Kurgan-Telecom Ru | Информационные технологии

Продолжаю серию подборок. До этого рассказывал про инструменты для первого виртуального сервера и 10 онлайн-сервисов для сетевиков. А сегодня собрал утилиты, которые помогут найти, куда делось место, протестировать скорость диска и отследить, что именно его грузит. Интересно? Заходите под кат. 

Солнце является не только центром нашей планетарной системы, но и одной из причин существования жизни на Земле. Солнечный свет является набором электромагнитных излучений, которые представлены ультрафиолетовым излучением, видимым светом и инфракрасным излучением. Ультрафиолет занимает около 5% по энергии от всего Солнечного излучения. Тем не менее именно с ним связано множество технологических процессов, от очистки воздуха до полимеризации пломб. Ультрафиолет обладает массой перспективных применений, если бы его было «больше». Ученые из Университета Кюсю (Фукуока, Япония) разработали твердотельную систему, способную конвертировать видимый свет в ультрафиолет. Из чего состоит данная система, как она работает, и где может быть использован созданные ею ультрафиолет? Ответы на эти вопросы мы найдем в докладе ученых.

В прошлых статьях я уже подробно разобрал базовую инфраструктуру Matomo: как развернуть систему на собственном сервере LAMP, рассчитать нагрузку, выстроить правильную архитектуру сайтов, measurable и Roll-Up аналитики внутри Matomo. Но вся эта серверная часть — только фундамент. 

И сегодня мы наконец переходим к самому важному слою Matomo — tracking-коду и архитектуре отслеживания пользовательских действий.

Наша команда создаёт сервис управления доступом (коротко - СУД) в одной из самых больших в Сбере платформ - Платформе Кибербезопасности, или просто ПКБ. На ней обрабатываются все данные Банка, связанные с кибербезопасностью, а также работает множество продуктов и сервисов, предназначенных для противодействия внутреннему и внешнему мошенничеству, защиты инфраструктуры, а также для мониторинга и анализа различных угроз. Подробнее о том, что собой представляет ПКБ, можно посмотреть в Кибрарии Сбера в статье Аналитическая платформа кибербезопасности. Опыт Сбера. Там же можно узнать, как наш сервис вписан в платформу.

В вводной части немного расскажу об архитектуре сервиса, его задачах, с чем мы уже справились и что ещё предстоит сделать и почему.

Наш сервис используется в большой гетерогенной среде, которая содержит не только разрабатываемое в банке программное обеспечение, но и opensource-продукты, предоставляющие различную функциональность (Apache Flink и MLFlow), а также управляющие данными (Apache Hadoop, Ozone и Clickhouse).

В ядре Linux раскрыта уязвимость Bad Epoll, зарегистрированная как CVE-2026-46242. Она позволяет обычному локальному пользователю без специальных прав повысить привилегии до root. По данным автора исследования Джэёна Чона, проблема затрагивает не только Linux-десктопы и серверы, но и часть Android-устройств на новых версиях ядра — это отдельно подчёркивается в описании Bad Epoll.

Ошибка находится в подсистеме epoll — стандартном механизме Linux для отслеживания множества файловых дескрипторов, сетевых соединений и событий ввода-вывода. Такие механизмы активно используют серверы, браузеры и сетевые сервисы, поэтому просто отключить epoll нельзя. В техническом разборе уязвимость описана как гонка, приводящая к use-after-free: при одновременном закрытии связанных epoll-объектов один поток освобождает внутренние структуры, а другой продолжает к ним обращаться.

Если точнее, проблема проявляется при ситуации, когда один epoll-дескриптор следит за другим, а оба дескриптора закрываются параллельно. После вызова __ep_remove() поле file->f_ep временно обнуляется, и конкурирующий __fput() может решить, что дополнительная очистка уже не нужна. В результате объект struct eventpoll или связанный с ним struct file освобождается слишком рано, но код продолжает работать с указателями на уже освобождённую память. Именно это и даёт атакующему примитив для повреждения памяти ядра.

Для атаки не нужны дополнительные capabilities и не требуются user namespaces — достаточно наличия CONFIG_EPOLL, что делает проблему особенно неприятной для обычных Linux-систем. Согласно первичному отчёту исследователя, баг был внесён в ядро коммитом 58c9b016e128 в 2023 году, а исправлен коммитом a6dc643c693.

Несмотря на очень узкое окно гонки, исследователь подготовил рабочий эксплойт для Google kernelCTF. В описании эксплуатации показано, как ошибка превращается в 8-байтную запись в освобождённую структуру, затем в утечку памяти ядра через /proc/self/fdinfo, перехват file->f_op->poll и ROP-цепочку для получения root. Для цели lts-6.12.67 заявлена надёжность около 99%, для COS — около 98%; Android-эксплойт, по словам автора, ещё находится в работе.

Под ударом находятся ядра, основанные на ветке 6.4 и новее, если в них не перенесено исправление. Старые Android-устройства на ядрах 6.1, включая Pixel 8 и похожие модели, автор считает неуязвимыми. Пользователям и администраторам остаётся единственный нормальный вариант защиты — установить обновление ядра от своего дистрибутива или вендора устройства.

 android, linux, уязвимость

Эксплойт - это инструмент, который превращает теоретическую уязвимость в реальную атаку. А уязвимости, есть в любом ПО: где-то их еще не нашли, где-то нашли, но не опубликовали. И поток этот только разгоняется: за 2024 год в мире зарегистрировали свыше 40 тысяч новых уязвимостей, за 2025-й - уже больше 48 тысяч, по сотне с лишним каждый день. Уследить за всеми вручную невозможно. В этом, собственно, и завязка всех моих статей. Также рассмотрим OWASP TOP 10 и самые дорогие уязвимости.

Разбираем на реальных кейсах, что AI-агент уже умеет делать в сетевой безопасности – аудит правил межсетевого экрана, разбор логов IPS и DNS, ред-тиминг – где он экономит часы работы, а где остаётся источником риска. И почему ограничивать нужно не сам AI, а данные, права и действия агента.

Матч, который уже идёт

Пока мир смотрит чемпионат мира по футболу, в кибербезопасности идёт свой чемпионат – AI против AI. С одной стороны поля агенты атакующих: они ускоряют разведку, генерируют эксплойты, двигаются внутри сети. С другой – агенты защитников, которые читают конфигурации, разбирают журналы и помогают специалисту принимать решения быстрее.

Мы в Ideco последние месяцы гоняли AI-агентов на реальных задачах службы ИБ и собрали результаты первых двух десятков аудитов. Сразу зафиксируем главный тезис, чтобы снять лишние ожидания: мы не продаём магическую автоматизацию «без человека». Ценность появляется ровно там, где специалист задаёт агенту контекст, правила, доступы и критерии проверки. Агент ускоряет работу, но безопасность обеспечивают правильно настроенные средства защиты, процесс контроля и экспертная валидация.

Эта статья – практический разбор. Мы показываем конкретные кейсы на Ideco NGFW Novum, но всё описанное переносится на любое средство защиты с нормальным машинным интерфейсом. Речь не про конкретный продукт, а про новый слой автоматизации, который меняет работу безопасника.

От чат-бота 2022 года до автономного агента 2026-го

Чтобы понять, почему агенты «выстрелили» именно сейчас, полезно вспомнить короткую хронологию.

Привет, Хабр! И тебе, случайный читатель, который открыл эту статью в перерыве между двадцатой правкой того, что ты ещё месяц назад гордо назвал «финальной версией».

Сегодня без кода, без бенчмарков и без нытья про то или иное решение. Сегодня - про философию, от которой у меня иногда дёргается глаз: в какой момент продукт можно считать законченным?

На самом деле задался этим вопросом несколько недель назад на мероприятии из прошлой моей статьи. Смотря на продукты разработанные техно-гигантом Яндекс, не нарочно задаешься вопросом: "Этому в принципе небольшому сервису (без нейминга сами догадайтесь) уже почти 20 лет, но всё равно 10-ки, а то и 100-ни разработчиков работают над его улучшением каждый день, Когда можно сказать, что вот теперь идеально?". Да это чистой воды философия, но мысль как по мне интересная...

Выгрузил железо из 1С, рядом положил список из ITAM — цифры разные. Полдня искал, кто накосячил, и не нашёл: косячить некому. 1С и ITAM и не должны сходиться — они про разное. Одна считает деньги, другая — что реально стоит и работает. Рассказываю, как перестал сверять их руками и развёл раз и навсегда.

Когда может пригодиться экзотика. Я много раз обращался к использованию множественного наследования в языках программирования и платформах. Но как правило это обращение было больше теоретическим. Я не видел в его применении значительных преимуществ, способных превзойти альтернативные подходы, с учётом рисков его применения. Но в это раз случай представился. И я покажу этот пример.

На Хабре вышла хорошая статья «Нужен ли здесь useEffect?»: 12 сценариев из code review, в которых эффект либо не нужен, либо нужен не такой.

Я пишу на $mol и читал её как этнограф. в моле нет API эффектов. Во что превратятся все 12 демо, если их переписать ? Посмотрите ?. Сделал страницу с демками.

Спойлер: чек-лист из 12 строк в конце схлопнулся в …

Современный пользователь всё чаще сидит внутри интерфейса чат-бота. ИИ сам анализирует тонны информации, посещая сайты по нужной теме, выжимает из них самую суть и выдает емкий ответ. Удобно? Да! Полезно для владельцев сайтов? Спорно..

Блокировать ИИ ботов или, наоборот, разрешать вход и получать с этого трафик и выгоду?

Делюсь своим исследованием и полученным опытом, надеюсь материал будет кому-то полезным и Вы примените этот опыт на своих ресурсах.

ИИ-агенты упираются не только в цену модели, но и в лишний контекст: длинные ответы, раздутый код, большие логи и JSON. Разбираю Caveman, Ponytail и Headroom как три разных слоя токенной диеты для агентной разработки.

У тебя на столе жирный вордовский файл на 30 страниц - курсовая, отчет за квартал или методичка, которую шеф прислал со словами «перекинь в слайды до обеда». А до дедлайна - вечер, кофе и стойкое ощущение, что верстать это руками ты будешь до утра. Знакомо?

Юнит-тесты, интеграционные и Playwright E2E ловят баги в интерфейсе, но бессильны против вопроса «а не выгоднее ли просто положить стартовый капитал на депозит и ждать?». Рассказываю, как я заменил часть ручного тестирования браузерной космостратегии крошечной нейросетью-автопилотом — 49 тысяч параметров, чистый TypeScript без ONNX, и пять граблей от потолка точности 67% до сети, которая наглухо замирала при 99.7%.

Что это за чертовщина такая — Atari Jaguar?

Выпущенная в Северной Америке в ноябре 1993 года, Atari Jaguar обещала стать новым хитом благодаря своей (весьма спорной) 64-битной мощности.

Мы привыкли считать JSON «медленным» текстовым форматом, удобным исключительно для людей. Мы используем его для REST API, конфигурационных файлов и веб-интерфейсов, но как только речь заходит о высоконагруженных базах данных, мы сразу же смотрим в сторону Protocol Buffers, FlatBuffers или проприетарных бинарных форматов.

Но что, если взглянуть на JSON не с человеческой стороны, а со стороны машины?

Если убрать тяжелые слои абстракций (такие как рефлексия Go и сетевые оверхеды), стандартный JSON оказывается удивительно плотным, прозрачным и невероятно быстрым в обработке. На его основе можно построить встраиваемый Key-Value движок, который выполняет чтение за 16 наносекунд, а поиск — менее чем за 0.5 миллисекунды на базе в миллион записей.

О том, как динамическая документация (Self-describing API) помогает синхронизировать фронт и бэк без ручного контроля, экономит 25 часов команды в неделю и избавляет от поиска багов в чужом коде. История внедрения, примеры кода, подводные камни и честный разбор, где это работает, а где нет. Для фронтенд-разработчиков, тимлидов и всех, кто хочет тратить время на фичи, а не на синхронизацию с бэком.

Не относитесь к автору слишком строго. Это просто научно-вдохновлённая научная-фантастика, на тему бога или симуляции (кому как нравится). Это не ИИ галлюцинации, а галлюцинации человека.

Вселенная загадочна по определению

Бесконечное, но конечное. Вечное. Вне времени и пространства. Это не просто слова, а смыслы из математики. Человеческая интуиция вряд ли способна осознать, каково это. Но, может существовать “нечто большее”, для чего эти смысла понятны, как понятен солнечный день для человека.

Исключения удобны, пока ошибки не становятся обычной частью логики. В C++23 для таких случаев есть std::expected: он явно показывает в сигнатуре, что функция вернёт либо результат, либо ошибку. Разберём, как перейти к этому подходу без переписывания проекта с нуля.