Oracle — один из крупнейших поставщиков корпоративных баз данных и облачной инфраструктуры. По данным CNBC, компания начала массовые увольнения на фоне агрессивных инвестиций в ИИ-инфраструктуру и падения акций на 25% с начала года.

• Oracle увольняет от 20 до 30 тысяч сотрудников — около 18% от 162 000 штата
• Сотрудники получили письмо об увольнении в 6 утра без предупреждения — доступ к системам отключён немедленно
• Сэкономленные $8–10 млрд пойдут на строительство ИИ-дата-центров и GPU-кластеров
• Oracle планирует вложить $156 млрд в ИИ-инфраструктуру и уже привлекла $45–50 млрд долгового и акционерного финансирования в 2026 году
• При этом чистая прибыль Oracle выросла на 91% до $6,1 млрд за квартал — компания прибыльна

Как Oracle уволила тысячи людей за одно утро

Массовые сокращения начались 31 марта 2026 года. Сотрудники в нескольких странах получили письмо от «Oracle Leadership» около 6 утра по местному времени. Ни HR, ни непосредственные руководители не предупреждали заранее. В письме говорилось, что должность ликвидирована в рамках «организационных изменений», а день получения письма — последний рабочий день.

Доступ к корпоративным системам был отключён немедленно. Сотрудники начали подтверждать увольнения в реальном времени на Reddit и анонимной платформе Blind. По их данным, в подразделениях Revenue and Health Sciences (RHS, медицинские данные и аналитика доходов) и SaaS and Virtual Operations Services (SVOS, облачные операции) сокращения затронули минимум 30% команд. Часть позиций, по данным Bloomberg, были внутренне отмечены как «заменяемые ИИ» — какие именно роли, Oracle не уточняла.

Масштаб: до 30 000 сотрудников Oracle

Oracle официально не подтвердила общее число уволенных. Инвестиционный банк TD Cowen оценивает масштаб в 20–30 тысяч человек — около 18% глобального штата компании (162 000 сотрудников по данным на май 2025 года). Если оценка подтвердится, это будет крупнейшее сокращение в истории Oracle.

Информация о планируемых сокращениях впервые появилась 5 марта 2026 года в Bloomberg — тогда источники говорили о «тысячах» увольнений. 31 марта план начал исполняться.

Зачем Oracle это делает: $156 млрд на ИИ-инфраструктуру

Oracle взяла курс на масштабное строительство ИИ-инфраструктуры: дата-центры, GPU-кластеры и облачные мощности для клиентов, включая OpenAI, Meta и Nvidia. Деньги на это нужны быстро, а текущий баланс не позволяет финансировать строительство без жертв.

• $156 млрд — оценка TD Cowen совокупных капитальных затрат Oracle на ИИ-инфраструктуру
• $45–50 млрд — долговое и акционерное финансирование, которое Oracle планировала привлечь в 2026 году
• $8–10 млрд — ожидаемая ежегодная экономия от сокращения штата, по оценке TD Cowen
• $2,1 млрд — бюджет плана реструктуризации (раскрыт в ежеквартальном отчёте 10-Q); $982 млн из него уже потрачены, остаток ~$1,1 млрд предназначен для выходных пособий

При этом Oracle — прибыльная компания. Чистая прибыль за последний квартал составила $6,1 млрд (рост на 91% год к году). Но прибыль и свободный денежный поток — разные вещи: Oracle привлекает десятки миллиардов долга, и инвесторы видят, что денег на строительство дата-центров не хватает даже при рекордной выручке. Отсюда — падение акций на 25% с начала года, худший показатель среди технологических гигантов.

Спрос на ИИ-инфраструктуру — как на GPU, так и на CPU — по-прежнему превышает предложение. Это напрямую отражается в наших контрактных обязательствах на $553 млрд.

Реакция рынка и сотрудников Oracle

Несколько американских банков, по данным TNW, повысили стоимость кредитования или отказались финансировать часть проектов Oracle по строительству дата-центров. Сотрудники на Reddit и Blind описывают процесс увольнения как «бесчеловечный»: отсутствие предупреждения, немедленное отключение от систем, безличное «Oracle Leadership» вместо имени руководителя. Oracle публично не прокомментировала события 31 марта.

Контекст: люди vs инфраструктура

Oracle — не единственная компания, которая жертвует штатом ради ИИ. Но она делает это откровеннее других: увольняет при рекордной прибыли, а не при убытках. Microsoft закрыла худший квартал с 2008 года на фоне масштабных ИИ-капрасходов. OpenAI привлекла $122 млрд — и именно Oracle строит для неё облачную инфраструктуру.

Для разработчиков сигнал ясный: компании готовы сокращать целые подразделения, если считают, что ИИ-инфраструктура принесёт больше денег, чем люди в этих подразделениях прямо сейчас.

Выводы

Oracle увольняет до 30 тысяч человек не потому, что бизнес убыточен — прибыль на рекордном уровне. Компания сделала выбор: люди сейчас или машины на будущее. Деньги, которые шли на зарплаты, пойдут на GPU-кластеры и дата-центры для OpenAI и Meta.

Источники: CNBC, The Next Web, Boing Boing

Речь идёт о баге CVE-2025-61882 с оценкой CVSS 9.8 — максимальной степенью критичности.

Уязвимость обнаружена в компоненте BI Publisher Integration продукта Oracle Concurrent Processing и позволяет злоумышленникам выполнять удалённый код без аутентификации — то есть без логина и пароля.

«Эта уязвимость эксплуатируется по сети без необходимости входа в систему. При успешной атаке возможен полный удалённый захват системы», — говорится в официальном уведомлении Oracle.

Компания подтвердила, что под угрозой находятся версии Oracle EBS 12.2.3–12.2.14.

Исправление уже выпущено, но для его установки необходимо сначала применить Critical Patch Update за октябрь 2023 года.

Clop эксплуатирует уязвимость в масштабных атаках

Хакерская группировка Clop, известная по атакам на MOVEit Transfer и Accellion, уже активно использует уязвимость Oracle.

По данным Mandiant (Google Cloud), Clop применил несколько эксплойтов для взлома серверов Oracle EBS в августе 2025 года, включая как июльские патчи, так и свежий баг CVE-2025-61882.

«Clop эксплуатировал несколько уязвимостей в Oracle EBS, чтобы похитить большие объёмы данных у компаний-жертв,» — подтвердил Чарльз Кармакал, CTO Mandiant.

Жертвам начали поступать письма-шантажи с угрозами опубликовать украденные документы вместе с содержимым корпоративных ERP-систем Oracle.

Формулировка типичного письма:

Мы — команда CLOP. Мы взломали вашу Oracle E-Business Suite и скопировали множество документов. Все файлы теперь в нашем распоряжении.

Clop — одна из самых агрессивных вымогательских групп мира, специализирующаяся на zero-day-атаках на корпоративные системы.

За последние годы они использовали уязвимости:

• Accellion FTA (2020),
• SolarWinds Serv-U (2021),
• GoAnywhere MFT (2023),
• MOVEit Transfer (2023),
• Cleo MFT (2024).

Общее число пострадавших компаний в мире от атак Clop превышает 3000 организаций.

Атака на Oracle EBS — первый случай компрометации ERP-платформы такого масштаба.

Утечка эксплойта и исходного кода Oracle

Интересно, что утечка эксплойта произошла не от Clop напрямую, а через другую кибергруппу — Scattered Lapsus$ Hunters, которая утверждает, что объединяет участников из Lapsus$, Scattered Spider и ShinyHunters.

6 октября на Telegram-каналах появились два архива:

• GIFT_FROM_CL0P.7z — содержит исходный код Oracle Cloud, предположительно похищенный в феврале 2025 года;
• ORACLE_EBS_NDAY_EXPLOIT_POC_SCATTERED_LAPSUS_RETARD_CL0P_HUNTERS.zip — архив с эксплойтом для уязвимости CVE-2025-61882.

BleepingComputer подтвердил, что именно этот архив совпадает с индикаторами компрометации, опубликованными Oracle.

Внутри находились Python-скрипты exp.py и server.py, позволяющие:

• выполнять произвольные команды на уязвимом сервере,
• или открывать обратную shell-сессию к серверу злоумышленников.

ShinyHunters, связанный с утечкой, заявил в интервью BleepingComputer, что эксплойт принадлежал ему и был утерян — предположительно, передан или продан Clop:

Это был мой эксплойт, как и уязвимости в SAP. Его украли и использовали другие. Мы решили просто выложить его в открытый доступ. Никакой вражды к Clop.

Oracle пока не прокомментировала возможную связь между группами, но подтвердила подлинность хэшей утёкших файлов.

Что делать администраторам Oracle

• Немедленно установить патч CVE-2025-61882 после обновления Critical Patch Update 10/2023.
• Проверить журналы активности на наличие подключений с IP 200.107.207.26 и 185.181.60.11.
• Изолировать серверы E-Business Suite, доступные из интернета.
• Включить мониторинг сетевых соединений и запусков shell-команд.
• Проверить наличие файлов exp.py и server.py в системе.

CVE-2025-61882 — одна из самых опасных уязвимостей 2025 года, поскольку:

• позволяет удалённое выполнение кода без аутентификации,
• эксплойт уже утёк в открытый доступ,
• атаки уже происходят в реальном времени.

Oracle настоятельно рекомендует администраторам немедленно обновить системы, пока Clop и Scattered Lapsus$ Hunters продолжают расширять кампанию атак.

Цифра в 100 миллиардов долларов вызывает когнитивный диссонанс. Это больше ВВП таких стран, как Хорватия, Беларусь или Уругвай. Сумма, которую человечество тратит на космические программы за десятилетия. Но здесь речь о частной сделке между двумя компаниями. Когда деньги достигают такого масштаба, они перестают быть просто деньгами, а становятся инструментом перераспределения глобальной власти.

Эпохальная сделка: за рамками пресс-релиза

Новость от 22 сентября 2025 года выглядела стандартным корпоративным анонсом, хотя и разлетелась по всем мировым СМИ и tech-изданиям. NVIDIA и OpenAI объявили о стратегическом партнерстве с развёртыванием 10 гигаватт вычислительных систем. Цифры впечатляют, но вся суть кроется в деталях.

По словам Дженсена Хуанга, гендира NVIDIA, 10 гигаватт — это 4-5 миллионов графических процессоров. Столько же NVIDIA произведёт за весь 2025 год. Фактически, OpenAI получает доступ к годовому объёму производства ключевого ресурса для ИИ.

Инвестиция в $100 млрд структурирована прогрессивно — по мере развёртывания каждого гигаватта мощностей. Первый транш в $10 млрд поступит после запуска первого гигаватта во второй половине 2026 года.

Управляющий партнёр Requisite Capital Management Брин Токингтон заявил: «NVIDIA инвестирует $100 млрд в OpenAI, которые OpenAI затем вернёт обратно». Он отметил, что этот проект будет полезен для NVIDIA.

Эксперты отмечают стратегическую глубину сделки. Как пишет сайт CNBC, партнёрство «подчеркивает тесную связь между OpenAI и NVIDIA, двумя главными драйверами последнего бума в области ИИ». Фактически, это создает интегрированную экосистему, где успех одного напрямую подпитывает рост другого.

Вычислительная гонка вооружений: как мощность стала новой нефтью

OpenAI оказалась в парадоксальной ситуации. 700 млн еженедельных пользователей — это не только успех, но и колоссальная нагрузка. Каждый запрос к ChatGPT требует вычислений. Каждое улучшение модели — тысяч GPU.

Сэм Альтман предельно откровенен: «Все начинается с вычислительных мощностей». В интервью CNBC он объясняет — без достаточных ресурсов нам придётся выбирать между исследованиями рака и бесплатным образованием. Никто не хочет такого выбора.

Но за этим кроется плачевная реальность. Современные большие языковые модели достигли такой точки роста, когда простое масштабирование требует экспоненциального роста вычислений. Обучение GPT-4 оценивали в $100 млн только на электричество. Следующие поколения будут дороже на порядки.

Грег Брокман сравнивает текущую ситуацию с первым сервером DGX, который Хуанг лично доставил в офис OpenAI в 2016 году. «Теперь нам нужно в миллиард раз больше вычислительной мощности», — говорит он. Масштаб ошеломляет.

Мы наблюдаем фундаментальный сдвиг. Если раньше алгоритмы были ключевым ограничивающим фактором, теперь это исключительно вычислительные ресурсы. Тот, кто контролирует гигаватты, будет контролировать интеллект следующего поколения.

Монополия на разум: стратегия NVIDIA

NVIDIA — уже не только производитель чипов: компания строит экосистему, в которой её собственные технологии становится стандартом де-факто. Партнёрство с OpenAI — краеугольный камень этой стратегии.

Дженсен Хуанг скромно называет это «началом». «Мы буквально подключим интеллект к каждому приложению, к каждому случаю использования, к каждому устройству», — говорит он. За этими словами — видение мира, где NVIDIA станет такой же необходимостью, как электричество.

Антимонопольные юристы уже выражают обеспокоенность. Андре Барлоу, специалист по конкурентному праву, отмечает: «Сделка может изменить экономические стимулы NVIDIA и OpenAI и создать замкнутую систему, где доминирование на железо подкрепляет лидерство в программном обеспечении».

Особенно тревожным эксперты считают момент заключения сделки. Всего за неделю до объявления с OpenAI NVIDIA:

• приобрела долю в Intel за $5 млрд;
• инвестировала $700 млн в дата-центровый британский стартап Nscale;
• потратила $900 млн на поглощение разработчика ПО для ИИ-кластеров Enfabrica.

Сейчас компания захватывает все уровни инфраструктуры. Аналитики Bloomberg характеризуют сделку как намеренное создание «порочного круга» на $100 млрд. Они указывают, что реальный риск для индустрии заключается не в лопнувшем пузыре, а в консолидации рынка, которая вытесняет конкурентов. NVIDIA создаёт то, что можно назвать «вычислительным картелем». Партнёрство с OpenAI — это сигнал рынку: альтернативы нашим чипам для серьезных AI-проектов просто нет.

Тихая война сверхинтеллекта: глобальный контекст

Партнёрство NVIDIA и OpenAI происходит на фоне глобальной гонки за сверхинтеллектом. Игроки понимают — кто первый создаст AGI*, получит беспрецедентное преимущество.

*AGI, искусственный общий интеллект — на текущий момент гипотетическая форма ИИ с самосознанием и способностями решать сложные интеллектуальные задачи лучше человека.

В июне 2025 года Марк Цукерберг объявил о реорганизации AI-подразделения Meta* с фокусом на сверхинтеллект. Александр Ванг, бывший CEO Scale AI, возглавил новое подразделение Meta* Superintelligence Labs.

*запрещена в РФ

Илья Суцкевер, сооснователь OpenAI, ушел из компании, чтобы создать Safe Superintelligence Inc. (SSI). Его организация сфокусирована исключительно на безопасности сверхинтеллекта — это явный признак того, что эксперты не считают создание AGI сугубо теоретическим вопросом.

Работы Леопольда Ашенбреннера, бывшего исследователя OpenAI, обсуждаются в военно-политических кругах Вашингтона. Его эссе содержит прямой призыв обеспечить тотальное доминирование США в гонке ИИ. Технологии становятся вопросом национальной безопасности.

Китайские компании типа Baidu и Alibaba активно работают над собственными большими моделями, но сталкиваются с ограничениями доступа к передовым чипам — США сознательно создают искусственный барьер.

Аналитики отмечают, что сделка между NVIDIA и OpenAI укрепляет связи в рамках целой сети партнёрств между технологическими гигантами, включая Microsoft, Oracle и SoftBank. Этот формирующийся «блок сотрудничества» оценивается в триллионы долларов, а его интересы, как отмечается в одном из обзоров, «очень сходятся» на фоне поддержки политики администрации США. Таким образом, сделка выходит за рамки корпоративной и приобретает черты национальной технологической стратегии.

Регуляторный парадокс: почему молчат антимонопольные службы

Тревожный аспект сделки — отсутствие серьёзного регуляторного сопротивления. Сравнение с другими громкими случаями показательно:

• Сделка Microsoft и Activision Blizzard годами изучалась регуляторами по всему миру. Споры велись о том, будут ли игры вроде Call of Duty эксклюзивными для Xbox. Речь шла о доступе к развлечениям.
• Apple бесконечно судится с регуляторами ЕС из-за комиссий в App Store и предустановке сторонних магазинов. Битва идёт за проценты с продаж цифровых товаров.

Но когда речь заходит о контроле над технологией, которая может переопределить будущее человечества, регуляторы молчат — антимонопольные службы США занимают мягкую позицию по этому вопросу.

Создаётся впечатление, что регуляторы понимают технологии прошлого, но не успевают за скоростью развития ИИ. Они видят угрозу в монополии на поиск в сети или социальные сети, но не осознают, что монополия на сверхинтеллект — это качественно другой уровень угрозы.

Европейский союз пытается догнать уходящий поезд. AI Act вступил в силу в 2025 году, но фокусируется в основном на прозрачности и этике, а не на концентрации вычислительной мощи. Регуляторы борются с симптомами, а не с причиной.

Будущее индустрии: новые правила игры

Для разработчиков и IT-индустрии партнёрство создаёт новую реальность с чёткими последствиями. Доступ к вычислительным ресурсам становится ключевым конкурентным преимуществом. Стартапам будет сложно конкурировать с гигантами, обладающими гигаваттами мощности. Инновации могут сместиться от небольших лабораторий к корпорациям.

Централизация AI-мощностей ограничивает разнообразие подходов. Как отмечает Суцкевер, безопасность ИИ требует фундаментальных исследований, а не только масштабирования существующих моделей.

Мы наблюдаем рождение новой олигополии — рынка технологий без конкуренции. Если в интернете доминировали платформы, в мобильной эре — Apple и Google, то в эру ИИ власть будет у тех, кто контролирует модели и вычисления для их обучения. Остальные станут просто поставщиками данных.

В своей книге «Читай, пиши, управляй» технологический евангелист и венчурный инвестор Крис Диксон напрямую связывает развитие ИИ с тенденцией к консолидации рынка. «Быстрое развитие искусственного интеллекта, вероятно, тоже ускорит тренд на консолидацию крупных технологических компаний. ИИ имеет огромный потенциал, но изначально благоприятствует щедро капитализированным компаниям с огромными массивами данных»

Альтернативные пути: есть ли жизнь после NVIDIA

Не все эксперты считают ситуацию безнадежной. Появляются признаки сопротивления доминированию NVIDIA:

• Google продолжает развивать собственные TPU и инвестирует в кремниевые инновации;
• Amazon через AWS продвигает собственные чипы Inferentia и Trainium;
• Microsoft работает над проектом Athena.

Но разрыв огромен. Хуанг в августе 2025 года говорил инвесторам, что строительство одного гигаватта дата-центров стоит $50-60 млрд, из которых $35 млрд — оборудование NVIDIA. Конкуренты не могут просто купить рынок. Китай развивает национальные проекты в обход санкций, но пока выступает в роли догоняющего.

Наиболее перспективным направлением считаются фундаментальные исследования новых архитектурах вычислений. Квантовые компьютеры, нейроморфные чипы, оптические вычисления — всё это может изменить правила игры.

Тенденция к специализации аппаратного обеспечения для ИИ — новая реальность рынка. Анализ актуальных решений NVIDIA показывает, что компания давно отошла от универсальных архитектур и развивает целое семейство специализированных GPU, каждое из которых оптимизировано под конкретный тип задач:

• Для инференса (процесса применения уже обученной модели ИИ) и визуализации созданы ускорители NVIDIA L40, которые сочетают высокую производительность в AI с передовыми возможностями для графики.
• Для масштабного инференса в дата-центрах предназначен низкопрофильный и энергоэффективный NVIDIA L4.
• Для рабочих станций создана видеокарта NVIDIA RTX 6000 Ada Generation, архитектура которой обеспечивает почти двукратный прирост производительности в AI-задачах по сравнению с предшественниками.

Тренд на специализацию открывает возможности для новых игроков. Они могут сфокусироваться на разработке узкоспециализированных решений, не пытаясь сразу конкурировать с гигантами и создавать универсальные GPU для обучения огромных моделей.

Геополитический контекст: перерисовка карты влияния

Сделка NVIDIA и OpenAI выходит далеко за рамки бизнеса. Технологическое лидерство всё больше определяет геополитическое влияние. Администрация президента Трампа рассматривает ИИ как область стратегического преимущества США.

Европейский союз пытается найти баланс между регулированием и инновациями, но не имеет собственных технологических наработок в этой сфере. Страны глобального Юга рискуют остаться потребителями технологии, которую не создают.

Бывший советник по национальной безопасности США Генри Киссинджер в своей последней книге предупреждал: «ИИ станет новым ядерным оружием — тем, кто первым достигнет сверхинтеллекта, достанется возможность диктовать правила остальному миру».

Официальные военные доктрины ведущих стран уже давно сравнивают киберпространство с театром военных действий. Концентрация ресурсов для создания сверхинтеллекта в рамках частного партнерства стоимостью в сотни миллиардов долларов вызывает опасения у экспертов — нас могут ожидать новые формы геополитических противостояний.

Философ и футуролог Ник Бостром, автор книги «Искусственный интеллект. Этапы. Угрозы. Стратегии», в недавнем интервью выразил обеспокоенность: «Ускорение гонки ИИ без адекватных механизмов контроля напоминает эксперименты с ядерной энергией в 1940-х, но с ещё более непредсказуемыми последствиями».

Сделку комментирует эксперт Максим Горшенин, автор инсайдерского канала про импортозамещение в России Imaxai, соучредитель Ассоциации производителей компьютеров и периферийного оборудования:

«Это стратегическая инициатива, тесно связанная с политикой США. Их цель — создавать американские продукты на американских вычислительных мощностях. Последствия такого подхода заключаются в создании замкнутой экосистемы: OpenAI — крупнейший потребитель вычислительных ресурсов, и партнерство с NVIDIA блокирует возможности проникновения на этот рынок конкурентов. Второй ключевой аспект — сохранение технологического лидерства США. Все действия направлены на удержание позиций, включая лидерство в производстве и разработке чипов для ИИ. Этому способствует указ Трампа, предписывающий американским компаниям инвестировать миллиарды долларов в эту сферу. Что касается долгосрочных глобальных последствий — полный контроль над цивилизацией в ближайшее время вряд ли будет достигнут. Но лет через 30 — вполне возможно. Исторически США всегда делали ставку на технологическое превосходство через сотрудничество с Министерством обороны, что позволяло создавать более совершенное оружие. Сейчас официально заявлено: кто обладает самым передовым ИИ, тот получает преимущество в войне, прогнозировании, предугадывании действий противника, создании умных бомб и других сферах. Это инвестиция в технологическое лидерство США, что создает негативные последствия для остальных стран и запускает гонку искусственного интеллекта — прежде всего между США и Китаем. Остальные страны в этом противостоянии практически не участвуют».

Дело уже не в коммерческом превосходстве, а в том, кто будет контролировать технологию, способную переопределить будущее мировое влияние и безопасность. Битва за ИИ может оказаться новой масштабной войной. Победа в этой битве достанется не тому, у кого лучше армия, а тому, у кого сложнее алгоритмы и больше вычислительных мощностей.

Этическая дилемма: кто будет контролировать контролеров

Самый сложный вопрос — этический. Создание сверхинтеллекта поднимает проблемы, которые человечество никогда прежде не решало. Суцкевер предупреждает, что существующие методы безопасности, основанные на человеческом контроле, не работают для сверхинтеллекта. Люди просто не смогут понять его действия.

OpenAI позиционирует себя как компанию, миссия которой — безопасный ИИ на благо человечества. Но структура партнёрства с NVIDIA ставит вопрос о приоритетах.

В ноябре 2024 года на сайте Оксфордского университета было опубликовано заявление профессора биоэтики Джулиана Савулеску, посвященное этике использования ИИ в научных исследованиях.

В нём он сказал следующее:

«Большие языковые модели — это ящик Пандоры для академических исследований. Они могли бы уничтожить академическую независимость, креативность, оригинальность и саму мысль. Они также могли бы способствовать невообразимому со-творчеству и продуктивности. Мы должны быть осторожны, когда полагаемся на частные корпорации с их обязательствами перед акционерами, чтобы управлять технологиями, которые могут оказывать колоссальное влияние на человеческое будущее».

Итоги: точка невозврата пройдена

Партнерство NVIDIA и OpenAI — не рядовая сделка. Мы входим в новую эру, в которой вычислительная мощность становится главным ресурсом. Тот, кто контролирует ИИ, получает реальное влияние в мире.

Сам Альтман, президент OpenAI, признаёт:

«Вычислительная инфраструктура станет основой экономики будущего».

За этими словами — новый мир, в котором традиционные ресурсы вроде нефти или газа уступают место гигаваттам и гигафлопам.

Для программистов и IT-специалистов это означает необходимость адаптации к реальности, где доступ к большим AI-моделям дает возможности создания продуктов. Технологическое лидерство всё больше определяется не только кодом, но и вычислительными ресурсами.

Гонка сверхинтеллекта только начинается, но правила уже пишутся. И главное, что демонстрирует партнерство NVIDIA и OpenAI: в игре за будущее разума ставки выше, чем мы привыкли думать, а победитель, возможно, будет только один.

По данным The Information и независимых аналитиков, Microsoft с трудом продала Copilot всего 1,8 млн пользователей — при общем числе подписчиков Microsoft 365 в 440 млн человек. То есть платной версией пользуются менее 0,5% клиентов.

Причина? Продукт дорогой (от $30 в месяц) и пока не дает ощутимого прироста производительности.

Вдобавок, компания теряет более $20 в месяц на одного пользователя Copilot, а некоторые обходятся ей в $80 и выше.

А как дела у OpenAI?

Тоже не очень. Стартап обещает потратить $1 трлн на инфраструктуру (в том числе — дата-центры и чипы NVIDIA), но:

• Зарабатывает при этом около $13 млрд в год.
• Уже имеет контрактов на $300+ млрд, которые пока не может оплатить.
• Ищет финансирование у Oracle, Microsoft, инвестфондов и всех, кто готов поверить в «революцию ИИ».

Тем временем, Claude Code от Anthropic, один из популярных ИИ-ассистентов для программирования, приносит около $33 млн в месяц, но работает в минус — пользователи жгут токены быстрее, чем платят за подписку.

Все пропало?

Нет. Но аналитики называют происходящее «одним из самых раздутых пузырей в истории Кремниевой долины».

• Генеративный ИИ пока не заменил ни одного класса специалистов.
• Продукты вроде Copilot и ChatGPT остаются дорогими в обслуживании.
• Доходность большинства ИИ-стартапов находится на грани фола (если не за ней).

Что дальше?

Пока компании вроде OpenAI и Anthropic продолжают сжигать миллиарды, инвесторы верят в «будущее».

Но с каждым новым месяцем становится все сложнее игнорировать факты: ИИ-революция может закончиться раньше, чем NVIDIA успеет доставить новые чипы.

По условиям соглашения, контроль над TikTok в США перейдет к новому совместному предприятию, в котором Oracle и инвесторы из США получат доминирующий пакет, а доля китайской ByteDance не превысит 20%.

Общая оценка американского бизнеса TikTok составила $14 млрд, сообщил вице-президент Джей Ди Вэнс. Сделка позволит избежать блокировки, предусмотренной законом о нацбезопасности, если китайская сторона не продаст свою долю.

Кто будет владеть TikTok в США

Новую компанию будут контролировать:

• Oracle, которая также возьмет на себя вопросы кибербезопасности TikTok и предоставит облачную инфраструктуру;
• инвестиционные фонды Silver Lake и MGX (ОАЭ);
• американские инвесторы ByteDance, включая Sequoia, General Atlantic и Susquehanna.

Общая доля американских инвесторов составит около 80%, что должно успокоить регуляторов. Китайская сторона при этом пока официально не комментирует сделку.

Президент Трамп заявил, что Си Цзиньпин одобрил сделку, хотя по словам Вэнса, со стороны Китая сначала был «некоторый саботаж».

Что дальше

Oracle получит ключевую роль в управлении безопасностью и хранении данных TikTok в США. Также, по словам Трампа, в сделке могут участвовать Руперт и Лаклан Мердоки, а также Майкл Делл.

В указе отдельно подчеркивается, что государство не получит «золотую акцию» или долю в компании, в отличие от моделей регулирования в некоторых странах.

У TikTok есть время до 16 декабря, чтобы завершить формирование новой структуры — до этой даты Минюст не будет применять санкции.

Потому что SQL, несмотря на свое превосходство в работе с данными, неудобен, ограничен и рискован в роли полноценного языка программирования.

Логика не по адресу

Как отмечает Эвальд Бенс, фуллстек разработчик и авторов популярного блога об IT, он предпочитает держать как можно больше логики в приложении, а не в SQL-хранилищах, представлениях и процедурах:

Я отношусь к базе как к тупому хранилищу данных. Вся логика — в коде. SQL просто не предназначен для сложных сценариев.

И дело не в том, что SQL чего-то «не умеет». Умеет — особенно с расширениями вроде PL/pgSQL или Oracle PL/SQL.

Но выразительность этих языков — далека от Python, TypeScript, Rust или C#, особенно когда речь идет о бизнес-логике, объектной модели или сложных расчетах.

Зачем выносить логику из базы?

1. SQL невыразителен

Для манипуляций с табличками и JOIN — он король. Но как только начинается рекурсия, классы, вложенные состояния или обработка ошибок — SQL превращается в монстра с BEGIN, IF, LOOP, EXCEPTION, RAISE, CURSOR, FETCH, WHILE и т.д...

2. Развертывание — боль

Обновить приложение можно за минуту, откатить — за две. А вот миграции на проде — это:

• повышенные права доступа;
• согласование с DBA;
• боязнь сломать что-то «наживую»;
• ручной откат схем.

3. Лочит на вендора

Логика, написанная на PL/SQL — это билет в один конец к Oracle. Переезд на PostgreSQL или SQL Server становится в 5 раз сложнее.

4. Меньше инструментов

Вокруг SQL есть утилиты, но полноценной среды с юнит-тестами, статическим анализом, форматтерами, профайлерами, линтерами и отладчиками — почти нет.

А что с производительностью?

Да, есть нюанс: иногда лучше обработать данные прямо в базе, чтобы не гонять десятки тысяч строк по сети. Это особенно актуально, если не хочется получить классическую проблему N+1-запросов.

Но даже в этом случае большинство специалистов советует сначала делать «просто и понятно», а не «оптимально заранее». До тех пор, пока не уперлись в реальные метрики, выносить логику в базу — преждевременная оптимизация.

Что делать?

Подход «база — хранилище, логика — в коде» стал де-факто стандартом во многих командах. Но это не догма:

• Для отчетности или простых ETL сценариев логика в SQL может быть уместной.
• Для монолитных решений без CI/CD и DevOps — процедурный SQL вполне оправдан.
• Но в современной разработке с частыми релизами, микросервисами и отказоустойчивостью бизнес-логика в приложении — просто удобнее и безопаснее.

Текущее состояние рынка и основные тренды рынка ПО и IT-услуг

Группа компаний Б1 представила исследование российского рынка ПО и ИТ-услуг. По итогам 2024 года объём рынка ИТ-услуг (без информационной безопасности) достиг 638 млрд ₽, увеличившись за два года почти в 1,4 раза. Более 150 млрд ₽ пришлись на заказную разработку и проектное ПО.

Тиражное ПО росло ещё быстрее: с 287 до 448 млрд ₽ (примерно +60 % за 2022–2024 гг.). Сильнее всего прибавили вендоры системного ПО, СУБД и инструментов для управления данными и приложениями (до 40–55 % в год).

Коммерческий ИТ-рынок (без инсорсинга, то есть внутренних разработок) в 2024 году превысил 2,2 трлн ₽, а с учётом внутренних разработок — 2,8 трлн ₽, показывая среднегодовой рост около 22 %. ИТ-услуги и тиражное ПО суммарно составляют около 1,1 трлн рублей или около 48% от указанной суммы. Другие сегменты: оборудование инфраструктуры ИТ и ПК, ИТ-обучение и информационная безопасность. К 2032 году объём всей отрасли может превысить 6,5 трлн ₽ (коммерческий сегмент — 5,2 трлн ₽) при среднем долгосрочном росте около 11 %.

Прогнозы:

По данным исследования, российский рынок ИТ-услуг и программного обеспечения остаётся фрагментированным. Заметные доли есть лишь у немногих лидеров, а основная часть распределена между десятками и сотнями компаний.

• IT-услуги. Крупнейшие игроки — Ланит (около 8 %), Лига Цифровой Экономики (4 %) и Группа Softline(4 %). Все остальные компании занимают не более 3 % каждая.
• Тиражное ПО. Здесь впереди 1С и СКБ Контур (по 6 %), а также Яндекс (5 %). Оставшиеся 83 % рынка делят между собой многочисленные разработчики.
• Заказная разработка. Лидер — FabricaONE.AI с долей около 11 %. Далее идут БФТ Холдинг (7 %), Ланит и Лига Цифровой Экономики (по 6 %).
• ПО для работы с документами и СЭД. Это наиболее концентрированный сегмент: на десятку ведущих компаний — СКБ Контур, Тензор, Сбер Корус и другие — приходится порядка 81 % всего рынка.
• Бизнес-ПО. Здесь, напротив, конкуренция особенно высока: совокупная доля топ-10 компаний (1С, ЦФТ, Диасофт и др.) не превышает 40 %.

Российский IT-рынок сочетает зоны, где уже много конкурентов, с сегментами, где ещё есть пространство для новых решений и стартапов.

Реестр российского ПО: значение и преимущества для вендоров

Ключевой инструмент импортозамещения — Реестр российского программного обеспечения, который ведёт Минцифры. В него на сентябрь 2025 года включено уже 27 572 решения.

Для бизнеса включение ПО в реестр даёт преференции. Главное преимущество — освобождение от НДС, что позволяет снизить цену на софт или увеличить маржу. Ещё один важный плюс — доступ к госзакупкам. Продукт из реестра можно предлагать государственным заказчикам. Кроме того, наличие решения в реестре упрощает получение ИТ-аккредитации, так как её можно оформить без подтверждения уровня зарплат работников. Наконец, такие компании могут претендовать на государственные гранты и субсидии.

Чтобы попасть в реестр, разработчику нужно доказать следующие факты:

• исключительные права на продукт принадлежат российской компании или гражданину РФ;
• исходный код и ключевые технологии находятся в России;
• сервисы и данные хранятся на отечественных серверах;
• в составе продукта нет критических зарубежных компонентов, влияющих на работоспособность;
• продукт должен быть доступным для внешних пользователей, в том числе госструктур;
• программа или база данных должна распространяться как законченный продукт, то есть скачиваться единым пакетом или записываться на носитель;
• отчисления за границу (лицензии, обязательные сервисы) не должны превышать 30 % выручки;
• запрещено строить продукт на коммерческих СУБД и других платных платформах;
• все компоненты используются правомерно на основании открытой лицензии или лицензионного договора;
• у ИТ-компании есть действующий сайт.

Есть и обязательные требования к компании-разработчику:

• Не менее 50 % уставного капитала должны принадлежать гражданам РФ.
• Более 70 % прибыли от продажи продукта должны оставаться у российских правообладателей.
• Гарантийное обслуживание и техническая поддержка должны выполняться на территории России или российскими гражданами.

«Реестр — важный инструмент формализации. Он задаёт правила игры и открывает доступ к крупным тендерам. Кроме того, для заказчиков ключевое значение имеют реальные кейсы, SLA и зрелость экосистемы. Поэтому можно сказать, что реестр отражает формальную сторону, а реальная картина все же формируется на уровне практических внедрений. При этом сам реестр структурирует рынок и его игроков, фиксирует перечень решений и помогает государству понимать, какие классы ПО уже готовы к внедрению, а какие требуют инвестиций», — отмечает Сергей Лебедев, коммерческий директор GreenData.

«Реестр отечественного ПО отражает картину рынка всё лучше, но всё ещё далеко не полностью и с искажениями. Например, всё, что касается сегмента B2G, госзакупок — реестр на 100% актуален. Все операционные системы, офисные пакеты, системы защиты информации и СУБД включены в реестр. Онидеально отражает рынок импортозамещения по тем вопросам, которые необходимы для того, чтоб компании осуществляли основную деятельность.

Что касается слабых мест реестра, здесь плохо выражена ситуация на коммерческом рынке. Например, нишевые SaaS-решения, маркетплейсы, сервисы онлайн-образования, некоторые CRM могут не проходить сложную процедуру внесения, так как их клиентам это не нужно. Аналогичная ситуация и в геймдев. Приложения доставки, каршеринг — их присутствие в реестре не отражает их в реальной доле рынка», — комментирует Алексей Флоринский, генеральный директор компании-разработчика заказного программного обеспечения SimbirSoft.

Российские аналоги популярных зарубежных сервисов

Сегодня в России уже есть полноценные аналоги многих видов программного обеспечения.

Офисные пакеты. Для работы с документами и совместного редактирования всё чаще выбирают МойОфис и Р7 Офис. Эти платформы заменяют Microsoft 365 и Google Workspace, так как поддерживают текстовые редакторы, таблицы, презентации, корпоративную почту и чаты. Продукты сертифицированы для использования в госструктурах, обеспечивают хранятение данныех на российских серверах и отвечают требованиям ИБ.

«В части инфраструктурных сервисов есть широкий выбор, но далеко не все организации решаются массово отказываться от Microsoft и переходить на решения на базе Linux или к отечественным вендорам. Схожая ситуация наблюдается в сегменте корпоративной почты и файловых хранилищ, замещение пока не достигло прежней глубины», — рассказывает Максим Завьялов, руководитель практики импортозамещения K2 Cloud.

Облачные сервисы. Сегмент облаков в России растёт особенно быстро. Среди крупнейших игроков: VK Cloud, Яндекс Облако, СберОблако. Они предоставляют вычислительные мощности, хранилища, сервисы машинного обучения и аналитики, заменяя AWS, Azure и Google Cloud.

Мессенджеры и сервисы для совместной работы. Для видеоконференций и командной работы можно использовать TrueConf, ТамТам и Яндекс Телемост. Эти решения предлагают стабильную связь, групповые чаты и совместный доступ к файлам.

Базы данных. Вместо зарубежных СУБД компании переходят на Postgres Pro и СУБД ЛИНТЕР. Они совместимы с экосистемой PostgreSQL, поддерживают масштабируемые кластеры, инструменты резервного копирования и репликации.

CRM и ERP. Наиболее востребованные продукты — 1С, Terrasoft (Creatio) и «Галактика ERP». Они закрывают задачи учёта, автоматизации продаж, документооборота и планирования ресурсов предприятия, выступая полноценной заменой SAP, Oracle и Salesforce.

«Во всех сегментах сейчас особо актуален вопрос замещения ERP-систем, которые установлены практически в каждом предприятии в том или ином виде и позволяют автоматизировать часть внутренних процессов, сформировать систему отчётности. Область ERP-решений долгое время считалась в России отстающей на фоне SAP и Oracle. Однако на данный момент наши решения, такие как 1C, “Галактика ERP”, напрямую конкурируют с западными интеграторами., Ммногие отечественные компании делают осознанный выбор в пользу российских платформ», — отмечает Даниил Летин, руководитель дирекции по развитию бизнеса в IBS.

DevOps и CI/CD. Для управления исходным кодом и автоматизации развёртывания появились платформы GitFlic, GitVerse и VK Code, которые поддерживают приватные репозитории, пайплайны CI/CD и интеграцию с популярными системами контроля версий.

Информационная безопасность. Российский сектор ИБ традиционно силён. Продукты Лаборатории Касперского и Positive Technologies обеспечивают защищают инфраструктуру, анализируют уязвимости и мониторят инциденты.

«Говоря о сегментах, которые чувствуют себя наиболее устойчиво, стоит выделить именно сферу кибербезопасности — здесь переход на российские продукты прошел относительно спокойно», — считает Максим Завьялов.

Где ещё есть сложности?

Российские аналоги уже успешно заменяют зарубежные продукты в госсекторе, банках, телекоме, ритейле и промышленности. Тем не менее, остаются направления и ниши, где полной замены пока нет.

«Наиболее устойчиво чувствуют себя платформенные решения — low-code, интеграционные слои, банковские продукты. У этих продуктов есть очевидная ценность — это ускоренный time-to-market, прозрачность процессов, поддержка композитной архитектуры. При этом в зоне риска находятся нишевые SaaS-сервисы, сильно зависимые от международных экосистем. Там всё ещё есть барьеры по сертификации, поддержке и интеграции. Поэтому именно платформенный класс решений формирует фундамент устойчивости российского рынка», — делится Сергей Лебедев.

«В зоне риска остаются высоконагруженные отраслевые решения, связанные с промышленным производством, инженерным моделированием, сложными CAD/CAM-системами. Там барьер входа слишком высок, и полного импортозамещения пока нет», — отмечает Елена Титова, генеральный директор компании Стеллар.

Что касается сервисов для рабочих задач, здесь тоже пока остаются незакрытые потребности в софте. Например, Алексей Ровдо, главный аналитик ИТ-интегратора AWG, отмечает нехватку альтернатив ряда сервисов: «Github и частные репозитории для совместной работы над исходным кодом, групповые видеоконференции Zoom, а также онлайн-сервис для создания диаграмм draw.io. При этом российский рынок активно работает в этом направлении и уже предлагает перспективные разработки, такие как Яндекс.Телемост». По словам коммерческого директора UDV Group Илоны Киреёнок, не хватает «серьёзных корпоративных инструментов вроде полноценной почтовой системы, системы каталогов, управления учетными записями и т.д.».

«Нам не хватает решений, которые в полной мере закрыли бы экосистему продуктов Microsoft с точки зрения интеграции пользовательских сервисов, ОС и систем компании», — комментирует Андрей Каплин, руководитель направления инфраструктурного ПО компании «ГИГАНТ Компьютерс».

Несмотря на сложности, большинство экспертов с оптимизмом относятся к импортозамещению в сфере ПО и ИТ-услуг: «Ранее российский рынок ПО уступал в масштабах мировому рынку и занимал ограниченную долю — на нём крупные вендоры получали лишь 1–2% своей выручки. Хотя сокращение рынка вызвало определённые трудности, одновременно оно открыло возможности для трансформации отрасли в России. Изоляция российского рынка привела к резкому росту отечественных игроков и решений, появлению локальных лидеров, таких как “Группа Астра”, “НКТ” и другие», — подчёркивает Алексей Ровдо, главный аналитик ИТ-интегратора AWG.

1. 10-Страйк: Мониторинг Сети Pro

10-Страйк: Мониторинг Сети Pro — это российская программа для системных администраторов, которая позволяет контролировать состояние сетевых устройств, серверов, рабочих станций, коммутаторов, баз данных и других ресурсов инфраструктуры. Она отслеживает ключевые параметры — от свободного места на дисках и загрузки процессора до температуры оборудования — и в случае проблем отправляет уведомления по email, SMS или в мессенджеры. Система может не только сигнализировать о сбоях, но и автоматически устранять их, например, перезапуская службы или выполняя скрипты.

Технические возможности

Продукт поддерживает десятки видов сетевых проверок через ICMP, SNMP, HTTP, SQL, SSH и другие протоколы. Возможно мониторить серверы Windows и Linux, сетевые службы, видеокамеры, принтеры, СУБД и промышленное оборудование. Визуализация данных доступна на карте сети с графиками и индикаторами. В версии Pro предусмотрен распределённый мониторинг с несколькими серверами и аген­тами, а также веб-интерфейс для удалённого управления.

Сценарии использования

Для DevOps и системных администраторов 10-Страйк подходит как инструмент централизованного мониторинга с алертами и картой сети. IT-отделы предприятий используют его для контроля доступности каналов связи, серверов, баз данных и устройств. Руководители могут формировать отчёты по аптайму и SLA для анализа стабильности работы инфраструктуры.

Особенности

Программа выделяется простотой настройки проверок, наличием наглядной карты сети и гибкой системой сигнализации. Важное преимущество — возможность распределённого мониторинга в удалённых сетях и работы в круглосуточном режиме без участия администратора. Решение разработано в России и подходит под задачи импортозамещения.

Тарифы и условия

Продукт распространяется по лицензии с ограничением на число сенсоров: версия Pro на 100 сенсоров стоит 40 000 рублей, стандартная версия — 20 000 рублей. Для корпоративных лицензий действует ограничение на количество серверов мониторинга.

2. Deckhouse Prom++

Deckhouse Prom++ — это Open Source-система мониторинга на базе Prometheus, которая потребляет до 10 раз меньше памяти. Она собирает метрики приложений, сервисов и инфраструктуры в реальном времени, хранит их во встроенной TSDB и поддерживает PromQL для анализа. Deckhouse Prom++ умеет формировать алерты и легко интегрируется с Grafana, оставаясь привычным для команд, которые уже работают с Prometheus.

Технические возможности

Deckhouse Prom++ может собирать любые инфраструктурные метрики напрямую или через экспортеры: состояние серверов, контейнеров, сетей, баз данных и приложений. Главная оптимизация по сравнению с «ванильным» Prometheus — переработка Write Ahead Log — позволяет снизить потребление памяти без ущерба производительности. Продукт полностью совместим с API и настройками Prometheus: дашборды, правила алертинга и интеграции продолжают работать без изменений. Prom++ уже используется на более чем 1000 кластеров и поддерживает до 10 млн активных метрик на кластер.

Сценарии использования

DevOps-инженеры и SRE могут использовать Deckhouse Prom++ для мониторинга Kubernetes и традиционной инфраструктуры. Архитекторы и CTO получают возможность сократить расходы на RAM без отказа от привычной экосистемы. Prom++ подходит и для on-prem, и для облачных окружений, а также уже встроен в Deckhouse Kubernetes Platform.

Особенности

Ключевое преимущество Deckhouse Prom++ — низкое потребление ресурсов: до 10 раз меньше памяти, чем у Prometheus, и до 3 раз меньше, чем у VictoriaMetrics. Сервис полностью совместим с экосистемой Prometheus, не создаёт вендорлока и распространяется под лицензией Apache 2.0. Поддержка осуществляется инженерами Deckhouse и сообществом через открытый Telegram-чат.

Тарифы и условия

Deckhouse Prom++ — полностью бесплатный Open Source-продукт. Ограничений по количеству пользователей или метрик нет.

Есть инструкция по миграции, потребуется только предварительная конвертация WAL-файлов. Вы также сможете без труда вернуться с Deckhouse Prom++ на Prometheus.

Инженеры Deckhouse и сообщество помогают пользователям в Telegram-чате Prom++ User Group.

3. GMONIT

GMONIT — российская платформа класса Observability, которая собирает и анализирует метрики, логи, трассировки и бизнес-показатели в едином интерфейсе. Она даёт ИТ-командам полный обзор цифрового контура: от сетей, серверов, баз данных и контейнеров до пользовательских действий и бизнес-метрик. GMONIT помогает перейти от «реактивного» реагирования на инциденты к проактивному управлению ИТ, сокращая время диагностики и повышая стабильность сервисов.

Технические возможности

GMONIT поддерживает мониторинг сетей, серверов, виртуальных машин, баз данных, контейнеров, API, реальных пользователей в браузере или мобильном приложении и бизнес-процессов. Система строится на микросервисной архитектуре, легко масштабируется и формирует дашборды для разных ролей — от инженеров до CIO. В одном интерфейсе доступны ключевые показатели доступности, SLA, конверсии, скорость обработки заказов и другие бизнес-метрики. Платформа обеспечивает предиктивную аналитику, раннее выявление аномалий и ускоренное RCA (Root Cause Analysis — анализ первопричин): TTD (Time To Detect — время до обнаружения) — менее 10 минут, RCA — около 15 минут.

Сценарии использования

• Разработчики используют GMONIT для отладки сервисов и мониторинга CI/CD, что ускоряет релизы и сокращает время устранения ошибок.
• QA-команды применяют платформу при нагрузочных тестах и фиксации ошибок в продакшене.
• DevOps и SRE получают централизованный мониторинг с алертами, предиктивной аналитикой и интеграцией в пайплайны.
• PM и CIO работают с визуальными панелями SLA, аптайма и бизнес-метрик, чтобы видеть реальное влияние инфраструктуры на продажи и пользовательский опыт.
• Поддержка сокращает время реакции на инциденты и устраняет сбои до того, как о них сообщают пользователи.

Особенности

GMONIT строится как масштабируемая система с единым «окном наблюдения»: метрики инфраструктуры, пользовательского опыта в браузере, приложений, API; а также вызовы во внешние сервисы и бизнес-процессы отображаются на одном дашборде. Архитектура ориентирована на работу с большими объёмами данных, а визуализация адаптирована как под инженеров, так и под управленцев. Сервис интегрируется с CI/CD, мессенджерами и сторонними системами через API. Поддерживаются как on-prem, так и облачные сценарии.

Тарифы и условия

Информацию о тарифах можно найти на официальном сайте GMONIT. Ограничений по числу пользователей и метрик нет. API и SDK доступны, а интеграции гибко настраиваются под нужды заказчика.

Управление и поддержка

Управление осуществляется через веб-интерфейс и API. Поддержка организована через чат, систему тикетов, SLA и подробную документацию.

4. Zabbix

Zabbix — это платформа мониторинга корпоративного уровня, которая обеспечивает полную наблюдаемость IT- и OT-инфраструктуры. Решение ориентировано на крупные компании и поставщиков управляемых услуг, отличается низкой совокупной стоимостью владения и предсказуемой моделью поддержки без лицензионных сборов. Zabbix создан для долгосрочного использования: он масштабируем, безопасен «по конструкции» и подходит для критически важных систем.

Технические возможности

Платформа поддерживает мониторинг серверов, приложений, облачных сервисов, сетевых устройств и IoT, включая многоуровневые среды. Важной функцией выступает вложенное низкоуровневое обнаружение, позволяющее автоматически создавать иерархические правила для хостов и сервисов. Zabbix предлагает мастер создания хостов, встроенную проверку форм для сокращения ошибок, расширенные сетевые карты и новый виджет карточки товара для детальной визуализации метрик. Платформа может быть развернута локально, в облаке Zabbix или в сторонних облаках (AWS, Azure, Google Cloud).

Сценарии использования

Zabbix применяют IT-отделы и DevOps-команды для централизованного мониторинга инфраструктуры и соответствия требованиям безопасности. Поставщики управляемых услуг используют его как MSP-дружественное решение с многопользовательским доступом и возможностью масштабирования под клиентов. Платформа востребована в высокозащищённых и регулируемых отраслях, где важны автономность и полный контроль над данными.

Особенности

Ключевые преимущества Zabbix — это открытый исходный код и отсутствие лицензионных ограничений. Архитектура платформы масштабируется «под будущее» и интегрируется с системами управления конфигурацией. Пользователи получают полное владение данными, гибкость в развертывании (on-premise, облако, гибрид) и широкие возможности кастомизации визуализации.

Тарифы и условия

Zabbix распространяется как решение с открытым исходным кодом и не требует лицензионных платежей. Стоимость формируется только за счет технической поддержки, которая предоставляется по фиксированным тарифам в зависимости от уровня сервиса.

5. LibreNMS

LibreNMS — это система мониторинга сетевой инфраструктуры с автоматическим обнаружением устройств и сервисов. Она ориентирована прежде всего на мониторинг сетей по SNMP, но также поддерживает серверы на Windows, Linux и FreeBSD через собственные агенты. Решение работает на базе PHP и MySQL, имеет удобный веб-интерфейс, мобильные приложения и широкий набор встроенных метрик, которые не требуют ручной настройки.

Технические возможности

Система автоматически обнаруживает топологию сети с помощью протоколов CDP, FDP, LLDP, OSPF, BGP, SNMP и ARP. Поддерживается интеграция с NfSen, collectd, SmokePing, RANCID и Oxidized. Встроенный API позволяет управлять установкой, строить графики и выгружать данные. Реализована гибкая система оповещений с поддержкой email, IRC, Slack и других сервисов, а также встроенная биллинговая система для учета использования полосы пропускания. LibreNMS поддерживает различные методы аутентификации, включая LDAP, Radius и Active Directory, и обновляется автоматически.

Сценарии использования

LibreNMS выбирают компании, которым важно быстрое развертывание мониторинга сети без сложной ручной настройки. Решение подходит интернет-провайдерам и корпоративным IT-отделам для учета трафика и выставления счетов, а также администраторам, которым нужен автоматический контроль устройств и серверов с оповещениями в удобных каналах. Благодаря мобильным приложениям и демо-версии система подходит для тестирования и удаленной работы.

Особенности

Ключевыми преимуществами LibreNMS выступают простота запуска и поддержка практически всех популярных сетевых устройств «из коробки». Автоматическое обнаружение и распределенный опрос упрощают масштабирование, а встроенный биллинг и интеграции делают систему полезной не только для мониторинга, но и для коммерческих задач.

Тарифы и условия

LibreNMS распространяется как проект с открытым исходным кодом и бесплатен для использования. Доступна онлайн-демонстрация (https://demo.librenms.org, логин: demo, пароль: demouser).

Если иск будет успешным, термин станет общественным достоянием.

После того, как более 27 000 человек подписали открытое письмо с требованием отменить торговую марку «JavaScript», инициаторы перешли к юридическим действиям. Deno подал официальную петицию об ее отмене в Бюро по патентам и товарным знакам США (USPTO).

Сейчас дело вступает в ключевую фазу — сбор доказательств. Чтобы обеспечить полноценную юридическую защиту, команда запустила краудфандинг на $200 000, которые пойдут на:

• Проведение профессиональных социологических опросов, доказывающих, что «JavaScript» в глазах общественности — это название языка, а не бренд Oracle.
• Привлечение независимых экспертов и свидетелей — ученых, разработчиков и представителей индустрии, способных подтвердить, что Oracle не имеет отношения к разработке языка.
• Юридические расходы на допросы, подготовку документов и подачу возражений на аргументы Oracle.

Если после завершения процесса останутся неиспользованные средства, они будут пожертвованы в фонд OpenJS, занимающийся защитой цифровых свобод. Deno подчеркивает, что не получит ни копейки с этих денег.

Oracle официально заявила: «JavaScript — не общеупотребительный термин»

6 августа 2025 года Oracle впервые публично ответила на поданную петицию и заявила, что не признает термин «JavaScript» общеупотребительным. Это означает, что компания продолжает настаивать на своем исключительном праве владения торговой маркой.

Тем временем Deno и сообщество указывают, что JavaScript как язык создавался Netscape и развивался независимыми организациями, а Oracle лишь унаследовала марку после покупки Sun Microsystems.

Сегодня Oracle не играет никакой роли в развитии языка, не участвует в работе TC39 (группы, занимающейся стандартом ECMAScript), и тем более не владеет браузерами, интерпретаторами или инструментами разработки.

Почему это важно

Если суд встанет на сторону Oracle, компания окончательно закрепит за собой исключительные права на использование термина «JavaScript» в коммерческом контексте. Это может повлиять на:

• Конференции — организаторы рискуют нарушить права, просто называя мероприятие «JavaScript Conference».
• Авторы книг и курсов — возможно потребуется разрешение или лицензионные отчисления.
• Разработчики и проекты, использующие «JavaScript» в названиях или описаниях, потенциально могут столкнуться с претензиями.

Авторы инициативы подчеркивают: речь идет не только о JavaScript, но и о принципах работы торговых марок в США.

По закону, термины, которые стали общеупотребительными (как «лазер», «эскалатор» или «йо-йо» в свое время), не могут быть защищены товарными знаками.

Если Oracle победит, это создаст прецедент, когда крупные корпорации смогут «застолбить» названия даже тех технологий, к которым не имеют никакого отношения.

Что дальше

Процесс уже идет 10 месяцев и сейчас началась ключевая стадия — сбор доказательств и допросы свидетелей. Если инициатива получит достаточную поддержку, у нее есть шанс добиться отмены товарного знака и официально освободить термин «JavaScript» для всего сообщества.

Поддержать кампанию можно подписав открытое письмо.

Классические ошибки повторяются с завидным постоянством. В недавнем выпуске подкаста «Техно.Логично» наши коллеги Владимир Герциков и Николай Волынкин как раз обсуждали типичные проблемы с базами данных — от выбора инструментов до падений в продакшне. Послушав коллег, мы решили не пересказывать их беседу целиком, а на основе их беседы сделать практический список вредных советов.

Получился антигайд: как гарантированно завалить базу данных — и что делать правильно. Если узнаете себя в этих советах, не расстраивайтесь. Через подобное проходят все. А если хотите услышать полную дискуссию о современных СУБД, инструментах и миграции на open source — послушайте оригинальный выпуск.

1. Временные файлы бесконечны — лейте терабайты джойнов

Берите две таблицы по миллиону записей каждая, смело делайте JOIN без WHERE, сортируйте результат — и удивляйтесь, почему закончилось место под временные данные.

Что происходит: PostgreSQL создает временные файлы в pg_tmp для обработки больших запросов. Когда места не хватает, падают конкретные запросы с ошибкой No space left on device, а не весь сервер. Особенно болезненно там, где несколько таких запросов запускаются параллельно — временное пространство переполняется быстрее, чем успевает сработать мониторинг.

Как делать правильно: Планируйте размер временных данных заранее. Добавляйте фильтры перед джойнами, разбивайте сложные запросы на этапы. Настройте temp_file_limit для ограничения временных файлов на запрос и мониторинг заполнения. Если ваш запрос генерирует терабайты промежуточных результатов, скорее всего, есть способ сделать это эффективнее.

2. Суперпользователь для всех задач — что может пойти не так

Создайте пользователя с правами суперадминистратора, используйте его для всех подключений и смело устанавливайте любые расширения, найденные в интернете.

Реальная история: Разработчик развернул постгрес на виртуалке с дефолтными настройками — порт 5432 открыт, пользователь postgres/postgres с правами суперпользователя. Через семь (!) секунд в базу начали ломиться боты. Боты сканируют интернет на стандартные порты СУБД постоянно и превращают сервер в майнинг-ферму быстрее, чем вы успеете допить кофе. Диск переполнился от созданных таблиц, установились неизвестные расширения, начались HTTP-вызовы из базы наружу. Сервер превратился в часть ботнета.

И так все понятно, но еще раз напомним: Суперпользователь может подключить postgres_fdw, dblink и читать/писать любые базы кластера, создавая запросы, которые переполнят временное пространство за минуты. Неподписанные расширения могут содержать что угодно — от бэкдоров до майнеров. А если расширение вызовет segmentation fault, упадет вообще все.

Принцип минимальных прав: Создавайте отдельных пользователей с минимально необходимыми правами. Устанавливайте только официально поддерживаемые расширения. Закрывайте базу от внешнего доступа файрволом, настройте TLS для шифрования трафика, используйте fail2ban против брутфорса и уникальные пароли. Это кажется очевидным, но количество баз с дефолтными паролями в интернете говорит об обратном.

3. Держите транзакции открытыми — счетчик XID все стерпит

Открывайте длинные транзакции и держите их днями. Постгерс умный, сам разберется.

Что сломается: У PostgreSQL есть счетчик транзакций (XID), который может переполниться. Когда возраст транзакций становится критическим, сервер блокирует обычные подключения и пускает только суперпользователя для выполнения VACUUM FULL. Все приложения встают, начинается паника.

Как избежать: Настройте timeout для idle in transaction состояний. Разбивайте большие батчи на маленькие операции. Мониторьте возраст самых старых транзакций. И запомните: транзакция, которая висит неделю, — это не фича, это бомба замедленного действия.

4. На каждый SELECT — свой индекс

Создавайте индекс под каждый запрос. Чем больше индексов, тем быстрее будет работать.

Почему это убивает PostgreSQL: В отличие от других СУБД, PostgreSQL при UPDATE создает новую версию записи, а старую помечает как мертвую. Если у таблицы 30 индексов, каждый UPDATE генерирует 30 мертвых ссылок в индексах. VACUUM начинает работать постоянно, производительность рушится.

Правило 20/80: Покройте индексами 20% самых частых запросов, которые дают 80% нагрузки. Остальную аналитику выносите на реплику для чтения. Регулярно анализируйте статистику использования индексов — неиспользуемые безжалостно удаляйте .

5. Сайзинг не нужен

Ресурсы бесконечны. А DBA разберутся, как бэкапить ваши 100 терабайт.

Физические ограничения: Таблица в PostgreSQL не может быть больше 32 терабайт при дефолтном размере блока. Ограничение можно обойти партиционированием или пересборкой с увеличенным размером блока, но лучше планировать заранее.

Экономика: «Эта функция будет стоить как два сервера, потому что нам нужно оборудование для бэкапа 50-терабайтной базы». В этот момент «бизнес» делает большие глаза и внезапно появляется мотивация оптимизировать архитектуру.

Планирование: Считайте размер данных на год-два вперед. Внедряйте партиционирование с первого дня, если ожидаете рост. Архивируйте старые данные. Удалить лишнее проще, чем добыть дополнительные терабайты дискового пространства в пятницу вечером.

6. Пихайте СУБД в контейнеры

Kubernetes решает все проблемы! Поэтому переносим в контейнеры все, базы данных тоже. Если что-то работает на виртуалках, то в контейнерах точно будет работать лучше.

Проблемы слоеного пирога: Мы слышали, тебе нравится виртуализация, поэтому мы добавили виртуализацию в твою виртуализацию. В результате кратное усложнение отладки. Где тормозит база: железо, гипервизор, менеджер контейнеров?

Где контейнер оправдан? В CI/CD, локальной разработке, тестовых средах. В продакшне контейнеры тоже работают, если использовать Kubernetes-операторы (Patroni, CloudNativePG), правильно настроить Persistent Volumes и протестировать поведение при рестартах. База должна жить в памяти, прогревать кэши, работать стабильно. Но это требует серьезной экспертизы в Kubernetes и готовности разбираться с проблемами на стыке технологий. Если команда не готова изучать все тонкости — лучше не начинать.

Компромисс: Если выбираете контейнеры для продакшна, используйте StatefulSet, настройте правильные storage-классы и OOM-политики. Для stateless-сервисов контейнеры — отличный выбор.

7. Всю бизнес-логику держим в хранимках — так быстрее

Переносите всю логику в базу. Зачем нужны сервисы приложений?

Пример из практики: Система с хранимыми процедурами Oracle обыграла Java-реализацию в тестах производительности. Логика выполнялась рядом с данными, без сетевых задержек. Но когда нагрузка выросла в разы, уперлись в лимит CPU на сервере баз данных. Добавить ресурсы оказалось сложнее, чем масштабировать stateless-сервисы.

Компромисс: Тяжелые агрегации и отчеты делайте в функциях базы. CRUD-операции выносите в сервисы приложений. Следите за загрузкой CPU на сервере БД — когда она приближается к пределу, начинайте выносить логику наружу.

8. Коммерческая СУБД — единственный путь

Только коммерческие решения подходят для серьезных задач. Oracle и SQL Server проверены временем, а всякие open source базы — это для студентов и стартапов.

Что изменилось: События последних лет заставили многие компании пересмотреть подход к выбору СУБД. Компании массово переходят на PostgreSQL Pro и другие open source решения. Тренд только усиливается — игнорировать open source значит отстать от рынка и пропустить инновации, которые часто появляются именно в открытых проектах.

НО: Vanilla PostgreSQL без поддержки — это действительно риск. Когда расширение Oracle FDW падает с разными структурами таблиц, а автор из коммьюнити отвечает «мне в голову не приходило, что кто-то будет так делать», понимаешь ценность платной поддержки. Поэтому open source, но с поддержкой от надежных вендоров.

Заключение

Продовые пожары в базах данных всегда случаются в самый неподходящий момент. Но большинство из них можно предотвратить, следуя простым правилам: планировать ресурсы, ограничивать права, мониторить метрики.

Выберите один совет из этой статьи и примените его сегодня. Возможно, это сэкономит вам несколько часов сна в будущем. А коллеги-DBA скажут спасибо.

Многие компании-лидеры рынка на заре карьеры конкурировали за место под солнцем с другими, и умение адаптироваться стало главным преимуществом. Поэтому мы каждый день пользуемся Google, но не Yahoo, а идея купить Vertu вместо последнего айфона многим кажется нелепой.

Встраивать новые технологии в бизнес-процессы нужно вовремя, а игнорирование их может привести к снижению финансовых показателей.

Причем это касается и софта: например, в 2022 году российский бренд одежды lady & gentleman CITY перевел свою ИТ-инфраструктуру в облако всего за 4 месяца. Миграция увеличила скорость работы сайта lgcity.ru на 20%. Темпы доставки бизнес-приложений в продакшн удвоились, а количество ответственных за управление инфраструктурой сотрудников сократилось в два раза.

При этом, как бы ни развивался бизнес, программное обеспечение, которое он использует, будь то средство аналитики или антивирус, влияет на многое — от безопасности до финансовых показателей. Поэтому мы решили подготовить эту статью, в которой разберем обновление ПО в компании: расскажем, как понять, что уже пора его менять, как правильно выбрать ПО, безболезненно внедрить его и избежать ошибок.

Причины смены ПО и возможные ошибки

Причин, по которым предприниматели, владельцы проектов и технические директоры задумываются о смене ПО, много. Вот основные:

• Программное обеспечение устаревает и остается без поддержки разработчиков

Например, Windows 10, выпущенная всего 10 лет назад, окажется без техподдержки создателей уже в октябре 2025, а разработчик рекомендует всем переходить на новую Windows 11. С точки зрения устаревания, ПО Windows 10 уже с трудом тянет новую технику: например, она не рассчитана на разные виды ядер.

• Несовместимость с новыми программами

Совместимость софта — один из важнейших моментов при тестировании нового ПО. Однако конфликтные кейсы всё равно случаются: например, несколько антивирусов обычно плохо взаимодействуют друг с другом, а использование двух файерволов может привести к сбоям в работе ПО.

• Малая производительность

Сотрудники теряют в среднем 40 минут рабочего времени в неделю из-за устаревших технологий. Отказ менять ПО даже приводит к финансовым потерям — после 5 лет использования компании тратят на обслуживание больше, чем при изначальной покупке. Обновление и установка свежих патчей способны решить эту проблему. Кстати, на эффективность бизнес-процессов влияет качество не только ПО, но и техники: например, примерный срок службы офисных ПК — всего 2–5 лет.

• Уход с рынка производителей ПО

С 2022 года Россию покинули многие производители ПО: Atlassian, Adobe, Figma, Microsoft, Miro, Notion, Oracle, SAP и др. И хотя костяк российских аналогов уже сформировался, а часть компаний закрепились в своем желании остаться в стране, политическая неопределенность всё еще может подкинуть неожиданностей в виде внезапно решивших уйти вендоров. На этот случай компании должны знать, как перейти на альтернативное ПО быстро и без потерь.

Теперь разберемся, какие типичные ошибки при переходе на новое ПО совершают владельцы бизнеса. На первый взгляд, перейти на новый софт легко: купить новую программу и установить ее, перед этим удалив старую. Однако не всё так просто — есть еще множество подводных камней, которые, если их не взять во внимание, могут стать неприятной неожиданностью:

• новое ПО будет несовместимым с уже используемыми программами;
• сотрудники будут саботировать переход на новое ПО или не будут знать, как им пользоваться;
• нужные данные будет сложно или невозможно загрузить в новое ПО;
• при установке возникнут ошибки, которые приведут к нарушению правил доступа, повысят уязвимость к DDoS-атакам, утечке корпоративных данных и пр.

Конечно, сложности при переходе на новое ПО необязательно возникнут. Однако лучше обезопасить себя, семь раз отмерить и сделать всё правильно — чтобы потом радоваться возросшим показателям и счастливым сотрудникам.

Как выбрать ПО для перехода

Допустим, что потребность смены ПО уже подтверждена. Возможно, это связано с финансовой выгодой, новым функционалом или намерением улучшить бизнес-процессы. Считается, что регулярное обновление повышает доход компании на 11%. А внедрение надежной программы оптимизации и лицензий на ПО может сократить затраты на него на 30%.

Ниже разберем, что важно учесть в первую очередь:

• Цели и задачи нового софта

Для этого нужно понять, какую задачу ПО должно решить и какого результата вы от него ожидаете.

• Плюсы и минусы текущего ПО

В этом поможет простая таблица с двумя колонками: что вас устраивает и что хотелось бы улучшить. Можно подключить к этому разбору стейкхолдеров и лидов направлений — тогда у вас получится внушительный список.

• Список возможных вендоров

Вы можете его собрать, просто вбив в поиск нужное программное обеспечение, проанализировав сайты сравнения ПО и отзовики, а также изучив, какой софт выбирают ваши конкуренты.

• Тип версии ПО

Если вы выбираете коробочную версию, то оплатить продукт нужно будет всего один раз. При выборе облачной версии софт размещается на сервере, ПО оплачивается ежемесячно (причем сумма, как правило, в десятки раз меньше, чем при покупке). Также вы получаете регулярную организацию обновления ПО и техподдержку, которые обычно уже включены в стоимость.

• Открытый или закрытый код

Казалось бы, не самый важный момент, однако разница огромная. Если вы выбираете закрытый код, доработать его сможет только разработчик. Открытый код позволяет адаптировать софт под ваш бизнес — он более гибкий в настройке.

• Интеграция с другим ПО

Практически каждый бизнес работает с разными программами, поэтому перед решением в пользу того или иного ПО стоит убедиться, что оно совместимо с текущим софтом компании. Зачастую информация доступна на сайте вендора, в отдельных случаях — после общения с представителем компании. Обратите внимание, что наибольшую совместимость с разным софтом показывают как раз программы с открытым кодом.

• Наличие мобильной версии

Это не обязательный пункт, так как ПО может не нуждаться в такой функции, однако если речь идет о ПО, которым сотрудники будут пользоваться регулярно, например, средстве рабочей коммуникации, стоит убедиться в качестве его мобильной версии. Также, если это рабочая CRM для сотрудников отдела продаж, эта функция может стать критичной, а если ее не будет, то сотрудники очень расстроятся. Она должна быть удобной — такой, чтобы работник мог легко получить доступ к нужной информации, например, в метро по пути домой или на работу.

Первый этап: подготовка

Когда вы выбрали программное обеспечение, начинается работа над переходом. Первый этап — подготовительный.

Нужно собрать команду проекта и назначить ответственных лиц. В идеале — среди тех сотрудников, кто в итоге будет пользоваться новым ПО. Например, вы переводите команду sales-департамента на новую CRM. В таком случае руководителя отдела можно назначить стейкхолдером и принимающим менеджером — он будет координировать движение команды по процессу и принимать критические контрольные точки.

Нужен хотя бы верхнеуровневый график работ. Здесь вам поможет, например, популярная в бизнесе диаграмма Ганта, которая считается прародительницей всех досок задач. На ней вы отмечаете временную шкалу реализации задачи, саму задачу и ее продолжительность, ответственных лиц и зависимости. Примерно так выглядит диаграмма Ганта по проекту в специальном ПО GanttPRO:

Также можно подготовить тезисный чек-лист — он поможет проконтролировать, что каждый этап перехода пройден и вы ничего не упустили.

Но даже самый совершенный план может не устоять перед непредвиденными обстоятельствами. Для просчета рисков поможет другой инструмент проджект-менеджмента — risk breakdown structure (структура декомпозиции рисков). Это иерархическая структура, которая ранжирует риски по приоритету.

Все возможные риски можно расположить в виде матрицы или графика, где одна шкала отвечает за возможность риска (от менее к более вероятному), а другая — за возможный ущерб (от минимального к катастрофическому). Расположив риски на этой матрице, вы поймете, какие из них взять во внимание в первую очередь, какие следом, а какие — и вовсе опустить.

Следующий шаг — разработка документации для нового ПО. Что в нее входит? Прежде всего, описание работы ПО, инструкция по использованию, правила безопасности и создания бэкапов, регламент обновления в компании и т.д. Как правило, разработкой документации занимаются технические писатели, но также это могут быть и разработчики.

Второй этап: обучение сотрудников

Зачастую вендор ПО предлагает обучающие материалы. Они могут помочь сотрудникам изучить базовую теорию, а также станут отличным подспорьем в сложных ситуациях, когда нужно быстро вспомнить решение.

Но в случае если таких материалов нет, их придется разработать самостоятельно. Можно составить пользовательские сценарии и описать на примере интерфейса, где какая функция расположена, как и зачем ей пользоваться и какую последовательность действий нужно выполнить.

Чтобы сделать обучение максимально успешным, составьте отдельные рабочие группы и чек-листы, подготовьте и проведите презентацию о том, как работает новое ПО, а затем соберите у сотрудников фидбек и обработайте возражения.

Не все сотрудники могут быть рады переменам, и это нужно учитывать. Поэтому ваша задача — дать им понять, ради чего вы меняете ПО, какую пользу оно принесет бизнесу и команде. Например, сотрудники смогут более продуктивно работать, легче достигать нужных показателей. Позвольте им открыто выразить свои опасения и задать вопросы — и честно на всё ответьте.

Третий этап: внедрение ПО

Что входит в этот этап:

• Установка и настройка

Проанализируйте текущие ресурсы, решите, как вы будете устанавливать ПО (удаленно, локально, в облаке и т. д.). Затем установите и настройте серверы, БД, сети и программные продукты.

• Перенос данных

Выберите способ переноса данных (автоматический, ручной, полуавтоматический). Подготовьте информацию для переноса и проверьте корректность данных в новой системе.

Теперь пора приступать к работе. Новое программное обеспечение можно постепенно вводить среди разных групп сотрудников, начиная с тестовой группы и так называемого stealth-релиза на ограниченное количество человек, а затем постепенно масштабировать изменения. Рекомендуем проводить регулярный мониторинг состояния ПО, а также отслеживать удовлетворенность сотрудников новой системой и адаптировать к ней новых специалистов.

Четвертый этап: выводы

Рекомендуем вернуться к чек-листу, который мы упоминали в первом этапе, и свериться с ним — всё ли вы сделали, каждый ли шаг выполнен.

Затем нужно перевести все процессы на новое ПО и окончательно попрощаться со старым, убедившись, что все данные перенесены, а у сотрудников не осталось вопросов.

Также понадобится разобраться с техподдержкой. Если у вас облачная версия, скорее всего, помощь техподдержки будет предусмотрена по умолчанию, тогда как в случае с коробочным форматом, вероятно, придется заключить договор на техподдержку или взять ее на себя.

Если у вас остались вопросы, вы хотите обсудить эту статью или просто подискутировать с коллегами по цеху и сотрудниками Beget, будем рады видеть вас в нашем уютном Telegram-чате — с удовольствием на всё ответим и пообщаемся 🙂

Меня зовут Вадим Ваганов, я руководитель разработки и Head of Profession Backend в Газпромбанке. Я люблю делиться опытом, а также обучать и приносить пользу другим. Все свои статьи я строю на личных историях, так что эта будет такой же. Она для тех, кто только начинает свой путь в бэкенд-разработке и еще не вник в вопросы визуализации своей работы. Расскажу, почему стоит инвестировать время в эти направления и как благодаря им вы станете более крутым инженером с первых шагов в профессии.

Дисклеймер: да, мониторинг — более широкая тема, но сегодня будем говорить в первую очередь про метрики и их визуализацию.

Проблема: что делать, если есть трудности с презентацией и оценкой своей работы

Фронтендерам и мобильщикам чуть проще в начале пути разработчика: они могут нарисовать красивую кнопочку, сделать что-то визуальное, и даже если логика проста, то визуал можно «продать» — банально показать друзьям. А бэкендерам что показать? Как в консольку выводим циферки?

Это, конечно, шутка (хоть и с долей правды), но проблема демонстрации результатов своей работы для бэкендеров действительно существует — будь то коллеге, боссу, бизнесу или самому себе, в конце концов. Решение есть — метрики, визуализация, мониторинг. Эта тема сильно недооценена. Часто люди ничем, кроме логов, не пользуются. Не допускайте этой ошибки!

Начинаем с простого: получаем данные о состоянии приложения

Я не хочу делать это просто вводной, теоретической статьей по мониторингу. Нам нужна база, и мы рассмотрим ее на практике. Все примеры доступны в репозитории на GitHub, где вы найдете полный код и конфигурацию. Вы можете либо клонировать репозиторий, либо настроить все с нуля, следуя инструкциям ниже. Нам понадобится всего 5–10 минут, чтобы получить первые результаты.

Подготовка окружения

Для примера нам понадобятся:

• Docker
• JDK 17

Все придумано до нас, поэтому воспользуемся готовыми инструментами — например, micrometer (документация тут) или аналог, если у вас не Java/Kotlin. Интегрируем его с /actuator.

В build.gradle нужно добавить следующее:

Проверяем запрос в тестовом контроллере:

и смотрим на метрики:

Пока что мы можем получать такую информацию в моменте, но мы хотим историчности, следовательно, это дело надо как-то получать и где-то хранить.

У нас есть заготовленный конфиг, чтобы поднять Grafana и Prometheus:

Открываем UI Prometheus, пробуем найти demo_requests_total, нажимаем Execute, проверяем историчность — она есть!

Теперь можно визуализировать данные. Открываем Grafana, вводим admin/admin и создаем дашборд:

1. Dashboards -> Create Dashboard -> Add visualization
2. Конфигурируем Data Source: Configure a new data source -> Prometheus -> Connection = http://prometheus:9090 -> Save & test
3. Возвращаемся к меню Create Dashboard -> Add visualization, выбираем Data Source prometheus
4. Настраиваем дашборд: выбираем Code вместо Builder, пишем sum (rate(demo_requests_total[1m]))

Отлично! Давайте накидаем еще запросов, чтобы посмотреть, как это будет выглядеть:

Теперь у нас на графике видна динамика запросов. Инструментарий готов! Теперь мы можем:

• создавать любые метрики в приложении;
• собирать, хранить и получать метрики за выбранный период;
• визуализировать метрики как душе угодно.

Что отслеживать в бэкенд-приложениях

У вас когда-нибудь было состояние, когда вам плохо, болит голова, першит горло, и вы думаете, что все — у вас 38 °C, и вы жутко простудились. Берете градусник, измеряете температуру... А у вас 36.6 °C. Не полагайтесь на ощущения — смотрите в мониторинг!

Состояние серверов и инфраструктуры

• Загруженность CPU и памяти серверов.
• Загруженность дисков.
• Мониторинг сети.
• И другие инфраструктурные метрики.

Здесь важен в том числе анализ долгосрочных тенденций, например: насколько скоро закончится свободное место при текущем уровне нагрузки?

Метрики производительности приложения

В SRE Google выделяют 4 золотых сигнала:

1. Latency (задержка) — время, необходимое для обработки запроса;
2. Traffic (трафик) — количество запросов к системе;
3. Errors (ошибки) — процент запросов, которые заканчиваются ошибкой;
4. Saturation (насыщение) — насколько система загружена.

ВАЖНО: иногда ваше приложение начинает работать медленно из-за интеграций, поэтому их тоже просто необходимо отслеживать. Если провайдер данных отвечает за 1 с, а у вас в SLA — 250 мс, то как бы производительно и надежно ни было ваше приложение — у вас уже проблемы.

Бизнес-метрики

Это те метрики, которые совершенно прекрасны, потому что они помогут вам почувствовать себя не просто писателем кода, а тем, кто действительно влияет на продукт и бизнес в целом. Скажем, можно отслеживать конверсии и ключевые действия: если ваше приложение связано с бизнес-процессами, важно отслеживать ключевые метрики, например количество покупок. Это помогает понять, насколько успешно работает ваше приложение.

Если вы проверяете гипотезы или проводите a/b-тестирование — собирать и визуализировать метрики просто обязательно.

Красиво — это не только про визуал. Получать обратную связь и взаимодействовать с системой/продуктом — тоже красиво!

Почему мониторинг — это навык, который стоит прокачать любому инженеру

Мониторинг как важная составляющая DevOps- и SRE-практик

Современные инженеры все чаще сталкиваются с задачами, которые выходят за рамки чистой разработки кода. Инженеры должны не только писать код, но и понимать, как этот код работает в реальных условиях. Это не только сделает вас более компетентными, но и придаст новый интерес работе.

Взаимодействие мониторинга с процессами CI/CD

Изменения — наше все, именно благодаря им мы приносим пользу бизнесу: улучшаем пользовательский опыт, проверяем гипотезы, зарабатываем деньги.

Мониторинг помогает убедиться, что новые изменения работают как задумано, а также не приводят к ухудшению производительности или стабильности системы. Интеграция мониторинга в CI/CD позволяет быстро выявлять проблемы и откатывать изменения, если что-то пошло не так.

Универсальный и вечнозеленый навык

На каком бы стеке вы ни работали, чем бы ни занимались в бэкенд-разработке, уверяю вас: это тот навык, который будет полезен на протяжении всей карьеры.

Важность анализа данных о вашем продукте

Важные решения принимаются на основе данных, без грамотного отслеживания метрик и их визуализации вы будете просто подбрасывать монетку.

Возможность предвидеть и предотвращать проблемы

Успешные инженеры могут не только решать проблемы, но и предотвращать их. Мониторинг позволяет выявлять аномалии и потенциальные угрозы до того, как они приведут к сбоям.

Подведение итогов

Метрики — это то, что ты хочешь смотреть не только когда плохо, но и когда хорошо.

Мониторинг — это не просто инструмент, это философия. Это способ мышления, который помогает вам быть в курсе того, что происходит с вашей системой, и принимать обоснованные решения.

Мониторинг делает вас более уверенным инженером. Когда вы знаете, что происходит с вашим приложением, вы можете спокойно спать по ночам, зная, что система под контролем.

Мониторинг помогает вам расти. Это навык, который будет полезен не только в вашей текущей работе, но и в будущем. Чем раньше вы начнете погружаться в эту тему, тем быстрее вы станете более востребованным специалистом.

Мониторинг — это инвестиция в стабильность и качество. В конечном итоге это то, что делает ваше приложение надежным, а вашу команду — эффективной.

И да, мониторинг — это просто красиво. Когда наглядно видишь тонкости работы приложения — это совершенно новый уровень погружения в работу.

Так что если вы еще не начали заниматься мониторингом, самое время начать. У вас есть все инструменты и все возможности — вы можете скачать наш репозиторий и начать вникать прямо сейчас.

Полезные источники

• Официальная документация Micrometer
• Официальная документация Prometheus
• Официальная документация Grafana
• 4 золотых сигнала
• Книга об SRE

Если вам понравится материал и вы захотите ознакомиться с другим моим контентом — приглашаю в мой телеграм-канал.

Среди ключевых нововведений: ускорение старта приложений, расширенные возможности многопоточности и отказ от устаревших механизмов безопасности.

AOT-загрузка классов: ускоренный запуск

JEP 483 внедряет Ahead-of-Time Class Loading and Linking, снижая накладные расходы на загрузку классов при старте JVM. Это улучшает механизм Application Class Data Sharing, представленный в JDK 11, и ускоряет запуск Java-приложений.

Stream Gatherers: кастомные операции в Stream API

JEP 485 расширяет Stream API, добавляя интерфейс Gatherer.

Теперь разработчики могут определять собственные промежуточные операции в потоках данных, что делает обработку коллекций более гибкой.

Удаление Security Manager: отказ от устаревшей защиты

С Java 24 окончательно удален Security Manager (JEP 486), который изначально предназначался для защиты при запуске недоверенного кода, но давно вышел из обихода.

Он был депрекейтнут еще в Java 17, а теперь удален окончательно.

Виртуальные потоки теперь не блокируют платформенные

JEP 491 устраняет одно из главных ограничений виртуальных потоков из JDK 21.

Ранее synchronized-блоки мешали потокам освобождать платформенные нити, снижая производительность. Теперь эта проблема решена, что делает виртуальные потоки еще эффективнее.

Предупреждения при использовании sun.misc.Unsafe

JEP 498 вводит runtime-предупреждения при вызове методов доступа к памяти из sun.misc.Unsafe.

Разработчикам рекомендуется переходить на VarHandle API и Foreign Function & Memory API.

Java 24 больше не поддерживает 32-битные системы Linux

В рамках JEP 501 удалена поддержка 32-битных x86-систем в Linux. Ранее аналогичный шаг был сделан в Windows (JDK 21).

В целом, это логичное решение, так как почти все современные системы перешли на 64-битные архитектуры.

Что дальше?

Следующий релиз Java 25 выйдет осенью и станет LTS-версией.

Ключевыми участниками инициативы стали IT-гиганты: OpenAI, SoftBank и Oracle. Все три корпорации планируют инвестировать до $500 млрд в течение следующих 4 лет.

Масштаб и цели проекта

Инициатива Stargate предусматривает начальные инвестиции в размере $100 млрд с перспективой увеличения до $500 млрд.

Основное внимание будет уделено строительству современных дата-центров и объектов по производству электроэнергии в Техасе, что обеспечит необходимую инфраструктуру для развития ИИ.

Ожидается, что проект создаст более 100 000 рабочих мест в США и укрепит позиции страны в глобальной гонке ИИ, особенно в соперничестве с Китаем.

Технологические партнеры и сотрудничество

В рамках Stargate ключевыми технологическими партнерами выступят ARM, Microsoft, NVIDIA, Oracle и OpenAI.

Компании будут тесно сотрудничать в создании и эксплуатации вычислительных систем, необходимых для обучения и внедрения передовых ИИ-моделей.

Это сотрудничество опирается на ранее установленные партнерские отношения между OpenAI и NVIDIA, а также на новое партнерство между OpenAI и Oracle.

Роль Microsoft в проекте

Microsoft пересмотрела ключевые условия своего соглашения с OpenAI после объявления о создании Stargate.

Ранее редмондцы обладали исключительными правами на создание вычислительной инфраструктуры для OpenAI, однако теперь детище Сэма Альтмана получило возможность сотрудничать с Oracle в рамках нового проекта.

Тем не менее, Microsoft сохраняет эксклюзивные права на предоставление API-сервисов OpenAI и продолжает стратегическое партнерство, включая совместное использование доходов, действующее до 2030 года.

Этот шаг может стать историческим, изменив юридический статус одного из самых популярных языков программирования в мире.

Почему JavaScript должен быть свободным?

Согласно петиции, термин «JavaScript» стал универсальным обозначением языка программирования, описанного в спецификации ECMA-262.

Миллионы разработчиков и организаций используют это название ежедневно, никак не связывая его с Oracle. В таких случаях закон требует признать товарный знак недействительным, поскольку он стал «родовым понятием».

«JavaScript — это не бренд, а основа современного программирования», — утверждает Райан Даль.

Обвинения против Oracle

Петиция основывается на трёх ключевых аргументах:

1. JavaScript стал родовым термином. Название используется повсеместно и не ассоциируется с коммерческой деятельностью Oracle.
2. Мошенничество при продлении товарного знака. В 2019 году Oracle продлила права на «JavaScript», предоставив в USPTO ложные доказательства. Среди них были скриншоты Node.js, который к Oracle не имеет никакого отношения. Этот факт, по словам Даля, нарушает законы о товарных знаках.
3. Прекращение использования товарного знака. Oracle давно не использует название «JavaScript» для активной коммерческой деятельности. Закон считает товарные знаки, неиспользуемые в течение трёх лет, «заброшенными».

Что это изменит?

Если петиция будет удовлетворена, сообщество разработчиков сможет свободно использовать название JavaScript.

Конференции смогут вернуть себе название «JavaScript Conference» вместо обходных форматов вроде «JSConf». Язык сможет официально называться «JavaScript», а не «ECMAScript», как это требует текущий юридический статус.

Дальнейшие шаги

Oracle обязана ответить на петицию до 4 января 2025 года. Если компания проигнорирует запрос, права на товарный знак будут аннулированы.

Если Oracle решит защищать свои права, команда Deno обещает бороться, предоставив доказательства нарушений.

Более 14 000 разработчиков, включая создателя JavaScript Брендана Эйха, уже поддержали инициативу, подписав открытое письмо.

Даль утверждает, что название «JavaScript» должно принадлежать сообществу, а не корпорации, и призывает разработчиков к распространению информации.

В нем они призывают компанию освободить торговую марку JavaScript. Письмо, опубликованное 16 сентября, собрало более 10 000 подписей всего за несколько дней.

Основная претензия заключается в том, что Oracle фактически забросила марку, оставшуюся ей после приобретения Sun Microsystems в 2009 году.

Почему это важно?

Письмо под заголовком «Oracle, пришло время освободить JavaScript» утверждает, что право собственности на торговую марку JavaScript стало анахронизмом.

Ни Sun, ни Oracle никогда не выпускали продукты с этим названием и его использование создает путаницу в сообществе.

По словам Дала, передача торговой марки в общественное достояние устранила бы множество сложностей, таких как невозможность называть конференции «JavaScript» или опасение компаний, работающих с JavaScript, столкнуться с юридическими последствиями.

«Мы могли бы открыто заявлять, что Deno — это среда выполнения для JavaScript, без страха перед иском от Oracle», — добавил Дал. Это также позволило бы официальной спецификации JavaScript называть себя по имени, а не под названием «ECMAScript», которое используется сейчас.

Попытка изменить ситуацию

Это уже не первая попытка сообщества убедить Oracle отказаться от прав на торговую марку.

Два года назад подобная инициатива была проигнорирована компанией. Но теперь разработчики планируют подать официальную петицию в Ведомство по патентам и товарным знакам США (USPTO) с целью отменить регистрацию товарного знака.

Oracle снова молчит

На момент публикации материала, Oracle не предоставила официального комментария по поводу открытого письма.

Тем временем онлайн-петиция продолжает набирать подписи, а сообщество JavaScript надеется на скорую реакцию со стороны корпорации, чтобы устранить затянувшийся вопрос с торговой маркой.

Среди нововведений — упрощенная работа с примитивными типами, модульные импорты и улучшения производительности. Одним из ключевых изменений стало добавление компилятора Oracle GraalVM JIT в состав Oracle JDK.

Улучшения языка и библиотек

Примитивные типы теперь могут использоваться в шаблонах и instanceof, что упрощает работу с ними.

Модульные импорты позволят импортировать все пакеты модуля одной строкой кода, а это значительно упростит работу с библиотеками для начинающих. Также обновлен API для работы с Java class-файлами и добавлены новые функции в Stream API.

Улучшенный сборщик мусора и инструменты

Одним из главных нововведений стало использование поколенческого режима ZGC по умолчанию, что улучшает производительность сборки мусора.

Также добавлена поддержка комментариев в формате Markdown для документации Javadoc, что упрощает процесс написания документации для разработчиков.

Долгосрочная поддержка и будущее

Java 23 не будет получать долгосрочную поддержку (LTS) и обновления будут предоставляться до марта 2025 года, когда Oracle выпустит следующую версию — JDK 24.

Скачать новую версию языка можно по ссылке.

Конфликт Sun и Microsoft

Sun выпустила Java в 1995 году, сделав главным девизом языка “Компилируй один раз, запускай где угодно”. Такие амбиции заставляли Sun добиться от всех существующих ОС поддержки Java “из коробки”. В числе компаний, с которыми Sun предстояло договориться о поддержке, была Microsoft.

Язык показался Microsoft довольно перспективным, поэтому компании приступили к совместной разработке IDE только для Java — Visual J++. Также Microsoft разработала виртуальную машину Windows Java (JVM), на которой Java работала быстрее, чем на других ОС, и которая поддерживала несколько специфичных для Windows команд.

Разработки оказались настолько успешными, что Java работала быстрее на компьютере Windows стоимостью 1000 долларов, чем на компьютере Sun стоимостью 5000 долларов.

Однако у виртуальной машины были и недостатки: она не поддерживала удаленный вызов методов (RMI) или собственный интерфейс Java (JNI). Это не устраивало Sun.

Во-первых, это противоречило подходу Java “Компилируй один раз, запускай где угодно”. Программы, написанные на Java для Windows, не могли запускаться на станциях и серверах самой Sun.

Вышло так, что экосистема Sun рушилась, и компании стали перетягивать одеяло первенства на себя. Microsoft действительно сделала многое для того, чтобы Java стала удобным языком программирования, но и Sun не собиралась отступать от своих принципов.

Во-вторых, в Sun хотели, чтобы у Java была только одна среда выполнения — их собственная. В компании хотели сохранить контроль над развитием языка программирования, но Microsoft попросту не могла сделать реализацию достаточно сложной спецификации на 100% совместимой с другими системами и платформами, это невозможно.

Хэл Беренсон, бывший сотрудник Microsoft, рассказывал, что решение компании было отчасти вынужденным: было необходимо, чтобы Java поддерживала всю экосистему Windows. Sun не хотела идти на уступки и настаивала на том, чтобы Microsoft внедряла только их решения, а не собственные. В конце концов, Sun подала в суд.

Тогда в Microsoft просто отказались от Java. Не было никакого смысла создавать собственные решения, сталкиваясь с постоянными ограничениями. Если бы в Microsoft продолжили разработку продуктов для Java, те бы ничем не отличались от решений Sun. Тем более, пользователь мог самостоятельно выбрать и установить любую симпатичную ему IDE и пользоваться ей.

Как появился C# — ответ Java

Восстановить отношения с Java уже не представлялось возможным, но Microsoft всё ещё нравилась идея языка, программы на котором можно было бы запустить на любой платформе.

Кроме того, некоторые сотрудники уже пытались разработать подобные языки, и результатами этих экспериментов стали Common Language Runtime и .NET.

Microsoft решили продолжить заниматься инновациями в сфере языков программирования. Сперва они внедрили поддержку C++ и Visual Basic (VB) в .NET, и на VB были сделаны большие ставки. В компании ожидали, что именно VB станет самым популярным языком программирования в .NET-среде.

Параллельно Microsoft обратилась к Андерсу Хейлсбергу и попросила его создать новый язык, который подходил бы под это определение. Этим языком программирования и стал C#. Спустя время оказалось, что C# так хорош, что уверенно обогнал Visual Basic по популярности в .NET. Конечно, этому способствовали и минусы самого Visual Basic.

Любопытный факт Изначально Microsoft хотела, чтобы C# работал только на их собственных ОС, и язык должен был быть только для Windows.

Спустя время компания обнаружила, что C# действительно превосходит Java в некоторых аспектах, но Java всё же удалось стать королевой кросс-платформенности. Microsoft задумался и решил поступить так же, пойдя навстречу другим операционным системам типа UNIX. Это решение принял Сатья Наделла, который сейчас является СЕО Microsoft.

Оказалось, что С# всё же опоздал на гонку вооружений, и догнать Java в плане кросс-платформенности языку всё же не удалось. И неизвестно, удастся ли ещё когда-нибудь.

Хэл Беренсон признаётся, что гонка Java и C# случилась не из-за стремления создать лучший язык программирования. Это был вопрос развития экосистем: Sun встала в позу и не позволила Microsoft создавать своё ПО для Java, а компания Гейтса нуждалась в подобных решениях. Создание и развитие C# стали вопросами поддержки инфраструктуры, и цели “убить” Sun у Microsoft не было.

Чем всё закончилось

Sun не отличалась эффективным менеджментом. Спустя время компания обнаружила, что Java не используют на настольных ПК и снова подала в суд на Microsoft, обязав ту распространять Java в течение следующих 10 лет.

У Microsoft к тому времени было достаточно собственных проблем, поэтому они согласились на условия Sun. Срок дистрибьюции Java ещё не подошёл к концу, как Sun выкупила компания Oracle. Когда срок соглашения истёк, ни Oracle, ни Microsoft не были заинтересованы в продвижении Java, и долгие войны подошли к концу.

Согласно рейтингу TIOBE, в августе 2023 года Java опережает C# в популярности: 10% против 7%.

Изначально я отнёсся к книге с недоверием. Добавил в корзину, чтобы получить бесплатную доставку на остальной заказ. Книга пылилась на полке до тех пор, пока я не взял её почитать в самолет. Выяснилось, что она достойна внимания гораздо больше, чем могло показаться на первый скептический взгляд.

Постановка проблемы в «Безопасность Oracle глазами аудитора. Нападение и защита»

У большинства разработчиков и администраторов нет полной картины о работе СУБД. Поэтому может возникнуть ложная уверенность в том, что информационная система полностью неуязвима. Отсюда — халатность в обращении с данными компании и пренебрежение ко внешним угрозам.

В книге на примере Oracle версий 9i-11gR1 и Oracle Application Server (сейчас его заменяет Weblogic) автор рассказывает о разнообразии возможных атак на СУБД на всех уровнях модели ISO/OSI. Он рассматривает уязвимости служб СУБД Oracle, недостатки хранимых процедур в пакетах DBMS, проблемы системы разграничения прав доступа, авторизации и другие нюансы информационной безопасности.

Кроме того, в «Безопасность Oracle глазами аудитора. Нападение и защита» отражена противоположная сторона обратной совместимости в долгоживущих программных продуктах. Так, в Oracle совместимость с устаревшими клиентскими ПО достигается за счёт устаревших протоколов, которые не отвечают современным требованиям информационной безопасности. Как итог, хакеры атакуют на понижение версии, в частности, службу Listener. Похожая проблема может быть и в алгоритме хеширования паролей пользователей.

Также автор показывает: закрытый код не гарантирует, что злоумышленник не обнаружит уязвимости. И опровергает рассуждения про открытый исходный код: если код посмотрело множество людей — он безопасен. Зачастую это не так.

Важно, что Александр Поляков не просто перечисляет возможные угрозы, а показывает ход мыслей хакера при атаке на информационную систему. Оказывается, что даже у дорогих и качественных систем есть проблемы в самых неожиданных местах и уязвимости «нулевого дня».

Как ищут уязвимости

Метод поиска уязвимостей «нулевого дня» показался мне самым интересным из описанных в книге. Если известно, на какой платформе работает система, всегда можно перейти на сайт разработчика. А на сайтах крупных программных продуктов или в их Git-репозиториях принято публиковать changelog-и. В этом файле разработчик пишет об исправленных ошибках, новых функциях и других обновлениях. В том числе в части информационной безопасности.

Если заранее знать версию платформы атакуемой системы или график обновлений, можно увидеть, какие дыры безопасности исправили с момента последнего релиза. При этом, чем крупнее система, тем реже и менее значимо она обновляется.

Если это ПО с открытым исходным кодом, можно посмотреть конкретные изменения в свежей версии и найти места, где исправлены проблемы безопасности. И исходя из этого понять, в чём заключалась уязвимость и как её можно использовать. Производители зачастую оперативно закрывают проблемы с безопасностью, но пользователи обновляют свои программы не всегда своевременно.

В системах с закрытым исходным кодом публикуют только описание уязвимости, версию исправлений и интерфейс измененного объекта в ПО. Но даже этого достаточно, чтобы проанализировать потенциальные проблемы. При этом для злоумышленника неважно, какой тип системы. В обоих случаях у него уйдёт схожее количество времени на поиск проблем в безопасности.

Также автор рассмотрел такие вопросы, как скорость реакции вендора на обнаруженные уязвимости, оперативность их закрытия с приложенными примерами. Примечателен вывод о неудовлетворительности этих показателей, например, некоторые уязвимости не закрываются десятилетиями.

Типичная ошибка администратора

Чтобы получить от прочтения книги максимум пользы, нужны знания в области сетевого администрирования, администрирования баз данных, разработки приложений и хранимых процедур. А также базовое понимание принципов информационной безопасности и опыт работы с СУБД Oracle или аналогичными.

Даже несмотря на то, что представленные уязвимости уже устарели и частично потеряли свою актуальность в СУБД Oracle, они могут оказаться в других системах. Например, MySQL сейчас развивается той же командой, что и Oracle. А PostgreSQL вдохновлялся гигантом по многим вопросам. Поэтому мысли автора дают большое поле для рассуждений и поиска уязвимостей в других системах.

Области профессиональной деятельности:

• Решение проблем клиентов стандартной и расширенной технических поддержек про­граммных продуктов Oracle.
• Выполнение договорных работ (технический консалтинг), связанных с исполь­зо­ва­нием программных продуктов Oracle, установка и конфигурирование ПО и баз данных Oracle, организация резервного копирования и восстановления баз данных Oracle, оптимизация производительности информационных систем заказчика, основанных на ПО Oracle, администрирование баз данных Oracle.

Олег готов ответить на ваши вопросы, связанные с High Availability, Exadata, безопасностью БД.

Правила:

1. Пишите свои вопросы по теме в комментариях к этому посту со 2 по 6 августа— до 12:00 по московскому времени.
2. Ответы получат только вопросы на заданную тему.
3. Эксперт начнёт отвечать на вопросы в четверг, 5 августа, и закончит в пятницу, 6 августа.

По мнению суда, действия Google подпадают под определение «добросовестного использования» (fair use). Так, 11 500 строк кода, взятых у Oracle, составляют всего лишь 0,4% от общего размера всех исходников Java API, пишет The Verge.

При этом высшая инстанция отметила, что Google воспользовалась чужими наработками для создания совершенно другой, новой системы. С её помощью разработчики Android способствовали эволюционному развитию компьютерных программ и отрасли.

Важно понимать, что это далеко не первое решение, вынесенное судом по данному делу. Ещё в 2012 году Фемида встала на сторону поискового гиганта. Но тогда Oracle подала апелляцию и добилась отмены решения. После двух апелляций разработчиков Java и нескольких смен тактик Google, 5 апреля Верховный суд США всё же вынес своё решение.

Если бы Google проиграла дело, то Oracle могла получить от компании 8,8 млрд долларов.

Источник: The Verge

Почему это важно?

Как отмечает TechCrunch, это довольно необычное сотрудничество, ведь Azure и Oracle Cloud — прямые конкуренты.

Дело в том, что Oracle, как бы ни хотела выйти в лидеры среди облачных платформ, очень нескоро сравнится по размеру с AWS, Azure или Google Cloud Platform. Сотрудничество с Microsoft поможет компании выйти на более высокий уровень и при этом продолжать развивать собственные сервисы. А Microsoft получит клиентов, которым не нашлось места на серверах Oracle.

Что нового в VirtualBox 6.0?

Oracle переработала интерфейс инструмента:

• изменили дизайн окна для выбора виртуальной машины и меню управления носителями;
• добавили новый файловый менеджер, позволяющий передавать файлы между основной ОС и виртуальными;
• добавили отдельное окно для управления сетевыми настройками;
• переработали панель управления снапшотами — теперь можно изменять имя и описание снимка, а если состояние системы изменится, это отобразится в информационном блоке;
• реализовали масштабирование элементов интерфейса.

Кроме того, теперь менеджер виртуальных машин «запоминает» расположение инструментов, лучше отображается на экранах с высокой плотностью пикселей и позволяет записывать видео и аудио по отдельности.

Также появилась поддержка ядра Linux 4.20, возможность экспорта виртуальных машин на платформу Oracle Cloud Infrastructure и режим «быстрой» установки виртуальных систем — чтобы можно было создать машину, выбрав нужный образ, без настроек.

Новое в Java SE 11

• Реализована система, которая позволяет классам, находящимся в одной части кода, но компилируемым по отдельности, получать доступ к приватным компонентам друг друга.
• Формат .class дополнен поддержкой форм CONSTANT_Dynamic, загрузка которых отдает создание констант методу bootstrap.
• Добавлена поддержка последней версии протокола защиты транспортного уровня — TLS 1.3. Он ускоряет загрузку мобильных веб-страниц, а также отсеивает старые, уязвимые криптографические примитивы, заменяя их более сложными алгоритмами шифрования.
• Стандартизирована поддержка HTTP Client API, представленного еще в инкубаторе Java 9.
• В экспериментальном режиме запущен сборщик мусора Epsilon.
• Модули Java EE и CORBA удалены из JDK и платформы Java SE, а движок Nashorn и инструменты Pack200 объявлены устаревшими.
• Модуль JavaFX исключен из ядра и поставляется отдельно.
• Существующие API обновлены для поддержки формата Unicode 10.
• Добавлен инструментарий для потокового сбора низкоуровневых данных об ошибках и проблемах.
• Добавлена возможность запускать однофайловые программы, содержащие исходный код.

Подробнее об изменениях можно узнать на странице Release Notes к JDK 11.

Прошлая, промежуточная версия стандарта и JDK 10 вышли в марте 2018 года. Набор инструментов для разработки получил три новых варианта виртуальных машин Java, совместное использование классов приложения и поддержку экспериментального JiT-компилятора на Linux / x64.

Что нового в JavaFX 11?

Важным изменением стала необходимость отдельно включать модули JavaFX, используемые приложением. Среди нововведений:

• открытый FX Robot API, имитирующий взаимодействие с пользователем;
• по умолчанию автономные модули JavaFX теперь не имеют разрешений;
• добавлены API для управления интервалами между элементами последовательности в однострочное текстовое поле Spinner;
• использование GTK 3 для платформ Linux по умолчанию при наличии библиотеки gtk3;
• добавление стандартных цветов в палитре ColorPicker;
• удаление поддержки FX Media для libavcodec 53 и 55.

Обнаружены и исправлены ошибки, например, утечка памяти в VirtualFlow при включении программы чтения с экран, а также игнорирование таблицей политики изменения размера столбца.

Помимо этого замечено, что JavaFX 11 конфликтует с OpenJDK 11 на машинах Ubuntu 18.04 Linux. Для исправления этой ошибки предлагается использовать сервер Xorg вместо Wayland, так как последний не поддерживается JDK 11.

Информационные технологии играют большую роль в повседневной жизни современного человека, развиваясь в разных направлениях. К примеру, стало известно о выходе Electron 3.0 — фреймворка для создания нативных приложений. В этой версии разработчики добавили новые наборы инструментов и средств, затронули API и исправили некоторые ошибки.

Упрощение обслуживания ИИ

Инструмент избавляет разработчиков от необходимости создавать пользовательские API. Также он устраняет путаницу при использовании нескольких фреймворков и предотвращает копирование памяти при десериализации. Разработчики надеются, что GraphPipe станет стандартным инструментом для развертывания моделей.

GraphPipe — это попытка стандартизировать протокол, по которому вы взаимодействуете с дистанционно развернутой моделью машинного обучения. Он включает в себя ссылочные серверы, позволяющие легко развернуть модели из существующих фреймворков.

GraphPipe бесплатен и доступен на GitHub. В его состав входят инструменты с открытым исходным кодом, предназначенные для работы с искусственным интеллектом. Например, среди них есть фреймворк TensorFlow и проект Open Neural Network Exchange (ONNX) для создания переносных нейросетей.

В сентябре 2017 года Microsoft представила собственный инструментарий для работы с машинным обучением. Заодно компания выпустила утилиты для использования Visual Studio Code при создании моделей на базе фреймворков CNTK и Keras.

Уязвимость CVE-2018-2893 является брешью в компоненте программного обеспечения Oracle WebLogic, позволяющей хакеру подчинить себе сервер и выполнить произвольный код, причем для исполнения всех действий не требуется знать пароль от устройства.

18 июля 2018 года компания Oracle опубликовала обновление, устраняющее ряд уязвимостей. Но через три дня в открытый доступ попало несколько PoC-кодов, два из которых до сих пор в Интернете. После распространения информации о наличии эксплойтов, 21 июля, начались первые атаки.

Инструменты и безопасность

Cпециалисты считают, что есть, по крайней мере, две группы хакеров, которым, возможно, удалось автоматизировать свои действия по использованию уязвимостей в своих целях.

Уязвимость была обнаружена в версиях Oracle WebLogic 10.3.6.0, 12.1.3.0, 12.2.1.2 и 12.2.1.3. Сотрудники компании рекомендуют владельцам серверов в целях безопасности оперативно установить обновление, выпущенное в июле 2018 года, которое закрывает «дыры» безопасности в Java SE, VirtualBox, MySQL и других инструментах.

Компания отметила, что 37 % уязвимостей затрагивали компоненты, созданные сторонними разработчиками, к ним же относились 90 % ошибок критической степени.

Уязвимые продукты Oracle

Critical Patch Update затронул 11 продуктов компании: Java SE, MySQL, Virtualization, Database Server, Global Lifecycle Management, Fusion Middleware, E-Business Suite, PeopleSoft, Siebel CRM, Industry Applications, Sun Systems Products Suite.

В Java SE устранено 8 уязвимостей, из которых 3 высокого уровня опасности и 1 — критического, при этом эксплуатация любой из них не требует аутентификации. Также разрешено 25 проблем безопасности в MySQL, с максимальной оценкой 7,1 по CVSS, и 9 — в VirtualBox, из которых 5 соответствуют критической степени опасности.

В феврале 2018 года эксперты по кибербезопасности обнаружили брешь в POS-терминалах Oracle Micros, позволявшую злоумышленникам установить в систему вредоносный код и получить доступ к базе данных. Эту ошибку компания исправила месяцем ранее.

Развитие NetBeans

Инкубатор Apache готовит релиз Apache NetBеаns 9.0, который станет первым подготовленным силами фонда выпуском и будет поддерживать только Java SE. В первый релиз-кандидат добавлены поддержка Java 9 и 10, включая тип var, Java Shell, а также инструменты для работы с модулями Jigsaw.

После первого релиза или параллельно с ним Apache начнет менять лицензию второй порции кода и интегрировать его в Git.

Передача

Oracle отказалась от работы над NetBеans в сентябре 2016 года и передала фонду первую часть кода, а также права на связанные с NetBеаns исходники. В распоряжение Apache также перешли одноименная торговая марка, домен netbeаns.org и некоторые элементы инфраструктуры. Поскольку NetBeans распространяется под лицензиями GPLv2 и CDDL, платформа перешла на пермиссивную лицензию Apache 2.0.

Причины

Марк Рейнхольд, главный архитектор Java, назвал добавление поддержки сериализации объектов в 1997 году «ужасной ошибкой». По его словам, из-за простоты применения эта процедура провоцирует разработчиков на необдуманное использование. Именно она является причиной критических уязвимостей в различных продуктах, созданных с помощью Java, уверен Рейнхольд.

Замена

По словам представителей Oracle, компактный фреймворк, который заменит сериализацию, обеспечит возможность манипуляции данными в форматах JSON и XML. Компания пока не раскрывает другие подробности, как и сроки реализации.

В апреле 2018 года ученые из Университета Райса разработали сервис Bayou, который при помощи части кода с подсказками дописывает программу на Java. Нейросеть использует в том числе неофициальные API.

Возможности системы

GraalVM позволяет непосредственно обращаться к объектам и массивам из других языков и использовать общую среду выполнения. Например, из JavaScript-кода для Node.js допустимо обращаться к библиотеке классов Java.

GraalVM может применяться для создания обособленных исполняемых приложений в качестве части платформ, подобных OpenJDK и Node.js. Также есть возможность встраивать машину как движок обработки данных в СУБД.

Инструментарий GraalVM

Для запуска приложений используется стандартизированное окружение на базе HotSpot JVM. GraalVM предоставляет JIT-компилятор, который быстро выполняет в JVM код любых скриптовых языков, включая JavaScript, Ruby, Python и R. Также машина дает возможность запускать нативный код в JVM, преобразованный в биткод LLVM. Инструментарий системы включает в себя независимые от языков программирования отладчик, систему профилирования и анализатор распределения памяти.

Нативные образы

Для языков на базе JVM можно создавать скомпилированные нативные образы, которые выполняются напрямую с минимальным потреблением памяти. Сначала статический анализ выявляет весь код для выполнения основного Java-метода. Далее к нему применяется полноценная упреждающая компиляция (AOT).

Использование Substrate VM

Функциональность управления памятью и потоками происходит через подключение Substrate VM, которая компилируется в исполняемый код. Сформированный файл включает в себя машинный код приложения, готовый к быстрому выполнению.

Основные положения решения

1. Потребители, взаимодействующие с Java в рамках персональных приобретённых программных продуктов, будут обеспечены доступом к обновлениям Oracle Java SE 8 как минимум до конца 2020 года. Как правило, популярные Java-приложения лицензируются компаниями-разработчиками отдельно (например, игры). Эти программы могут зависеть от обновлений инструмента, выпущенных позднее 2020 года. Поэтому для уточнения деталей по дальнейшей технической поддержке специалисты Oracle рекомендуют пользователям связаться с поставщиками решений.
2. Разработчикам Oracle предлагает пересмотреть планы на использование Java SE 8 и при необходимости внести соответствующие изменения в модель дистрибуции создаваемых программ.
3. Предприятиям Oracle также советует пересмотреть планы на использование Java SE 8 и внести соответствующие изменения в грядущие требования по поддержке Java, чтобы иметь возможность мигрировать проекты на более поздние версии инструмента. Также актуален вариант приобретения коммерческой лицензии, как полагается, на своевременной основе.

Права на использование — дело тонкое, даже когда речь идёт о проектах с открытым исходным кодом. Год назад GitHub наглядно пояснил основные различия между современными популярными лицензии для открытых решений.

Частухин заявил, что уязвимость позволяет неавторизованным пользователям заполучить файлы конфигурации систем POS Micros. Полученные данные гарантируют полный доступ к POS-системе. По словам Дмитрия Частухина, злоумышленник проникнув в магазин и получив доступ к уязвимым кассовым терминалам может установить вредоносную POS-систему, прочитать локальные файлы, а также получить имена и пароли пользователей.

Более 300 000 компаний используют терминалы Oracle для обработки платежей по кредитным/дебетовым картам. Таким образом, данная уязвимость ставит под угрозу данные карт пользователей и может способствовать корпоративному шпионажу для атак в будущем.

Компания Oracle заявила, что исправила уязвимость в январе 2018 года, выпустив новое обновление. Тем не менее, могут пройти месяцы, прежде чем патч будет установлен на все зараженные системы.

История

Проект Fn был разработан теми же специалистами, которые создали сервис IronFunctions. Команда положила начало технологии, работающей без участия серверов, и была владельцем платформы в течении 6 лет. Теперь, в Oracle, команда использовала все накопленные знания и опыт, применив их в Fn.

FaaS

Суть метода FaaS (function-as-a-service, функция как сервис) заключается в том, что разработчик реализует логику на уровне отдельных функций, не заботясь о создании инфраструктуры для запуска приложений и управления ей, без привязки к конкретным серверным приложениям и необходимым для их работы облачным окружениям. Достаточно определить требуемые функции и загрузить их, после чего платформа Fn сама развернёт окружения, нужные для выполнения подготовленных функций, организует управление ими и обеспечит масштабирование.

Разработка ведётся без создания монолитных приложений, на уровне подготовки набора небольших отдельных функций, каждая из которых обеспечивает обработку определённого события и рассчитана на обособленную работу без привязки к окружению. Для операторов облачных систем применение FaaS выгодно более эффективным потреблением ресурсов — функции запускаются только при возникновении необходимости и сразу после обработки события завершают свою работу. То есть, в отличие от микросервисов, они не требуют постоянного наличия запущенных окружений, потребляющих ресурсы на холостом ходу.

В отличие от существующих коммерческих FaaS-платформ, таких как Amazon AWS Lambda, Google Cloud Functions и Microsoft Azure Functions, решение от Oracle позиционируется как избавленное от привязки к вендору. Пользователь может выбирать любых поставщиков облачных решений для запуска инфраструктуры Fn. Также он может комбинировать разные облачные системы или запустить платформу на собственном оборудовании.

Фичи и возможности

Fn обладает множеством отличных функций для различных операций и разработки:

• простой в использовании инструмент командной строки для разработки, тестирования и развертывания функций;
• одна зависимость — Docker;
• «горячие» функции для высокопроизводительных приложений, не требующие создания новых контейнеров для каждого запроса;
• совместимость с кодом Lambda;
• FDK (набор функций для разработчиков) для многих популярных языков;
• расширенный Java FDK с платформой тестирования JUnit;
• возможность развертки Fn с помощью таких инструментов для оркестровки, как Kubernetes, Mesosphere и Docker Swarm;
• интеллектуальный балансировщик нагрузки, созданный специально для маршрутизации трафика к функциям;
• возможность настраивания дополнений и интеграций.

Новая система баз данных получила название Oracle 18c. По словам Эллисона, идея и разработка подобной системы является большим преимуществом по сравнению с существующими аналогами, в которых людям приходится планировать время простоя серверов, хранящих данные, для их профилактики или устранения проблем.

Машинное обучение всему голова

В сердце новой системы лежат идеи машинного обучения, что позволяет системе постоянно настраивать параметры безопасности на основе случающихся проблем. Эллисон говорит:

Больше не будет ошибок пилота, потому что не будет самого пилота. Мы делаем всё возможное, чтобы снизить вмешательство человека в работу системы до минимума. Мы можем гарантировать, что время доступности системы составит 99.95%, что означает всего около 30 минут запланированных и незапланированных простоев в год. При возникновении проблемы база данных моментально устранит её, не дожидаясь установки нового патча через месяц или два, как это происходит при участии оператора баз данных.

Сплошная экономия

Ларри Эллисон также сравнил новую систему Oracle с уже существующей Redshift от Amazon Web Service. По его словам, новая система Oracle более гибка, чем Redshift, что означает быстрейшую адаптацию к нагрузкам с меньшей потерей времени.

Redshift просто не может автоматически увеличить число процессоров при необходимости обработки большего объёма данных, а затем освободить ненужные процессоры. Она просто не способна это сделать.

Другим важным достоинством 18с является её цена относительно ценовых категорий Redshift. Эллисон сказал, что поскольку система от Oracle способна обрабатывать данные быстрее, чем Amazon Redshift, стоимость 18с гораздо меньше.

Стоимость 18с будет меньше требуемой Amazon. Мы это гарантируем, и именно так будет написано в пользовательском контракте.

Поскольку новая система в автоматическом режиме исправляет недочёты безопасности, клиенты также смогут экономить деньги на затратах, связанных с исправлением проблем и поддержкой работоспособности базы.

Выход в свет

Oracle 18c доступна в пре-релизе в облачных сервисах Oracle. Релиз состоится в декабре 2017 года. Версия OLTP будет доступна в июне 2018 года.

Java SE 9

В новой версии сохранена полная обратная совместимость с предыдущими версиями платформы. Новое модульное разбиение кода платформы Java упростит создание, сопровождение и распространение объёмных проектов, позволив избавиться от проблем с монолитными JAR-файлами и распространением наборов классов.

Основные новшества Java SE 9:

• Модульная система, развиваемая в рамках проекта Jigsaw:JEP 200 — определение модульной структуры JDK;JEP 201 — реорганизация кода JDK в модули, усовершенствование системы сборки для поддержки компиляции модулей, раздельная обработка модулей на этапе сборки;JEP 220 — реструктуризация бинарных образов JDK и JRE для поддержки модулей и увеличения производительности, безопасности и удобства сопровождения;JEP 260 — инкапсуляция большинства внутренних API для их недоступности во время компиляции;JEP 261 — реализация Java Platform Module System;JEP 282 — компоновщик jlink для связывания и оптимизации модулей с учётом зависимостей;
• Новый API для разработки HTTP-клиентов, поддерживаюший HTTP/2.0 и WebSockets;
• Расширен набор диагностических команд: print_class_summary, print_codegenlist, datadump_request, print_codeblocks, set_vmflag;
• JSON API для обработки и генерации данных в формате JSON;
• Реализована поддержка криптографических хэш-функций SHA-3, запрет использования сертификатов на базе SHA-1;
• Добавлена интерактивная оболочка jshell, представляющая интерактивный инструмент Read-Eval-Print-Loop, позволяющий разработчикам экспериментировать с новыми возможностями и API;
• Добавлены средства генерации документации Javadoc в формате HTML5.

Полный список изменений и оптимизаций доступен на сайте плафтормы.

Java EE 8

Напомним, что Oracle передала права на Java EE компании Eclipse, а с ними и все наработки проекта GlassFish. В будущем проект Java EE будет развиваться в рамках Open Source, исходный код уже доступен в репозитории GitHub.

Ключевые функции Java EE 8:

• Поддержка HTTP/2 в Servlet 4.0;
• Новый JSON binding API и расширение возможностей JSON-P 1.1;
• В JAX-RS добавлена поддержка посылаемых сервером событий (Server-Sent Events). Реализован новый клиентский API (REST Reactive Client API);
• Новый API безопасности для облачных и PaaS приложений;
• Многочисленные CDI улучшения, включая поддержку асинхронных событий.

Полный список добавленных в новый выпуск Java EE 8 функций можно узнать на странице проекта.

Oracle не просто присоединяется к проекту для его финансовой поддержки, но также предоставляет доступ Kubernetes в Oracle Linux и позволяет использование Terraform Kubernetes в своей облачной инфраструктуре. Следует отметить, что компания уже сделала огромный вклад в популяризацию Kubernetes, и формальное вступление в число платиновых участников лишь подчёркивает серьёзные намерения Oracle. Главный операционный директор CNCF Крис Анижчик по этому поводу сказал:

Oracle имеет огромный опыт, отвечающий потребностям компаний мирового класса. Мы рады, что компания присоединилась к нашему фонду в качестве платинового участника, и считаем, что их ключевая роль поможет определить вектор развития облачных технологий.

Напомним также, что Oracle отказалась от прав на Java EE, передав продукт Eclipse Foundation для перевода его в Open Source. Исходный код Java EE уже стал доступен на GitHub.

Oracle начала изучать возможности перевода технологий Java EE в Open Source, чтобы сделать разработку стандартов более гибкой и открытой. Не зависящий от одного поставщика процесс разработки ускорит привлечение инноваций в Java EE. После консультаций с IBM и Red Hat, партнёрами компании по разработке Java EE, был выбран фонд Eclipse, уже курирующий развитие различных проектов Java. Дэвид Делабасси, инженер-разработчик Oracle, говорит по этому поводу:

Передача Java EE в руки такой компании, как Eclipse Foundation, поможет создать благоприятные для сообщества процессы развития платформы, а также использовать в полной мере дополнительные проекты, как MicroProfile, которые уже являются собственностью фонда.

В свою очередь Oracle озвучила план передачи Java EE:

• перелицензирование принадлежащих компании Java EE технологий таких, как GlassFish, в пользу Eclipse Foundation;
• демонстрация возможности сборки совместных сторонних реализаций Java EE в соответствии с требованиями Java EE 8 TCK;
• переименование продукта Java EE по решению Eclipse Foundation, но с сохранением существующих имён javax пакетов и компонент;
• определение процесса, который улучшит существующие и добавит инновационные возможности в платформу.

При этом компания Oracle сохранит своё участие в разработке существующих проектов, а также оставит за собой исполнение всех обязательств перед пользователями, клиентами и партнёрами.

В нём говорится, что каждое обновление приносит с собой множество различных несовместимостей. «Модуляризация платформы Java SE принесет много улучшений, но также и много изменений — заявила компания, — код, который использует только официальные API платформы Java SE и поддерживаемые функции, продолжит работать без изменений».

Для подготовки к миграции Oracle рекомендует скачать билд раннего доступа, запустить программу перед перекомпиляцией, обновить сторонние библиотеки, скомпилировать приложение и запустить статический анализ кода JDeps. При запуске приложений могут появиться неопознанные VM-опции из JVM. Компания также рекомендует убедиться, что поведение приложения не отличается от поведения в JDK 8.

Однако при компилировании вы можете получить ошибку IllegalAccessErrors. Это происходит из-за того, что большинство внутренних API в JDK стали недоступны по умолчанию.

Какие еще изменения появятся в JDK 9:

• Теперь сборщик мусора G1 установлен по умолчанию для 32- и 64-битных конфигураций серверов.
• Будут удалены JavaDB, JVM TI HPROF и Jhat.
• Клиента Windows 32 VM больше не будет. JDK 9 будет снабжаться только JVM сервером.
• Также были удалены некоторые фичи для macOS, включая движок AppleScript.

И что же собралась сделать корпорация добра?

Google собирается принять меры по наложению санкций на Oracle и её юридической фирмы. Одной из причин является разглашение конфиденциальных финансовых соглашений между Google и Apple адвокатом Oracle Аннет Хёрст.

Чем Хёрст насолила Google?

На открытом судебном заседании адвокат заявила, что ОС Android принесла компании выручку в размере 31 млрд. долларов и прибыль в размере 22 млрд. долларов. Хёрст также раскрыла, что Google платит Apple 1 млрд. долларов для того, чтобы на iPhone присутствовала поисковая строка Google. Адвокат Google ответил на это заявление тем, что это лишь гипотетическое число, а не общеизвестная сумма.

И это всё?

Не совсем. Вдобавок к основным санкциям, Google требует возместить убыток от судебных разбирательств в размере 3,9 млн. долларов. Сумма включает в себя 1,8 млн. долларов за работу с документами по данному делу, около 300 тыс. за оформление протоколов и более 1,8 млн. в качестве оплаты судебных экспертов.

В платформе Java SE, известной своей популярностью в кругу киберпреступников, было исправлено 17 уязвимостей. 16 из них могли быть использованы удалённо. В MySQL, используемой во многих веб-сайтах, было исправлено 27 уязвимостей. Для VirtualBox Oracle выпустила 4 исправления. Компания настаивает, чтобы пользователи как можно скорее обновили ПО для повышения уровня защиты:

Oracle продолжает периодически получать сообщения о попытках взлома уже исправленных уязвимостей. В некоторых случаях взломщикам это удавалось, так как пользователи не применяли вышедших обновлений. Поэтому Oracle убедительно рекомендует пользователям использовать поддерживаемую в данный момент версию и применять важные обновления без задержки.

Обновления для Java можно скачать с Java.com или настроить автоматическое обновление. Полный обзор всех уязвимостей можно найти на сайте Oracle.

• используемая версия (Java 6, Java 7 или Java 8);
• используемая JVM (Oracle Hotspot, OpenJDK или другие);
• то, как картина меняется с течением времени

Вэтом году исследование основывается на 1,240 разных JVM, за которыми Plumbr следил с февраля по март. Данные собирались с помощью вызовов System.getProperty() для os.arch, os.version, java.version и т.д.

Версии Java в 2016

В этом году мы вплотную подошли к тому, чтобы восьмая версия Java стала наконец самой поплуярной. До этого не хватило всего 0.17%:

К счастью, уже не удалось зафиксировать использования древней пятой версии Java, впрочем, как и ранних сборок Java 9.

Как менялась распространённость версий Java в период с 2013 по 2016

Все эти четыре года в Plumbr собирали те же самые данные, и, составив из них график, получили следующую картину:

Вполне естественно, что старые версии освобождают место для новых — Java 5 уже совсем канула в Лету, а использование Java 6 сокращается в два раза с каждым годом. С Java 7 всё тоже понятно — она достигла пика в 2014, и теперь её использование сокращается в пользу Java 8.

Производители JVM в 2016

Как вы знаете, стандарт Java задаётся Oracle, но может быть реализован любым производителем. В теории мы должны видеть множество разных JVM от разных производителей, но на самом деле картина следующая:

Не важно, как вы будете интерпретировать данные, вывод один — фактически существует только две JVM: Hotspot и OpenJDK. Категория “Other” представленна такими реализациями, как Oracle JRockit, IBM J9, SAP Java Server VM, Zing и DCEVM. Среди исследуемых машин на каждую из этих категорий приходилось не более 5 штук.

Но Oracle сдаваться не намерена. Генеральный советник Oracle Дориан Дейли уже заявил: «Мы твердо убеждены, что Google разрабатывала Android, незаконно копируя основополагающие технологии Java, чтобы сэкономить время на разработку». Также было отмечено, что «Oracle требует пересмотра дела, чтобы положить конец противоправному поведению Google. Мы считаем, что имеются все основания для подачи апелляции».

Обе компании встретились в суде в 2012 году, но судьи так и не смогли однозначно ответить на вопрос, подпадает ли этот случай под «добросовестное использование», при котором копирование позволяется при ограниченных обстоятельствах.

Теперь ожидается новый судебный процесс: 9 мая компании встретятся снова в окружном суде Сан-Франциско. Представителем Oracle будет Ларри Эллисон, а от Google участвовать будет Эрик Шмидт. Ключевая цель заседания — выяснить, сколько же Google придется отстегнуть Oracle за предполагаемое нарушение.

Из-за стремительного роста Android на рынке смартфонов сумма, которую хочет взыскать Oracle, значительно выросла: новый судебный процесс разгорится уже из-за шести дополнительных версий Android, включая Lollipop. Чтобы понять, насколько же это много — 9,3 млрд долларов: выручка Alphabet, компании, владеющей в том числе самой Google, в последнем квартале составила 4,9 млрд. Сама же Google наняла своего собственного эксперта, который оценивает ущерб куда меньшей суммой: 100 млн долларов.

Ни Google, ни Oracle никаких комментариев по поводу ситуации не дают.

В первом заседании суд присяжных признал, что Google нарушила авторские права Oracle путем копирования в Android «структуры, последовательности и организации» 37 интерфейсов прикладного программирования Java. Позже судья суда первой инстанции заявил, что API-интерфейсы не защищаются законом США об авторском праве. Казалось бы, Oracle получила решающий удар, но позже апелляционный суд отменил это решение. Google подала свою собственную апелляцию, но она была отклонена, и теперь компания снова возвращается в суд.

По словам представителей Oracle, Google безумно спешили, чтобы успеть выпустить свою ОС на рынок раньше, чем это бы сделали конкуренты. Поэтому было принято решение использовать Java, ведь с этим языком знакомы миллионы программистов.

Сама компания Google отрицает факт нарушения. Согласно ее мнению, использование Java подпадает под категорию добросовестного использования. Сумма ущерба, названная экспертом Oracle, состоит из двух частей: $475 млн за ущерб, понесенный Oracle, а также $8,8 млрд прибыли, полученной Google. Первая цифра — это возможный заработок Oracle от лицензирования Java на мобильных телефонах в случае, если бы не было Android. Вторая — прибыль Google, в том числе от мобильной рекламы и денег, заработанных в Android Market и Google Play.

В суде, прошедшем на прошлой неделе, представители Google раскритиковали отчет от эксперта Oracle и попросили исключить его с судебных заседаний, заявив, что результат «игнорирует нормативные стандарты авторского права и не в состоянии предложить что-либо, напоминающее экспертный анализ». «Oracle и их эксперт неправильно сравнивают роль ОС Android с ролью 37 API-интерфейсов», заявляет Google.