All perguntas(server)

No Windows 10, o Ambiente de Recuperação do Windows (WinRE) pode ser iniciado cortando repetidamente a energia do computador durante a sequência de inicialização. Isso permite que um invasor com acesso físico a uma máquina desktop obtenha acesso administrativo à linha de comando, ponto em que pode visualizar e modificar arquivos, redefinir a senha administrativa usando várias técnicas e assim por diante.

(Observe que, se você iniciar o WinRE diretamente, deverá fornecer uma senha administrativa local antes de conceder acesso à linha de comando; isso não se aplica se você iniciar o WinRE interrompendo repetidamente a sequência de inicialização. A Microsoft confirmou que não considera isso ser uma vulnerabilidade de segurança.)

Na maioria dos cenários, isso não importa, porque um invasor com acesso físico irrestrito à máquina geralmente pode redefinir a senha do BIOS e obter acesso administrativo inicializando a partir de uma mídia removível. No entanto, para máquinas de quiosque, em laboratórios de ensino e assim por diante, geralmente são tomadas medidas para restringir o acesso físico, por exemplo, cadeado e/ou alarme das máquinas. Seria muito inconveniente também tentar bloquear o acesso do usuário ao botão liga / desliga e à tomada da parede. A supervisão (pessoalmente ou por meio de câmeras de vigilância) pode ser mais eficaz, mas alguém usando essa técnica ainda seria muito menos óbvio do que, por exemplo, alguém tentando abrir o gabinete do computador.

Como o administrador do sistema pode impedir que o WinRE seja usado como backdoor?

Adendo: se você estiver usando o BitLocker, já está parcialmente protegido dessa técnica; o invasor não poderá ler ou modificar arquivos na unidade criptografada. Ainda seria possível para o invasor limpar o disco e instalar um novo sistema operacional ou usar uma técnica mais sofisticada, como um ataque de firmware. (Até onde eu sei, as ferramentas de ataque de firmware ainda não estão amplamente disponíveis para invasores casuais, então isso provavelmente não é uma preocupação imediata.)

Eu tenho um host de produção, abaixo:

O sistema está usando 1 GB de swap, enquanto mantém quase 40 GB de espaço de memória livre e não utilizado. Devo me preocupar com isso ou é normal?

Os blocos nginx podem corresponder a uma string de consulta de URL?location

Por exemplo, qual bloco de localização pode corresponder à GETsolicitação HTTP

GET /git/sample-repository/info/refs?service=git-receive-pack HTTP/1.1

Estamos atualizando nossos servidores de uma distro muito desatualizada para um sistema moderno baseado no Debian Jessie, incluindo lightdm / xfce e, claro, systemd (e udisks2). Um ponto crítico é a montagem automática de drives USB. Costumávamos fazer isso com algumas regras do udev. As regras antigas quase ainda funcionam - o ponto de montagem é criado e a unidade é montada corretamente, mas depois de alguns segundos o systemd está fazendo algo que interrompe a montagem, portanto, as tentativas de acesso subsequentes resultam em erros "O terminal de transporte não está conectado".

A montagem manual da unidade por meio da linha de comando funciona bem. O mesmo acontece com um gerenciador de arquivos (thunar e thunar-volman, que por sua vez usa udisks2). Mas essas não são opções viáveis ​​- esses sistemas geralmente são executados sem cabeça, portanto, o thunar normalmente não é executado. Precisamos ser capazes de conectar unidades de disco para backups autônomos baseados em cron.

Eu pensei que modificar o script udev para gerar um trabalho desanexado que espera alguns segundos antes de executar a montagem pode resolver o problema, mas o systemd parece fazer de tudo para evitar isso - de alguma forma, ele ainda espera que o trabalho desanexado termine antes continuando.

Talvez fazer com que o script udev agrade udisks2 de alguma forma seja a abordagem certa? Estou perdido, então qualquer conselho é muito apreciado.

Estou executando o Apache2 em um contêiner docker e não quero gravar nada no disco, gravando logs em stdout e stderr. Eu vi algumas maneiras diferentes de fazer isso ( Supervisord e stdout/stderr , log de acesso do Apache para stdout ), mas parecem hacks. Não há como fazer isso por padrão?

Para ser claro, não quero seguir o log, pois isso resultará na gravação de coisas no disco do contêiner.

Meu arquivo de configuração padrão do nginx está ficando enorme. Eu gostaria de dividi-lo em arquivos de configuração menores, cada um incluindo apenas um, no máximo 4 locais para cada arquivo, para que eu possa ativá-los/desabilitá-los rapidamente.

O arquivo real se parece com isto:

server {
    listen 80 default_server;
    root /var/www/

    location /1 {
        config info...;
    }

    location /2 {
        config info....;
    }        
    location /abc {
        proxy_pass...;
    }

    location /xyz {
        fastcgi_pass....;
    }
    location /5678ab {
        config info...;
    }

    location /admin {
        config info....;
    }

agora, se eu quiser dividir isso para ter apenas alguns locais em cada arquivo (locais pertencentes um ao outro), qual seria a maneira adequada de fazer isso sem causar caos (como declarar root em cada arquivo, portanto, ter caminhos estranhos que nginx tenta encontrar arquivos) ?

Antes que alguém pergunte: eu vi Quando as consultas DNS usam TCP em vez de UDP? e não responde a minha pergunta.

Tudo o que ouço é " se a resposta for muito longa, o DNS usará o TCP ". Isso não explica como isso acontece.

Então, aqui está a situação: o cliente DNS solicita a resolução de um registro usando UDP. O registro é muito longo para UDP:

1. respostas do servidor com opcode específico, para que o cliente mude para TCP
2. o servidor não responde e o cliente tenta novamente pelo TCP
3. servidor abre conexão TCP com cliente (estúpido, se você contar NAT, mas quem sabe?)
4. o cliente de alguma forma (?) 'sabe' que determinada consulta deve ser executada sobre TCP, para que não se incomode com o UDP em primeiro lugar
5. DNS pixies transformam magicamente UDP em TCP quando necessário

Procurei a resposta em toda a Internet, mas há muito ruído (veja acima) e não consigo escrever uma consulta adequada do Google para isso (nem consigo encontrar as informações em RFCs, nesse caso) .

Estamos nos deparando com um comportamento estranho em que vemos alta utilização da CPU, mas média de carga bastante baixa.

O comportamento é melhor ilustrado pelos gráficos a seguir do nosso sistema de monitoramento.

Por volta das 11h57, a utilização da CPU passa de 25% para 75%. A média de carga não é significativamente alterada.

Executamos servidores com 12 núcleos com 2 hyper threads cada. O sistema operacional vê isso como 24 CPUs.

Os dados de utilização da CPU são coletados executando a /usr/bin/mpstat 60 1cada minuto. Os dados da alllinha e da %usrcoluna são mostrados no gráfico acima. Tenho certeza de que isso mostra a média por dados da CPU, não a utilização "empilhada". Embora vejamos 75% de utilização no gráfico, vemos um processo mostrando o uso de cerca de 2.000% da CPU "empilhada" em top.

O valor médio da carga é obtido a /proc/loadavgcada minuto.

uname -adá:

Linux ab04 2.6.32-279.el6.x86_64 #1 SMP Wed Jun 13 18:24:36 EDT 2012 x86_64 x86_64 x86_64 GNU/Linux

distribuição Linux éRed Hat Enterprise Linux Server release 6.3 (Santiago)

Executamos alguns aplicativos da Web Java sob carga bastante pesada nas máquinas, pense em 100 solicitações/s por máquina.

Se eu interpretar corretamente os dados de utilização da CPU, quando tivermos 75% de utilização da CPU, isso significa que nossas CPUs estão executando um processo 75% do tempo, em média. No entanto, se nossas CPUs estiverem ocupadas 75% do tempo, não deveríamos ver uma média de carga mais alta? Como as CPUs podem estar 75% ocupadas enquanto temos apenas 2 a 4 tarefas na fila de execução?

Estamos interpretando nossos dados corretamente? O que pode causar esse comportamento?

Tenho vários servidores da linha HP DL360 (gerações 5-8). Cada um desses servidores possui duas fontes de alimentação instaladas. As 2 fontes de alimentação em cada servidor são alimentadas por circuitos diferentes.

Minha pergunta é: o consumo de energia será aproximadamente equilibrado entre esses dois circuitos ou os servidores consideram uma fonte de alimentação "primária" e a outra como "backup" com um consumo de energia menor?

Existe uma maneira de executar um prompt do Powershell com privilégios elevados de uma linha de comando no Server 2012?

O problema é que este é o modo 'Minimal Server Interface' sem o server-gui completo instalado para que eu possa executar o powershell apenas no prompt de comando ou no ServerManager.

Na verdade, estou tentando executar o comando: Enable-ServerManagerStandardUserRemoting, mas, embora isso pareça funcionar, não adiciona o usuário em questão aos vários grupos como deveria. Suspeito que não esteja funcionando corretamente porque não o estou executando a partir de um prompt do powershell totalmente elevado, apenas um prompt padrão, mas como administrador.

Obrigado, Nick