c

Gracias OTAN, por llevar la libertá a los libros

c

#36 Las SOCIMI no son asustaviejas. Y si hay por donde cogerlo: prohibir la inversión inmobiliaria a los fondos. Acabar con la compra de pisos por lotes y sobre todo reinstaurar el derecho de tanteo de los inquilinos aunque un fondo compre el edificio entero

g

#25 Pues como otras cosas que dicen que judicializan la politica

c

Creo que el tiempo de eso ya pasó. Esa era la oferta inicial de Putin.

c

#2 Sin hablar que es muy raro reiniciar después de actualizar aplicaciones

Cuñado

#2 en sistemas tipo Unix un antivirus es un programa secundario que no tiene ninguna utilidad

CrowdStrike Falcon no es un antivirus, sino un EDR. La funcionalidad de antivirus es sólo una más y posiblemente la menos demandada en sistemas Linux. Y por descontado que se utilizan en muchísimos sistemas Linux que corren servicios críticos.

#5 es muy raro reiniciar después de actualizar aplicaciones

El sensor de un EDR es un LKM (módulo cargable en el kernel, algo parecido a un driver de Windows), que es la única manera de obtener probes y trazas del kernel. Aunque técnicamente puede actualizarse sin reniciar, todos suelen requerirlo para curarse en salud.

El cómo se haga esto dependerá de la política de patch management de la compañía. Los servicios críticos que suelen deberían estar redundados *nunca se actualizan todos a la vez, pero en labs o en entornos de desarrollo o staging esto es muy común.

#10 un programa como ese solo debería interrumpir su proceso, no colgar el sistema

Un LKM extiende el código del kernel y puede romperlo muy fácilmente.

#16 Si no va dentro de Systemd no puede romper el inicio

Un LKM no interactúa con el núcleo. Es parte del núcleo.

l

#20 A lo mejor habria que aplicar la filosofia de Qmail, dividir el programa, minimizando la parte critica para que sea mas simpley feacil de gestiona y detectar errrores y que se comunique con la parte compleja.

Qmail, tiene un parte muy pequeña que se comunica con internet y ofrece una recompensa q uien encuentre una vulneravilidad.

En este caso la parte critica es LKM.

Cuñado

#21 En este caso la parte critica es LKM.

En este caso también. El sensor se encarga únicamente de las funciones reservadas a módulos del kernel (como obtener probes y trazas o interceptar llamadas de sistema).

c

#20 Se pueden retirar e insertar numerosos LKM sin reiniciar el sistema sin ningún problema. Prácticamente para lo único que es necesario reiniciar es para cambiar el kernel mismo

Cuñado

#22 Algunos sensores de EDRs hacen cosas sucias como sustituir syscalls (algo explícitamente desaconsejado por los desarrolladores del kernel). Puedes sustituir el módulo sin reiniciar, pero existen probabilidades de obtener un page fault que desemboque en un kernel panic, lo cual desde luego es mucho peor que un reinicio programado. Existen extensiones como Ksplice o Kpatch para evitar esto, pero no son de uso muy común. (En cualquier caso depende del sensor, algunos sí se actualizan sin requerir reinicio, pero no la mayoría).

Por otra parte, el despliegue más común para un sensor como el que nos ocupa es como sideload en un pod. Esos despliegues se llevan a cabo a través de un inyector que requiere un reinicio del workload.

c

#1 Pues a mí que información importante deje de estar disponible en Internet si me parece un problema grave

xyria

#2 Lo es, no entiendo la postura de #1.