Linux

ClamAV не ловит руткиты и не следит за системными процессами — для Linux-сервера это не нужно так, как для десктопа под Windows. Реальная польза — сканировать файлы, которые сервер принимает от посторонних: вложения на почтовом шлюзе, архивы в пользовательских загрузках, что угодно, что потом открывает кто-то другой. База сигнатур обновляется отдельно от самого сканера: freshclam # разовое обновление вручную systemctl enable --now clamav-freshclam.service # демон, тянущий обновления по расписанию Без свежей базы clamscan и clamdscan находят всё меньше — вирусные сигнатуры добавляются постоянно, а старый .cvd-файл просто не знает о новых угрозах. ...

В классической unix-модели root — это всё или ничего: либо процесс может абсолютно всё, либо ограничен правами обычного пользователя. POSIX capabilities (capabilities(7)) дробят этот монолит на отдельные биты — около сорока штук, от CAP_NET_BIND_SERVICE до CAP_SYS_TIME, каждый можно выдать процессу по отдельности, не трогая остальные. Посмотреть, что уже есть у текущей сессии: capsh --print Покажет текущие capability sets процесса — Permitted, Effective, Inheritable и так далее; для большинства обычных пользовательских процессов список пустой. ...

Текущее состояние cpufreq на сервере смотрится одной командой: cpupower frequency-info В выводе — используемый драйвер (intel_pstate, acpi-cpufreq или другой), список доступных governor’ов, аппаратные границы частоты и transition latency — время, за которое ядро способно переключить частоту. Governor по умолчанию на современных серверах с intel_pstate — обычно powersave, и здесь важная тонкость: это не то же самое, что powersave на старом acpi-cpufreq. Там powersave жёстко фиксирует минимальную частоту и не отпускает её без смены governor. Под intel_pstate powersave — динамический режим, близкий по поведению к ondemand: частота сама поднимается под нагрузкой через аппаратный P-state алгоритм (HWP) и опускается в простое. ...

Когда сервер вдруг начинает тормозить без видимой нагрузки, первый подозреваемый — троттлинг CPU: либо температурный, либо CPU застрял на низком P-state из-за лимита по питанию. top тут не поможет — он видит только проценты занятости, а не реальную частоту. turbostat читает всё это прямо из MSR-регистров процессора: частоту, residency в idle-состояниях, температуру пакета и потребление — без прослойки в виде усреднённых метрик планировщика. Инструмент идёт в составе linux-cpupower (Debian/Ubuntu) или kernel-tools (RHEL-семейство) — отдельно ставить не нужно, если уже стоит cpupower. Запускается с правами root, потому что читает MSR: ...

Продолжаем серию про утилиты, переписанные на Rust: после find очередь du. dust считает занятое место тем же обходом каталогов, но сразу строит дерево, отсортированное по размеру, с процентной шкалой напротив каждой строки — без привычной цепочки du -h | sort -rh | head. ...

mergerfs из восьмого выпуска складывает несколько дисков в один пул по свободному месту — а unionfs-fuse решает другую задачу: накладывает каталоги друг на друга по приоритету, как слои. Файл ищется сначала в верхней ветке, и только если его там нет — в следующей, и так вниз по списку. ...

auditd из выпуска о syscall-логах пишет непрерывный поток событий ядра — кто, когда и что вызвал. osquery устроен принципиально иначе: это не лог, а движок, который превращает текущее состояние системы в набор SQL-таблиц. Вместо ps, netstat, lsof и dpkg -l по отдельности — один SELECT с JOIN между ними. ...

Снова про обновления, которые стоит накатить, а не просто отметить в changelog. rclone — консольный клиент для синхронизации с почти любым облачным хранилищем (S3, WebDAV, Google Drive и ещё под полсотни бэкендов) теми же командами, что rsync для локальных файлов. В v1.75.1 закрыт целый пучок дыр из v1.75.0 сразу: command injection через FTP/SFTP, утечка credentials при редиректах в S3/WebDAV, path traversal в serve restic и неавторизованный доступ к pprof в remote-control API — если где-то торчит rclone rcd наружу, обновление не опциональное. Заодно добавили два новых S3-совместимых провайдера и команду config unset https://github.com/rclone/rclone/releases ...

Прошлый выпуск закрыл NAT — masquerade и port forwarding. Сегодня — два механизма nftables, которые обычно всплывают, когда базовый набор правил начинает разрастаться: limit rate для троттлинга и sets для проверки сразу против списка адресов. ...

Обычный разбор инцидента — это tail -f в одном терминале, grep в другом и попытка держать в голове, какая строка из syslog произошла раньше строки из лога nginx. lnav решает это иначе: скармливаешь ему сразу несколько файлов, а он сам определяет формат каждого (syslog, access-логи Apache/nginx, strace, просто “timestamp + сообщение”) и склеивает всё в единую ленту, отсортированную по времени, вне зависимости от того, из какого файла строка пришла. Запускается без параметров поиска формата — просто: ...