- UANOG - uanog.one

‪TL-MR150 и другой DNS...
by Alexander V Soroka 04 Jul '23

04 Jul '23

Привет ! 4G раутер ‪TL-MR150 v2 - как то можно сделать чтобы он не использовал Киестаровский DNS ? Связь никакая - но канал есть а DNS с этой вышки где я сижу - частенько не проходит (не достучаться). В настройках через Веб ‪TL-MR150 нет такого чтобы можно было поставить настройки на Оператора но DNS свой указать... Есть какие-то идеи ? Спасибо! -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua

4 6

SOC requirements for PI data
by Oleh Hrynchuk 01 Jul '23

01 Jul '23

Панове, добргго дня. Є таке питання... Кантора, яка нам робить ІТ sec аудит, висловила в report'i зауваження щодо PI data (Personal Information - first/last name, email, phone numbers, address, enrolled courses etc). Суть зауваження - тримати PI data в EC2 snapshots неприпустимо (я ще не розбирався яким нормативним актом USA це обумовлено. Може підкажете, хто знає?). Але справа в тому, що ці дані знаходяться в PostgreSQL DB. То як досвідчені люди виходять з цього положення? AWS EC2/RDS/etc snapshots не передбачають жодних excludes. А створювати проміжний copy-інстанс, викушувати з його PostgreSQL'a ці PI data і аж потім робити snapshot - то якийсь маразм. Та й взагалі ця вимога здається трохи якоюсь параноїдальною.. адже втрачається зміст самого snapshot'a. Як тоді з нього швидко відновити інстанс при потребі? Є ще один варіант (ще не знаю, чи він підходящий для аудиторів) - прямо в PostgreSQL тримати всі PI data encrypted. Відповідно, вони будуть encrypted і в снепшотах. Хтось таке використовує? Буду вдячний за поради. -- Regards, /oleh hrynchuk

5 6

Компания ищет в Киеве спеца - sysadmin + DevOps
by Viktor Cheburkin 01 Jul '23

01 Jul '23

Hi! Знакомый спрашивает, может кому интересно: ---8<--- Компания ищет в Киеве спеца - sysadmin + DevOps. Навыки SecOps приветствуются. Требования: - возраст от 45 лет - опыт от 20 лет - не менее 4х смен мест работы за 20 крайних лет Знания и навыки: - IPv4 маршрутизация - 100% expert level (уточнение уровня при собеседовании) is must have - DNS - 100% expert level - IPv6 - достаточно понимания базы, дальше разберемся - администрирование систем - Linux, FreeBSD 100% expert level. Отмазки "RedHat знаю, Debian не очень" не рассматриваются - виртуализация - ProxMox PVE is a must. Ceph is a must. ZFS is a must. Связать ceph & zfs с PVE is a must - CARP, HaProxy, Nginx as WAF is a must - firewall не просто на уровне пакетного фильтра + NAT а на уровне понимания is a must - розуміння, чим firewall відрізняється від "пакетний фільтр + NAT" - split-horizon DNS 100% expertise - OpnSense with all functionality, IDS/IPS На собеседовании акцент будет на IPS/IDS с пристратием Docker, docker compose подразумевается Настройка SMTP/IMAP w/TLS подразумевается WAF подразумевается ---8<--- Если кого заинтересовало пишите мне, на vc(a)vc.org.ua <mailto:vc@vc.org.ua>, а я перешлю дальше. -- Viktor Cheburkin VC319-RIPE, VC1-UANIC

4 3

Лінь - рушій прогресу. Міграція AWS з public в private VPC.
by Oleh Hrynchuk 30 Jun '23

30 Jun '23

Доброго дня, шановні колеги. Стоїть задача міграції 100+ різноманітних сервісів з public в private subnet. І нуйогонах дивитись код тих всіх сервісів, щоб визначити чи треба якому з них доступ в інтернет чи ні. Чи є якийсь aws tool, котрий би міг промоніторити трафік і видати на-гора, з якого сервісу є connections в інтернет? Дякую. -- Regards, /oleh hrynchuk

2 2

What is the best practices (http to https redirect chain VS https only) ?
by Oleh Hrynchuk 08 Jun '23

08 Jun '23

Доброго ранку, колеги. Одна канторка робить нам аудит (готує до SOC) І викотила одним із зауважень отаке: *Site does not enforce HTTPS (-8,1 score impact)* *Recommendation* Any site served to a user (possibly at the end of a redirect chain) should be served over HTTPS. (list of web-servers omitted) То питання. Я ніде не знайшов явних вимог що взагалі слід відмовитися від використання http --> https redirects. Всеодно вся інформація від сервера повертається через https. То чому ставиться така вимога (прибрати взагалі саму можливість обслуговування сервером клієнтських http requests)? *Наскільки логічна така вимога аудиторів?* (Ще й немалий бал знімають за це...) Додам ще, що усі такі web-servers зі списку характеризуються однією спільною ознакою: 1. Вони дійсно обслуговують запит по http, наприклад, http://webserver.example.com 2. Але відразу редіректять цей запит на щось типу https://webserver.example.com/account/default/login-form. І далі вже працюють виключно через https. Наперед дякую за пояснення. -- Regards, /oleh hrynchuk

5 9

Mikrotik: refresh CRL
by Volodymyr Litovka 31 May '23

31 May '23

Привіт, питання є мікрот оновлює CRL раз на годину. Чи є чарівна команда, щоб оновити CRL вручну? Щось я не знаходжу... Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

3 10

8x10G в наяввності
by Volodymyr Litovka 09 May '23

09 May '23

Привіт, хто може порадити комутатор на 8xSFP+ з резервним живленням в бюджеті UAH10-20k +-, щоб були в наявності в Україні в кількості 2 (дві) штуки? :) Дякую. -- Volodymyr Litovka "Vision without Execution is Hallucination." -- Thomas Edison

5 12

Роутер для дома
by Oleksii Radetskyi 05 May '23

05 May '23

Привіт! Прийшов час міняти Apple AirPort Extreme. Диспозиція: приватний будинок, 10х11х2. Точка входу на першому поверсі посередині однієї стіни. Бажання: роздати WiFi на весь будинок, можливо за допомогою репітера. З дивного: хочу контроль трафіку, щоб можна було подивитись і заблокувати "дивний" трафік. Порекомендуйте щось, будь ласка. Дякую.

3 6

Голосування на RIPE 86 у Rotterdam
by Dmitry Kohmanyuk 01 May '23

01 May '23

Доброго дня, Для тих з вас, хто є членом RIPE NCC, нагадую, що в травні відбувається конференція RIPE 86, в межах якої також пройдуть загальні збори NCC. На цих зборах (24.05) буде голосування за нові ставки членських внесків, вибори правління, та інші питання. Чому зареєструватися та проголосувати важливо? Останні багато років внески були фіксовані, тепер є пропозиція правління зробити категорії в таким чином багато компаній можуть отримати значно більші рахунки (залежить від кількості, але навіть за /20 буде вже більше.) Раджу зареєструватися на збори (вхід в LIR Portal на www.ripe.net), краще це зробити зараз (Термін включно до дня виборів.) Далі треба вибрати свій LIR (чи декілька), та опцію голосування онлайн (хоча здається вже автоматично - паперові бюлетені скасовано.) Під час зборів вам надійшлють бюлетень. Раджу голосувати за опцію D (фіксований платіж без підвищення) та проти опцій A,B,C; єдиний виняток - маленька кількість адрес, але думаю, що різна ціна для різних членів рано чи пізно призведе для подальшого підвищення. Крім того, буде додаткове голосування за збір з кожної AS (50 євро) та за трансфер ресурсів. Звісно, я раджу бути проти цих пропозицій. Ще одне питання - вибори членів правління. В цьому році звільняться три місця, серед кандидатів є українка та українець - це Олена Кушнір та автор тексту. Дякую за підтримку.

1 0

вразливості WiFi мереж щодо перехоплення трафіку в обхід механизмів шифрування
by Alexander V Soroka 14 Apr '23

14 Apr '23

Привет ! До уваги фахівців з безпеки ІТ та зв'язку. Декілька днів тому були опубліковані підтвердження вразливості WiFi мереж щодо перехоплення трафіку в обхід механизмів шифрування Наприклад таке підтвердження 27го березня опублікувала і Cisco - https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdviso… Вразливість більш детально описана тут https://papers.mathyvanhoef.com/usenix2023-wifi.pdf Небезпека досить значна, шанси використання вразливості високі. ............... Коментарии будут ? :-) -- Best regards, Alexander V Soroka http://www.svr.ua/ AS106-RIPE mailto:alex@euro.net.ua

6 8