MemOps 😃

RBAC в Kubernetes часто становится последней линией защиты между скомпрометированным workload и полным захватом кластера. В докладе “RBAC Atlas: Mapping Real-World Kubernetes Permissions and Exposing Risky Projects” разбирается, насколько опасными могут быть избыточные permissions в популярных Kubernetes проектах.

Автор представил RBAC Atlas — каталог identities и overly permissive RBAC политик, найденных в реальных open source проектах. Доклад хорошо показывает, как даже небольшие ошибки в настройке прав доступа могут привести к повышению привилегий и компрометации всего кластера.

📌 Подробнее: https://rbac-atlas.github.io/

MemOps 🤨

Unused — CLI-инструмент, экспортер для Prometheus и модуль на Go для перечисления неиспользуемых дисков во всех облачных провайдерах

Этот репозиторий содержит библиотеку на Go для поиска ваших неиспользуемых постоянных дисков у разных облачных провайдеров, а также бинарные файлы для отображения этой информации в CLI или экспорта метрик для Prometheus.

В Grafana Labs мы размещаем рабочие нагрузки у разных облачных провайдеров. Оркестрация рабочих нагрузок управляется Kubernetes, и мы обнаружили, что из-за некоторых ошибок в конфигурации системы хранения у нас накапливалось множество неиспользуемых ресурсов, особенно постоянных дисков. Эти утечки ресурсов стоят денег, и, поскольку эти ресурсы больше не используются, это приводит к финансовым потерям. Эта библиотека и сопутствующие инструменты помогут вам определить такие ресурсы и очистить их.

📌 Подробнее: https://github.com/grafana/unused

MemOps 🤨

MemOps 😃

eraser — помогает администраторам Kubernetes удалить список неработающих образов со всех узлов Kubernetes в кластере.

📌 Подробнее: https://github.com/eraser-dev/eraser

MemOps 🤨

MemOps 😃

Доклад “Sandboxes, Seccomp, and Syscalls: Chasing Isolation in Kubernetes” от Mark Manning посвящён одной из самых сложных тем в Kubernetes — изоляции контейнеров и реальной безопасности sandbox-окружений.

Автор подробно разбирает, почему контейнеры сами по себе не являются полноценной границей безопасности, какие ограничения есть у seccomp и где проходит граница между виртуализацией и изоляцией. Особенно интересно, что в докладе рассматриваются не только способы защиты workload’ов, но и реальные сценарии обхода sandbox-механизмов.

Доклад будет полезен всем, кто работает с multi-tenant Kubernetes-кластерами и хочет лучше понимать риски container isolation.

📌 Подробнее: https://www.youtube.com/watch?v=AKimmv-OYgE

MemOps 🤨

Kubesplaining — CLI-инструмент для анализа безопасности Kubernetes, написанный на Go. Он позиционируется как «Cloudsplaining для Kubernetes».

В отличие от большинства сканеров (Kubescape, Trivy, Polaris), которые ищут отдельные misconfigurations, данный инструмент строит граф privilege escalation и показывает реальные многошаговые цепочки атаки от любого непривилегированного субъекта до критических:
- cluster-admin / system:masters
- node-escape (привилегированные поды + hostPath)
- доступ к секретам в kube-system

Он использует BFS поиск по RBAC + состоянию подов и выдаёт полную цепочку с объяснениями, evidence и remediation.

Ключевые возможности:
- Модули (всего ~45 правил): RBAC (wildcard, impersonation, bind/escalate и т.д.), Pod Security, NetworkPolicy, Admission Webhooks, Secrets, ServiceAccounts, Least-Privilege (на основе audit logs).
- Поддержка живого кластера, snapshot (JSON) и отдельных манифестов.
- Отличные отчёты: интерактивный HTML, JSON, CSV, SARIF (для GitHub Code Scanning).
- CI-friendly: --baseline, --ci-mode, delta-анализ.
- Полностью offline-анализ после скачивания snapshot'а.
- Хорошая документация, примеры remediation (kubectl patch, Kyverno/Gatekeeper).

Здесь можно посмотреть демо отчет.

📌 Подробнее: https://github.com/eraser-dev/eraser

MemOps 🤨

MemOps 😃

sig-storage-local-static-provisioner - это официальный проект из экосистемы Kubernetes, который автоматизирует работу с локальными дисками как с PersistentVolume.

Он сканирует ноды, находит локальные директории или блочные устройства и автоматически создает для них PersistentVolume ресурсы. Такой подход полезен, когда нужно:

- использовать быстрые локальные SSD для подов;
- минимизировать задержки по сравнению с сетевым хранилищем;
- избежать ручного управления PV.

Поддерживаются как файловые директории, так и raw-блоки. Также есть механизмы очистки после удаления PVC (wipefs, shred, rm).

Это решение активно применяют в продакшене для stateful-нагрузок, где важна производительность — например, для баз данных или кешей.

📌 Подробнее: https://github.com/kubernetes-sigs/sig-storage-local-static-provisioner

MemOps 🤨

MemOps 😃

boring — простой менеджер SSH-туннелей. Управляется из командной строки.

📌 Подробнее: https://github.com/alebeck/boring

MemOps 🤨

MemOps 😃

pinger — комплексный инструмент для тестирования производительности DNS, который проверяет более 60 общедоступных DNS-серверов, чтобы найти самый быстрый и надежный DNS-резолвер для вашей сети.

Возможности:
— тестирует более 60 DNS-серверов, включая Google, Cloudflare, Quad9, OpenDNS, AdGuard и многие другие.
- многократные итерации тестирования: выполняет 5 тестов на каждом сервере, используя различные популярные домены.
- анализ корреляции DNS-Ping: измеряет как время выполнения DNS-запроса, так и задержку сети.
— интеллектуальная система оценки: взвешенная оценка (70% DNS, 30% ping) для оптимального выбора сервера.
— цветовая кодировка результатов: визуальные индикаторы производительности (зеленый = отлично, желтый = хорошо, красный = медленно).
— рекомендации по настройке: Предоставляет готовые к использованию варианты основного и дополнительного DNS-сервера.

📌 Подробнее: https://github.com/Panchajanya1999/pingerr

MemOps 🤨

MemOps 😃

Третья улица кубернетисов, дом 1.1.6

MemOps 😃

Loki «Next Wave»: как Grafana Labs переписала правила логирования на GrafanaCON 2026

Обновления, которые появились в Loki 3.0:

🚀 поддержка Kafka в качестве локального инджестера для всех инджестеров (ранее между ними выполнялась репликация).

🚀 обновленный планировщик запросов, который распределяет запросы между партициями, разбивая большой запрос на независимые подзапросы по партициям.

🚀  Logline для поиска по данным теперь часть Grafana Labs.

Если вы платите за трафик для S3, то Grafana обещает 20-кратное снижение объема сканируемых данных.

P.S. Полный список анонсов с GrafanaCON 2026 можно найти в этой статье в блоге Grafana.

boring — простой менеджер SSH-туннелей. Управляется из командной строки.

📌 Подробнее: https://habr.com/ru/articles/1030716/

MemOps 🤨

MemOps 😃

Уволенный девопс Atlassian выкатил на YouTube архитектуру Jira

После 8 лет работы Atlassian выставила инженера-программиста на мороз. Эффективные менеджеры сократили 10% штата (1600 человек), прикрываясь необходимостью «инвестиций в ИИ» и адаптацией к рынку. В ответ парень не стал писать слезливые посты об уходе в LinkedIn, а просто залил на YouTube 40-минутный разбор всей инфраструктуры маршрутизации и балансировки трафика, которую он годами строил для глобальных продуктов вроде Jira, Confluence и Bitbucket.

В видосе детальный расклад по стеку: Python, FastAPI, Envoy Proxy, K8s и AWS. На Reddit ролик предсказуемо окрестили изощренной местью, ведь теперь любой может буквально по винтикам скопировать энтерпрайз-архитектуру компании. Сам автор уверяет, что просто делится опытом с коллегами по несчастью.

🥸 Новости IT: 📱 Telegram | 📱 ВК | 📲 MAX