Univerza v Mariboru tarča kibernetskega napada

No, nisem vključen v to ampak iz vzporedne dejavnosti s podobnimi težavami.

Noben profesionalec ne more svetovati rešitve, če inputi manjkjo, članek ne postreže s podrobnostmi...
Znanje je zagotovo poslovna skrivnost, kaj drugega pa bi naj bilo poslovna skrivnost?
Mogoče sama situacija niti ni bila predvidena, da je rešljiva in je tole inside job?

Če bi tule napisal po točkah pravočasno - koliko bi sploh bilo upoštevano?

misek je 26. okt 2024 ob 15:06:18 izjavil:

Tukaj na forumu je bilo kar nekaj komentarjev znalcev, ki stvari povedo samo na pol. Če jih zares dobro poznajo, naj kar le-ti podrobneje predstavijo kako bi rešitve morale delovati v praksi. Zgleda so to poslovne skrivnosti.

Vsa poanta informacijskih rešitev je, da so *prilagojene* specifičnim zahtevam organizacije. Obstaja sicer nek presek, kjer se najdejo skupne točke, a te niso pravilo, samo priporočilo. Microsoft s svojo standardizacijo poslovnih okolij omogoča avtomatizacijo vdiranj vanje, zato je največji korak, ki ga lahko narediš za varnost ta, da nisi standarden. To seveda prinese ceno v smislu potrebe po ljudeh, ki vejo kaj delajo, potrebuješ tudi procese ohranjanja institucionalnega znanja, ampak kar sem do sedaj uspel videti, je ta cena vedno precej manjša kot cena pobiranja po enem takem neljubem dogodku. Ko na koncu potegneš črto, je vprašanje organizacije ITja stvar kulture podjetja oz. okolja, v katerem deluje.

kanarin je 26. okt 2024 ob 17:22:34 izjavil:

Torej definitivna rešitev zate je poenostavljeno rečeno "stran od Microsofta" ? Verjetno boš tudi trdil da je to v praksi enostavno izvedljivo ? Kako se je že zaključil tisti famozni projekt uvedbe odprtokodnih sistemov (linux) v javno upravo ?

Ponekod še traja oz. je bil izpeljan, drugje so lobiji uspešno zarili svoje kremplje v ubežne sužnje.

Ne vem, kak je bil sistem Univerze v Mariboru, kar se tiče varnostnih kopij in nasploh zasnove. Morda kdo v tej temi ve in lahko napiše. Brez podatkov se je v kontekstu tega težko pogovarjati.

bbbbbb2015 je 26. okt 2024 ob 00:52:29 izjavil:

ferdov je 25. okt 2024 ob 23:29:22 izjavil:

Praktično vsi boljši backupi imajo feature retention lock ravno za primer ransomware napadov. Samo postaviti je treba pravila.

To niti nima kaj dosti veze z backupi in njihovo konfiguracijo.
Backup server bi moral biti v drugem segmentu mreže, lahko tudi virtualne, saj vmes je lahko virtualni požarni zid. Tako da fizično to sploh nič ne stane, niti ne predstavlja (resnega) bremena za nek esxi.

Moral bi imeti drugega administratorja (login), ter biti v drugi windows domeni.

Ker če ransomware "preskoči" na drug server (ker je admin isti), ti fajle povozi. Ponavadi so to virtualni trakovi na velikih diskih, oz. D2D2T.

Če ti pa backup fajle povozi (kriptira), nimaš nič. Vseeno, kako imaš retention konfiguriran, ker nimaš fajlov, ki so virtualni trakovi.

Če pa nimaš niti (zunanjih, fizičnih) trakov, pa nimaš povsem nič.

Četudi nimaš D2D2T ali nočeš imeti, lahko narediš letni ali polletni backup na nek trak. Ali BR ali nek eksterni medij pač. To skoraj ne stane nič in četudi je to 10 starih DAT trakov, kar stane malenkost, če niti tega nimajo, potem...

Da ne govorim, da niso prakticirali disaster recovery ali imeli sekundarni računski center.

Zimonem je 26. okt 2024 ob 00:32:18 izjavil:

Točno to, če kot študent ne zgrunta ne bo nikoli.

Študentje se učijo na faksu. To frazo ne gre razumeti dobesedno. Ni faks ali univerza kot nek poskusni zajec, če crkne, pač yebiga. Če pa ne crkne, pa so se študentje nekaj naučili.

Univerza dobi denar, tudi za IT in to ne malo denarja.

Pri vseh kodiranjih podatkov podjetij kjer sem bil poleg je zadeva potekala na podoben način.
Prišli so v sistem (Nezavarovani RDP, uporabnikov računalnik...) in iz njega bruteforcali geslo za admina. Ko so to imeli so en čas (par dni, teden, itd...) spremljali da so videli kako cel sistem deluje. Nato so čez vikend izvedli napad. Kriptiranje podatkov in uničili backup. Vse kar je bilo nastavljeno po "predpisih in pravilih stroke" je šlo papa. Vdrli so tudi v tape knjižnjico in pognali uničenje vseh kaset z backupi.

Ker pa jaz zadev pri 200+ strankah nisem imel nastavljenih po "predpisih in pravilih stroke". So pri "meni" v najslabšem primeru uničili 1 kaseto v knjižnjici ter pogon.

Stranke so se v nekaterih primerih odločale za plačilo saj je bilo tako precej ceneje in hitreje vzpostaviti sistem nazaj v delujoče stanje.
Poleg tega so ti "hekerji" poslali celoten dokumentarec kako so prišli not in kaj so delali.

Cena odklepa je bila pa manjša kot mesečna plača administratorjev tam.

Vem pa točno kako je potekalo ker sem mel iz določenih razlogov vse loge konstantno backupirane in sem lahko videl kaj delajo in kje.
Žal jaz logov nisem gledal če imajo "varnostne težave" ampak sem gledal
kje so bili vzroki za težave z "backupi".

To sem začel spremljati šele po teh dogodkih čeprav to ni bilo moje delo.

In ja ko si redno spremljal te loge si lahko marsikaj preprečil...

tony1 je 26. okt 2024 ob 10:32:36 izjavil:

"Backup server bi moral biti v drugem segmentu mreže, lahko tudi virtualne, saj vmes je lahko virtualni požarni zid. Tako da fizično to sploh nič ne stane, niti ne predstavlja (resnega) bremena za nek esxi."

Tudi to je lahko nevarno, ker je ESXi zluknjan ko ementaler, vedno znova se v njem najde katastrofalne luknje, updejta se ga pa ne, ker nimajo znanja in izkušenj, kako to gre, pa še sistem je "prepomemben". In ti uletijo not in na nivoju ESXija zakriptirajo vse...

Dejansko je stvar tako huda, da je čas, da se naredi novo verzijo CVIja, in ljudem, ki kaj znajo da poslanske plače. Zunanje izvajalce pa pošlje kamor sonce ne posije...

Admin dostop do bekap sistema (ne samo enega, kot so se lepo naučili na LL) bi moral biti ločen na določeno delovno postajo, ki sploh ne bi bila v mreži. Časi, ko sta bila kišta in monitor omembe draga stvar so že dolgo mimo.

Ko sem bil še tu poleg je bil ta Esx-i brezplačen
Sedaj pa ugani česa v brezplačni različici ni bilo in je bilo navoljo samo če si
zadevo kupil/dokupil.
Nekaj zelo pomembnega za backupiranje...

misek je 26. okt 2024 ob 15:06:18 izjavil:

Tukaj na forumu je bilo kar nekaj komentarjev znalcev, ki stvari povedo samo na pol.

Also, v javnost ne greš razlagat, kako imaš zastavljen multi-layer defence v globino v svojem okolju. To je tako, kot da bi napadalcem razkril svoje obrambne načrte. Obstajajo dobre prakse na to temo, ki si jih z zanimanjem prebereš in prilagodiš za svoje potrebe in scenarije.

pegasus je 26. okt 2024 ob 21:29:55 izjavil:

misek je 26. okt 2024 ob 15:06:18 izjavil:

Tukaj na forumu je bilo kar nekaj komentarjev znalcev, ki stvari povedo samo na pol.

Also, v javnost ne greš razlagat, kako imaš zastavljen multi-layer defence v globino v svojem okolju. To je tako, kot da bi napadalcem razkril svoje obrambne načrte. Obstajajo dobre prakse na to temo, ki si jih z zanimanjem prebereš in prilagodiš za svoje potrebe in scenarije.

Security through obscurity se ponavadi ne obnese.

sbawe64 je 26. okt 2024 ob 22:31:57 izjavil:

pegasus je 26. okt 2024 ob 21:29:55 izjavil:

misek je 26. okt 2024 ob 15:06:18 izjavil:

Tukaj na forumu je bilo kar nekaj komentarjev znalcev, ki stvari povedo samo na pol.

Also, v javnost ne greš razlagat, kako imaš zastavljen multi-layer defence v globino v svojem okolju. To je tako, kot da bi napadalcem razkril svoje obrambne načrte. Obstajajo dobre prakse na to temo, ki si jih z zanimanjem prebereš in prilagodiš za svoje potrebe in scenarije.

Security through obscurity se ponavadi ne obnese.

Security through obscurity je danes samo še mitologija.

To je bilo aktualno bolj v dnevih, ko je recimo remote sistem imel na ttyS0 priklopljen modem, pa če si se konektal na pravo telefonsko, ter nastavil prave hitrosti, si dobil prompt od sistema.

Tudi A5/1 šifrirni algoritem je bil znan že na začetku, da ni najbolj varen, to je bilo mišljeno bolj "export grade". Zato so ga skrivali, ne da bi šlo za neko napako.

Gre se za to, kot je nekdo že prej povedal, koliko nivojev varnosti imaš, kako imaš varnostne kopije organizirane, kako imaš definirano "business continuity", torej če eden ali pomemben del sistemov izpade, kako naprej.

To se praviloma ne govori, ker to že samo po sebi pomeni, da če nekdo to ugotovi, je že to samo šibka točka.

Recimo za največji rop diamantov v Amsterdamu je bil ključ od trezorja dve pisarni naprej, v predalu. Sicer pod enostavnim alarmom, ki pa je bil nevtraliziran.

Se mi pa zdi, da so na Univerzi v Mariboru izgubili precej, če ne celo vse. To praktično ni možno restavrirati nazaj v nulo, kar bo pomenilo trajno škodo za vse, univerzo v MB, študente in tudi diplomante. Če bodo osebni podatki še razkriti preko darkweba, pa to pomeni še dodatno škodo in še kakšna tožba lahko pade.

Ales je 26. okt 2024 ob 00:02:55 izjavil:

Zimonem je 25. okt 2024 ob 23:13:55 izjavil:

Razen če plačajo. Samo če plačajo, potem jih čaka pa druga palica. Vrač, ki je zadolžen za informatko, bo sigurno letel.

Če plačajo ali ne bo vrač letel. Med drugim predavajo na univerzi tudi informacijsko varnost. tukaj potem ni problem sam vrač, ampak tudi predavatelji.

Taka situacija ni od včeraj in tole je ogromna blamaža za stroko, verjetno tudi širše, ne le na sami Univerzi v Mariboru. Sploh če je situacija dejansko bila že dolgo znana, pa so bili vsi tiho. In če so tiho o težavah tudi drugje.

Če bodo hoteli dregniti v to, bi moralo iti kot domine, tudi za nazaj in tudi širše.

V najslabšem primeru, najslabšem tudi z vidika, da bi se kaj sistemsko spremenilo, bosta nastradala samo kak grešni kozel ali dva.

Kaj misliš, da se bo zgodilo?

Namig: kaj se je zgodilo pri aferi "parkirišče" ?

Točno tako: pometano pod preprogo

AngelOfDeath; kot laika na tem področju me zanima ko omenjaš loge: kdo producira te loge? kaj se ponavadi vidi iz teh zapisov?

Glugy je 26. okt 2024 ob 19:16:10 izjavil:

OracleDev je 25. okt 2024 ob 15:49:18 izjavil:

Bile so varnostne kopije, zdaj pac niso več. Ni ti treba secirat vsake besede, ce bi bil pameten bi vedel kaj je blo mišljeno s tem.

Če se prek istega sistema, istega vira okužbe uniči kopijo to pač ni varnostna kopija. Varnostne kopije se da naredit, ta kopija ni bila varnostna. Ja razumem da je bilo mišljeno kot kvazi varnostna kopija ampak to ni to no. Sej je tud teb jasno da to ni to.
Ni važno kaj je v teoriji, važno je kaj je v praksi. Severna Koreja je tud v teoriji demokratična ker se sama tako imenuje, pa to še ne pomen da je to res.

Marsikje ne ločijo niti med varnostnim kopiranjem in arhiviranjem. Zanje je vse isto, morda celo nepotrebno. Dokler se ne zgodi. No, za UM že vemo, da kljub zelo pametnim profesorjem, ne vejo kaj je arhiviranje, kaj šele offsite cold storage.

EDIT: če bo jutri/naslednji teden že vse delovalo, potem nek arhiv očitno je bil in so krožile napačne info o enkripciji vseh varnostnih kopij.

Žal ne (inside info). To je informacija uporabnika. Tamala se je lahko ponovno prijavila v spletno učilnico. Bojo že porihtali, sam čas rabijo. Rane pa bojo ostale in se celile, ponavadi pol leta do leto. Bo pa trdi nauk.

Verjetno urejajo po segmentih. Da spravijo vse v tipitopi pa čas...

Kr3n je 27. okt 2024 ob 09:19:26 izjavil:

Izvorni problemi

https://www.uni-mb.org/?UM=saj_ni_res_p...

Citriram z linka:
" Sam sem ga imel priložnost spoznati in delati z njim približno pol leta. Gre za neverjetno nesposobnega človeka (ni mi jasno kje je Golob študiral informatiko, kajti pri njemu je na vsakem koraku vidno pomanjkanje osnovnega znanja informatike...), organizacijske sposobnosti ima na nivoju osnovnošolca, toda ima predvsem en izjemen "talent". Imenovan Spletkarstvo."

Potem pa mine 15 let in se nekje mora kaj poznati

Sicer govorim na pamet, ampak. To da določene storitve že delajo, bi rekel da je posledica tega, da so mogoče nekateri imeli svoje varnostne kopije, mimo centralnega sistema...
Drugače bi to že bila novica v javnosti...

AngelOfDeath je 27. okt 2024 ob 19:47:35 izjavil:

DamijanD je 27. okt 2024 ob 09:17:41 izjavil:

AngelOfDeath; kot laika na tem področju me zanima ko omenjaš loge: kdo producira te loge? kaj se ponavadi vidi iz teh zapisov?

Iz logov se vidi vse. Dobesedno. Ponavadi do sekunde natancno.
Ze windowsi sami pisejo ogromno logov. Potem pa se vecina programov, ki jih namestis.
Tisto kar ni pa si sam vklopis.

Zame nekaj najboljšega kar obstaja. Ker brez "logov" bi zapravil ogromno časa da bi prišel do resničnega problema in ne samo posledic.

A ok. Sem mislil, da boš rekel nekaj v tem smislu - "resni" switchi logirajo to in to itd. Torej, da gledaš loge mrežne opreme, ki je v domačem okolju niti nimamo.

c3p0 je 28. okt 2024 ob 07:21:46 izjavil:

Ali hostano drugje, nepovezano s tem sistemom.

Moj sorodnik študira na FERI in je rekel (as of petek ob 14h), da jim ne dela nič. Ne učilnica, ne wifi, ne vaje, erf, niti v indeks ne more vpogledati ocene. Nič od nič. Predavatelj ima nek provizorični server nekje drugje, da jim vrti slajde v PDFju. En drug profesor jim govori na pamet, bolj kot neke vrste talk-show, ker nima niti enega slajda. Tretji profesor jim je vrtel slajde od drugega predmeta in se skušal navezovati na tekoči predmet. Seveda na nekem provizoričnem serverju, ne vem, če si je sam kaj zrihtal, pač nek HTTPS server zunaj.

Niso jim dali vaj, ker v bistvu jim ne morejo dati vaj.

FYI: Vaje/izpitne naloge so zelo skrbno skrivali, da ja ne bi kdo kaj si skopiral (in popoldne vadil). To je sicer potem tako, da praktično nimajo nekih starih izpitnih nalog, da bi lahko nekaj malo na svojo roko preizkusili, kako so pripravljeni.

Zdaj je to FERIju butnilo nazaj v faco.

Sorodnik je tudi študiral (in doštudiral) dodiplomski na FRI v Ljubljani, tam so sicer tudi nekako poskušali skrivati, ampak ne do te mere, stari izpiti so se vedno nekje našli, če drugače ne, kot posnetki ekranov. Imeli so tudi neke skripte, PDFje, v grobem, četudi Interneta niso imeli, so imeli svoje laptope s PDFji. Na FERI so bili vse odvisni od nekih online učilnic. To so zdaj na FERI dobili nazaj v obraz nenormalno. Mogoče ne sami radi. Mogoče jim je UM hostala nekaj, oni so to rabili, zdaj pa je vse dol.

bbbbbb2015 je 28. okt 2024 ob 10:09:02 izjavil:

DamijanD je 28. okt 2024 ob 07:36:05 izjavil:

AngelOfDeath je 27. okt 2024 ob 19:47:35 izjavil:

DamijanD je 27. okt 2024 ob 09:17:41 izjavil:

AngelOfDeath; kot laika na tem področju me zanima ko omenjaš loge: kdo producira te loge? kaj se ponavadi vidi iz teh zapisov?

Iz logov se vidi vse. Dobesedno. Ponavadi do sekunde natancno.
Ze windowsi sami pisejo ogromno logov. Potem pa se vecina programov, ki jih namestis.
Tisto kar ni pa si sam vklopis.

Zame nekaj najboljšega kar obstaja. Ker brez "logov" bi zapravil ogromno časa da bi prišel do resničnega problema in ne samo posledic.

A ok. Sem mislil, da boš rekel nekaj v tem smislu - "resni" switchi logirajo to in to itd. Torej, da gledaš loge mrežne opreme, ki je v domačem okolju niti nimamo.

Profesionalna omrežna oprema ima malo do skoraj nič logov. Mogoče, da port gre gor ali dol, da je kakšna run-time napaka pa tako. To ti govori nekdo (jaz), kjer naša poslovna mreža ima 28 ethernt switchev, v glavnem Cisco.
Logi kot taki pa ti tudi ne pomagajo kaj dosti, če gledaš samo loge.

ARNES je prakticiral access-liste na ruterjih, ter eventuelne loge na Syslog serverjih. Posledica je bila, da je že en majhen vdor ali nemarna raba zabasala Cisco router do daske (CPU). Mi več Cisco routerjev nimamo več, ampak samo virtualne routerje VyOS. Vse Cisco routerje smo preprosto dali v pokoj. Mogoče ima to Cisco danes drugače rešeno, ampak vsaj na stikalih - nima.

Če veš, da se je nekaj zgodilo ob točno določenem času, potem gledaš loge.
Za en profesionalen sistem, ki ga mi vzdržujemo, nastane za 2GB logov na *DAN*. Če ne veš točno, kaj iščeš, praktično ne vidiš vzorca.

Loge je seveda možno procesirati, kot prvič, imamo pa tudi IDS (Intrusion Detection System) na mreži in DPI (Deep Packet Inspection) na požarnem zidu.

Ko ta dva javita napako, oz. opozorilo, je to nekaj kar je treba nujno pogledati.

Se pravi, kombinacija procesorja logov, IDS in DPI ti javi alarm.

Loge se da tako nakonfigurirati do te mere zabašejo sistem, da ti praktično ustavijo delovanje sistema... Sploh Java debug logi . Cisco tudi. Ciscota si včasih preprosto sesul s tem, da si na managed mreži naredil loopback, switchi pa brez STP na klient portih zaradi hitrejšega priklopa. Je bil 6500 tako zabasan s paketi, da ni delalo nič...

Zbiranje logov je pač v neki profesionalni firmi nujno, z namenskim serverjem ala ElasticSearch ali kaj podobnega. Sploh na področju varnosti, da lahko beležiš prijave, ipd... Zdaj, ali interna ekipa zna to določit ali pa sploh pogledat, je pa drugo vprašanje... Ali celo, če zunanji izvajalec zna še kaj več narediti, kot je default inštalacija in konfiguracija. Namreč, te zadeve so žive in naj bi non stop nekdo dodajal, razvijal in celo odstranjeval security incidente.

Dejstvo pa je, da cel kup sistemov laufa brez tega, ker zadaj en operation inženir ob napakah pač pogleda lokalne loge in takoj ve, kaj mora narediti. V 99% primerih... Seveda to lahko furaš, dokler ti ta inženir ne spizdi. Potem se to znanje izgubi, in rabiš plačati res enega dobrega inženirja (spt), da se hitro uvede in začne reševati tickete.

Vmes pa pač kaos... Ampak to so dela za 100 EUR/uro, in to v Sloveniji nihče ne plača, pa folk pač spizdi v tujino. In dobiš lokalnega dobavitelja, s certifikat inženirjem, ki nima pojma iz prakse.

Ko sem bil na razgovoru na ARNESu, ki naj bi skrbel za akademsko mrežo, sem dobil občutek, da so tam podedovana delovna mesta. Nekaj delajo, večina delo, ki bi ga lahko avtomatizirali ali pa bi ga delal vendor namesto njih, ampak dobil sem pa občutek, da jih najbolj boli izguba vpliva na akademskem omrežju. Pač vrtičkanje brez neke perspektive...

nokken je 28. okt 2024 ob 11:36:19 izjavil:

bm1973 je 28. okt 2024 ob 11:00:29 izjavil:

Loge se da tako nakonfigurirati do te mere zabašejo sistem, da ti praktično ustavijo delovanje sistema... Sploh Java debug logi . Cisco tudi. Ciscota si včasih preprosto sesul s tem, da si na managed mreži naredil loopback, switchi pa brez STP na klient portih zaradi hitrejšega priklopa. Je bil 6500 tako zabasan s paketi, da ni delalo nič...

To ni problem Ciscota ampak tistega, ki ga je tako skonfiguriral. Tocno se ve kje se uporablja portfast in ce ga nekdo ne zna postaviti izkljucno na pravi port to ni problem naprave pac pa "strokovnjaka", ki je to naredil. In c6500 ni bil tako zabasan s paketi, pac pa je pometal STP dol zaradi loopa in zaradi tega ni nic delalo. Precej standardna stvar na vsaki napravi, ki uporablja spanning tree, ne glede na proizvajalca.

Ne, pa Cisco je zelo občutljiv za logiranje. Že če si kršitve access-list logiral. Imel si Cisco router, ki je dobro delal par let, tudi na ethernet portih (100Mbit ali celo Gbit). Potem pa daš eno logiranje, zaradi tehnoloških/poslovnmih potreb in gre CPU na 90%. In promet na ethernetu naraste na 50% in je CPU zabit.

Na Cisco switchih (Catalystih) ni toliko logiranja, to sploh ni problem. Razen če poskušaš na podsegmentu narediti kakšno rutanje ali kaj, kar mi ne delamo.

Točno zato smo mi dali ven vse Ciscote interno. In laufamo VyOS routerje (kar ima sicer svoj nabor problemov), ampak VyOS rabi CPU od hosta, lahko imaš tudi več jeder alociranih in dejansko še nisem naletel na primer, ko VyOS (bivša VyattaOS) ne bi delal.

Cisco je cela desetletja krasno živel od routerjev na osnovi biznisa: imamo enoten softver (IOS) in vsako štengo bolj zmogljivih routerjev prodajamo precej dražje.

Ampak to ni bilo dovolj, CPUji so bili vedno podhranjeni, ker so namensko delo deli ASIC. Ampak vklop debugiranja je pa šel vedno na CPU, ki je to komaj zmogel. In kasneje s firewalli je bilo isto. Kar je slabo, ker ko rabim debug, ga rabim, ker moram neko pizdarijo raziskati in ne zato, da še pazim zraven, da ne bom razsul mašine v produkciji. Klinc gleda tako opremo, firewall se da kupiti za manj denarja, kjer te vklop debuga ne bo nikoli zajebal.

Še en tak primer je bil flash (sicer zgledno zanesljiv, a počasen) v Cisco routerjih: pisanje vanj je vedno trajalo par sekund. Ko sem pred 15imi leti prvič videl Foundryjevo stikalo, ki je konfig v flash zapisalo v trenutku sem mislil, da je nekaj narobe :-D

AngelOfDeath je 27. okt 2024 ob 19:47:35 izjavil:

DamijanD je 27. okt 2024 ob 09:17:41 izjavil:

AngelOfDeath; kot laika na tem področju me zanima ko omenjaš loge: kdo producira te loge? kaj se ponavadi vidi iz teh zapisov?

Iz logov se vidi vse. Dobesedno. Ponavadi do sekunde natancno.
Ze windowsi sami pisejo ogromno logov. Potem pa se vecina programov, ki jih namestis.
Tisto kar ni pa si sam vklopis.

Zame nekaj najboljšega kar obstaja. Ker brez "logov" bi zapravil ogromno časa da bi prišel do resničnega problema in ne samo posledic.

S kakšnim orodjem jih potem parsaš in pregleduješ?

tony1 je 28. okt 2024 ob 13:54:57 izjavil:

Cisco je cela desetletja krasno živel od routerjev na osnovi biznisa: imamo enoten softver (IOS) in vsako štengo bolj zmogljivih routerjev prodajamo precej dražje.

Ampak to ni bilo dovolj, CPUji so bili vedno podhranjeni, ker so namensko delo deli ASIC. Ampak vklop debugiranja je pa šel vedno na CPU, ki je to komaj zmogel. In kasneje s firewalli je bilo isto. Kar je slabo, ker ko rabim debug, ga rabim, ker moram neko pizdarijo raziskati in ne zato, da še pazim zraven, da ne bom razsul mašine v produkciji. Klinc gleda tako opremo, firewall se da kupiti za manj denarja, kjer te vklop debuga ne bo nikoli zajebal.

Še en tak primer je bil flash (sicer zgledno zanesljiv, a počasen) v Cisco routerjih: pisanje vanj je vedno trajalo par sekund. Ko sem pred 15imi leti prvič videl Foundryjevo stikalo, ki je konfig v flash zapisalo v trenutku sem mislil, da je nekaj narobe :-D

AngelOfDeath je 27. okt 2024 ob 19:47:35 izjavil:

DamijanD je 27. okt 2024 ob 09:17:41 izjavil:

AngelOfDeath; kot laika na tem področju me zanima ko omenjaš loge: kdo producira te loge? kaj se ponavadi vidi iz teh zapisov?

Iz logov se vidi vse. Dobesedno. Ponavadi do sekunde natancno.
Ze windowsi sami pisejo ogromno logov. Potem pa se vecina programov, ki jih namestis.
Tisto kar ni pa si sam vklopis.

Zame nekaj najboljšega kar obstaja. Ker brez "logov" bi zapravil ogromno časa da bi prišel do resničnega problema in ne samo posledic.

S kakšnim orodjem jih potem parsaš in pregleduješ?

Jaz sem si v vecini primerov kar v event viewerju nastavil "filtre" kaj mi naj prikazuje.

bm1973 je 29. okt 2024 ob 14:11:02 izjavil:

tony1 je 28. okt 2024 ob 13:54:57 izjavil:

S kakšnim orodjem jih potem parsaš in pregleduješ?

Softwara za to je malo morje...

Za pregledovat dovolj, da bi pa znali kako korelacijo "root cause" narediti, pa jih ni veliko...

Ogromno jih je vendar so bili zame neuporabni. Zato sem se menil z programerjem in bi me en tak program prisel cca 3-5k €

Zato sem imel reseno da se zadeve posiljajo na dolocen email na katerem pa so bili filtri in mape. Da mi je avtomatsko sortiralo zadeve po mapah. Dokaj preprosta a zelo ucinkovita zadeva.

Marsikaj bi se dalo tu narest samo rabis cas in denar zato (: A na dolgi rok prihranis ogromno denarja.

bm1973 je 29. okt 2024 ob 15:22:07 izjavil:

AngelOfDeath je 29. okt 2024 ob 14:16:14 izjavil:

Ogromno jih je vendar so bili zame neuporabni. Zato sem se menil z programerjem in bi me en tak program prisel cca 3-5k €

Neuporabni so ker jih nisi pravilno skonfiguriral... Taki softverri na načeloma samo frameworki, če pa so že narejene korelacije, gredo pa cene v multi 10k cifre, tudi multi 100k, če je res velik sistem...

Tak program 3-5k EUR? Ne me zafrkavat, kaj misliš, da ti bo samo inštaliral ElasticSearch in skonfiguriral agente ?!?!?!

Mislim, da ne razumeš kak biznis je to... Sicer pa skoraj nihče v Sloveniji ne...

Sem si vzel čas za konfiguriranje. Žal niti niso imeli vseh opcij, ki bi jih rabil.

Nekaj je da programiraš in delaš program v resnici pa se ne spoznaš kaj bi vse rabil not.

Jaz sem po drugi strani natančno vedel kaj rabim in kaj je pomembno.

Meni se je zdelo 3-5k za to kar sem rabil kar dosti. Nisem pa programer.

AngelOfDeath je 31. okt 2024 ob 11:58:12 izjavil:

Sem si vzel čas za konfiguriranje. Žal niti niso imeli vseh opcij, ki bi jih rabil.

Nekaj je da programiraš in delaš program v resnici pa se ne spoznaš kaj bi vse rabil not.

Jaz sem po drugi strani natančno vedel kaj rabim in kaj je pomembno.

Meni se je zdelo 3-5k za to kar sem rabil kar dosti. Nisem pa programer.

Ker ne znaš programirati, ti je večina opcij nedostopna. Žal tako je pri teh softverih.

Brez znanja programiranja se lahko samo pritožuješ, da je softver zanič. Sam ponavadi je uporabnik.

Za dobrega inženirja na OSS in logging področju je 3k plača tedenska... Če je dovolj...

150k/leto za logiranje prometa?