Приветы!
Вот и последний месяц зимы пролетел, можно выходить из дома без риска что-нибудь отморозить. Ну а пока за окном всё ещё не хватает ярких красок, предлагаем взглянуть на мир сквозь цветные стекла — ведь даже в повседневной рутине всегда найдётся повод порадоваться.



Дайджест январь 2021
Для нас в феврале таких поводов нашлось немало: отметили два праздника, пополнили Базу знаний новыми статьями и даже поделились с клиентом шаманской магией. Об этом и не только в сегодняшнем дайджесте.

Статьи и инструкции
Как создать FTP-пользователя без ISPmanager
Научиться новому — чем не повод для радости. Любим писать для вас статьи, что уж тут поделать. Как известно, подключаться к серверу по FTP с правами root — небезопасно, для этого необходимо создать нового пользователя. В новой инструкции рассказываем, как сделать это без панели управления. А ещё напоминаем о нашем старом материале: там про подключение по FTP и с ISPmanager, и без.

• Создание FTP-пользователя без панели управления ISPmanager
• Как подключиться к серверу по FTP?

Как проверить ресурсы сервера и найти причину нагрузки
Чтобы ваши сайты всегда быстро открывались и радовали вас, нужно следить за параметрами сервера и его нагрузкой. Приготовили две статьи, которые помогут провести диагностику ресурсов и определить причины нагрузки, если она вышла за допустимые пределы.

• Диагностика ресурсов сервера
• Нагрузка на сервер: определение причин

Если не нашли решение проблемы в Базе знаний, напишите нам на sales@firstvds.ru — добавим статью.

Новости
А теперь главные новости февраля.


Зарядили подписчика шаманской магией
Акции акциями, но хотелось порадовать вас чем-нибудь необычным, поэтому в феврале разыграли в нашем телеграм-канале @TakeFirstNews шаманский костюм, заряженный админской магией. Сейчас посылка уже мчится к получателю, чтобы счастливчик смог нашаманить себе 100%-й аптайм и хорошую погоду.
t.me/TakeFirstNews

Доверьте свои домены серверам имён CLO
Наш облачный сервис CLO продолжает развиваться. В феврале у пользователей проекта появилась возможность бесплатно добавить на аккаунт до 50 доменов, делегировать их на серверы имён CLO и управлять DNS-записями типа A, AAAA, NS, MX, TXT, SRV, CNAME, DNAME, CAA, SOA (до 1000 записей на домен).
Ограничения: разные пользователи не могут добавить один и тот же домен, неделегированные домены удаляются через 48 часов.
clo.ru/help/dns


Новые процессоры AMD Ryzen 9 5950X на FirstDEDIC
Если вам хочется выйти за рамки VDS и сделать свой сервер ещё более производительным, на FirstDEDIC появились конфигурации с новыми процессорами AMD Ryzen 9 5950X — архитектура Zen 3, 16 ядер, частота до 4,9 ГГц и 64 Мб кэш-памяти. Недавние тесты показали, что новинка даст фору не только предыдущему поколению на Zen 2, но и флагманам от Intel.
1dedic.ru/content/rasshirili-park-amd-samym-bystrym-processorom-ryzen-9-5950x



Уязвимости и релизы месяца
Релиз ядра Linux 5.11
Представлен первый в 2021 году релиз ядра Linux 5.11, на разработку которого ушло два месяца. Почти половина внесённых изменений связана с драйверами устройств. Среди заметных нововведений: возможность создания и управления анклавами на базе технологии Intel SGX, новый механизм перехвата системных вызовов, а также поддержка инкапсуляции пакетов протокола SCTP в UDP. Читать подробнее на opennet.ru.
www.opennet.ru/opennews/art.shtml?num=54581

Релиз обновления Debian 10.8
Для Debian 10 доступно восьмое корректирующее обновление. Среди прочего обновлены пакеты dpdk, intel-microcode, nvidia-graphics-drivers, postgresql-11 и steam. Также устранены проблемы со стабильностью, исправлены уязвимости. Обновиться можно с помощью штатной системы установки обновлений. Читать подробнее на opennet.ru.
www.opennet.ru/opennews/art.shtml?num=54543

Хакеры слили в сеть более 3 млрд паролей от Gmail
В открытый доступ слили около 3,2 млрд логинов и паролей от Gmail и других популярных сервисов. База была собрана злоумышленниками на основе данных, полученных за несколько лет различных кибератак и утечек. Узнать, есть ли ваши данные в слитой базе. Чтобы обезопасить свои аккаунты, рекомендуем обновить пароли и подключить двухэтапную аутентификацию.
haveibeenpwned.com/

Уязвимость в Python при обработке непроверенных дробных чисел
Уязвимость CVE-2021-3177 проявляется при обработке непроверенных чисел с плавающей запятой в ctypes. Небезопасное использования sprintf приводит к переполнению буфера в ctypes-функции PyCArg_repr(). Для веток Python 3.7 и 3.6 уже доступны корректирующие обновления, для веток 3.8 и 3.9 обновление появится 1 марта. Проблема остаётся неисправленной в Debian, Ubuntu и FreeBSD, но уже устранена в Arch Linux, Fedora и SUSE. Читать подробнее на opennet.ru.
www.opennet.ru/opennews/art.shtml?num=54616

Приветы!
Январь в нашей компании традиционно посвящается планированию: ставим цели на год, прорабатываем стратегию, приносим дары богу дедлайнов. В новом дайджесте делимся, какие «джедайские» техники мы используем — вдруг будет полезно и вам.


Сегодня у нас по плану статьи о том, как выбрать виртуальный и выделенный сервер, свежие тесты процессоров от AMD и Intel, а также сводка январских уязвимостей и релизов.

Статьи и инструкции
Как запланировать запуск программ с помощью cron
Для выполнения периодических задач можно воспользоваться планировщиком cron. Наша инструкция поможет выполнить настройки и запланировать запуск программ в соответствии с заданным сценарием.
Cron — запуск программ пользователя в указанное время

Как найти ответ на свой вопрос
Недавно мы обратились к нашей техподдержке, чтобы узнать, о чём вы спрашиваете чаще всего, и составили отдельный материал с ответами. Чтобы вам было удобнее пользоваться нашими услугами, мы регулярно пополняем Базу знаний новыми статьями. Вы можете воспользоваться поиском и найти там ответ на свой вопрос.
Ответы на часто задаваемые вопросы

Как выбрать тариф для вашего сайта
Для тех, кто решил начать новый год с нового сервера, приготовили статью по выбору подходящего тарифа. Для начала определимся, какой у вас сайт, сколько человек посещает его за день или бывает единовременно, а потом подберём VDS с нужными ресурсами.
Как выбрать тариф для размещения сайта

Если не нашли решение проблемы в Базе знаний, напишите нам на sales@firstvds.ru — добавим статью.



Как выбрать выделенный сервер
Если вы проанализировали нагрузку вашего проекта и поняли, что ресурсов VDS будет мало, возможно, стоит рассмотреть аренду выделенного сервера. В новой статье рассказываем, как подойти к выбору и на какие параметры стоит обратить внимание.
Как выбрать выделенный сервер

Тестируем Intel Core i9, AMD Ryzen Zen 3 и Zen 2
При выборе оборудования для сервера приходится сравнивать разные варианты, ведь сходу выбрать что-то конкретное не так уж просто. Перед использованием мы тестируем новое железо и пишем подробные обзоры. В январе опубликовали на Хабре новую статью со свежими тестами: сравниваем два поколения Ryzen — на Zen 2 и Zen 3, а также Core i9-10900K.
Новые AMD Ryzen на архитектуре Zen 3: сравниваем с предыдущим поколением, а также с Intel Core i9



Уязвимости и релизы месяца
Релиз системы предотвращения атак Snort 3
Спустя семь лет разработки вышел первый стабильный релиз системы обнаружения и предотвращения атак Snort 3 от компании Cisco. Система анализирует трафик в режиме реального времени и реагирует на вредоносную активность. В ветке Snort 3 разработчики основательно поработали над упрощением и автоматизацией рабочих процессов.
Подробнее на opennet.ru

Устранена критическая уязвимость в реализации NFS
Выявлена уязвимость CVE-2021-3178, связанная с работой сетевой файловой системы NFS. При экспорте директории злоумышленник может получить удалённый доступ к другим частям файловой системы через вызов READDIRPLUS. Проблема исправлена в версии ядра 5.10.10 от 23 января, а также во всех остальных поддерживаемых версиях, обновлённых в этот день.
Подробнее на linux.org

Исправлена критическая узявимость в sudo
В новом выпуске утилиты sudo 1.9.5p2, которая используется для выполнения команд от имени других пользователей, разработчики устранили уязвимость CVE-2021-3156, позволяющую постороннему получить доступ с правами root. Ранее в выпуске sudo 1.9.5 были исправлены шесть проблем с безопасностью, в том числе уязвимости CVE-2021-23240 и CVE-2021-23239, связанные с утилитой sudoedit.
Подробнее на opennet.ru

В Dnsmasq 2.83 устранили семь уязвимостей
В Dnsmasq, который используется в качестве DNS/DHCP-сервера, обнаружили семь уязвимостей под кодовым названием DNSpooq. Они позволяют подставить в DNS-кэш фиктивные данные или вызвать переполнение буфера, способное привести к удалённому выполнению кода. Проблемы устранены в обновлении Dnsmasq 2.83.
Подробнее на opennet.ru

В Flatpak устранена уязвимость, обходящая режим изоляции
В утилите для создания самодостаточных пакетов Flatpak обнаружена уязвимость CVE-2021-21261. Она позволяет обойти режим sandbox-изоляции, передавая переменные окружения в обработчики, не изолированные от основной системы, и выполнить произвольный на стороне хост-окружения. Проблема исправлена в выпуске 1.10.1.
Подробнее на opennet.ru

Приветы!
До Нового года осталась всего неделя. 2020-й оказался непростым орешком — преподал несколько важных уроков и заставил пересмотреть взгляды на привычные вещи. Но и хорошего тоже было немало. Давайте вспомним лучшие моменты декабря и встретим 2021-й с отличным настроением.



Для нас декабрь вышел насыщенным: запустили новый тариф VDS Storage, пополнили Базу знаний полезными статьями и приготовили масштабный розыгрыш в честь нашего 18-летия. А теперь обо всём подробнее, по традиции начнём с новых материалов.

Статьи и инструкции
Как найти руткиты в Linux
Хотя вирусов в Линуксе меньше, чем в других операционных системах, он подвержен другим типам угроз. Одна из таких — руткиты, скрытые программы, которые устанавливаются на сервер вручную или попадают в систему через уязвимости. В статье мы расскажем, как обнаружить такие программы, чтобы избавить от них систему.
Поиск руткитов в Linux

Как работать с VMmanager 6
В декабре мы перевели VDS Форсаж с SSD на панель VMmanager 6, чтобы вам было ещё удобнее управлять своим сервером. Изменился пользовательский интерфейс, дизайн стал более современным, появились новые функции. Чтобы вы смогли быстрее привыкнуть к изменениям, приготовили инструкцию об основных возможностях обновлённой панели.
Панель VMmanager 6 — основные возможности

Как избежать ошибок при подтверждении SSL-сертификата
Процедура подтверждения SSL-сертификата имеет свои нюансы и требует внимательности. Написали для вас статью о самых распространённых проблемах, с которыми вы можете столкнуться при использовании разных способов подтверждения.
Проблемы при подтверждении SSL-сертификата
Если не нашли решение проблемы в Базе знаний, напишите нам на sales@firstvds.ru — добавим статью.

Новости
А теперь главные новости декабря.


Празднуем день рождения FirstVDS и разыгрываем подарки
Нам уже 18 и хочется за сто морей, но мы придумали не менее крутой способ отпраздновать совершеннолетие. С 8 по 28 декабря каждый будний день дарим сертификат на 2000 рублей случайному клиенту FirstVDS, который подписан на наш телеграм-канал TakeFirst.

Тот, кто в этот период закажет и активирует VDS на сумму от 600 рублей, становится участником розыгрыша призов на 300 000 рублей. Итоги подведём 29 декабря в прямом эфире.
firstvds.ru/happy-birthday-18

А 31-ого планируем разыграть настоящий шаманский костюм — ждите подробности в телеграме :)


Добавили новый тариф VDS Storage
Хорошие новости для тех, кому нужно больше дискового пространства. Вчера состоялся запуск нового тарифа VDS Storage с диском до 5 000 Гб и файловой системой на базе Ceph. Сервер будет готов к работе уже через 5 минут после заказа.

VDS Storage подойдёт для разных задач, например, для размещения каталогов интернет-магазинов или хранения файлов. Также при заказе вы можете подключить бесплатное ПО Nextcloud и развернуть на сервере полноценное облачное хранилище с повышенной отказоустойчивостью.
firstvds.ru/storage-vds

Цены на ПО Microsoft вырастут с 31 декабря
С 31 декабря вынуждены увеличить стоимость всех тарифов с Windows на борту на 20%, а лицензий RDP — на 30%. Повышение связано отменой налоговых льгот для зарубежного ПО, а также с изменением цен для дистрибьюторов.
firstvds.ru/blog/windows-costs

Автоматические бэкапы теперь и на FirstDEDIC
Дождались! Наконец подключить автоматический бэкап можно и на выделенном сервере. Больше не нужно самому настраивать резервное копирование — достаточно поставить галочку в настройках, и ваши данные будут регулярно сохраняться в облачное объектное хранилище S3. В случае форс-мажора вы сможете восстановить информацию из актуальной копии и быстро вернуть сервер в строй.
1dedic.ru/additional/backup

Уязвимости и релизы месяца
Прекращена поддержка CentOS 6, RHEL 6 и Scientific Linux 6
С 1 декабря разработчики прекратили поддержку веток CentOS 6, RHEL 6 и Scientific Linux 6. Уязвимости и баги, обнаруженные в ОС после этой даты, исправляться не будут. Пользователям рекомендуют обновиться до версий 7 и 8, чтобы избежать возможных рисков. Мы тоже присоединяемся к этому совету — возможность заказать сервер с CentOS 6 уже отключена. Подробнее на opennet.ru

Red Hat откажется от CentOS 8 в пользу CentOS Stream
Поддержка классического варианта CentOS 8 будет прекращена 1 января 2022 года, объявили разработчики из Red Hat. В качестве альтернативы пользователям предлагают перейти на CentOS Stream с регулярными обновлениями. Новая редакция станет «тестовой площадкой» — позволит раньше получать доступ к будущим возможностям RHEL, но взамен придётся смириться со стабильностью на уровне бета-версии. Подробнее на opennet.ru

Ботнет PgMiner атакует базы PostgreSQL для установки майнеров
Обнаружен ботнет PgMiner, который взламывает базы PostgreSQL со слабой защитой для установки майнеров. Ботнет рандомно выбирает диапазон IP-адресов, а потом перебирает его в поисках систем с открытым портом 5432. Если он находит активную систему PostgreSQL, то с помощью брутфорса подбирает логин и пароль от учётной записи по умолчанию (postgres). Если владелец БД не отключил эту учётную запись или не сменил пароль, злоумышленники получают доступ к ней, а затем добираются и до самого сервера. Подробнее на xakep.ru

Релиз ядра Linux 5.10
Состоялся релиз ядра Linux 5.10 с долгосрочной поддержкой: обновления для ветки будут выпускаться ещё как минимум два года. В новом выпуске содержится около 17,5 тысяч исправлений, большинство из них связано с драйверами устройств. Подробнее на opennet.ru

Релиз командного интерпретатора Bash 5.1
Спустя два года разработки представлена обновлённая версия командного интерпретатора GNU Bash 5.1, который используется по умолчанию в большинстве дистрибутивов Linux. Также состоялся релиз библиотеки Readline 8.1, используемой в Bash. Подробнее на opennet.ru

Приветы!
Зима близко, но у вас есть ещё четыре дня, чтобы насладиться осенней атмосферой. Тем более, напоследок осень не оставила без приятного – уже завтра во многих магазинах стартует Чёрная пятница. Самое время купить то, о чём мечталось весь год, или начать запасаться новогодними подарками.


В ноябрьском выпуске собрали для вас всё самое интересное за текущий месяц, а также приготовили список «очень важных дел» на декабрь, чтобы проводить 2020-й со спокойной душой.

Статьи и инструкции
Как подготовить сайт к Чёрной пятнице
«День Икс» уже завтра, готовы принимать гостей? Предлагаем в помощь статью – рассказываем, что нужно сделать, чтобы всё прошло гладко, и как проверить, что ваш сайт не упадёт из-за наплыва посетителей. Пунктов много, но советуем пройтись по каждому — лучше перестраховаться, особенно в такой ответственный момент.

Как подготовить сервер к Чёрной пятнице
firstvds.ru/blog/kak-podgotovit-server-k-chernoy-pyatnice

Если вы уже закончили все приготовления, предлагаем проверить себя в нашем новом тесте. А ваш сайт готов к Черной пятнице?
firstvds.ru/content/black_friday_2020

Как перенести сайт со стороннего хостинга
Давно хотели переехать на другой тариф, но всё не доходили руки? Или, может быть, ещё не закончили переносить свои проекты со стороннего хостинга? Чтобы не откладывать на следующий год то, что можно сделать в этом, написали для вас статьи о переносах. Обратите внимание, что с других хостингов, а также на более дорогие тарифы мы переносим ваши данные совершенно бесплатно.

• Как перенести сайты со стороннего хостинга?
• Чек-лист по подготовке к переносу сайта на новый хостинг
• Всё о бесплатном переносе: условия, порядок и гарантии

Несколько статей для тех, у кого кроме VDS есть выделенный сервер. Если вам становится тесно на виртуалках и вы начинаете присматриваться к дедикам – сохраняйте, пригодятся на будущее.

Как установить ОС на выделенный сервер
Хотите вручную накатить ОС (например, чтобы сделать кастомную разметку диска), но не знаете как? У нас хорошие новости – составили две подробные инструкции по установке Debian и CentOS. Как и полагается, разложили всё по полочкам и объяснили каждый шаг.

• Как установить Debian 10 на выделенный сервер
• Как установить CentOS 8 на выделенный сервер

Как настроить сеть на выделенных серверах с VPU
Чтобы настроить сеть при установке гипервизора на выделенный сервер с VPU, необходимо некоторое шаманство. Но не стоит паниковать, справиться с этим можно, вооружившись нашими инструкциями. Приготовили сразу две – для Proxmox и VMmanager 6.

• Настройка сети в Proxmox на выделенных серверах с VPU
• Настройка сети в VMmanager 6 на выделенных серверах с VPU

Новости
А теперь главные новости ноября.

Пятница 13-е: Фредди против Джейсона
В пятницу 13-го мы запустили самую злодейскую акцию – Фредди и Джейсон уже две недели соревнуются в нешуточной схватке. У вас есть ещё сутки, чтобы поддержать одного из злодеев и принять участие в розыгрыше призов. Для этого заказывайте сервер из линейки спецтарифов VDS Freddy 2.0 или VDS Jason 2.0.
На кону – Playstation 5, денежные призы на общую сумму 30 000 рублей, а также годовая скидка 20% на сервер для победившей стороны. Уже 30 ноября мы выйдем в прямой эфир, чтобы провести розыгрыш призов среди участников, следите за информацией в телеграм-канале TakeFirst.
firstvds.ru/friday13


Аукцион от FirstDEDIC: дедики по максимально низким ценам
Пока растёт доллар, а вместе с ним и цены на оборудование – FirstDEDIC запустили аукцион с понижением цены. Стоимость выкупленного сервера не изменится на протяжении всего срока аренды. В акции участвуют как готовые конфигурации, так и серверы, собранные по запросам клиентов. Выберите подходящий сервер и следите за ценой, ваша задача – успеть выкупить его, пока кто-то другой вас не опередил. Подписывайтесь на специальный телеграм-канал, чтобы одним из первых узнать о новом лоте или снижении цены.
1dedic.ru/auction-2020

Совсем скоро, 6 декабря, будем праздновать 18-летие FirstVDS! Присоединяйтесь к нашему каналу и следите за новостями – готовим для вас кое-что интересное.
t.me/TakeFirstNews

Уязвимости и релизы месяца
Критическая уязвимость в системе управления контентом Drupal
В системе управления контентом Drupal обнаружена уязвимость критического уровня. Из-за некорректной проверки двойных расширений при загрузке файлов на сервер злоумышленник может удалённо выполнить на сервере произвольный PHP код. Чтобы закрыть уязвимость, обновитесь до версий Drupal 7.74, 8.9.9, 8.8.11 и 9.0.8.
Читать подробнее на opennet.ru

Сотрудники Github забыли продлить SSL-сертификат
2 ноября, примерно с 15 до 16 часов по мск, у веб-интерфейса GitHub были проблемы с вёрсткой – не отображались изображения, наблюдались проблемы с работой JavaScript-сценариев. Оказалось, что дело было в просроченном SSL-сертификате на домене githubassets.com (сервер CDN), сотрудники забыли вовремя продлить его. Несмотря на то, что сертификат основного домена github.com работал, загрузка ресурсов с незащищённого хоста была заблокирована браузерами.
Читать подробнее на opennet.ru

Атака NAT Slipstreaming для доступа к TCP/UDP-службам
Исследователь безопасности Сами Камкар представил новую атаку NAT Slipstreaming, позволяющую обойти защиту брандмауэра и получить удалённый доступ к любому UDP или TCP-порту на системе пользователя. Для этого злоумышленнику нужно, чтобы пользователь запустил JavaScript-код – например, открыл специально подготовленную страницу. При этом неважно, какой браузер использует пользователь. Для защиты разработчики Mozilla предложили ограничить возможность отправки HTTP-запросов на сетевые порты 5060 и 5061, аналогичное решение планирует принять и Chromium.
Узнать больше о механизме атаки на opennet.ru

Атака PLATYPUS на процессоры Intel и AMD
Исследователи из австрийского университета разработали новый способ атаки Platypus. Атака позволяет воссоздать данные на основе сведений, полученных непривилегированными пользователями через интерфейс мониторинга энергопотребления RAPL в процессорах Intel и AMD. Обе компании уже выпустили обновление драйверов для Linux, в котором доступ к RAPL разрешён только пользователям с правами root. Разработчики гипервизора Xen также выпустили исправление, блокирующее доступ к RAPL из гостевых систем.
Узнать больше о механизме атаки на opennet.ru

Приветы!
Хоть Хэллоуин и не является официальным праздником, считаем неплохой идеей разбавить осенние будни жутким весельем. Вырезать тыквенные лица и готовить яблоки в карамели необязательно – погрузиться в атмосферу Хэллоуина можно вместе с новым выпуском нашего дайджеста.



А теперь подробнее о том, что нас сегодня ждёт. В октябрьском выпуске поделимся с вами полезными статьями о Линуксе и доменах, расскажем про обновления CLO и заглянем к FirstDEDIC посмотреть на тесты AMD Ryzen 9 3950X. А ещё не пропустите праздничную акцию – о ней в конце дайджеста.

Статьи и манускрипты
Станьте заклинателем Линукс
Если вы всегда обходили стороной операционную систему Линукс, а команды в терминале напоминали вам странные заклинания – у нас есть решение. В этом месяце выпустили целый цикл статей о работе
с Линукс, чтобы вы могли сделать свои первые шаги в администрировании. Не будем тянуть и перейдём к первым статьям. Остальные материалы вы найдете в разделе «Гайды по Linux» в Базе знаний.

• Знакомство с Linux
• Подключение к Linux-серверу
• Первые шаги в командной строке

Разгадайте тайну доменного имени
У каждого сайта в интернете есть уникальное имя – домен. DNS, система доменных имён, позволяет связывать сложные для запоминания IP-адреса сайтов с их названиями. Всего за долю секунды DNS-запрос проходит огромный путь от вашего браузера до авторитетного сервера. Если хотите разобраться, как происходит эта магия, читайте наши статьи, в них вы найдете ответы на все свои вопросы.

• Вопросы о доменных именах
• Что такое серверы имён?
• Что такое DNS и как это работает

Если не нашли решение проблемы в Базе знаний, напишите нам на sales@firstvds.ru — добавим статью.

Новости
Статьи на сегодня всё, перейдем к новостям.

Поставь оценку всяк сюда входящий
Расскажите, насколько вы удовлетворены качеством наших услуг, чтобы мы могли провести работу над ошибками. На сайте запущен опрос, в котором вы можете поставить оценку и подробно раскрыть её в комментарии. Ваши ответы укажут на наши сильные и слабые стороны и помогут нам стать ещё лучше.
firstvds.ru/

Магический камень для дедиков
У наших коллег FirstDEDIC в продаже появились новые конфигурации серверов, теперь вы можете заказать выделенный сервер на базе AMD Ryzen 9 3950X. Новинка имеет 16 ядер и может разгоняться до 4,7 ГГц в турборежиме. Перед началом продаж процессор прошёл череду тестов, а также выдержал сравнение с флагманами от Intel. Если хотите узнать, чем кончилось их противостояние, заглядывайте к FirstDEDIC.
1dedic.ru/content/amd-ryzen-9-3950x-okazalsya-proizvoditelnee-flagmana-intel-i9-10900k

Что нового на облаках
Весной наши разработчики запустили виртуальные серверы в облачной инфраструктуре – проект CLO. Прошло полгода, сервис растёт и развивается. В последних обновлениях ребята добавили снапшоты (быстрые точки восстановления) и возможность использовать SSH-ключи для доступа к серверу без ввода логина-пароля. Также на сайте проекта появился Changelog, в котором можно следить за нововведениями.
clo.ru/changelog

Мешок релизов
Релиз ядра Linux 5.9
Представлена новая версия ядра Linux 5.9, в ней принято более 16 тысяч исправлений от двух тысяч разработчиков. Почти половина всех изменений относится к драйверам устройств, также обновлена часть кода, связанного с аппаратными архитектурами и сетевым стеком. Например, добавлена поддержка ARM-плат, графических процессоров AMD Navi 21 и Navi 22, поддержка сжатия образа ядра с помощью алгоритма Zstandard и многое другое.
Подробнее о обновлении на opennet.ru

Релиз сервера приложений NGINX Unit 1.20.0
Выпущена новая версия сервера приложений NGINX Unit 1.20.0, который позволяет одновременно запускать приложения на разных языках программирования. В текущем релизе добавлена поддержка ПО ASGI (аналог WSGI) для Python, обеспечивающая взаимодействие серверов, фреймворков и приложений, которые поддерживают работу в асинхронном режиме.
О других изменениях на opennet.ru

Релиз Python 3.9
В прошлом году разработчики языка программирования Python решили выпускать корректирующие обновления каждые два месяца, а крупные релизы – раз в год. Таким образом, в октябре состоялся первый большой релиз Python 3.9. Из интересных новшеств: увеличена скорость работы за счёт протокола Vectorcall, к декораторам теперь можно обращаться без ограничений, добавлен оператор для объединения словарей.
Узнать больше на opennet.ru

Релиз Nextcloud Hub 20
Состоялся выпуск Nextcloud Hub 20, платформы для организации совместной работы и общего облачного хранилища. Она представляет собой аналог Google Docs и Microsoft 365, однако позволяет развернуть на своих серверах полностью контролируемую инфраструктуру, независимую от внешних облачных сервисов. Для работы с Nextcloud можно использовать любой хостинг с PHP-скриптами и доступом к SQLite, MariaDB/MySQL или PostgreSQL.
Подробнее на opennet.ru

Магические скидки на Форсаж

Традиционно в Хэллоуин принято наряжаться в костюмы и просить сладости. Сладостями поделиться не можем, но кое-что для вас всё же приготовили. С 29 октября до 12 ноября дарим скидку 15% на гибкий тариф VDS Форсаж по промокоду HALLOWEEN15. Подробные условия акции читайте на нашем сайте.
firstvds.ru/products/vds_vps_forcing

Сентябрь — месяц, богатый на IT-праздники. Тут тебе и День интернета, и День программиста. Хотели традиционно посвятить дайджест кодерам, но что-то пошло не так и выпуск оказался захвачен вредоносным кодом. А точнее котом.



И всё-таки о программистах. Уж кто-кто, а эти ребята точно знают толк в хорошем ПО, надёжных паролях и грамотном планировании. Отдавая дань прошедшему празднику, собрали обо всем понемногу в новый выпуск.

Статьи и инструкции
Про жизнь программиста в отделе маркетинга и наш новый блог
В честь Дня программиста, который традиционно отмечается в сентябре, наш разработчик Алексей приготовил особенную статью. Если хотите узнать, как сработаться со смешанной командой, выдержать шквал креативных идей и уложиться в дедлайн «а давайте запилим новую фичу сегодня» — милости просим в наш блог на сайте VC.ru (да-да, теперь нас можно найти не только на Хабре).


Про Личный кабинет, надёжные пароли и меры безопасности
Если вы забыли данные для авторизации или ваш кот прошелся по клавиатуре и несколько раз ввёл неверный пароль — наша статья поможет вернуть доступ к Личному кабинету. Вдогонку написали пару материалов о том, как обезопасить свой аккаунт и придумать надёжный пароль, на взлом которого потребуется квинтиллион лет… Надеемся, наши криптографические лайфхаки будут вам полезны.

• Доступ в Личный кабинет FirstVDS
• Как создать надежный пароль
• Безопасность паролей

Про установку ПО и размещение сайтов
Чтобы сайт работал и клиенты были, важно позаботиться о первоначальной настройке сервера — установить операционную систему, настроить необходимое ПО… Можно все сделать вручную, а если не хотите разбираться, то установить наш рецепт LAMP. Подробнее про настройку ПО и размещение сайта на сервере рассказываем в новых статьях. А для тех, кому вместо веб-сервера Apache нужен Nginx, приготовили отдельные инструкции по работе с LEMP.

• Установка LAMP
• Как разместить сайт на сервере с LAMP
• Установка LEMP
• Как разместить сайт на сервере с LEMP

Про установку и настройку CMS
Если устанавливать ПО для работы сайтов и веб-приложений вы уже научились, то самое время перейти к установке CMS, системы управления сайтом. Но перед этим рекомендуем изучить возможности каждой системы. В целом, разместить сайт можно на любой, но отличия всё-таки есть. Как только определитесь с выбором — заходите к нам: подготовили для вас несколько инструкций для трёх самых популярных CMS. После этого останется только наполнить сайт контентом и запустить его в продакшн.

• Установка CMS для сайта в ISPmanager
• Как установить WordPress на виртуальный сервер
• Как установить Drupal на виртуальный сервер
• Как установить Joomla! на виртуальный сервер

Если не нашли решение проблемы в Базе знаний, напишите нам на sales@firstvds.ru — добавим статью.

Новости
А теперь перейдём к новостям сентября.

Гигабитный канал теперь и на гибких тарифах
Недавно мы обновили линейку готовых тарифов и добавили возможность выбора канала до 1 Гбит/с. Теперь такая опция появилась и на тарифах с гибкой конфигурацией. При заказе сервера Битрикс или CPU.Турбо можно выбрать канал со скоростью до 500 Мбит/с, а при заказе Форсажа и Атланта доступен канал до 1 Гбит/с. Это бесплатно, но трафик ограничен — 32 ТБ в месяц, превышение оплачивается отдельно.


«Срок жизни» SSL-сертификатов сократили до 1 года
В начале года многие браузеры выступили с заявлением, что скоро прекратят доверять двухлетним SSL-сертификатам, чтобы повысить безопасность сайтов. Удостоверяющие центры присоединились к инициативе и с 1 сентября официально прекратили выпуск двухлетних SSL-сертификатов, теперь они ограничены сроком в 1 год. Если вы приобрели сертификат до 01.09.2020 — не беспокойтесь, он будет действовать до конца своего срока.

Неудержимые скидки на выделенные серверы

Лето кончилось, а запас бодрости и сил нет — наши партнеры FirstDEDIC весь сентябрь раздавали неудержимые скидки до 20% на все готовые выделенные серверы на базе Xeon и Intel Core. Если хотите успеть забрать сервер по выгодной цене, то у вас остался один день — акция закончится 30 сентября в 23.59. А если вашему проекту нужны мощности побольше, предлагаем обратить внимание на выделенные серверы с AMD Ryzen 9 3900X. Отличное решение, если вам важна многопоточность — ядер больше даже чем у флагманского проца от Intel (при более лояльной цене). Если интересно, то у нас и результаты тестов есть.
1dedic.ru

Уязвимости и релизы месяца
Критическая уязвимость в ftpd FreeBSD
В сервере ftpd в составе FreeBSD обнаружили критическую уязвимость, которая позволяет пользователям домашнего каталога получить root-доступ, используя опцию ftpchroot. Однако уязвимость не проявляется при подключении без ftpchroot или в анонимном режиме. Чтобы обезопасить сервер, обновитесь до 12.1-RELEASE-p10, 11.4-RELEASE-p4 или 11.3-RELEASE-p14 (также в этих обновлениях устранены уязвимости гипервизора Bhyve и драйвера ure).
www.opennet.ru/opennews/art.shtml?num=53720

Обнаружена уязвимость в AF_PACKET ядра Linux
В подсистеме AF_PACKET ядра Linux выявлена уязвимость, предположительно существующая аж с 2016 года. Она позволяет локальному пользователю с полномочиями CAP_NET_RAW получить права root и записать от 1 до 10 байт за пределами выделенного ему буфера. Уязвимость присутствует в функции tpacket_rcv и вызвана ошибкой вычисления переменной netoff. Устранить проблему в данный момент можно с помощью соответствующего патча, обновление пока недоступно.
www.opennet.ru/opennews/art.shtml?num=53656

Уязвимость в плагине WordPress File Manager
В версиях 6.0-6.8 File Manager, популярного плагина WordPress, нашли уязвимость, позволяющую запускать произвольный код и загружать на сайт вредоносные файлы. Таким образом злоумышленники могут настроить автоматизированные атаки на сервер. В первый же день уязвимостью попытались воспользоваться более 450 тысяч раз. Если вы используете данный плагин, настоятельно советуем обновиться до версии 6.9 — в ней уязвимость уже устранена.
www.opennet.ru/opennews/art.shtml?num=53646

До конца лета всего ничего. Надеемся, вы успели подзарядиться в сезон отпусков и восполнить ресурсы, чтобы их хватило на год. Или хотя бы на весь деловой сезон. А пока готовитесь к началу осени, полистайте новый выпуск дайджеста. Как всегда собрали самое интересное за месяц — новости, статьи и запасы летнего настроения.



А ещё поговорим сегодня о ресурсах сервера. Их ведь тоже должно хватать, особенно в чудесную пору возрастающей активности. Так что устраивайтесь поудобнее и поехали!

Статьи и инструкции
О новом поколении процессоров Intel Core
Да, время идёт, всё меняется. И на смену девятому поколению процессоров Intel Core приходит десятое. Мы уже писали о том, что обновили линейку тарифов Турбо и теперь у нас есть серверы на базе новых процессоров i9-10900K. Если хотите узнать, насколько они круче своих предшественников, читайте статью в нашем блоге на Хабре. Там всё по полочкам. И с графиками.

i9-10900K против i9-9900K: что можно выжать из новых Intel Core
на старой архитектуре

О способах переноса сайта на сервер с GT
Для тех, кто не знает, поясним. Окружение GT — специальное программное обеспечение, которое ускоряет работу сайтов на CMS Битрикс. Так как GT-окружение не имеет меню, все действия необходимо выполнять самостоятельно. Для тех, кто захочет попробовать новые скорости и соберётся перенести свой сайт на сервер для Битрикса, подготовили в помощь инструкцию.
Как перенести сайт на сервер с окружением GT

О ресурсах сервера и смене тарифа
Нагрузка на сервер как уровень воды в океане. Растёт постоянно. Больше данных, больше посетителей, а как следствие — сервер не вывозит, потому что ресурсов «маловато будет». О том, что делать, если хочется увеличить производительность хостинга, рассказываем в нашей статье-шпаргалке.
Изменение ресурсов сервера и смена тарифа

Новости
А теперь коротко о главных новостях августа.
Проапгрейдили линейку готовых тарифов и добавили ещё один
В этом месяце мы обновили дизайн главной страницы сайта и переработали линейку готовых тарифов. Они стали производительнее, чем раньше. Кроме того, добавили новый тарифный план «Прогрев» — подходит для размещения простых проектов и небольших сайтов. А ещё увеличили скорость соединения. Теперь при заказе готовых тарифов с виртуализацией KVM можно выбрать канал до 1 Гбит/с.
firstvds.ru/products/vds_vps_hosting

Объединили группы в социальных сетях с FirstDEDIC
Да, да, с августа у нас общие группы с партнерским проектом FirstDEDIC. Мы, конечно, не ром и кока-кола, но вместе однозначно веселей. А вам теперь станет легче следить за акциями и новостями как о виртуальных, так и о выделенных серверах — вдруг однажды соберётесь пересаживаться на машины помощнее. Подписка, лайк, шер повышают карму подписчика и настроение админов групп.

Панель ISPmanager получила новый дизайн

Совсем недавно панель управления ISPmanager Lite получила новый дизайн. Все кнопки и функции остались на привычных для пользователей местах, а вот интерфейс значительно эволюционировал: стал более современным и удобным.

Уязвимости и релизы месяца
В популярном движке для форумов vBulletin исправили уязвимость
Причём повторно… Опасная уязвимость нулевого дня была обнаружена в прошлом сентябре. Затрагивала версии vBulletin с 5.0 по 5.4 и позволяла выполнять произвольные PHP-команды на удалённом сервере, не требуя авторизации на форуме. Патч выпустили сразу, но часть компаний пострадала-таки от рук хакеров.
С тех пор прошёл почти год, и вот неожиданность — оказалось, выпущенный патч можно обойти. Это подтвердилось обнародованными PoC-эксплоитами — на Bash, Python и Ruby. Свежий патч для старой-новой проблемы уже выпущен и разработчики советуют не затягивать с обновлением. Подробнее на xakep.ru

Выявлен червь FritzFrog, поражающий серверы по SSH
Неравнодушные ребята из Guardicore выявили новое вредоносное ПО FritzFrog, поражающее серверы на базе Linux. Причём высокотехнологичное. Мало того, что оно сочетает в себя червя, который распространяется через bruteforce-атаку, с компонентами для построения умного ботнета без единой точки отказа, так его ещё и не так просто выявить… В основном хакеры используют «лягушку» для взлома серверов госучреждений и банков, чтобы потом майнить на них криптовалюту. Простого решения для защиты пока не нашлось, но для выявления FritzFrog исследователями предложен некий shell-скрипт и указан ряд признаков наличия червя, например, наличие трафика на сетевой порт 5555. Подробнее об этом на opennet.ru

Уязвимость в chrony
Выявлена уязвимость в реализации протокола сетевого времени chrony. Она позволяет перезаписать любой файл в системе и при этом может быть эксплуатирована через пользователя chrony. Устранена в выпуске 3.5.1. Обновления пакетов доступны для Fedora. В процессе подготовки обновления для RHEL, Debian и Ubuntu. Подробнее на opennet.ru

Релиз WordPress 5.5 с поддержкой обновления плагинов
Состоялся в середине августа и получил кодовое имя «Eckstine» в честь певца Билли Экстайна. Если любите джаз, то наверно в курсе, кто это.
Выпуск интересен тем, что в нём есть режим автообновления плагинов и тем оформления. Такая палка о двух концах. С одной стороны, может решить проблему с уязвимостями в старых плагинах, где решает скорость «вкатывания» свежих пакетов, с другой — нет гарантии, что не возникнет опасность автоматизированного распространения вредоносного кода в процессе доставки обновлений или типа того.
По умолчанию автоматическая установка обновлений в WordPress 5.5 отключена. Так что решать будет пользователь.
О других новшествах WP 5.5. на opennet.ru

Хеллоу, диа френдс!

Впереди ещё целый месяц лета, и это прекрасно. Так же как и то, что завтра пятница и День системного администратора в одном флаконе. С чем вас и поздравляем! И прежде, чем мы традиционно начнём рассказывать о самом интересном за месяц, предлагаем пройти короткий тест на интуицию. Посмотрите на фото наших ребят и угадайте, кто из них настоящий системный администратор. Отгадка ниже.


Ну, а теперь коротко о том, что мы для вас приготовили. Статьи про вирусы и взломы, новости о Турбо-тарифах, уязвимости месяца и на десерт — ещё один тест на тру-сисадмина, который поможет определить, кто есть кто. В общем, если хардкор, скорость и драйв — это то, что вам нужно накануне праздничной пятницы, то вам сюда. Погнали!

Статьи и инструкции
О взломах, вирусах и способах борбы с ними
Чем больше жизнь перетекает в онлайн, тем больше желающих приходит отыскать слабое звено в ваших сайтах. И ладно бы с благими целями, так ведь нет. Взломы, вирусы, слив данных пользователей… счёт идет на секунды… В общем, боевик какой-то. Кстати, заметили, что в таких фильмах побеждает тот, кто успевает подготовиться? Пулемет зарядить, ловушек наставить, ну, или хотя бы морально собраться. Так вот пока есть время, берите пример с Рэмбо: если войны избежать не получится, то хотя бы будете знать, как отстреливаться. Подобрали тут для изучения матчасти:

• Профилактика сайтов от вирусов и взлома
• Признаки и способы заражения и взлома сайтов
• Инструменты проверки сайта на вирусы
• Установка AI-BOLIT и проверка сайта на вирусы
• Способы лечения вирусов на сайте
• Лечение вирусов на сайтах: чек-лист
• Восстановление репутации сайта после заражения

О проблемах с доступностью сайта и сервера
Код 200 на языке протокола HTTPS — почти то же самое, что «окей» на английском. Только для сайта, который сообщает, что с ним все в порядке. Причины, почему с сайтом может быть не «окей», бывают самые разные. Но это не значит, что пришла пора опускать руки — для начала можно найти, где и что именно пошло не так. А там, глядишь, и решение отыщется. Кстати, если по сети недоступен сервер — рекомендации те же: искать и не сдаваться. Подробнее об этом в наших статьях в базе знаний. Не Чернышевский конечно, но на вопрос «что делать» ответы имеются.

• Что делать, если сайт недоступен по сети (код 200)
• Что делать, если сервер недоступен по сети

О правильных запросах в поддержку
Средняя скорость ответа нашей техподдержки — 15 минут. Но кто не мечтает о том, чтобы ему отвечали мгновенно. Мы бы и сами так хотели, честно. Увы, человеческие и технические возможности имеют свои пределы. Правда, есть тут один лайфхак. Чтобы обработка тикета проходила быстрее, нужно правильно составить текст запроса. О том, как это работает, чистосердечно рассказываем в статье. Прям тут.

• Как правильно написать запрос в службу технической поддержки

Новости
Турбо-тарифы стали еще быстрее

Если пропустили новость от Intel о выпуске процессоров Core десятого поколения i9-10900K — не беда. Главное, не пропустить тот факт, что теперь у нас есть виртуальные серверы на базе этих процессоров — с частотой до 5,3 ГГц. Еще одна хорошая новость: мощность VDS выросла, а цена нет. За техническими характеристиками, результатами тестов и подробностями — сюда.

В сервисе CLO появились пять новых функций
Команда разработки проекта CLO не сидит сложа руки даже летом. И пока вы читаете новости — тоже. Но о перспективах чуть позже. А сейчас о том, что же изменилось с момента старта.

• Добавилась возможность заказывать сервер, самостоятельно настраивая нужное количество ресурсов. В разумных пределах, естественно.
• Также вы можете изменить ресурсы уже созданных серверов как в большую, так и в меньшую сторону.
• Если при запуске ОСи возникают ошибки, теперь можно перевести сервер в режим восстановления и получить доступ к консоли, чтобы починить всё, что сломалось.
• Пополнился список способов оплаты — стали доступны банковские переводы.
• Усилили систему безопасности, добавив возможность подключения двухфакторной аутентификации.

Подробнее в базе знаний CLO, ссылки прилагаются.

• Гибкие настройки ресурсов сервера
• Оплата банковским переводом
• Режим восстановления сервера (rescue mode)
• Двухфакторная аутентификация

В ближайшее время команда проекта планирует добавить кое-что ещё. Если хотите быть в курсе всех изменений и планов по развитию CLO, заглядывайте на сайт проекта.
clo.ru/about

Уязвимости месяца
Уязвимости в libc и IPv6-стеке FreeBSD
Для кого-то июль оказался весьма плодотворным. Во FreeBSD устранено четыре уязвимости, позволяющие локальному пользователю получить больше прав, и три проблемы, не связанные с безопасностью, но от этого не менее опасные, так как при совпадении некоторых условий вполне способны привести к краху ядра. Совет традиционный — обнулитесь обновитесь. Подробнее об уязвимостях на opennet.ru
www.opennet.ru/opennews/art.shtml?num=53317

50 тысяч TLS-сертификатов EV подлежат отзыву
В начале месяца удостоверяющий центр Digicert сообщил, что 11 июля намерен отозвать около 50 тысяч сертификатов уровня EV. Такое решение было связано с тем, что расширенные отчёты по этим сертификатам за почти пятилетний период были пропущены. Отзыву подлежат сертификаты, выданные через аккредитованные удостоверяющие центры, не фигурирующие в отчётах для аудита. Изменение коснется клиентов, выпустивших EV-сертификаты в центрах сертификации CertCentral, Symantec, Thawte и GeoTrust, им может потребоваться перевыпуск. Подробнее на opennet.ru
www.opennet.ru/opennews/art.shtml?num=53334

Время Flash Player истекает
31 декабря 2020 года — официальная дата end of life (EOL) Flash Player, анонсированная компанией Adobe. После этого дня поддержка технологии будет прекращена, а выпуск обновлений завершится. В Adobe также намерены ликвидировать все загрузочные ссылки с сайта, добавить в код блокировки для запуска и обратиться к пользователям с просьбой удалить Flash Player со своих компьютеров, чтобы исключить возможность установки и использования неподдерживаемого ПО. Ведь после того, как технология лишится поддержки, она станет более уязвимой — компания планирует сделать всё, чтобы защитить пользователей. Подробнее на xakep.ru
xakep.ru/2020/06/22/uninstall-flash-player/

В Windows DNS Server устранена критическая уязвимость 17-летней давности
Критическая уязвимость существовала в коде 17 лет прежде, чем была обнаружена специалистами компании Check Point­ в мае этого года. Она уже успела получить кодовое имя SigRed, 10 из 10 баллов по шкале оценки уязвимости, что означает высокий уровень опасности, и мотивировать компанию Microsoft на экстренное устранение проблемы. Так как эксплуатация уязвимости почти не требует технических знаний, а сама она может быть использована для удаленных атак, рекомендуется не затягивать с обновлением. От слова совсем. Подробнее на xakep.ru
xakep.ru/2020/07/15/sigred/

А вы тоже не заметили, как просвистел июнь? Если пока не думали о том, как провести оставшуюся часть лета так, чтоб запомнилось, готовы подкинуть варианты. И нет, это не ремонт или шашлыки.


В новый выпуск традиционно собрали полезные инструкции, горячие новости и, раз уж пообещали, 5 идей о том, чем занять себя летом, не выходя из-за монитора.

Статьи и инструкции
Идея 1. Разобраться с бэкапами и не только
Внешний диск для бэкапов — штука отличная, тем более, что никто не может вам запретить хранить там… тссс… не бэкапы! Взять, к примеру, все папки с названиями «Разобрать» и «Temp11111» да и залить на удалённый сервер. Как говорится, с глаз долой… В общем, как использовать диск — дело сугубо личное. Но если что, в инструкции подробно объясняем, как переносить файлы в хранилище по FTP-протоколу с помощью FileZilla, и рассказываем про встроенные возможности веб-интерфейса.
Управление внешним диском для бэкапов

А чтоб было проще начать, ловите от нас летний промокод и подключайте внешний диск для бэкапов со скидкой 30% на 3 месяца. Промокод 3MONTHBACKUP. Успевайте до 31 июля. Потом поезд уйдёт.

Идея 2. Установить нужное ПО
Пока большая часть народа в отпусках, можно наконец-то выкроить время и поставить дополнительное программное обеспечение. Отдавая дань 25-летию php, в этот раз рассказываем, как установить приложение phpMyAdmin на Битрикс-сервер с привычным окружением и скоростным рецептом GT. Для прода админы приложение использовать не советуют, а на dev в принципе можно накатить. Ну вы и сами всё знаете.
Установка phpMyAdmin на Bitrix-сервер
Как установить phpMyAdmin на Bitrix-сервер с GT

Идея 3. Запустить новый проект в Minecraft
Кажется, у игры Майнкрафт открылось второе дыхание. Или даже третье. Строительство из кубиков вышло на новый уровень — теперь тут проводят выпускные в виртуальных стенах родного учебного заведения и даже ставят спектакли, «Вишнёвый сад» например. В общем, не паханное поле для креатива. Пока обдумываете, как использовать популярную игру в своих целях — для работы или отдыха, рассказываем, как установить Minecraft на свой сервер. Не все же в Red Dead Redemption планерки проводить…
Как установить Minecraft-сервер версии 1.15.2 на Ubuntu\Debian
Как установить Minecraft-сервер версии 1.15.2 на Windows

Идея 4. Разработать telegram-бота
Он работает — вы отдыхаете. Тем более, что теперь никаких обходных путей выдумывать не надо. И вот почему…

Новости
Дождались! 18 июня Роскомнадзор разблокировал телеграм. Пользователи в сети шутят на тему, как можно разблокировать то, что так и не было заблокировано. Да большинство даже не заметило проблем в работе мессенджера — телеграм проксировал трафик и вообще он молодец, но кое-где костыли и велосипеды все же потребовались. После блокировки 13 апреля 2018 года боты телеграма перестали работать. Поскольку инструмент хорош и востребован, многим пришлось искать обходные пути — настраивать vpn, переезжать на забугорные серверы, писать на скорую руку скрипты…

Теперь можно вздохнуть свободно — боты снова работают на серверах, находящихся в РФ. И на наших в том числе. Если что, мы проверили. Проверьте и вы — заодно узнаете о том, кто и как работает в нашей компании.
t.me/ThinkFirst_bot

Идея 5. Повысить уровень безопасности данных
Проводить профилактику безопасности никогда не лишне. Ведь иногда кажется, что хакеры никогда не спят, не болеют и не отдыхают…

Уязвимости месяца
Опасный шифровальщик PonyFinal
Компания Microsoft советует компаниям остерегаться кибератак с использованием опасного шифровальщика PonyFinal. От него уже пострадали организации в разных странах. Эффективность вредоносу обеспечивают хакеры, которые после взлома вручную размещают в корпоративных сетях своё ПО, а не автоматизируют процесс. Чаще всего взлом происходит через учётные записи со слабыми паролями, далее активируется скрипт Visual Basic, который запускает процесс сбора и передачи данных. Затем внедряется сам шифровальщик PonyFinal. Так как способов для расшифровки пострадавших данных пока нет, специалисты по безопасности советуют не ограничиваться изучением кода вируса, но и обращать внимание на сам ход атаки. Подробнее на xakep.ru

Уязвимость в GnuTLS
Выявлена уязвимость в библиотеке GnuTLS, которая по умолчанию применяется во многих пакетах из состава Debian. Уязвимость позволяет возобновить ранее прекращенный сеанс TLS без знания сессионного ключа и может быть использована для организации так называемых атак посредника (MITM). Проблема проявляется с выпуска 3.6.4. Устранена в версии GnuTLS 3.6.14. Проблема была исправлена в дистрибутивах Debian, SUSE, FreeBSD, Fedora, Ubuntu, EPEL и RHEL 8. Подробнее на opennet.ru

Масштабная кампания по взлому сайтов на WordPress
В начале июня специалистами Wordfence была зафиксирована вторая волна хакерских атак на сайты на WordPress. Первая была в мае. Поскольку атаки были организованы с IP-адресов, часть которых использовалась хакерами ранее, эксперты Wordfence считают, что обе кампании по взлому — дело рук одной и той же группы злоумышленников.

В этот раз взломщики использовали старые уязвимости в плагинах и попытались скачать с сайтов файлы конфигурации. По оценкам экспертов, это составило около 75% всех попыток использования уязвимостей в плагинах и темах для WordPress. Подробнее на xakep.ru

Протоколу SMB угрожает новая проблема SMBLeed
Уязвимость, получившая название SMBLeed, позволяет злоумышленнику удаленно, минуя аутентификацию, «сливать» данные из памяти ядра. Проблема проявляется в Windows 10 и Windows Server версий 1903, 1909 и 2004. Патчи для бага уже доступны, но у Microsoft есть и другие варианты решения этой проблемы. Подробнее на xakep.ru

И релизы
Релиз OpenSSH 8.3
Представлен релиз OpenSSH 8.3, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. В новом выпуске добавлена защита от атаки на scp и внесен целый ряд изменений. Подробнее на oppenet.ru

Релиз Windows 10
Если вдруг пропустили, напоминаем, что состоялся релиз Windows 10 (2004). В его состав вошло немало улучшений по безопасности. Но до идеала, видимо, делеко. Уже составлен список проблем, с которыми столкнулись пользователи. Подробнее на xakep.ru

Релиз почтового сервера Exim 4.94
В новом выпуске внесены накопившиеся исправления и добавлен ряд возможностей. И как уже стало известно, часть из них могут привести к нарушению обратной совместимости. Нет в мире совершенства. Подробнее на opennet.ru

Вот и подоспел очередной выпуск нашего дайджеста. Сегодня говорим о том, что делать, когда задач становится всё больше, а сил — всё меньше. Во время пандемии почему-то такое особенно актуально.



На самом деле совет простой — оптимизировать всё, до чего можно дотянуться. Если подойти к этому с умом, бесконечный список задач сократится сразу до приемлемого. Далее на примерах расскажем о том, какие пункты вполне могут попасть в кандидаты на выбывание. Итак, поехали.

Статьи и инструкции
Установка ПО на сервер — пропусти и забудь
Если нет желания заморачиваться и самостоятельно устанавливать дополнительное программное обеспечение на сервер, можно взять VDS с готовым рецептом. Всё установят за вас. Такой вот лайфхак. Тем более, что в этом месяце добавились еще два варианта предустановленного ПО — Nextcloud и OpenVPN. Сейчас, когда многие компании перевели своих сотрудников на удалёнку, эти рецепты оказались особенно востребованы. О том, что это такое и для чего нужно, в статьях в Базе знаний.

• NextCloud: знакомство и быстрый старт
• Что такое OpenVPN и зачем он нужен

Резервное копирование: нажми на «галку», получишь результат
Не устанем повторять, что бэкапы — это важно и при этом совсем не трудно. Один клик в Личном кабинете, чтобы поставить «галочку» для подтверждения, и вуаля! Резервные копии начинают сохраняться на отдельный независимый сервер. Причём регулярно и автоматически. Тем, у кого нет панели управления сервером, придётся повозиться чуть дольше, но оно и правда того стоит — сперва силы сбережёте, потом нервы, если что-то пойдёт не так. Всё об автобэкапах прямо здесь и сейчас — тык-тык по ссылкам.

• Автобэкапы: что такое и как это работает
• Как настроить бэкап баз данных
• Как восстановить бэкап на сервере без ISPmanager

Перед отпуском
И, кстати, о продлении. Впереди лето — пора отпусков. Путёвки к друзьям на дачу, накопившиеся домашние дела, мммм… и другие прелести жизни в самоизоляции. Если её не отменят, конечно. В любом случае, если собираетесь хорошенько отдохнуть от работы, проведите заранее ревизию задач, которые могут внезапно потребовать вашего участия. Одной из них может стать продление услуг, остановленных за неуплату. Чтобы все работало, пока вы отдыхаете, проверьте услуги и продлите те, срок оплаты которых закончится в разгар каникул. Собрали в статью всё, что нужно знать о продлении.

• Продление услуг

Оплата услуг — автоматически и вовремя
Самое время зайти в Личный кабинет и примерить на себя два новых инструмента, которые помогут быстро и с комфортом справляться с оплатой услуг. Привязка счёта позволит уйти от того, чтобы каждый раз заполнять одни и те же данные в платёжной системе. А автопродление даст возможность продлевать выбранную услугу напрямую с вашего счёта, а не с баланса аккаунта: не придётся вручную пополнять лицевой счёт. Об этих и других полезных инструментах рассказываем тут:

• Как комфортно продлевать и оплачивать услуги

Новости
Обновили условия #SaveFirst
В прошлом выпуске мы рассказывали об инициативе #SaveFirst, которую запустили на время пандемии для того, чтобы поддерживать социально значимые проекты. Изначально ориентировались только на наших клиентов, но после запуска к нам обращались разные проекты, которым мы также не могли отказать в помощи, хоть они и не соответствовали всем критериям инициативы. Поэтому мы пересмотрели условия #SaveFirst, сделали их более гибкими. И теперь есть всего четыре пункта, по которым мы оцениваем любой онлайн-проект на предмет предоставления бесплатных вычислительных мощностей:
firstvds.ru/savefirst
firstvds.ru/blog/savefirst-novye-usloviya-dlya-onlayn-proektov

• услуги проекта можно заказать или получить онлайн,
• проект готов к запуску или уже выпущен на рынок,
• он доступен всем желающим,
• все услуги во время пандемии оказываются бесплатно.

Бесплатно помочь всем мы, к сожалению, не можем, так как ресурсы инициативы ограничены количеством серверов. Тем не менее, мы рассматриваем каждый проект и тем, кому мы не готовы выделить бесплатные серверы, предлагаем индивидуальные условия сотрудничества. Подробнее об этом и о том, как подать заявку на участие, на странице инициативы.

Уязвимости месяца
Уязвимости в Saltstack
В конце апреля появилась информация о двух уязвимостях в SaltStack, которым был присвоен наивысший уровень опасности — 10 из 10. Опасность обнаруженных уязвимостей заключается в том, что позволяет атакующему получить права суперпользователя и выполнить свои команды на удалённой машине.От действий хакеров, использующих дыры в Salstack, в начале мая пострадало сразу несколько компаний, в том числе LineageOS. На данный момент уже выпущены обновления платформы SaltStack 3000.2 и 2019.2.4, в которых уязвимости устранены, поэтому всем, кто еще не обновился, рекомендовано сделать это как можно быстрее. Подробнее на opennet.ru

Надо сказать, что в этом мае возросла не только активность клещей, но и хакеров. Если хотите больше подробностей, вот вам небольшая подборка на эту тему.

• Массовые взломы суперкомьютеров с целью майнинга криптовалюты
• 900 тысяч сайтов на Wordpress подверглись атакам хакеров

Уязвимость в Apache Tomcat
Через отправку специально оформленного запроса позволяет добиться выполнения кода на сервере. Чтобы это провернуть, у атакующего должно сойтись сразу несколько условий, например, ему необходимо получить возможность контролировать содержимое и имя файла на сервере и каким-то образом вычислить путь до него. Несмотря на это и на то, что атака возможна не во всех системах, обновление явно не помешает. Уязвимость устранена в выпусках Apache Tomcat 10.0.0-M5, 9.0.35, 8.5.55 и 7.0.104. Подробнее на opennet.ru

Атака NXNSAttack, затрагивающая все DNS-резолверы
Разработан новый метод атаки NXNSAttack, который позволяет приумножить число пакетов при отправке запросов DNS-резолверу.
Суть в том, что атакующий использует запросы, ссылающиеся на фиктивные NS-записи, которым делегируется определение имени, при этом А-запись отсутствует.
Резолвер, пытаясь определить IP-адрес неизвестного NS-сервера, отправляет запрос к DNS-серверу жертвы. Но благодаря усилиям атакующего натыкается на огромный список неповторяющихся NS-серверов с несуществующими именами поддоменов жертвы, не находит домен и переходит к следующему NS-серверу, перебирая весь список. Поскольку имена NS-серверов ссылаются на поддомены, которых нет, они не извлекаются из кэша и каждый запрос атакующего приводит к шквалу запросов к DNS-серверу, обслуживающему домен жертвы. Защита от атаки реализована в выпусках Unbound 1.10.1, Knot Resolver 5.1.1 и других. Подробнее о стратегиях защиты на opennet.ru