🟠 GILDIA ZWYKOLAKÓW: WOŹNY
Dziś będzie trochę bardziej po elficku.
Napędzany wkurwem, pełen nienawiści i nieukierunkowanej agresji przedstawiam najmłodszego Zwykolaka:
Woźnego.
Wczoraj jeszcze nie było go w planach.
Dzisiaj od 6:48 jest już na produkcji.
Ale od początku.
Po incydencie bezpieczeństwa związanym z brakiem sanityzacji niewłaściwych nagłówków doszedłem do wniosku, że potrzebuję kolejnego Zwykolaka.
Uwielbiam język cyberbezpieczeństwa.
„Incydent”.
„Nieprawidłowa sanityzacja”.
Brzmi zajebiście.
ITIL, kurwa. XD
// Tu mała dygresja.
Uwierzcie mi, że jest masa ludzi, która po przeczytaniu powyższych zdań pokiwa głową, uśmiechnie się kącikiem ust i powie:
„Mhm. Znany pattern. Brak sanityzacji na wejściu.”
XD
No więc po całym tym incydencie doszedłem do wniosku, że samo pilnowanie drzwi od zewnątrz przestaje mi wystarczać.
Bo możesz mieć WAF.
Możesz mieć Cloudflare.
Możesz skanować endpointy.
Możesz pozamykać serwer tak mocno, że w pewnym momencie sam zaczniesz obchodzić własne zabezpieczenia, bo:
„nie da się, kurwa, pracować.”
I wszystko pięknie.
Tylko że żyjemy w bardzo kolorowych czasach.
Automatyzacja przyspiesza.
LLM-y przyspieszają.
Ataki też się automatyzują i przyspieszają.
I teraz zabrzmię jak typowy Janusz, który właśnie usłyszał w telewizji, że ktoś kliknął w link i jego wyniki badania prostaty znajdują się teraz w rękach ruskich hakerów:
„Panie, nie ma sejfu, do którego nie da się włamać.”
Uważam to oczywiście za debilne uproszczenie.
Są sejfy, które bardzo trudno sforsować.
Są też takie, których po prostu nie opłaca się forsować.
I to jest chyba znacznie ważniejsze rozróżnienie.
Nikt rozsądny nie będzie robił operacji w stylu ataku na GitHuba — gdzie skompromitowane rozszerzenie Nx Console do VS Code posłużyło do przejęcia urządzenia pracownika i wyprowadzenia tysięcy wewnętrznych repozytoriów — tylko po to, żeby włamać się na mojego Gmaila i pobrać dickpicki wysyłane byłym XD
Ale to nie znaczy, że mój Gmail jest niewłamywalny.
Znaczy tylko, że mój model zagrożeń wygląda trochę inaczej niż model zagrożeń GitHuba.
I właśnie o to chodzi.
Bezpieczeństwo nie polega na zbudowaniu sejfu absolutnego.
Polega na tym, żeby koszt wejścia był większy niż wartość tego, co ktoś może z niego wynieść.
I tak powstał pomysł na Woźnego.
Woźny nie stoi przed szkołą.
Przed szkołą chodzi Cieć.
Woźny chodzi po korytarzach.
Nie próbuje włamywać się na serwer.
Nie udaje hakera.
Nie robi pentestów.
Patrzy, czy wewnątrz budynku coś nagle nie wygląda inaczej niż wczoraj.
Czy pojawiły się nowe pliki.
Czy coś się zmieniło.
Czy jakiś proces zaczął zachowywać się podejrzanie.
Czy cron nagle dostał nowego kolegę.
Czy konfiguracja systemu zmieniła się bez sensownego powodu.
Czy ktoś nie zostawił otwartych drzwi do piwnicy.
A kiedy coś mu się nie spodoba:
Telegram.
„Panie kierowniku, coś tu się odpierdala.”
Technicznie?
Bez wielkiej filozofii.
Python.
Linux.
Kilka źródeł danych z systemu.
Porównanie stanu.
I trochę sanityzacji — tym razem, kurwa, naprawdę: sekrety wylatują z kodu i siedzą poza repozytorium, ładowane z .env.
// Jezu, jeszcze trochę i zaczniemy myć ręce przed siadaniem do kodowania.
I alarm.
Bez panelu.
Bez frameworka.
Bez „platformy AI-powered cybersecu.. bla bla bla”.
Woźny.
Ma chodzić.
Patrzeć.
I dzwonić, kiedy ktoś nasra na korytarzu.
I tu jeszcze jedna, bardzo osobista obserwacja.
Pierwszy pomysł był oczywisty:
dołożę kolejny panel do Ciecia.
Przecież już pilnuje bezpieczeństwa.
To może jeszcze niech patrzy na procesy, crony, pliki i pół systemu.
Tylko wtedy przypomniałem sobie jedną bardzo ważną zasadę:
pierwsze boty są od tego, żeby je kochać.
Mają być trochę głupie.
Trochę niedoskonałe.
Trochę za proste.
I trochę z moim DNA zaszytym w kodzie.
Poza tym Cieć już ma swoją robotę.
Stoi przed szkołą.
Patrzy, kto próbuje wejść przez okno.
Woźny ma chodzić po środku i sprawdzać, czy przypadkiem ktoś już nie siedzi w piwnicy.
To jednak trochę inny fach.
I chyba właśnie dlatego zasługuje na własnego Zwykolaka.
Na razie roboczo:
Woźny.
Nazwa padła wczoraj wieczorem, więc lore jest jeszcze w wersji 0.1 XD
Jeżeli ktoś ma lepszą — przyjmuję propozycje.
A póki co:
witamy w gildii, kolego z półnazwą. 😉
—
Jakub Kodymowski
MarTech × marketing × kodowanie × głupoty