Klaus

Director v1.6.0

 Tue, 11 Dec 2018 12:23:14 +0100 
I really like Icinga Director and the new feature to work with multiple instances sounds to improve our workflow a lot.

#^Director v1.6.0 is available
Icinga Director v1.6.0 has been released with Multi-Instance Support, Configuration Baskets and improved Health Checks. We’re excited to announce new features that will help you to work more efficiently.


Reminds me I still need to commit a parse_url PropertyModifier upstream.
Klaus

Fallwinde abseits der Technologie

 Fri, 07 Dec 2018 14:08:55 +0100 
#^Den Wechsel in die Cloud vorbereiten - Linux Magazin
Image/photo
Weil die Cloud omnipräsent ist, meinen einige Unternehmen, dass es ein Kinderspiel sei, ihre Geschäftsanwendungen zu Amazon, Google, Microsoft und Co. auszulagern. Tatsächlich lauern auf dem Weg nach oben tückische Fallwinde gerade abseits der Technologie.
Schenkt man den einschlägigen Werbeanzeigen Glauben, dann ist es kinderleicht, die Dienste von Cloudanbietern wie Amazon, Google, Microsoft & Co. zu nutzen. Zugleich suggeriert das Marketing der Firmen, der Weg in die Wolke sei völlig unkompliziert. Tatsächlich präsentiert sich der Wechsel in die Cloud häufig als mehrdimensionale Herausforderung. Der Artikel beleuchtet einige der Hürden, legt den Fokus aber auf die nicht-technische Seite.
Klaus

2.150.1

 Wed, 05 Dec 2018 12:42:19 +0100 
o_O

#^Jenkins Security Advisory 2018-12-05
Code execution through crafted URLs
Jenkins uses the Stapler web framework for HTTP request handling. Stapler’s basic premise is that it uses reflective access to code elements matching its naming conventions. For example, any public method whose name starts with get, and that has a String, int, long, or no argument can be invoked this way on objects that are reachable through these means. As these naming conventions closely match common code patterns in Java, accessing crafted URLs could invoke methods never intended to be invoked this way.
Klaus

The Art of Running Out of IPv6 Addresses

 Wed, 24 Oct 2018 00:55:53 +0200 last edited: Wed, 24 Oct 2018 00:58:41 +0200  
Klaus

The Illustrated TLS Connection

 Mon, 22 Oct 2018 10:12:43 +0200 
#^The Illustrated TLS Connection: Every Byte Explained
In this demonstration a client has connected to a server, negotiated a TLS 1.2 session, sent "ping", received "pong", and then terminated the session. Click below to begin exploring. The code for this project can be found on GitHub.
Klaus

Verwundbarkeitsanalyse

 Mon, 22 Oct 2018 00:39:56 +0200 
#^Verwundbarkeitsanalyse anhand von CPE-Dictionary und CVE-Feeds
Image/photo

Sicherheitslücken können Cyberangriffe ermöglichen. Deswegen müssen Sicherheitsverantwortliche ständig nach Verwundbarkeiten bei der installierten Software suchen. Was sind die Herausforderungen einer solchen Verwundbarkeitsanalyse?
Klaus

This is a solar-powered website, which means it sometimes goes offline

 Mon, 15 Oct 2018 00:07:23 +0200 
#^LOW←TECH MAGAZINE
Image/photo
Low-tech Magazine refuses to assume that every problem has a high-tech solution. A simple, sensible, but nevertheless controversial message; high-tech has become the idol of our society.
Klaus

IT-Grundschutz-Schulung

 Thu, 09 Aug 2018 13:04:42 +0200 
#^BSI - IT-Grundschutz-Schulung
Image/photo
Der Online-Kurs zum IT-Grundschutz basiert auf dem IT-Grundschutz-Kompendium und den BSI-Standards 200-1,-2 und -3. Das Angebot kann Anwendern, die sich erstmalig mit dem IT-Grundschutz befassen möchten, dabei helfen, in die Umsetzung der IT-Grundschutz-Methodik einzusteigen.

Inhalte und Ziele
Im Fokus der einzelnen Lerneinheiten stehen die Ziele des IT-Grundschutzes, aus welchen Komponenten er besteht und wie die IT-Grundschutz-Methodik generell anzuwenden ist. Das Kurs-Angebot führt in insgesamt neun Lektionen durch die IT-Grundschutz-Vorgehensweise und soll besonders neuen Anwendern den Einstieg in die IT-Grundschutz-Vorgehensweise erleichtern. Mit Testfragen am Ende jeder Lektion lässt sich unmittelbar der individuelle Kenntnisstand überprüfen.
Klaus

Measure Sitespeed

 Wed, 20 Jun 2018 17:41:42 +0200 
Wonderful tool(s)! The Docker image is 1,6GB big, but it does combine quite a lot of things and makes it very convenient to use. In contrast to other such performance tools sponsored by a big company, Sitespeed.io complains about GA and GTM usage. ;-)

#^Sitespeed.io - Welcome to the wonderful world of Web Performance
Image/photo
Sitespeed.io is a set of Open Source tools that makes it easy to monitor and measure the performance of your web site.

Measuring performance shouldn’t be hard: you should be able to have full control of your metrics, own your own data and you should be able to do it without paying top dollars.

That’s why we created sitespeed.io.


The TSDB is something I want add to our monitoring server.
Klaus

Administratoren zwischen Datenschutz und Informationssicherheit

 Bonn, GermanyWed, 13 Jun 2018 15:13:56 +0200 
#^Administratoren zwischen Datenschutz und Inform... » ADMIN-Magazin
Image/photo
Der Admin ist Pragmatiker: Systeme am Laufen halten, der Rest ergibt sich von selbst. Gleichzeitig ist er sich jedoch bewusst, dass es beim Umgang mit personenbezogenen Daten Grenzen gibt, über die der Datenschutzbeauftragte wacht. Dessen Ziele stehen jedoch oft im Widerspruch zur Sicherheit der Daten. Ein Konflikt, für den nicht selten der Rücken des Admins als Austragungsort herhalten muss.

Die Zielvorgaben von Informationssicherheitsbeauftragten (ISB) und Datenschutzbeauftragten (DSB) sind nicht immer kompatibel. Im operativen Tagesgeschäft soll der Administrator den Betrieb der IT sicherstellen, sieht sich aber hin und wieder widersprüchlichen Anforderungen dieser beiden Beauftragten ausgesetzt.


Der Gesetzgeber sieht vor, dass der Datenschutzbeauftragte keine Weisungsbefugnis hat. Deshalb liegt es an der Geschäftsführung zu regeln, wer die tatsächlich auszuführenden Maßnahmen zum Schutz der Datenverarbeitung vorgibt. Das kann der ISB oder die IT-Leitung sein. Denn dort liegen die organisatorischen Verantwortlichkeiten. Da die Fäden beim Administrator zusammenlaufen, hat er aus seiner Position die Möglichkeit, entsprechende Konflikte zwischen Datenschutz und Informationssicherheit zu erkennen und alle Beteiligten darauf aufmerksam zu machen.
Grundsätzlich gilt: Für die Informationssicherheit werden betriebliche Entscheidungen getroffen, in denen Risiko und Nutzen einander abgewogen werden. Beim Datenschutz gibt es konkrete gesetzliche Vorgaben. Innerhalb dieser Vorgaben ist der Spielraum für Entscheidungen weitaus geringer als in der Informationssicherheit. Im Zweifel stellt die eine Entscheidung aus Sicht des ISB nur ein wirtschaftlich kalkulierbares Risiko dar, aus Sicht des Datenschutzes möglicherweise einen Gesetzesverstoß, der eine Ordnungswidrigkeit darstellt.
Klaus

Safe Containers?

 Fri, 25 May 2018 18:34:03 +0200 
#^Safe Containers » ADMIN Magazine
Image/photo
By Martin Loschwitz
Docker containers are a convenient way to run almost any service, but admins need to be aware of the need to address some important security issues.
Container systems like Docker are a powerful tool for system administrators, but Docker poses some security issues you won't face with a conventional virtual machine (VM) environment. For example, containers have direct access to directories such as /proc, /dev, or /sys, which increases the risk of intrusion. This article offers some tips on how you can enhance the security of your Docker environment.
Klaus

Dovecot Mailarchiv

 Wed, 02 May 2018 19:13:45 +0200 
#^Mailquota-Management mit Dovecot
Ein ständig wachsender Datenbestand droht viele Mail-Infrastrukturen zu überfordern. Dabei gibt es zumindest für Dovecot einen Weg aus der Speicherfalle.

Für seine Nutzer gilt heute als selbstverständlich, dass das E-Mail-System durchgehend verfügbar ist und immer ausreichend Speicherkapazität zur Verfügung hat. Dennoch sind die Ressourcen natürlich endlich und kosten Geld. Daher kann ein schnell wachsender Datenbestand die Betriebssicherheit einer Mail-Infrastruktur durchaus gefährden. Das muss aber nicht sein.

#Dovecot #IMAP #Mailarchiv
Klaus

such complex functions in IDaaS services?

 Wed, 14 Mar 2018 18:17:35 +0100 
#notgotzot

#^IAM in the Cloud » ADMIN Magazine
Image/photo
Offers for identity management as a service (IDaaS) are entering the market and promising simplicity. However, many lack functionality, adaptability, and in-depth integration with existing systems. We look at how IT managers should consider IDaaS in their strategy.
Identity and access management (IAM) is a core IT discipline located between IT infrastructure, information security, and governance. For example, IAM tools help with the management of users and their access rights across systems and (cloud) services, to provide easy access to applications (preferably with a single sign-on experience), to handle strong authentication, and to protect shared user accounts.

#CIAM (Customer Identity and Access Management)
Klaus

Selenoid

 Thu, 18 Jan 2018 18:52:14 +0100 
I already had a dockerized Selenium-Grid but it was a good idea to replace it with Selenoid. The state of automation and the video recording feature are really impressive.

#^Selenoid
Selenoid is a powerful implementation of Selenium hub using Docker containers to launch browsers.

Lightweight and Lightning Fast
Suitable for personal usage and in big clusters:
* Consumes 10 times less memory than Java-based Selenium server under the same load
* Small 7 Mb binary with no external dependencies (no need to install Java)
* Browser consumption API working out of the box
* Ability to send browser logs to centralized log storage (e.g. to the ELK-stack)
* Fully isolated and reproducible environment



#^Scalable Selenium Cluster: Up & Running | Ivan Krutov
by seleniumconf on YouTube
Klaus

zu leichtfertig mit Zugangsdaten

 Thu, 09 Nov 2017 18:27:55 +0100 
#^Studie: DevOps-Teams gehen häufig leichtfertig mit Zugangsdaten um
Image/photo

In vielen Unternehmen mangelt es den DevOps-Abteilungen an Regeln für den sicheren Umgang mit privilegierten Accounts und Zugangsdaten – vielfach fehlt eine übergreifende Sicherheitsstrategie, wie CyberArks „Advanced Threat Landscape“-Report zeigt.
Klaus

SMTP relay

 Fri, 13 Oct 2017 18:26:36 +0200 
So you can not send eMails from an M$ Azure VM? You need a SMTP relay outside of Azure?
Luckily Exchange Online Protection is an ideal solution you can directly sign up for. ;-) At least they know how to squeeze out their victims.
Klaus

Icinga Director v1.4.0

 Tue, 10 Oct 2017 17:28:44 +0200 
#^Icinga Director v1.4.0 has been released
We tagged v1.3.2 more than two months ago and according our initial plans it should have been announced together with v1.4.0. However, sometimes things take longer than expected. But now it’s official: Director v1.4.0 is our shiny new release.
Klaus

by zombies

 Mon, 09 Oct 2017 18:18:42 +0200 
#^Eliminating the zombie vulnerability – removing passive voice from the docs
If you can insert the words “by zombies” into a sentence, then that sentence very likely uses the passive voice. A colleague recently reminded me of this tip. It made me laugh, and so I thought it’s worth blogging about. If only to share the chuckle.

Here are some examples of zombie-infested sentences, and their equivalents using active voice.

Example 1
Geographic requests are indicated by zombies through use of the coordinates parameter, indicating the specific locations passed by zombies as latitude/longitude values.

Converting passive voice to active:
You can use the coordinates parameter to indicate geographic requests, passing the specific locations as latitude/longitude values.

For an even more concise effect, use the imperative:
Use the coordinates parameter to indicate geographic requests, passing the specific locations as latitude/longitude values.


#documentation #technical writing
Klaus
 Mon, 02 Oct 2017 12:40:38 +0200 last edited: Mon, 02 Oct 2017 12:40:57 +0200  
#^Securing Network Time | Core Infrastructure Initiative
Image/photo
Date Published September 27, 2017
Since its inception the CII has considered network time, and implementations of the Network Time Protocol, to be “core infrastructure.” Correctly synchronising clocks is critical both to the smooth functioning of many services and to the effectiveness of numerous security protocols; as a result most computers run some sort of clock synchronization software and most of those computers implement either the Network Time Protocol (NTP, RFC 5905) or the closely related but slimmed down Simple Network Time Protocol (SNTP, RFC 4330).
Klaus

pipeline-examples

 Tue, 26 Sep 2017 17:27:08 +0200 
Nice collection of #Jenkins pipeline examples.

#^jenkinsci/pipeline-examples
Image/photo
pipeline-examples - A collection of examples, tips and tricks and snippets of scripting for the Jenkins Pipeline plugin