OpeItcLoc03/admin
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
063910e265aaa6d9b23558ce08f1926314fe5008
admin/.wiki/index.md
vitya 063910e265 incident(books-vds-es): true RCA — ransom-бот через открытый :9200, не оператор 
Рецидив вчерашнего ES-инцидента вскрыл истинную причину. Вчерашняя
гипотеза «оператор в cutover попал на canonical» опровергнута.

Root cause: ES (stack 33) публиковал 0.0.0.0:9200 мимо traefik. Free-ES
7.10 без auth → порт открыт всему интернету. Ransom-бот сносил индексы
by-name (мимо Control #1 destructive_requires_name), оставлял read_me с
BTC-выкупом. accessLog (Control #2) пуст — бот шёл прямо в порт, не через
traefik. firewalld бесполезен (docker-publish обходит INPUT-зоны).

Fix (Control #3): убрана публикация host-порта из stack 33 (Portainer
PUT), дыра закрыта; re-restore epz/products/artmone из daily-2026-05-25.

Отдельный баг: epz-поиск падал у ОБОИХ тенантов — getTenantIdSeller(
config.get("tenant")) через node-config, а tenant не задан ни в
default.json, ни в env-маппинге (TENANT env = мёртвый груз). Добавлен
tenant в overlay default.json (slovo/bookva). products работал —
отдельный код-путь.

accessLog откатан (сторожил не ту дверь).

- wiki concept: correction-блок + секция «Рецидив 2026-05-29» + exposure-audit
- tasks: restore-es reopened+reclosed; new ⚪ harden-books-vds-exposed-ports
- NEXT_SESSION handoff

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
2026-05-29 09:31:25 +03:00

7.1 KiB
Raw Blame History

Wiki Index

Catalog of all wiki pages. One line per page, organized by type. Updated on every ingest / new page.

Overview

Entities

  • books-vds — Books VDS (89.253.255.133 — host4g.ru, client server hosting books app + shared mongo/minio/elasticsearch)
  • dead-synology-diskstation — мёртвая Synology DiskStation (source NAS)
  • kreknin-synology — Kreknin Synology (backup target + DDNS)
  • openwrt-router — OpenWRT Router (192.168.1.1)
  • ruvds-iis-host — RUVDS IIS Host (Win Server 2025 Core, 80.64.31.36) — CMS catch-all destination
  • snolla-recovery-vm — Snolla Recovery VM (VirtualBox, savestate'нута 2026-05-21 после 36h soak)
  • vds-kzntsv — VDS kzntsv (Rusonyx 160 NVMe cloud server)
  • windows-recovery-host — Windows Recovery Host (рабочий PC пользователя)

Concepts

Packages

Sources

Reference in New Issue View Git Blame Copy Permalink