком! Просто Телеграм с премиумом теперь умеет в Markdown и можно нормально оформлять посты, если на это есть время) P.S. Второй пост же написал Артем, без форматирования нейронкой, разница режет глаз, да!

ЦОДы под землей системно строит только одна страна. Но есть ... НЮАНС На самом деле, в мире есть только одно государство, которое сейчас системно строит крупные ЦОДы (коммерческие в том числе) под землей. Это Израиль. И там действительно все довольно серьезно. Например, иерусалимский ЦОД Bynet Data Centers в технопарке Хар-Хоцвим. Комплекс занимает около 14 000 м² и расположен под пятью уровнями парковки и офисной башней в 17 этажей. Сам ЦОД — это четыре этажа на глубине около 50 м. Для понимания, строительство обошлось примерно в $57 млн — это где-то в 2-4 раза дороже чем у Яндекса. Тут правда надо понимать тонкий момент. В Израиле с 2013 года есть конкретные требования по физической безопасности финансовой инфраструктуры, которые включают в себя (кроме очевидных вещей) соответствие сценариям национальных угроз. Проще говоря, ЦОД должен выдерживать попадание ракеты и взрыв рядом с ним. С 26 года критические данные нельзя хранить и обрабатывать за пределами Израиля (там требования даже жестче чем наш 152-ФЗ). Да, в Израиле государство оплачивает населению и бизнесу прямой ущерб от военных действий (считается, что армия существует на налоги и должна защитить страну, а если произошел ущерб, то это вина государства). Но простой, штрафы за нарушение SLA оно не оплачивает — и ЦОД под землей это буквально единственное решение. А теперь думаем. В 2024 году по территории Израиля было выпущено около 350 баллистических ракет. В 2025-26 уже по 650 в год, плюс десятки тысяч ракет РСЗО и тысячи БПЛА за тот же период. Да, большинство были перехвачены. Но кажется, тут начинаются риски немного другого порядка. И вот если вы ожидаете подобной ситуации, то ЦОДы логично убирать под землю. Если нет — то стоит считать ценник. Надземных ЦОДов в Израиле, кстати, тоже хватает, их там вообще много (рынок всего ~ в 3 раза меньше чем в РФ).

No text

No text

Один график, который не о том. После ударов по дата‑центрам Яндекса на графике глобального анти‑DDoS‑провайдера Cloudflare произошло значительное падение трафика со стороны сетей Яндекса в России. Одна проблема: график называется «Bot vs. Human». А значительная часть людей, особенно зарубежных журналистов, воспринимает слово «bot» лишь в контексте написания автоматических комментариев в соцсетях. Как правило для рекламы или пропаганды. И как журналисты трактовали график? «Так и надо, интернет станет чище» — в таком ключе написали куча респектабельных СМИ, аккаунтов в соцсетях, а робкие попытки возразить никто не слышит. А на деле как? Яндекс - поисковая система, помните ещё? И bot‑трафик от Яндекса — это автоматический обход интернета, чтобы поисковик работал. Так же, как обходит весь интернет Google или иные поисковики и платформы сбора данных — например, Shodan. Собственно, Cloudflare публикует общую статистику запросов, не разделяя их по типам. Отдельная статистика по ботам‑комментаторам есть только у самих соцсетей. Но люди видят только то, что хотят видеть и к чему привыкли.

❤️ Что зарезервировать, чтобы пережить потерю ЦОДа: памятка За неделю из строя вышли три площадки Яндекса: Сасово, Калуга и Владимир. Yandex Cloud перешёл в аварийный режим. К сожалению, быстро восстановить работу проекта в такой ситуации помогает только наличие резерва и/или бэкапов у другого провайдера. Мы подготовили для вас памятку: Что можно и нужно проверить сейчас, чтобы в случае подобного форс-мажора иметь возможность быстрого восстановление проекта. Бэкапы должны храниться у другого провайдера или на собственном оборудовании вне основного дата-центра. ➡️Что обязательно нужно сохранить 1. Базы данных • Полные бэкапы PostgreSQL, MySQL и других используемых СУБД. • Журналы транзакций (WAL, binlog), если важно восстановление на конкретный момент. • Конфигурации СУБД, роли, права и расширения. • Для критичных систем в иделе иметь реплику у независимого провайдера. Важно: автобэкапы managed-баз не заменяют независимую копию. 2. Файлы и объектные хранилища • Пользовательские загрузки, документы, медиафайлы. • Содержимое S3-бакетов и файловых хранилищ. • Данные с постоянных дисков, которые нельзя воссоздать автоматически. На резервном хранилище включите версионирование и, по возможности, защиту от удаления (Object Lock). 3. Код и CI/CD • Git-репозитории, включая историю и теги. • Конфигурации пайплайнов. • Настройки CI/CD, раннеров и интеграций. • Необходимые переменные и секреты — в отдельном защищённом хранилище. 4. Docker-образы и зависимости • Все образы, которые сейчас используются в production, с точными версиями или digest. • Собственные базовые образы. • Критичные пакеты и зависимости, если их повторная загрузка не гарантирована. 5. Конфигурации инфраструктуры • Terraform, Ansible, Helm charts и values. • Terraform state. • Конфигурации Nginx, HAProxy, приложений и балансировщиков. • Сетевые настройки, правила firewall, маршрутизацию. 6. Секреты, ключи и сертификаты • Секреты приложений и сервисных аккаунтов. • Ключи шифрования резервных копий. • TLS-сертификаты или механизм их автоматического перевыпуска. 7. Очереди, кеши и другие stateful-сервисы • RabbitMQ, Kafka: конфигурации, топологию, права и критичные данные, если их необходимо сохранить. • Redis: настройки и резервные копии, если он используется не только как кеш. • Поисковые индексы и другие хранилища, которые невозможно быстро пересоздать. 8. Внешние интеграции и сетевые соединения Составьте и сохраните вне основной инфраструктуры список внешних сервисов, с которыми взаимодействуют ваши приложения. С кем интегрированы: внешние API, платёжные системы, партнёры, SaaS-сервисы и другие системы. Для каждой интеграции зафиксируйте: - Адреса, порты, протоколы и направления соединений. - Используемые IP-адреса и правила whitelist. - VPN-туннели, приватные соединения и маршруты. - Конфигурации подключений и необходимые сертификаты. - Контакты технических специалистов и ответственных со стороны партнёров. Отдельно: если у вас Kubernetes Для восстановления Kubernetes недостаточно сохранить манифесты приложений. Проверьте, что у вас есть: • Описание инфраструктуры: Terraform или другие инструменты для создания нового кластера, сетей, узлов и балансировщиков. • Бэкапы Persistent Volumes: независимые копии данных, а не только снапшоты дисков текущего облака. • План развёртывания: порядок восстановления системных компонентов, операторов, баз данных и приложений. Если кластер managed, отдельно проверьте, что его можно создать у другого провайдера, а приложения не зависят от специфичных сервисов текущего облака. ➡️Что сделать прямо сейчас, если времени мало? 1. Выгрузить актуальные резервные копии баз и критичных файлов на независимую площадку. 2. Сохранить production-образы и убедиться, что доступны исходный код и конфигурации. 3. Проверить доступность секретов, ключей шифрования, DNS и административных учётных записей. 4. Зафиксировать порядок восстановления и ответственных. 5. Проверить восстановление хотя бы одного критичного сервиса из резервной копии.

Третий удар, массовая миграция, фатальные ошибки. Сейчас многие компании занимаются миграцией из дата‑центров Яндекса, и самое страшное — то, что, торопясь, они допускают фатальные ошибки. Самая частая из них — опасные настройки фаерволов! При экстренной миграции велик соблазн настроить «так, чтобы как можно быстрее заработало». Но вместе с трафиком от ваших пользователей к вам зайдут и злоумышленники. Это может стать вторым эффектом от ударов: массовый взлом компаний из‑за экстренной миграции. А дальше — слив данных, шифрование и остановка работы на ещё больший срок. Будьте осторожны, держите безопасность в фокусе. Если нужно, мы можем помочь и оперативно проверить вашу новую инфраструктуру. P. S. Последний удар задел частично и нас, но далеко не так серьёзно, как множество бизнесов по всей России.