Linux-sikkerhed · Danmark
Sikre Linux-servere.Helt ned i kernen.Og I ejer det hele.
Detektion i kernen med Rust og eBPF, hærdning af jeres servere på Hetzner, AWS eller bare metal, og lukning af kritiske CVE’er. Alt ender i jeres eget repository – og det hele kører videre, den dag jeg stopper.
- 600+
- Linux-servere driftet i min karriere
- 30+
- Kunder siden 2018
- 1 arbejdsdag
- Svartid på hver mail
git clone git@your-org:infra.git
Cloning into 'infra'… done.
tofu plan -out=tfplan
Plan: 12 to add, 3 to change, 0 to destroy.
helius handover --verify
runbooks ok
licences ok
vendor lock-in none
Ydelser
Fire måder, jeg kan hjælpe på
To ydelser sikrer jeres Linux-servere helt ned i kernen. To gør platformen ovenpå hurtigere og lettere at drive. De fleste opgaver berører mere end én af dem.
Kernel og Linux
Kernelsikkerhed
Kernel og Linux
Linux-hærdning
Platform
Performance
Platform
Infrastruktur
Under motorhjelmen
Hele stakken – og hvem der ejer hvert lag
Sådan ser det, jeg bygger og driver, nogenlunde ud – fra kanten ud mod internettet og ned til kernen. Hvert lag er open source-software, der kører på infrastruktur, I selv ejer. Vælg et lag for at se, hvad der ligger i det.
Edge
Her ankommer trafikken. Certifikater, der fornyes automatisk, uden at nogen skal huske det, DNS i kode sammen med alt det andet og cache-regler, der bliver gennemgået i stedet for at hobe sig op.
- Nginx
- OpenResty
- HAProxy
- CoreDNS
- cert-manager
Ingress og mesh
Routing ind i clusteret og mellem services med mutual TLS som standard og trafikstyring, der gør canary-udrulninger mulige. Politikken ligger i versionsstyring, ikke i en konsol.
- Traefik
- Envoy
- Cilium
- Gateway API
- nftables
Orkestrering
Hvor workloads bliver placeret, og hvordan de bliver rullet ud. Dimensioneret efter jeres faktiske belastning – nogle gange et helt cluster, nogle gange tre maskiner og en load balancer. Jeg siger ærligt, hvad I har brug for.
- Kubernetes
- Argo CD
- Helm
- Kustomize
- k3s
Runtime
Jeres applikation og de stateful dele, den afhænger af. Containere, der bygges reproducerbart, databaser med testede backups og forbindelsesgrænser sat efter målt adfærd i stedet for standardværdier.
- containerd
- MySQL
- Percona
- PostgreSQL
- Redis
Kernel og eBPF
Det lag, de fleste stakke behandler som en sort boks – og det er netop problemet. Med eBPF kan I følge processer og syscalls inde fra kernen uden en lukket agent, og med LSM- og kprobe-hooks kan angrebsfladen skæres ned ved kilden i stedet for at blive filtreret bagefter. Det er her, jeg bruger det meste af min tid.
- eBPF
- aya
- bpftrace
- LSM
- kprobe
- nftables
- SELinux
Telemetri
Alt ovenfor sender data hertil, og det er her, I kigger, når noget går galt. Signaler, der hænger sammen, alarmer, der reagerer på det, brugerne mærker, og opbevaring, der er sat op, så regningen er til at forudsige.
- Zabbix
- Prometheus
- Grafana
- Loki
- OpenTelemetry
- Alertmanager
Mit løfte
Jeg leverer, I ejer 100 %
Det er den del af sitet, jeg helst vil måles på. Hvert punkt er et konkret løfte, som kan efterprøves – ikke en værdierklæring. Bryder jeg et af dem, kan I pege på det.
Alt ligger i jeres repository
Pipelines, manifester, Terraform, dashboards, alarmregler og runbooks. Lagt i repositories, som I ejer, under en licens, I vælger. Intet ligger kun på min maskine eller på en konto, jeg styrer.
Kun open source-komponenter
Alt, hvad jeg sætter i produktion, er open source og kan køre på jeres egne servere. Er en managed service virkelig det rigtige svar, siger jeg det, og I beslutter – men udgangspunktet er software, I kan læse.
Ingen afregning pr. server eller bruger
Jeg tager betaling for arbejdsdage. Intet af det, jeg bygger, sender jer en regning, når I vokser, og ingen komponent ringer hjem til Helius eller tæller jeres servere.
Overdragelse er inkluderet
Dokumenteret arkitektur med begrundelserne, en runbook pr. alarm og en arbejdssession, hvor jeres team sidder ved tasterne. Ikke et tilkøb og ikke en sidste linje på fakturaen.
Exit-klausulen
Stop samarbejdet, når I vil. Ingen opsigelsesvarsler, der skal holde jer fast, intet exit-gebyr og intet migreringsprojekt. Alt kører videre, fordi intet af det har brug for mig for at køre.
Upstream, hvor det giver mening
Rettelser og værktøjer, som andre kan bruge, sendes tilbage til de projekter, de kommer fra, eller udgives for sig – med jeres tilladelse og aldrig med noget, der er jeres.
Seneste indlæg
Arbejdsnoter
Bloggen er stedet, hvor begrundelserne bag de fleste holdninger på sitet står: fejlfinding i kernen, Rust og gennemgange af infrastrukturfejl. Den ligger på /blog og er skrevet på engelsk.
Ofte stillede spørgsmål
Det spørger folk typisk om, før de hyrer mig
Også om pris, og hvordan I afslutter samarbejdet.
Hvordan foregår et samarbejde typisk?
De fleste kunder starter med en Linux-sikkerhedsgennemgang: 3 dage for op til 10 servere til 4.800 EUR ekskl. moms, som ender med en skriftlig rapport, I beholder. Fortsætter vi, trækker jeg beløbet fra på det næste projekt. Derefter bliver det enten et projekt med fast omfang og et skriftligt tilbud eller en fast aftale om et antal dage om måneden. Jeg tager ikke åbne timeaftaler uden et omfang, for det er skidt for os begge.
Kan du arbejde sammen med vores team og vores værktøjer?
Ja, og det er som regel hele pointen. Jeg har ingen interesse i at skifte en opsætning ud, der virker, bare fordi jeg foretrækker noget andet. Kører I allerede GitLab, Nomad i stedet for Kubernetes eller en managed database, arbejder vi med det. Jeg siger det ligeud, hvis jeg mener, at noget er en reel risiko – og så er det jeres beslutning.
Hvem ejer den kode og konfiguration, du skriver?
Det gør I – fuldt og helt. Alt ender i jeres egne repositories under en licens, I vælger. Intet af det, jeg leverer, er et lukket produkt: ingen proprietær agent, intet control plane og ingen komponent, der holder op med at virke, hvis I holder op med at betale mig. Blackbox Linux, min egen open source-agent, er aldrig en betingelse for et samarbejde. Er en del af det nyttig for andre, spørger jeg måske, om jeg må udgive den som open source for sig – men det er et spørgsmål, aldrig en betingelse.
Hvorfor kun open source-værktøjer?
Fordi jeg selv har stået på den forkerte side af alternativet: lukkede agenter, man ikke kan gennemgå, priser pr. server, der straffer vækst, og leverandører, der ændrer licensen, når man først er bundet. Med open source-komponenter kan I læse, hvad der kører på jeres servere, drive det selv og udskifte mig uden at udskifte jeres stak.
Tilbyder du vagt eller support døgnet rundt?
Ikke som primær vagt – jeg er én person, og at påstå andet ville være uærligt. Til gengæld bygger jeg alarmer og runbooks, så jeres team kan klare vagten selv, og jeg kan være jeres eskaleringskontakt inden for aftalte tider på en fast aftale.
Hvilken adgang skal du have, og hvad sker der med den bagefter?
Så lidt som muligt, men nok til at jeg kan arbejde – typisk en personlig konto med afgrænsede rettigheder og aldrig en delt root-adgang. Adgangen fjernes, når samarbejdet slutter, og jeg minder jer om det, hvis I glemmer det. Jeg kopierer ikke produktionsdata til min maskine. Skal jeg bruge realistiske data til test, genererer eller anonymiserer vi dem.
Hvad koster det?
Din første mail og mit svar er gratis. Linux-sikkerhedsgennemgangen har en fast pris på 4.800 EUR ekskl. moms – tager den længere tid, er det min udgift. Større projekter får et skriftligt tilbud med en dagspris på 1.600 EUR ekskl. moms, og I godkender tilbuddet, før arbejdet går i gang. Skriv en kort beskrivelse, så svarer jeg med en pris og et bud på, hvor mange dage det tager.
Hvordan stopper vi samarbejdet?
I siger til. Der er ingen opsigelsesperiode, der skal holde jer fast, og intet exit-gebyr. Overdragelsen er en del af hver opgave og ikke et tilkøb: dokumenteret arkitektur, runbooks og en session, hvor jeres team sidder ved tasterne, mens jeg svarer på spørgsmål. Prøven er, om alt stadig kører en måned efter, at jeg er stoppet – og det gør det, fordi intet af det afhænger af mig.
Fortæl mig, hvad der er galt
Et par linjer om problemet er nok. Inden for én arbejdsdag svarer jeg med, hvad jeg tror, det er, hvor lang tid det cirka tager, og om I overhovedet har brug for mig. Nogle gange er det ærlige svar nej.