Архив
Архив всех статей.
Форма обратной связи на статическом сайте: Cloudflare Turnstile + Pages Functions + D1 + Telegram — без своего бэкенда
Живая форма обратной связи на статическом Astro-сайте целиком в free-тарифе Cloudflare: виджет Turnstile против ботов, серверная проверка токена в Pages Function, архив сообщений в D1 и мгновенный пуш в Telegram. Весь «бэкенд» — один TypeScript-файл, а главные грабли оказались не в коде, а в конфигурации.
Та же архитектура, но self-hosted: AWS-схема из части 1 на своей VM за $0/мес (часть 2/2)
Пересобираем serverless-схему из части 1 на своей VM: Kong вместо API Gateway, Node.js вместо Lambda, PostgreSQL, MinIO, Keycloak, RabbitMQ и Prometheus — весь стек в одном docker-compose.yml. Что переносится один в один, что придётся переписать и где на самом деле лежит разница между $0/мес и почти бесплатным serverless.
Cloud-архитектура приложения на AWS на минималках: serverless-стек — что делает каждый сервис и как читается схема (часть 1/2)
Разбираем референс-схему serverless-приложения на AWS по слоям: Route 53, CloudFront, S3, API Gateway, Lambda, DynamoDB, SQS, Cognito, CloudWatch — что делает каждый сервис и почему без него больно. Минимальный SAM-шаблон собирает копию схемы за вечер.
SafeLine WAF от Chaitin: self-hosted WAF без конфигурирования правил — и Pro-лицензия бесплатно за статью
Продолжение WAF-темы: SafeLine от Chaitin — self-hosted WAF с панелью управления и semantic-движком вместо regex-правил. Ставим бесплатную редакцию одним инсталлером, проверяем на SQLi-пейлоадах, сравниваем с Coraza и разбираем Content Contributor Program, по которой за статью дают Pro-лицензию.
WAF на минималках: защищаем приложение Coraza + OWASP CRS без enterprise-бюджета
Self-hosted WAF без enterprise-лицензий: Coraza — Go-движок, совместимый с ModSecurity SecLang, — вместе с OWASP CRS v4 ставится перед приложением одним docker-compose. Paranoia levels, тюнинг false positives, ресурсоёмкость и проброс блокировок в Wazuh.
Falco в Kubernetes: runtime-защита на уровне syscalls и единый SIEM с Wazuh (часть 6/6)
Финал цикла про Wazuh: ставим в кластер Falco — graduated-проект CNCF, который перехватывает syscalls всех контейнеров ноды. Драйвер eBPF против kernel-модуля, формат правил, свои детекты на шелл и mount хост-директорий, falcosidekick как шина алертов и единый дашборд на хосты, control-plane и runtime.
Wazuh и Kubernetes: собираем аудит-логи кластера и видим, кто и что делает (часть 5/6)
Пятая часть цикла про Wazuh: выводим SIEM за пределы хостов и подключаем Kubernetes — audit policy и её уровни, доставка логов через Fluent Bit, декодер JSON-событий, правила на exec, чтение secrets и privileged-поды с маппингом на MITRE ATT&CK for Containers.
Wazuh Active Response: автоматически банить, изолировать и реагировать на инциденты (часть 4/6)
Четвёртая часть цикла про Wazuh: как превратить сработавший детект в автоматическую реакцию — анатомия Active Response, встроенный firewall-drop, свой скрипт бана через nftables с таймаутом и safety-исключением для admin-подсетей, и как не забанить самого себя.
Wazuh: пишем свои правила и decoders, чтобы SIEM не захлебнулся шумом (часть 3/6)
Третья часть цикла про Wazuh: анатомия правил и decoders, свой детект на брутфорс SSH с жёстким порогом, decoder для JSON-логов приложения, override дефолтных правил вместо правки файлов и тестирование через wazuh-logtest без рестарта manager.
Wazuh: подключаем агентов, включаем FIM и rootcheck на Linux и Windows (часть 2/6)
Вторая часть цикла про Wazuh: регистрируем агентов на Ubuntu и Windows — автоматически через authd и вручную ключами, включаем syscheck (FIM) с realtime и whodata, подключаем rootcheck, SCA-политику CIS и группы агентов. Главный вопрос — как получить сигнал, а не поток алертов о легитимных изменениях.
Wazuh с нуля: разворачиваем open-source SIEM/XDR за один вечер (часть 1/6)
Открываем цикл про Wazuh — бесплатный open-source SIEM/XDR. В первой части только установка: manager, indexer, dashboard через Docker Compose, TLS-сертификаты, первый вход и честный разговор о том, чем single-node отличается от production.
Cilium Tetragon: runtime-защита на eBPF, которая не просто логирует, а блокирует
Falco и большинство eBPF-инструментов безопасности умеют алертить постфактум. Tetragon из проекта Cilium умеет большее — убить процесс синхронно в ядре, до того как syscall успеет вернуть управление. Разбираем анатомию TracingPolicy, риски enforcement и безопасный паттерн раскатки: сначала audit, потом Sigkill.
containerd 1.x доживает: что сломается при переходе на containerd 2.0 перед Kubernetes 1.36
Kubernetes 1.35 — последний релиз с поддержкой containerd 1.x. Разбираем, что реально меняется в config.toml v3, CRI-плагине и CDI для GPU, и как выкатить containerd 2.0 по нодам без простоя.
PreDelete-хуки в Argo CD 3.3: почему удаление ресурсов в GitOps было тихо опасным
Argo CD 3.3 добавляет PreDelete-хуки — гейт перед фактическим prune, который раньше просто отсутствовал. Разбираем, чем это отличалось раньше, семантику hook-delete-policy и как защитить стейтфул-ресурсы.
In-Place Pod Resize вышел в GA в Kubernetes 1.35: меняем CPU/память без рестарта пода
Kubernetes 1.35 переводит In-Place Pod Resize в стабильный статус: requests и limits у запущенного пода меняются без убийства контейнеров. Разбираем resize-subresource, container resize policies, что всё ещё требует рестарта, интеграцию с VPA InPlaceOrRecreate и последствия для scheduler и cluster-autoscaler.
Helm по-взрослому: OCI-реестры, зависимости и чарты без боли
Разбираем, как собрать Helm-чарт, который не стыдно отдать в GitOps: values.schema.json вместо копипасты, library-чарты и condition вместо дублирования, публикация в OCI-реестре вместо index.yaml, и где Helm проигрывает Kustomize.
KRO: составные Kubernetes-API без написания собственного оператора
Kube Resource Orchestrator собирает Deployment, Service, ConfigMap и внешние ресурсы Crossplane в один составной CRD без единой строчки Go. Разбираем ResourceGraphDefinition, сравниваем с Crossplane Compositions и Helm-чартом с condition-ами, и смотрим, где KRO проигрывает.
Scorecards для платформенной команды: как измерить, что каталог сервисов работает
Каталог сервисов — это витрина, scorecards — рычаг. Разбираем, как посчитать количественные метрики security/reliability/documentation поверх уже подключённых Trivy, Renovate и Sentry через Backstage TechInsights, не покупая коммерческий IDP.
Teleport вместо VPN: доступ к серверам, Kubernetes и БД с полным аудитом
Teleport закрывает не тот же вопрос, что NetBird или Cloudflare Tunnel: там — доступ к сети, здесь — аудируемый доступ к конкретному ресурсу. Разбираем короткоживущие сертификаты вместо SSH-ключей и kubeconfig, session recording с tsh play и RBAC на уровне пода и БД, а затем выдаём доступ к тестовому кластеру Kubernetes через tsh kube login.
Схема БД как код: Atlas поверх CloudNativePG вместо ручных миграций
GitOps закрыл диффом манифесты и инфраструктуру, но схема базы данных у большинства команд по-прежнему меняется вручную. Разбираем декларативный подход Atlas: diff вместо цепочки миграций, gate в CI и AtlasSchema CRD поверх CloudNativePG.
Guardrails для AI SRE-агентов: как разрешать автоматизацию, не теряя контроль
AWS DevOps Agent и Azure SRE Agent в GA с марта 2026-го уже не пушат прод-изменения без подтверждения человека. Разбираем, как спроектировать approval gate поверх своего incident-пайплайна: три уровня автономности, узкий executor вместо прямого доступа агента к кластеру и что обязательно логировать для аудита.
Service mesh без sidecar: Cilium Service Mesh рядом с Istio Ambient
Cilium Service Mesh закрывает mTLS и L7-маршрутизацию на eBPF-датаплейне вообще без отдельных прокси-компонентов — в отличие от Istio Ambient, который убирает sidecar, но оставляет ztunnel и waypoint. Разбираем архитектурную разницу, честные ограничения и включаем mTLS на кластере с Hubble.
Flux 2.8: health-check-и на CEL и что это меняет в проверке релизов
Flux 2.8 добавил healthCheckExprs — CEL-выражения для health checks в Kustomization и HelmRelease. Разбираем синтаксис, миграцию существующих ресурсов и чем это отличается от canary-проверок Argo Rollouts/Flagger.
OBI: zero-code трейсинг приложений через eBPF, наследник Grafana Beyla
OpenTelemetry eBPF Instrumentation (OBI) трейсит HTTP/gRPC/SQL прямо в ядре — без агента в контейнере и без единой правки в коде приложения. Разбираем, чем OBI отличается от Hubble, Tetragon и Pyroscope, как он встраивается в уже настроенный OTel Collector и где zero-code инструментация упирается в потолок.
OpenCost: считаем реальную стоимость namespace, а не всего кластера
OpenCost — CNCF-проект для аллокации затрат Kubernetes по namespace, deployment и label без коммерческой подписки. Разбираем модель расчёта, разницу с Kubecost после покупки IBM и ставим OpenCost рядом с уже работающим Prometheus.
SPIFFE/SPIRE: криптографическая identity для подов вместо статичных секретов
SPIFFE задаёт стандарт identity для workload-ов через короткоживущие SVID-сертификаты, а SPIRE — референсная реализация, которая выдаёт и ротирует их через двухуровневую аттестацию (node + workload) без единого pre-shared секрета. Разбираем разницу с external-secrets-operator, федерацию между кластерами и разворачиваем SPIRE, чтобы получить первый X.509-SVID для тестового пода.
SpinKube: запускаем WebAssembly-нагрузки в Kubernetes без своего рантайма
SpinKube планирует WebAssembly-модули как обычные поды — тот же kubectl apply, тот же HPA, но старт за единицы миллисекунд без прогрева контейнера. Разбираем архитектуру containerd-shim-spin, ставим SpinKube-оператор, деплоим SpinApp рядом с обычным Deployment и меряем разницу — а заодно честно называем, для каких нагрузок WASM пока не подходит.
ValidatingAdmissionPolicy: переезжаем с вебхуков на CEL прямо в API-сервере
Kyverno 1.17 депрекейтит классические ClusterPolicy в пользу CEL-нативных ValidatingPolicy, удаление запланировано на v1.20. ValidatingAdmissionPolicy стабилен с Kubernetes 1.30 и выполняет CEL прямо в kube-apiserver — без вебхука, без сети, без отдельного пода. Разбираем модель CEL-выражений, переносим реальную политику и меряем задержку до/после.
Renovate: автообновление зависимостей, которое не бесит
Renovate вместо потока отдельных PR на каждую зависимость: группировка по packageRules, расписание, automerge с cooldown и self-hosted запуск в GitLab CI. Разбираем поток, конфиг и границу доверия для автомерджа.
KEDA: автоскейлинг по событиям и до нуля
KEDA скейлит поды по глубине очереди, метрике или расписанию — а не только по CPU/RAM — и умеет гасить нагрузку до нуля. Разбираем ScaledObject, scalers для Kafka/RabbitMQ/Prometheus/cron и ловушки polling interval, activation vs scaling threshold, cooldown.
OpenTofu: шифрование стейта и уход с Terraform без драмы
OpenTofu шифрует state и plan на стороне клиента ещё до бэкенда — фичи, которой у Terraform по-прежнему нет. Разбираем миграцию, key providers (PBKDF2, AWS/GCP KMS, OpenBao) и почему шифрование бэкенда — это не то же самое.
Istio ambient: service mesh без сайдкаров
Ambient-режим Istio достиг GA и убирает главный довод против service mesh — сайдкар в каждом поде. Разбираем архитектуру ztunnel + waypoint, mTLS без рестартов и постепенное включение L7 только там, где нужно.
Karpenter: ноды по требованию и счёт за кластер вдвое меньше
Cluster Autoscaler масштабирует группами нод заранее заданного размера, Karpenter подбирает инстанс под конкретные поды и схлопывает кластер при простое. Разбираем NodePool/NodeClass, consolidation, spot-fallback и типичные ловушки — с рабочим манифестом.
External Secrets Operator: секреты из Vault в Kubernetes без копипасты
External Secrets Operator синхронизирует секреты из Vault и облачных Secret Manager-ов прямо в нативные Kubernetes Secret-ы. Разбираем модель SecretStore/ExternalSecret, ротацию по refreshInterval и рабочий пример на Vault.
Trivy в CI: ловим уязвимости и собираем SBOM до прода
Один шаг в пайплайне блокирует выкатку дырявых образов и заодно выдаёт SBOM. Разбираем, что сканирует Trivy, как поставить гейт по severity, приглушить шум через .trivyignore и VEX и связать всё это с keyless-подписью.
Sentry: ловим ошибки в проде раньше пользователей
Логи говорят «что-то упало», Sentry — что именно, у кого и в какой версии. Разбираем группировку ошибок, breadcrumbs, releases и source maps, как приглушить шум и как поднять Sentry у себя.
Gateway API вместо Ingress: миграция, пока ingress-nginx не умер
kubernetes/ingress-nginx достиг End-of-Life 24 марта 2026 — репозиторий заморожен без багфиксов и security-патчей. Разбираем модель ресурсов Gateway API, конвертацию через ingress2gateway 1.0 и ловушки миграции с примером canary-роутинга.
Backstage за выходные: IDP и golden paths для маленькой команды
Internal Developer Platform не только для энтерпрайза: минимальный Backstage в docker-compose с одним Software Template даёт каталог сервисов и «новый сервис одной кнопкой» уже команде из 3–5 инженеров. Разбираем, что нужно и какие грабли ждут.
AI SRE-агенты в 2026: что они реально делают и где ломаются
AWS DevOps Agent и Azure SRE Agent вышли в GA в марте 2026. Разбираем рабочую модель AI SRE-агентов: что они реально делают (триаж, корреляция, runbook execution), где ломаются, и как выстроить human-in-the-loop с approval gates, чтобы агент был вторым пилотом, а не источником нового инцидента.
CloudNativePG в проде: HA, бэкапы и мажорные апгрейды без даунтайма
Поднять CloudNativePG легко — прод начинается на day-2. Разбираем автоматический failover и защиту от split-brain, ScheduledBackup и восстановление по PITR (Barman Cloud Plugin), метрики, на которые реально смотреть, minor- и мажорные апгрейды без долгого даунтайма, и почему прод держится на проверенном restore, а не на настроенном backup.
CloudNativePG: prod-ready Postgres в Kubernetes без шаманства
CloudNativePG превращает «Postgres в k8s» из антипаттерна в нормальный способ держать базу рядом с приложением: один Cluster CR даёт primary и реплики, автоматический failover, бэкапы в S3 через Barman Cloud Plugin и PgBouncer через Pooler. Разбираем манифест на 3 пода, ловушки со storage и как проверить failover.
Progressive delivery: canary с автоматическим откатом на Flagger
Flagger превращает обычный Deployment в progressive delivery с автоматическим откатом по метрикам: разбираем CR Canary, стратегии canary/blue-green/A-B, анализ error-rate и p95 через MetricTemplate и рабочий манифест с шагами 10/30/50%.
Kyverno vs OPA Gatekeeper: когда брать что
Kyverno 1.17 промоутировал CEL до v1, Gatekeeper v3.22 интегрировал ValidatingAdmissionPolicy из upstream. Оба проекта стабилизированы — выбор теперь зависит от того, где заканчивается ваш Kubernetes. Разбираем матрицу без религии: YAML vs Rego, validation/mutation/generation, гибридный вариант с примерами кода.
Flux за вечер: GitOps для одного небольшого кластера
GitOps на одном небольшом кластере без зоопарка операторов: что такое Flux, чем reconciler лучше kubectl apply из CI, как сделать flux bootstrap и собрать один root-Kustomization, который синкает весь кластер из git.
OpenTelemetry Collector: минимальный setup, который не стыдно в прод
Зачем нужен OpenTelemetry Collector, как устроен его pipeline из receivers/processors/exporters, чем agent отличается от gateway и как собрать минимальный, но боевой setup на docker-compose с Tempo.
eBPF без боли: Cilium и сетевая наблюдаемость в Kubernetes
Что такое eBPF простыми словами, чем Cilium лучше kube-proxy и сайдкаров, как Hubble показывает потоки и причины дропов, и что нужно, чтобы поднять всё это в kind-кластере за вечер.
SLSA Level 2: что такое build provenance и зачем он не SBOM
SLSA Level 2 на практике: чем build provenance отличается от SBOM, почему L2 — реалистичная цель, как GitLab Runner сам генерирует непереподделываемый attestation и как проверить его через glab/cosign и на admission.
MCP-сервер Intervals.icu в Claude через Pomerium
Как мы подключили MCP-сервер Intervals.icu к Claude и закрыли его авторизацией через Pomerium. Плюс — как собрать в Claude отдельный проект и превратить его в личного тренера с инструкциями.
Подписываем образы без ключей: Sigstore и cosign в CI
Keyless-подпись контейнерных образов через Sigstore: cosign, Fulcio и Rekor подписывают артефакт по OIDC-идентичности CI без долгоживущих ключей. Разбираем поток, ловушки и минимальный GitLab CI пайплайн с проверкой на admission.
Свой Matrix + Element: мессенджер, который принадлежит вам
Почему свой сервер Matrix с клиентом Element приватнее и свободнее Telegram, WhatsApp и Signal: федерация, владение данными, E2EE и мосты — плюс минимальный деплой Synapse и Element в Docker.
Деплой Astro на Cloudflare Pages: Git-интеграция и GitHub CI/CD
Два пути деплоя Astro на Cloudflare Pages: подключить репозиторий прямо в дашборде (push в main = автодеплой, бесплатные preview на ветки, свой домен с TLS) или собирать в GitHub Actions и слать dist через Wrangler. Настройка сборки, свой домен, дев-окружение и рабочий workflow целиком.
HTTP/3 и QUIC простыми словами
Чем HTTP/3 и QUIC отличаются от HTTP/1.1 и HTTP/2, почему транспорт переехал с TCP на UDP и что нужно, чтобы включить HTTP/3 на своём сервере.
Бэкап баз данных и файлов в S3 с помощью Restic + Healthchecks
Обновлено:Практический гайд по бэкапу баз данных и файлов в S3 с помощью Restic и мониторингом Healthchecks: шифрование, дедупликация, расписание и проверка восстановления.
Лёгкий Proxy
Обновлено:Как быстро поднять лёгкий прокси-сервер в Docker для тестов, CI/CD и временной инфраструктуры: минимальная конфигурация и запуск за пару минут.
20 инструментов кибербезопасности 2025
Обзор 20 инструментов кибербезопасности на 2025 год для пентеста и аудита: сканеры, фреймворки эксплуатации, анализ трафика и сетей — с примерами применения.
Минимальная настройка Zsh на macOS
Обновлено:Минимальная настройка Zsh на macOS без тяжёлых фреймворков: автодополнение, подсветка синтаксиса, удобный промпт и алиасы — быстро и без лишнего.
Установка Kali Linux на сервер Hetzner
Как установить Kali Linux на сервер Hetzner без готового образа: загрузка через rescue-систему, разметка дисков и развёртывание для пентеста в облаке.
Руководство по настройке pgBackRest для PostgreSQL
Руководство по настройке pgBackRest для PostgreSQL: полные и инкрементальные бэкапы, хранение в S3, восстановление на момент времени (PITR) и проверка.
NetBird: современный Zero Trust VPN
NetBird — современный self-hosted Zero Trust VPN на WireGuard: одноранговые соединения, обход NAT и простое управление доступом без единой точки отказа.
Стандартизация в безопасности: ISO/IEC 19249
Обзор стандарта ISO/IEC 19249: принципы архитектуры безопасности и проектирования систем — как привести разрозненные практики защиты к единой модели.
Полный план подготовки и прохождения CTF (Capture The Flag)
Полный план подготовки к CTF (Capture The Flag): категории заданий, инструменты, ресурсы для практики и пошаговая стратегия прохождения соревнований.
Безопасность контейнеров: практический чеклист для внедрения
Обновлено:Практический чеклист безопасности контейнеров Docker и Kubernetes: образы, привилегии, секреты, сеть и рантайм — что проверить перед выкатом в продакшен.
YubiKey 5
YubiKey 5 — мультипротокольный аппаратный ключ для двухфакторной аутентификации: FIDO2, U2F, OTP, PGP и SSH — как настроить и зачем он нужен.
Бекапы докер контейнеров с Offen
Как настроить автоматический ежедневный бэкап Docker-томов в S3 с помощью offen/docker-volume-backup: конфигурация, расписание, шифрование и восстановление.
Развёртывание и администрирование MDT. Часть 4: Bootstrap.ini и CustomSettings.ini
Развёртывание Windows через MDT, часть 4: настройка Bootstrap.ini и CustomSettings.ini для автоматизации параметров установки и кастомизации развёртывания.
Получение SSL-сертификата с использованием Cloudflare, Let's Encrypt и настройка Nginx
Как получить бесплатный SSL-сертификат Let's Encrypt, настроить его с Cloudflare и подключить в Nginx: пошаговая инструкция с HTTPS и автопродлением.
Развёртывание и администрирование MDT. Часть 3: Создание новой Task Sequence
Обновлено:Развёртывание Windows через MDT, часть 3: создание новой Task Sequence — пошаговая настройка последовательности задач для автоматической установки ОС.
Развёртывание и администрирование MDT. Часть 2: Установка и конфигурация MDT
Обновлено:Развёртывание Windows через MDT, часть 2: установка и конфигурация Microsoft Deployment Toolkit, создание deployment share и подготовка образов.
Развёртывание и администрирование MDT. Часть 1: Установка и конфигурация WDS
Развёртывание Windows через MDT, часть 1: установка и настройка WDS (Windows Deployment Services) для сетевой загрузки и автоматической установки ОС.
Docker начало
Введение в Docker для начинающих: что такое контейнеры, образы и тома, чем они отличаются от виртуальных машин и как запустить первое приложение.
Proxmox Cloud Init 24.04 туториал
Как создать шаблон виртуальной машины Ubuntu 24.04 в Proxmox с Cloud-Init: автоматизация настройки ВМ, SSH-ключи и быстрое клонирование — пошагово.
Порядок в ИТ: о важности вырывания баобабов
Почему в ИТ-инфраструктуре важно вовремя устранять мелкие проблемы, пока они не разрослись: о техническом долге, порядке и дисциплине эксплуатации.
SSH начало
Введение в SSH для начинающих: как работает протокол безопасного удалённого доступа, генерация ключей, подключение к серверу и базовые команды.
Cloudflare Zero Trust
Настройка безопасного доступа к self-hosted сервисам через Cloudflare Zero Trust и Tunnel: без открытых портов, с аутентификацией и политиками доступа.
Правильная безопасная настройка SSH
Как безопасно настроить SSH-сервер: ключи вместо паролей, отключение root-входа, смена порта, fail2ban и другие практики защиты от перебора и атак.
SSL сертификаты — это просто
Обновлено:Простое объяснение SSL/TLS-сертификатов: что такое X.509, как устроено шифрование, цепочка доверия и зачем сайту нужен HTTPS — без лишней теории.