Willkommen zu allesnurgecloud.com – Ausgabe #133!
Erst einmal vielen Dank an die Bier– und Buchspenden, die mich nach der letzten Ausgaben erreicht haben. Freut einen immer wieder, auf diesem Weg Feedback zu erhalten – Danke!
Im „Happy Bootstrapping Podcast“ habe ich in der letzten Woche mit Benjamin Viehauser von bilateralstimulation.io gesprochen. Die SaaS Software bilateralstimulation.io nutzen über 20.000 EMDR Therapeuten – viele in Kombination mit den Vibrationsgeräten „Tactile Buzzer“, um Traumatherapien durchzuführen. Interessante Nische, in der Benjamin mit seinem Co-Founder Yanick sehr erfolgreich unterwegs ist.
allesnurgecloud.com ist ein kuratierter Newsletter mit Inhalten aus der Open-Source, Cloud und IT-Welt.
Für weiteren Content folge mir gerne auf Twitter, Mastodon oder LinkedIn.
Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren:
Cloud Earnings: AWS, Azure und Google Zahlen für 2023
Amazon, Alphabet und Microsoft haben Ihre Ergebnisse für das vergangene Jahr 2023 veröffentlicht.
Bei Amazon ist AWS mal wieder die Cashcow der Firma. In Summe hat AWS im Jahr 2023 $ 90 Mrd. Umsatz zum Amazon Gesamtumsatz in Höhe von $ 574,8 Mrd. beigesteuert. Insgesamt hat Amazon eine operative Marge von $36.9 Mrd. erwirtschaftet – AWS hat hiervon stolze $ 24,6 Mrd. Dollar beigesteuert – das Cloud-Geschäft ist einfach hochprofitabel. Im internationalen Geschäft hat Amazon einen Verlust ausgewiesen, den AWS somit aber locker ausgleicht. Im Vergleich zum vorherigen Quartal ist AWS nochmals um 13 % gewachsen. Die Zahlen im Detail findest du alle im Amazon Press Announcement oder im Doppelgänger Stock Earnings Sheet auf Google Drive.
Bei Microsoft Azure ist das Wachstum der drei Hyperscaler am Höchsten. Azure ist um 29 % auf $ 31 Milliarden im dritten Quartal gewachsen – die Zahlen müssten inklusive Office365 sein. Im Vorjahr war man noch um 24 % Prozent gewachsen, dass es hier nochmals eine Steigerung gab, ist beachtlich – der Umsatz ist in Summe einfach schon so hoch, dass eine Erhöhung der Wachstumsgeschwindigkeit wirklich beeindruckend ist. Ein Großteil des Wachstums steuerte laut Microsoft CEO Satya Nadella AI als Wachstumstreiber bei:
By infusing AI across every layer of our tech stack, we’re winning new customers and helping drive new benefits and productivity gains across every sector.
Microsoft habe bereits 53.300 Azure AI Kunden, ein Drittel davon kam erst im letzten Jahr dazu.
Die Microsoft Zahlen waren in Summe so stark, dass man nun mit über 3,03 „Trillion Dollar“ Marktkapitalisierung Apple überholt hat und Microsoft somit die wertvollste Firma der Welt ist („Trillion Dollar“ = Billionen in Deutsch). Die Microsoft Zahlen findest du hier im Doppelgänger Earnings Sheet zum Vergleich.
Und die Google Mutter Alphabet hat für das Jahr 2023 $ 307 Mrd. Umsatz reported. Die Google Cloud wuchs ebenfalls: Im 22Q4 lag der Umsatz noch bei $ 7,3 Mrd. – ein Jahr später im 23Q4 nun bei $ 9,19 Mrd. Die Google Cloud ist somit um 24 % Prozent gewachsen und hat auch wieder eine positive Marge ausgewiesen: $ 864 Millionen – im Q4 des Vorjahres wies man hier noch einen Verlust in Höhe von $ 186 Millionen aus. Alle Zahlen findest du im Press Release von Google oder auch hier im Doppelgänger Stock Earnings Sheet.
AWS wird jetzt zum 1.2.2024 anfangen, Kosten für IPv4 Adressen zu berechnen. Alleine das wird nochmals regelmäßig eine ordentliche Schippe auf den Umsatz drauflegen. AWS hat um die 80 Millionen IPv4 Adressen im Besitz – diese Kosten nun ab $ 3,50 pro Monat.
Google Cloud posts $9.2bn in revenue for Q4 2023; Microsoft Cloud revenue up 24% YoY
Continuous Integration Update von Martin Fowler
Nach über 23 Jahren hat Martin Fowler eine neue und sehr ausführliche Version seines ursprünglich im Jahre 2000 erschienen Artikels zu „Continous Integration“ veröffentlicht.
Der neue Artikel ist deutlich länger und basiert auf vielen Erfahrungen, die Martin im Laufe der Jahre sammeln konnte.
Vermutlich könnte ich alleine mit dem Artikel einen ganzen Newsletter füllen, daher ein paar Highlights hier als Auszug:
- Alles soll in eine Versionskontrolle
- Builds werden automatisiert angestoßen, immer, wenn jemand nach Mainline pushed
- Jeder sollte jeden Tag auf Mainline committen
- Builds sollen sich selbst testen, automatisch
- Failed der Build oder der Test, so soll er schnell gefixed werden
- der Build soll schnell sein und es bleiben (Monitoren, oder neue MacBooks kaufen)
- „Work in Progress“ verstecken, beispielsweise über ein deaktiviertes Feature Flag
- Neue Releases in einem Produktions-Klon testen
- Deployments automatisieren
Vermutlich sagt sich nun jeder, „Hm, ja, stimmt“. Aber in der Praxis ist das Ganze dann doch etwas schwieriger, weshalb Martin zu jedem Thema auch 1-2 DIN A4 Seiten schreibt und du dir deshalb unbedingt das Original in Ruhe durchlesen solltest.
Gerade der 8. Punkt ist in der Praxis super spannend und je nach Größe und Komplexität der Umgebung schwer zu realisieren – bringt aber viel Mehrwert und Sicherheit.
Martin beschreibt anschließend die für ihn zahlreichen Benefits von Continous Integration – unter anderem ein geringeres Risiko, da man häufiger kleinere Einheiten ändert. Die Integration an sich kostet weniger Zeit, wenn sie komplett automatisiert erfolgt. In Summe hat man auch weniger Bugs in Produktion, wenn man dies alles einhalte.
Dies bezeugt auch eine DORA Studie von DevOps Gurvi Nicole Forsgren:
They found that elite teams deployed to production more rapidly, more frequently, and had a dramatically lower incidence of failure when they made these changes.
The research also finds that teams have higher levels of performance when they have three or fewer active branches in the application’s code repository, merge branches to mainline at least once a day, and don’t have code freezes or integration phases
Mit weniger Branches und einer höheren Frequenz gibt es also weniger Fehler im Produktion Environment.
In der Theorie ist das alles vermutlich immer einfacher, als in der Praxis, aber man kann sich ja einen Plan machen und dann Stück für Stück ans Ziel kommen, oder?
Sponsored
„Die Braut in der Cloud mit KRUU und „We Manage“
Mit unserem Kunden KRUU und dem Cloud-Anbieter Gridscale haben wir eine ausführliche Case Study veröffentlicht (PDF Version).
Die Case Study beschreibt unseren ganzheitlichen Ansatz einer „Rundum-sorglos-Betreuung“ mit einem maßgeschneiderten Angebot und Unterstützung bei DevOps- und SRE Herausforderungen.
Benötigst du auch Hilfe im Bereich „DevOps“, individuelle Managed Server oder ein Backup für dein 1-Personen DevOps Team, dann lerne uns jetzt kennen.
Ivanti: Notfallabschaltung per CISA Verordnung & BSI Update
Die amerikanische Cybersicherheitsbehörde CISA hat am 31. Januar eine „Emergency Directive“ veröffentlicht, die alle Bundesbehörden anweist, alle „Ivanti Connect Secure“ und „Invanti Policy Secure“ Produkte vom Netz zu trennen. Die Anweisung muss bis zum Freitag, 2. Februar 2024 um 23:59 Uhr umgesetzt werden.
Man müsse zudem die Geräte zurücksetzen und die Geräte auf eine aktuelle Version aktualisieren. Zudem sollen alle mit den Ivanti Geräten verbundenen Appliances überprüft und ggf. aus dem Verkehr gezogen werden.
Ivanti hatte kürzlich neue Updates bereitgestellt, dabei sind aber neue Lücken aufgetaucht. Der CVE-2023-46805 wird fortlaufend aktualisiert und enthält in der neusten Fassung (1. Februar 2024) auch Anweisungen zum Factory Reset. Na hoffentlich ist die Konfiguration vorher gesichert oder per „Infrastructure-as-Code“ gepflegt, sonst wird das für den ein oder anderen sicherlich spaßig. Der zweite CVE hat die ID CVE-2024-21887 und wird bei National Vulnerability Database NIST mit 9,1 bewertet.
Die CISA verlangt von den Behörden in den USA eine Rückmeldung bis zum Montagabend, 5.2.2024. Dazu gibt es folgende Vorgaben:
a) Reset passwords twice for on premise accounts, revoke Kerberos tickets, and then revoke tokens for cloud accounts in hybrid deployments.
b) For cloud joined/registered devices, disable devices in the cloud to revoke the device tokens.
Ach herrje, das ist ja richtig Arbeit.
Mir ist jetzt kein Fall in jüngster Vergangenheit bekannt, wo eine solche Vorgehensweise in einer so kurzen Zeit gefordert wurde.
Das BSI hatte am 31.1.2024 ebenfalls ein Update zur Situation verschickt und von diversen kompromittierten Systemen in Deutschland berichtet. Im Update werden auch die beiden neusten CVEs, eine Server Side Request Forgery (SSRF) Schwachstelle (CVE-2024-21893) und eine Privilege Escalation (CVE-2024-21888) beschrieben. Ich zitiere mal weiter:
Nach neuen Erkenntnissen sind die Angreifer in der Lage die vorherige Mitigationsmaßnahme und Erkennungsmaßnahmen (auch die externen Integritätsprüfung) zu umgehen. Ebenso wurden Ausbreitungen in interne Netzwerke und auf weitere Systeme durch die Angreifenden beobachtet
und weiter:
Durch die neuen Schwachstellen, insbesondere durch CVE-2024-21893, sind alle bisher mitigierten Systeme erneut gefährdet.
Eine breite Ausnutzung der neuen Schwachstelle CVE-2024-21893 ist zu erwarten.
Für den ein oder anderen gibt das sicherlich ne schöne Wochenendschicht, daher schon mal #HugOps an dieser Stelle.
Ich habe das hier am Freitagabend zusammengetragen, kann sich gut sein, dass sich zum Versand des Newsletters noch etwas ergibt.
heise.de: Abschaltbefehl: US-Behörden müssen Ivanti-Geräte vom Netz nehmen
Best Practices gegen „Alerting“ Müdigkeit
Ich bin mir nicht sicher, ob „Alerting Müdigkeit“ passend ist, im Englischen beschreibt die „Alert Fatigue“, eine schwindende Ernsthaftigkeit im Umgang mit Alerts.
Dies passiert, wenn es grundsätzlich zu viele Alarme gibt, die Alarme zu ungenau sind oder es immer die gleichen sind. Irgendwann hört man dann auf, auf die Alarme zu reagieren, da sie eh nicht so kritisch sind, sich selbst beheben oder eben irrelevant sind.
Im verlinkten Artikel im Datadog Blog gibt es ein paar Tipps, wie man besser mit dieser „Müdigkeit“ umgehen kann.
Nervige Alarme identifizieren
Nervige Alarme sind die, die häufiger wiederkommen und vorhersagbar sind (Hohe Load aufgrund Backup, Memory Verbrauch aufgrund langem Batch Job,…) – diese Alerts sollte man einplanen und eine direkte Alarmierung verhindern.
Für „flappende“ Alerts, das sind Alarme, die häufig den Zustand ändern und dadurch laufend alarmiert werden, sollte die Konfiguration angepasst oder eine „Flapping Detection“ aktiviert werden, damit eine Alarmierung unterdrückt wird.
Evaluation Window vergrößern
Häufig geht man dazu über, dass man sich möglichst kurze Zeiträume anschaut. Das kann bei gewissen Situationen auch kontraproduktiv sein, da es wiederum zu häufigeren Alarmen führen kann – beispielsweise bei BI Systemen, die regelmäßig CPU Spikes haben.
Recovery Thresholds vernünftig konfigurieren
Um nach einer erfolgten Alarmierung nicht gleich wieder alarmiert zu werden, macht es je nach Use Case Sinn, ein passendes Recovery zu definieren. Bei aktiviertem Autoscaling macht eine solche Alarmierung beispielsweise nur begrenzt Sinn.
Im Artikel gibt es noch diverse, weitere Tipps. Die Gruppierung von Alerts, die Verwendung von „Conditional Variables“ oder auch wiederkehrende Downtimes.
Natürlich gibt es noch ein paar spezielle Hinweise und Optimierungen, wenn man die Plattform von Datadog verwendet, die restlichen Tipps kann man aber mit jeglichem Monitoring System verwenden.
Best practices to prevent alert fatigue
Grafana 10.3, Grafana Beyla 1.2 und GrafanaCON
Auch im Hause Grafana gibt es ein paar interessante Releases:
Grafana 10.3
Die neuste Grafana Version 10.3 wurde Ende Januar veröffentlicht und bringt diverse, neue Features:
- Verbesserungen bei den Tooltips – diese können nun in diversen Farben darstellt und mit längeren Labels versehen werden (Video / Dokumentation)
- Im Canvas Panel gibt es eine neue „Zoom and Pan“ Funktion (Video / Dokumentation)
- In den „Stat Visualizations“ können Tendenzen in Metriken nun farblich und in Prozentwerten visualisiert werden (Video / Dokumentation)
- Über Transformations können „enum values“ nun ebenfalls visualisiert werden (Video / Dokumentation)
- und viele andere, neuen Features, findest Du im verlinkten Blogpost
Grafana Beyla 1.2
Grafana Beyla hatte ich schon mal hier vorgestellt. Belya ist ein Open-Source-Tool für die automatisierte Erstellung von Applikationsmetriken von HTTP/HTTPS Diensten über den Paketfilter eBPF. Bisher musste man dies noch mit Open-Telemetry konfigurieren – mit Version 1.2 von Beyla ist dieses direkt mit Kubernetes integriert. Man muss nur noch entsprechende Selektoren setzen, und Beyla greift sich automatisch entsprechende Metriken ab. Wie das ganze funktioniert, wird in diesem Video (ca. 7 Minuten) vorgestellt.
Alternativ kannst du Dir auch den Blogartikel zum Release von Beyla 1.2 anschauen.
GrafanaCON 2024
Ansonsten steht noch die GrafanaCON 2024 vor der Türe. Vom 9. bis 10. April 2024 trifft sich die Grafana Community in Amsterdam.
Bis zum 20. Februar 2024 können noch Talks über das CfP Formular eingereicht werden – egal ob 15 Minuten, 30 oder 45 Minuten Länge.
Grafana 10.3 release: Canvas panel updates, multi-stack data sources, and more
Fritz.box Domain „gekapert“
Der Router Hersteller AVM verwendet die Domain „fritz.box“ im lokalen Netzwerk zum einfachen Zugriff auf die Administrationsoberfläche der FRITZ!Box.
Nun haben sich Unbekannte die Domain „fritz.box“ registriert und zeigen dort aktuell eine Galerie für NFTs an.
Mir war bisher nicht klar, dass AVM sich die Public Domain hierfür gar nicht gesichert hat, was ein Fauxpas – so was darf natürlich nicht passieren und ist aufgrund der Verbreitung der Fritz!Box als quasi Standard Bundle in vielen Internet-Verträgen schon ein ordentliches Einfallstor für Missbrauch.
Die erste Fritz!Box wurde 2004 vorgestellt. Im Jahr 2014 hatte die Box einen Marktanteil von 50 % – es gibt also sicherlich mehrere Millionen betroffene Boxen alleine in Deutschland.
Nun muss man sich wohl wieder die IP seiner Box merken/bookmarken – in der Regel ist das die 192.168.178.1 bei der Fritz!Box.
heise.de: Verwirrend: Internet-Domain fritz.box zeigt NFT-Galerie statt Router-Verwaltung
Sicherheitsproblem bei AnyDesk
Bei der Remote Desktop Software AnyDesk wurden in den letzten Tagen/Wochen immer mal wieder Störungen gemeldet. Teilweise berichten die User von Verbindungsabbrüchen und es gibt auf Twitter Gerüchte zu „gekaperten Sessions“. Eine offizielle Bestätigung seitens AnyDesk stand bis zum Freitagabend noch aus, es gibt aber eine neue AnyDesk Windows-Version 8.0.8 mit Release Date 29. Januar 2024, die ein Zertifikatsupdate beinhaltet:
Exchanged code signing certificate. The previous certificate will be invalidated soon. Please update.
Ob hier ein Zertifikat in falsche Hände geraten ist?
Update vom Sonntag: Mittlerweile gibt es eine offizielle Bestätigung von AnyDesk:
Following indications of an incident on some of our systems, we conducted a security audit and found evidence of compromised production systems. We immediately activated a remediation and response plan involving cyber security experts CrowdStrike.
In diesem Blog-Artikel kannst du die Zusammenfassung des Vorfalls inkl. Timeline nachlesen. Der Autor hatte am Freitagmorgen bezüglich des Vorfalls mit dem BSI telefoniert.
AndDesk: Be careful in using that remote support software
Hochtief Tochter „Turner“ baut neues Meta Rechenzentrum
Die amerikanische Hochtief-Tochter „Turner“ hat den Zuschlag für den Bau eines neuen Meta Rechenzentrums in Jeffersonville, Indiana, erhalten.
Meta soll am Standort über 100 neue Jobs schaffen und sich das Projekt $800 Millionen Dollar kosten lassen. Das Rechenzentrum soll am Ende einen „700.000-square-foot“ großen Campus beherbergen. Das sind übrigens ungefähr 65.000 Quadratmeter – wie man ernsthaft in Quadrat Füßen rechnen kann, ist mir schleierhaft.
Der Bau soll noch im Januar beginnen und man plant zudem, das Rechenzentrum mit 100 % erneuerbarer Energie zu betreiben, in dem man unter anderem in lokale Projekte und Erzeuger investieren möchte.
Turner Construction Company to Build Hyperscale Data Center for Meta in Indiana
Schmunzelecke
Password Reset bei einer Uni in Slowenien:
Your password must also not contain the following character combinations: script, select, insert, update, delete, drop, –, ‚, /*, */.
Ach herrje, wir haben 2024.
Quelle: IDportal der Uni in Ljubljana
💡 Link Tipps aus der Open Source Welt
Cronicle – Zentrales CronJob Management mit UI
Cronicle ist ein Open Source Cronjob Management und Monitoring-Tool. Cronicle kann hierbei nur auf einem Server installiert werden, aber auch Jobs auf Remote Servern verwalten.
Cronicle kann die Jobs starten, beobachten, historische Daten zu den Cronjobs aufzeichnen und die CPU und Memory Nutzung einzelner Jobs tracken.
Jobs können zusätzlich über eine REST API gesteuert werden. Außerdem hat Cronicle ein Plugin System – alle Features findest du hier in der Übersicht.
Die Installation ist relativ einfach, Cronicle ist in NodeJS geschrieben. Einen Überblick über die Features der WebUi findest du in den Screenshots in der Dokumentation.
https://github.com/jhuckaby/Cronicle
TerraCost – Cloud Kosten Analyse über Terraform
TerraCost tracked deine Cloud Kosten über einen Terraform-Plan. Die aktuellen Preise holt sich TerraCost über die API der Cloud Provider und speichert diese in einer lokalen Datenbank (MySQL) ab. Sind die Preise in der DB, kann der Plan analysiert und die Kosten für die entsprechende Infrastruktur geschätzt werden.
Aktuell werden AWS, Azure und Google Cloud unterstützt – alle jeweils mit einem „Subset“ der vorhandenen Services.
TerraCost benötigt dann die Terraform Plan als JSON File – hier im Beispiel siehst du, wie das dann im Zusammenspiel funktioniert.
https://github.com/cycloidio/terracost
❓ Feedback & Newsletter Abo
Vielen Dank, dass du es bis hierhin geschafft hast!
Kommentiere gerne oder schicke mir Inhalte, die du passend findest.
Falls dir die Inhalte gefallen haben, kannst du mir gerne auf Twitter folgen.
Gerne kannst du mir ein Bier ausgeben oder mal auf meiner Wunschliste vorbeischauen – Danke!
Möchtest du den Newsletter wöchentlich per E-Mail erhalten?
Einfach hier abonnieren: