🐧 Linux: Поднимаем локальное зеркало репозиториев, чтобы не зависеть от аплинка 📦

Когда kernel.org или зеркала Debian/Ubuntu становятся недоступны из-за ТСПУ, твоя инфраструктура рискует остаться без патчей безопасности. Решение для 2026 года — свой локальный кэширующий прокси или полноценное зеркало.

Инструмент: apt-cacher-ng (легкий) или debmirror (полная копия).

Как быстро настроить кэширующий сервер:

Установи: sudo apt install apt-cacher-ng

Теперь на всех остальных серверах в сети создай файл /etc/apt/apt.conf.d/00proxy:

Acquire::http::Proxy "http://IP_ТВОЕГО_СЕРВЕРА:3142";

Результат: Пакет скачивается из интернета только один раз первым сервером, остальные забирают его из локалки на скорости 10 Гбит/с. Даже если внешний канал упадет, ты сможешь переустанавливать софт на новых машинах.

#linux #apt #mirror #sysadmin #devops #infrastructure #offline #admin_future

🐧 Linux: Rust теперь в APT — и это важнее чем кажется

Коллеги, на этой неделе случилось кое-что, о чём мало кто написал — но что касается каждого администратора Debian/Ubuntu-флота напрямую.

Два события мая 2026 окончательно переместили Rust из категории «языка будущего» в load-bearing инфраструктуру. Первое: Linux 7.0 убрал пометку experimental с Rust — теперь это официальный язык ядра наравне с C. Второе: APT maintainer Julian Klode объявил что Debian's package manager начинает требовать жёсткую зависимость от Rust начиная с мая 2026.

Что это значит практически для администратора:

APT — это package manager для Debian и каждого производного дистрибутива: Ubuntu, Linux Mint, Pop!_OS, Kali Linux, Raspberry Pi OS. Rust-компилятор, стандартная библиотека и части Sequoia PGP теперь встроены в core APT — для парсинга .deb, .ar и .tar файлов, а также HTTP signature verification.

Зачем Rust именно здесь? APT обрабатывает недоверенные данные (пакеты из интернета) на уровне root. Memory corruption в парсере пакетов — это immediate root compromise. Rust устраняет целые классы уязвимостей вроде use-after-free, которые типичны для C-кода. Это интеграция снижает реальную поверхность атаки в местах где это наиболее критично.

# Проверяем Rust в APT на Ubuntu 26.04:
apt-cache show apt | grep -i rust
dpkg -l | grep -i "rust\|rustc"

# Для администраторов air-gapped сред:
# APT теперь требует rustc при сборке из исходников
# Проверяем что offline-репозиторий включает rust-пакеты:
apt-get install --dry-run apt 2>&1 | grep -i rust

# Для Debian 13 Forky (выход 2027):
# Rust будет требоваться для сборки ядра модулей через DKMS
# Уже сейчас можно подготовить offline-кэш:
apt-get download rustc cargo libstd-rust-dev

# Смотрим версию Rust в системе:
rustc --version 2>/dev/null || echo "Rust not installed"
# На Ubuntu 26.04 должно быть 1.80+ из репозитория

Для администраторов air-gapped и закрытых сред — это практическое действие сейчас: убедись что твои offline-репозитории содержат rust-пакеты. После обновления APT на системах без сети это может сломать apt upgrade если Rust недоступен.

Итог: Rust перешёл из «интересно, но не моя проблема» в «часть базовой инфраструктуры моего дистрибутива». Пятница — хороший момент проверить offline-репы.

#linux #rust #debian #ubuntu #apt #security #sysadmin #admin_future

🔐 APT учится SHA3: Ubuntu готовится к дню, когда SHA-2 падёт. Зачем это нужно уже сейчас

Коллеги, понедельник. Сегодня пост не про очередную горящую CVE на периметре, а про эталонную инженерную предусмотрительность и архитектурную дальновидность.

📌 ФАКТЫ
Инициатива: инженеры Canonical (в частности, Gianpiero Carpinelli) внесли в апстрим пакетного менеджера APT поддержку семейства хешей SHA3-256 и SHA3-384 для проверки целостности индексных файлов (Release, Packages, Sources).

Дефолт не меняется: SHA-256/SHA-512 остаются базовым стандартом. Поддержка SHA3 внедряется как спящий резервный механизм.

Математика жизненного цикла: современные Enterprise-релизы (такие как Ubuntu 24.04 LTS в рамках расширенной поддержки Ubuntu Pro) живут 10–12 лет — то есть вплоть до 2036 года. Если на этом горизонте математический аппарат SHA-2 даст критическую трещину, миллионы установленных хостов должны уметь валидировать пакеты по альтернативному алгоритму без аврального обновления самого APT.

Текущий статус криптографии: семейство SHA-2 (SHA-256/512) не скомпрометировано, практических атак нет. При аппруве патча в апстриме Debian/APT функционал планируют бэкпортировать в LTS-ветку 24.04.

🛠 АУДИТ РЕПОЗИТОРИЕВ И КЛЮЧЕЙ В СИСТЕМЕ
Пока Canonical закладывает фундамент на 10 лет вперед, полезно проверить, нет ли в вашей системе хвостов из прошлого века:

Bash

# 1. Какие типы хешей фактически задействованы в ваших текущих InRelease
grep -hoE '^(MD5Sum|SHA1|SHA256|SHA512|SHA3-[0-9]+):' \
  /var/lib/apt/lists/*InRelease 2>/dev/null | sort | uniq -c

# 2. Поиск устаревших GPG-ключей репозиториев (RSA 1024, DSA и legacy-форматы)
for k in /etc/apt/trusted.gpg.d/* /usr/share/keyrings/*; do
  [ -f "$k" ] || continue
  echo "== Файл: $k"
  gpg --show-keys "$k" 2>/dev/null | grep -E '^pub'
done

💡 В ЧЁМ СУТЬ

В криптографии это называется crypto-agility (криптографическая гибкость) — способность инфраструктуры переключиться на новые криптопримитивы без необходимости менять сам софт и переустанавливать ОС на клиентах.

Обновить центральное зеркало репозитория можно за полчаса. А вот обновить пакетный менеджер на тысячах серверов, изолированных промышленных контроллерах или банкоматах, если проверка подписей внезапно сломается из-за компрометации алгоритма, — задача на месяцы аварийных работ.

🛡 НА ЧТО ОБРАТИТЬ ВНИМАНИЕ В СВОЕЙ СЕТИ
Пока ядро APT готовится к будущему, аналогичный вопрос стоит задать собственной инфраструктуре:

Собственные Nexus / Artifactory / Aptly: поддерживают ли ваши локальные пайплайны сборки пакетов современные алгоритмы хеширования и подписи?

SSH-инфраструктура: давно ли вы вычищали из authorized_keys и конфигов sshd старые ключи ssh-rsa (SHA-1) в пользу ed25519 и ecdsa?

Внутренний PKI / CA: какой алгоритм подписи выставлен на корневых и промежуточных сертификатах корпоративного центра сертификации?

#linux #debian #ubuntu #apt #crypto #security #sysadmin #admin_future

🌐 Сайты Canonical под затяжной DDoS-атакой. Ваши обновления не должны зависеть от чужого аптайма

Коллеги, поучительная инфраструктурная история, которая регулярно повторяется с любым крупным апстримом.

📌 ФАКТЫ
Атака на апстрим: 8 октября Canonical официально сообщила о «sustained DDoS» на свои публичные веб-ресурсы и предупредила о нестабильности и периодической недоступности инфраструктуры.

Что затронуто: по данным профильных изданий (Phoronix), лежали основной портал Ubuntu и прямая загрузка установочных ISO-образов. Полный перечень задетых сервисов компания не раскрывает.

Мониторинг доступности: оперативный статус отслеживается на status.canonical.com.

🛠 ЛОКАЛЬНЫЙ КЭШ ПАКЕТОВ ЗА 10 МИНУТ
Разворачиваем прозрачный кэширующий прокси, чтобы не зависеть от внешних зеркал при каждой установке пакета:

Bash

# 1. Сервер кэша (Debian / Ubuntu) — поднимается одной командой
apt update && apt install apt-cacher-ng    # служба слушает порт TCP/3142

# 2. Настройка клиентских машин через конфиг APT:
echo 'Acquire::http::Proxy "http://apt-cache.lan:3142";' > /etc/apt/apt.conf.d/01proxy
apt update

Плюсы решения:

Любой пакет скачивается из интернета ровно один раз на весь офис или дата-центр.

Вся последующая раскатка по серверному парку идёт на скорости локальной сети (1–10 Гбит/с).

При падении апстрима или внешнего канала уже выкачанные версии пакетов остаются мгновенно доступны для переустановки и деплоя.

⚠️ ЧТО ЕЩЁ ОБЯЗАТЕЛЬНО ДЕРЖАТЬ НА СВОЕЙ ПОЛКЕ
Базовые ISO: проверенные дистрибутивы Linux (Debian, Ubuntu LTS, Alma/Rocky) и образы Windows Server со сверенными контрольными суммами (SHA256).

Платформы виртуализации: инсталляторы Proxmox VE, образы ESXi, вендорские драйверы RAID-контроллеров, HBA и сетевых карт, а также прошивки для IPMI/iLO/iDRAC.

Шаблоны: золотые образы ВМ (cloud-init / sysprep) и закэшированные базовые слои Docker-контейнеров во внутреннем реестре.

💡 В ЧЁМ СУТЬ

Аварийное восстановление упавшего сервера слишком часто начинается с оптимистичной фразы: «Сейчас по-быстрому скачаю свежий образ».

В день атаки на вендора, аварии на магистральном провайдере или внезапных сетевых ограничений этот сценарий мгновенно оборачивается часами простоя боевого сервиса. Локальный кэш пакетов и собственная локальная библиотека образов — простейшая и копеечная страховка вашего времени.

#linux #ubuntu #apt #mirror #ddos #disasterrecovery #network #infrastructure #sysadmin #admin_future

🚨 BeyondTrust Remote Support: обход аутентификации, китайская APT и удалённые логи. Ещё один инструмент удалённого доступа под атакой

Коллеги, продолжаем тему «легитимный удалённый доступ как вход для атакующих».

📌 ФАКТЫ
CVE-2026-102764, CVSS 9.3 — обход аутентификации в BeyondTrust Remote Support

Эксплуатация с конца августа по сентябрь, пострадали минимум два клиента BeyondTrust

Mandiant видит пересечение с китайской группой UNC5221. После входа: повышение привилегий, горизонтальное перемещение, веб-шелл SAWFLY, туннель BARECLAW, удаление логов на устройстве

CISA добавила CVE в KEV

Privileged Remote Access (PRA) использует тот же код: эксплуатацию BeyondTrust не воспроизвела, но патч выпустила и рекомендует ставить

С версиями путаница: в одних источниках уязвимы версии до 26.2.3, в других исправлением названа 24.3.1. Сверяйте с бюллетенем BT26-05

🛡 ПЛАН
Обновить self-hosted Remote Support и PRA по BT26-05

Проверить устройство на компрометацию: Mandiant предупреждает, что часть механизмов закрепления переживает перезагрузку и сброс конфигурации

Сменить учётки, которые проходили через инструмент, — особенно привилегированные

Логи с устройства — во внешний SIEM, чтобы их нельзя было стереть на месте

💡 В ЧЁМ СУТЬ

Инструмент привилегированного доступа — это ключи от всего, к чему он подключается. Его логи должны уходить наружу в реальном времени: здесь атакующие удаляли их на самом устройстве.

#security #beyondtrust #remoteaccess #apt #kev #sysadmin #admin_future

🙈 Уязвимость «низкой» критичности в ESXi использовали как zero-day. Её задача — чтобы логи ничего не видели

Коллеги, есть CVE, мимо которых обычно проходят со словами «Low, проблемы с логами, когда-нибудь потом». Китайская APT-группировка рассудила иначе.

📌 ФАКТЫ
CVE-2026-41709 — недостаточное логирование критических событий в гипервизоре VMware ESXi (баг позволял совершать привилегированные действия в обход стандартных журналов аудита)

Группировка Warp Panda (китайский кибершпионаж по классификации CrowdStrike) эксплуатировала этот дефект как zero-day в начале 2026 года для скрытного закрепления в инфраструктуре

Типовая цепочка атаки: пробив внешнего периметра → закрепление на сервере vCenter → деплой кастомных ESXi-бэкдоров (BRICKSTORM, SharpStorm) → кража облачных токенов сессий и регистрация своих MFA-устройств в корпоративном тенанте M365

Broadcom выпустила патч в июле 2026 года. 28 октября уязвимость официально внесена в каталог эксплуатируемых угроз CISA KEV со строгим дедлайном устранения для госсектора до 11 ноября

🛠 ВЫВОДИМ ЛОГИ ESXi НА ВНЕШНИЙ СЕРВЕР
Хранить аудит только локально в /var/log на самом хосте виртуализации — подарок злоумышленнику. Настраиваем отправку в SIEM/Syslog:

Bash

# 1. Проверяем текущую версию гипервизора и билд
vmware -vl

# 2. Смотрим текущий таргет syslog
esxcli system syslog config get

# 3. Направляем поток событий на удалённый коллектор/SIEM
esxcli system syslog config set --loghost='tcp://siem.local:514'
esxcli system syslog reload

# 4. Открываем системный порт для syslog во встроенном файрволе ESXi
esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true

😅 ЖИЗНЕННОЕ
Атакующий на скомпрометированном хосте ESXi ведёт себя точь-в-точь как кот, стащивший со стола сосиску: первым делом заметает следы и прикрывает миску лапой. Если журналы не улетают на внешний сервер в момент записи, то при разборе инцидента в локальных логах останутся только «перезагрузка демона» и звенящая пустота.

💡 В ЧЁМ СУТЬ

Рейтинг Low по шкале CVSS отражает лишь сложность или изолированный импакт уязвимости, но не её ценность в реальной цепочке компрометации (Kill Chain). Для APT-группы баг, ослепляющий SOC и стирающий таймлайны, стоит десятка шумных эксплойтов.

Все события гипервизоров должны стримиться во внешнюю неизменяемую SIEM в режиме реального времени, а июльские патчи Broadcom пора окончательно докатить до всех продакшен-кластеров.

#vmware #esxi #logging #siem #apt #юмор #sysadmin #admin_future