Знания — сила! А актуальные и понятно преподнесенные знания — и вовсе на вес золота! Я решил рассказать про книги, которые показались мне, как руководителю отдела поддержки инфраструктуры сервисов (Head of Security Services Infrastructure) в «Лаборатории Касперского», полезными. Перед вами — «опорная» литература DevSecOps. Я разберу основные темы, связанные с работой девопсов и девсекопсов – и пройдусь по релевантным изданиям для этих специалистов. Расскажу, как конкретно эта литература повлияла на мою карьеру, а значит — может повлиять и на вашу :)



Дисклеймер: Если вас, как специалистов, сформировали какие-то другие книги по той же тематике — обязательно пишите в комментариях!

Администрирование UNIX- и LINUX-систем

Книги:

• UNIX and Linux System Administration Handbook. Авторы: Evi Nemeth, Garth Snyder, Trent Hein.
• Внутреннее устройство Linux. Автор: Дмитрий Кетов.

Почему нужно это прочитать?

UNIX и LINUX — основа практики любого девопса, так как именно эти системы лежат «под коркой» практически любой архитектуры проекта. Например, все контейнеры и k8s обязательно крутятся на каких-то ОС, и чаще всего это —*nix. Тебе надо четко понимать, как работают эти системы, как настраивать безопасность OC Linux и создавать на ее базе нужные сервисы. DevOps это, конечно, про автоматизацию и высокоуровневую абстракцию, но руками иногда тоже надо поработать :)

Личный опыт

• Настройка инструментов PV, VG, LVM, LUKS и расширенное использование команд (df, dh, ls, fdisk, lsblk и тому подобных). Будучи SIEM-инженером у известного MSSP-провайдера, мне часто приходилось подключать клиентам новые диски и удалять старые. Автоматизировать такой процесс было опасно, так как на подключенных LVM хранилась критичная информация с событиями информационной безопасности.
• Работа с регулярными командами (grep, find и другими). Где бы я ни трудился, для меня всегда были полезны знания по этим командам. Быстрый поиск файлов и строк внутри файлов избавляет от часов пролистывания логов.
• Понимание текстовых редакторов (vim, nano, cat, top, less и других). Со временем осознаешь, что, обслуживая большое количество серверов, проще научиться использовать стандартные редакторы.
• Сетевые инструменты (ip, netplan, iptables, ufw, nftables, wg, tcpdump, nc). Очень много в практике набил шишек, пока не осознал, что большинство проблем связано именно с сетью и самые частые из них: отсутствие сетевой связности, асинхронная маршрутизация или отправка пакетов через проксю (или без нее). Поэтому теперь всегда перед тем, как лезть на уровень приложения, удостоверяюсь в отсутствии сетевых проблем.
• Работа с контейнерами (cgroups и namespaces). Как только начинаешь работать с контейнерами, эти понятия тут же всплывают отовсюду. И без контейнеров тоже были ситуации, где с помощью cgroups ограничивали ресурсы серверам. Произошло много OOM-киллов и зависаний серверов, пока я не научился пользоваться этими средствами.
• Нюансы протокола SSH (SSH-server и SSH-client). Если вы думаете, что по этому протоколу можно подключаться на удаленные *nix-хосты и только, — вы ошибаетесь. Почитав эти книги и суперпопулярную статью на Хабре «Магия SSH» (500+ тысяч просмотров!), вы поймете, что это полноценная палочка-выручалочка, которая будет помогать вам в траблшутинге разного рода проблем, научит прокидыванию портов, настройке бастионов, установке прокси и много чему еще.

Я понимаю, что большинство описанных выше кейсов и примеров не состыковываются с методологией DevOps, так как это делалось руками на хостах, а не в пайплайнах и конфигурациях в git. Но откуда вы будете знать, что закидывать в git, какие ansible-роли использовать/писать, что у всех новомодных инструментов находится «под капотом» и как искать источник проблем при возникновении непредвиденных ситуаций?!

Методология DevOps

Книга:
The Phoenix Project: A Novel about IT, DevOps, and Helping Your Business Win. Авторы: Gene Kim, Kevin Behr, George Spafford.

Почему нужно это прочитать?

Это база, буквально библия DevOps. В ней художественным языком объясняют, что такое DevOps, для чего эта методология придумана и как она помогает компаниям развиваться и приносить пользу. Очень простые и понятные сравнения DevOps со смежными сферами, так еще и объясняется, для чего таки нужна методология Agile.

Личный опыт

• Бизнес-подход к собственной (и не только!) работе. На какую бы должность я ни переходил, я начинал изучать не только обязанности своей позиции и отдела в целом, но и то, как деятельность этого отдела влияет на управление/департамент. Теперь я стал больше анализировать вертикальные и горизонтальные бизнес-процессы. Тогда приходит осознание, как ты и твой отдел можете помочь компании ускорить какие-либо процессы, заработать больше денег.
• Приоритизация задач. Быстро стало понятно, что надо дробить конкретные задачи и затраченное на них время, исходя из самого типа работы: когда я брал их необдуманно — быстро зарывался в технических долгах.
• Познание того самого Agile. Kanban и Scrum очень помогают в повседневной работе и даже в жизни. С ними намного легче ставить конкретные цели, отчитываться стейкхолдерам и руководству.

Работа с сетями

Книги:

• Компьютерные сети. Принципы, технологии, протоколы. 5-е издание. Авторы: Олифер В. Г., Олифер Н. А.
• Компьютерные сети. 6-е издание. Авторы: Таненбаум Э. С., Фимстер Н., Уэзеролл Д.

Почему нужно это прочитать?

Обе книги — буквально энциклопедии по сетям, а без их базового понимания в OPS/DevOps/DevSecOps делать нечего. Стек TCP/IP никто не отменил и смузи-технологиями не заменил (а жаль). Грамотно настроив сеть, можно избежать многих проблем с «залетными» злоумышленниками и не только с ними. Они охватывают широкий спектр вопросов, связанных с построением, функционированием компьютерных сетей и управлением ими.

Книги Олиферов и Таненбаума — это незаменимое руководство для тех, кто изучает сетевые технологии, и для специалистов, которые занимаются администрированием и проектированием компьютерных сетей. Даже работая в облаках, не имея базовых знаний по сетям, лучше туда не лезть.

Личный опыт

Как я уже говорил, большинство проблем, с которыми я сталкивался, были сетевыми. Понять, почему нет сетевой связности, настроить правила файрвола, туннели, NAT, DNS, маршруты — это то, с чем работаешь каждый день. При этом ты можешь даже не работать с «железом», но сети все равно будут всплывать ежедневно в работе. Уровень CCNA должен быть в подкорке у любого начинающего DevOps.

Я ловил «сетевые петли», направлял маршрут не в ту сторону, доказывал службе поддержки, что они не правы, когда просто закрывал связности на файрволе, пытался отправлять локальный трафик через прокси и наталкивался на много других сетевых проблем, но без знаний, полученных из этой книги, я бы вряд ли смог найти решение: я бы просто не смог определить источник возникновения препятствия.

 

Общая архитектура и основные практики

Книги издательства Manning Publications:

• Безопасный DevOps. Эффективная эксплуатация систем. Автор: Джульен Вехен.
• Operations Anti-Patterns, DevOps Solutions. Автор: Jeffery D. Smith

Книги издательства O'Reilly:

• The DevOps Handbook. Авторы: Gene Kim, Jez Humble, Patrick Debois, John Willis.
• Learning the bash Shell. Автор: Cameron Newham.
• Bash и кибербезопасность: атака, защита и анализ из командной строки Linux. Авторы: Тронкон П., Олбинг К.
• Learning Python. Автор: Mark Lutz.
• Python и DevOps: Ключ к автоматизации Linux. Авторы: Гифт Н., Берман К., Деза А., Георгиу Г.
• Использование Docker. Автор: Э.Моуэт.
• Terraform: инфраструктура на уровне кода. Автор: Е. Брикман
• Kubernetes для DevOps: развертывание, запуск и масштабирование в облаке. Авторы: Джон Арундел, Джастин Домингус.
• DevSecOps in Kubernetes. Авторы Wei Lien Dang, Ajmal Kohgadai.
• Site Reliability Workbook: практическое применение. Авторы: Бейер Б., Рензин Д., Кавахара К., Мерфи Н., Торн С.

Почему это нужно прочитать?

Об этих книгах издательств Manning и O'Reilly на самом деле не говорил только ленивый: особенно они известны среди специалистов по DevOps, программированию, администрированию и облачным технологиям. Что касается непосредственно направлений DevOps/DevSecOps/SRE — в первую очередь радует структурированная подача информации по общей архитектуре, прикладным инструментам и «бест практисам» данных методологий.

Проще говоря, для собственного роста как эксперта эти книги — более чем полезны!

Личный опыт

Благодаря книге про Docker, я познакомился с контейнерами и начал их активно применять на практике, а именно использовать их для агентов сбора логов, написания своих контейнеров, а позже и сервисов.

Изучив Bash, я написал скрипт, который автоматически настраивает сбор событий с Linux-хостов и отправку их в SIEM-систему.

Книги по k8s помогли освоить этот оркестратор, который используется у нас во многих проектах, как выездных/разовых, так и на постоянной основе. На одном ноутбуке или в облачных кластерах мы можем за «одно нажатие кнопки» разворачивать огромное количество сервисов и управлять ими.

Книги по SRE пригодились, когда я погружался в мониторинг и логирование. Будучи SRE-инженером в SOC, я вместе с командой написал автоматизацию выявления источников, с которых пропадал или падал поток событий информационной безопасности, и настроил большинство алертов и группировок. Было подключено огромное количество метрик, которые помогли нам выйти на проактивный мониторинг. Кроме того, книги помогли в построении архитектур отказоустойчивых систем.

Литература по DevSecOps очень помогает настраивать сервисы с уменьшением векторов атаки. Нам приходилось пролистывать очень много документаций и статей, чтобы получить необходимый уровень знаний в направлении InfraSec.
Стоит отметить: я буду «обманщиком», если скажу, что мы везде беспрекословно используем принципы SRE и DevSecOps. Тут всегда приходится выбирать между безопасностью, отказоустойчивостью и экономической целесообразностью, но как правильно выбрать этот баланс — помогают знания, полученные именно в этих книгах.

На книги надейся — но и в документациях не плошай!

Также не стоит забывать про основную документацию многих инструментов, которые используются в работе DevOps: Kubernetes, продукты Hashicorp, облачные документации, prometheus, ansible и т. п. Часто бывает, что одной документации достаточно, чтобы «прозреть». Кроме этого, во многих документациях есть разделы Security и Best practice — они позволят настроить сервисы «как надо» изначально, без набивания излишних шишек.

Ну а если вы уже проглотили всю профессиональную литературу (или уже близки к этому), самое время присоединиться к команде «Лаборатории Касперского» — будем вместе расширять наш литературный бэкграунд :)

Что еще почитать

Вообще мы, в «Лаборатории Касперского» поняли, что рассказ о профессиональной литературе, релевантной для разных IT-сфер и направлений— это полезно (причем не только для читателей Хабра, но и для коллег). Поэтому мы и дальше планируем публиковать обзоры книг, которые наиболее сильно повлияли на карьеру наших специалистов. Пока в этой серии у нас выходил один материал:

«Я стал тимлидом и боюсь». Что почитать и зачем