Κατάτμηση προνομίων

1) Γιατί απαιτείται κατακερματισμός

Ο κατακερματισμός των προνομίων είναι το κλειδί για τη μείωση των σφαλμάτων «ακτίνας έκρηξης» και της κατάχρησης εμπιστευτικών πληροφοριών. Σας επιτρέπει να περιορίσετε με ακρίβεια ποιος μπορεί να εκτελέσει τις ενέργειες σχετικά με το ποια δεδομένα και πού, διατηρώντας παράλληλα την ταχύτητα των πράξεων και τη συμμόρφωση με τις κανονιστικές απαιτήσεις.

• λιγότερα περιστατικά λόγω «περιττών δικαιωμάτων»·
• επιτάχυνση των ερευνών: η πρόσβαση είναι διαφανής και σαφής·
• συμμόρφωση προς το SoD/συμμόρφωση, αποδεδειγμένος έλεγχος·
• ασφαλή πειράματα και ταχείες εκλύσεις χωρίς κίνδυνο για τον πυρήνα παραγωγής.

2) Αρχές

Zero Trust: κάθε ενέργεια ελέγχεται στο σύνολό της· δεν υπάρχουν «ζώνες εμπιστοσύνης».
Ελάχιστο προνόμιο: ελάχιστα δικαιώματα που εκδίδονται για ελάχιστη περίοδο (ιδανικά JIT).
Πλαίσιο επί του ρόλου: τα δικαιώματα δεν εξαρτώνται μόνο από το ρόλο, αλλά και από τα χαρακτηριστικά γνωρίσματα (ενοικιαστής, περιφέρεια, περιβάλλον, κίνδυνος).
Διαχωρισμός καθηκόντων (SoD): χωριστή έναρξη, έγκριση, εκτέλεση και λογιστικός έλεγχος.
Κώδικας πολιτικής: πολιτικές κωδικοποιημένες με εκδόσεις, δοκιμές και αναθεωρήσεις.

3) Υπόδειγμα ληκτότητας πρόσβασης

1. RBAC (ρόλοι) - έναρξη - σταθεροί ρόλοι (Υποστήριξη, κίνδυνος, πληρωμές, συναλλαγές, επιχειρήσεις, SRE, συμμόρφωση).
2. ABAC (χαρακτηριστικά γνωρίσματα): προσθήκη ιδιοτήτων: ενοικιαστής, περιφέρεια, δικαιοδοσία, προϊόν, κανάλι, περιβάλλον (prod/stage/dev), χρόνος, κατηγορία κινδύνου λειτουργίας, σήματα KRI.
3. PBAC (βάσει πολιτικής): συγκεντρωτικές πολιτικές «ποιος/πού/πότε/γιατί» + όροι (για παράδειγμα, «στις πωλήσεις - μόνο από την JIT και με εισιτήριο»).

4) Τομείς κατάτμησης (άξονας ανά άξονα)

4. 1 Ενοικιαστής/Πελάτης

Η πρόσβαση και οι λειτουργίες περιορίζονται σε συγκεκριμένο εμπορικό σήμα/φορέα εκμετάλλευσης/θυγατρική.
Απαγορεύονται οι δραστηριότητες μεταξύ μισθωτών, εκτός από αυστηρά καθορισμένες ομαδοποιήσεις μη-PII.

4. 2 Περιφέρεια/δικαιοδοσία

Οι πολιτικές λαμβάνουν υπόψη τους τοπικούς κανόνες αδειοδότησης και KYC/AML.
Οι λειτουργίες δεδομένων παικτών περιορίζονται από τη γεωγραφία αποθήκευσης και επεξεργασίας.

4. Περιβάλλον (dev/stage/prod)

Το Prod είναι απομονωμένο: μεμονωμένες πιστώσεις, δίκτυα, Bastion/PAM, «μόνο για ανάγνωση εξ ορισμού».
Πρόσβαση στο prod μόνο JIT, με εισιτήριο και αλλαγή παραθύρων.

4. 4 Κατηγορία δεδομένων

PII/χρηματοδότηση/τηλεμετρία τυχερών παιχνιδιών/τεχνολόγοι - διαφορετικά επίπεδα πρόσβασης και συγκάλυψης.
Εξαγωγή PII - μόνο μέσω εγκεκριμένων κρυπτογραφημένων ροών εργασίας και TTL.

4. 5 Κρίσιμη σημασία των πράξεων

κατηγορίες: δημοσίευση συντελεστών, χειροκίνητες αντισταθμίσεις, συμπεράσματα, αλλαγή δρομολόγησης PSP - απαιτούν διπλό έλεγχο.
Οι επιχειρήσεις χαμηλού κινδύνου μπορούν να ανυψωθούν από την πολιτική.

5) Επίπεδα προνομίων (βαθμίδες)

Προβολέας: συγκεντρωτικά μεγέθη μόνο για ανάγνωση και καλυμμένα δεδομένα.
Χειριστής - Εκτελέστε τις διαδικασίες του runbook χωρίς αλλαγή των ρυθμίσεων.
Συνεισφέρων-τροποποιεί διαμορφώσεις σε μη κρίσιμους τομείς.
Εγκρίνων: έγκριση αιτήσεων και λειτουργιών υψηλού κινδύνου (δεν συνδυάζεται με εκτέλεση - SoD).
Admin (JIT): βραχυπρόθεσμη προώθηση για σπάνιες εργασίες υπό διπλό έλεγχο και καταγραφή συνεδρίας.

6) SoD και ασυμβίβαστοι ρόλοι

• Έναρξη συμπερασμάτων ≠ έγκριση ≠ οριστικοποίηση.
• Δημιουργία εκστρατείας μπόνους ≠ ενεργοποίηση στα όρια πώλησης ≠ αλλαγής.
• Ανάπτυξη του χαρακτηριστικού ≠ εφαρμογή της απελευθέρωσης ≠ της εξάπλωσης στο prod.
• Αίτηση αποστολής PII ≠ έγκριση ≠ αποκρυπτογράφηση.

Για κάθε ζεύγος - μια επίσημη πολιτική απαγόρευσης και αποκλεισμού με ημερομηνία αναθεώρησης.

7) Πρόσβαση JIT και PAM

υψόμετρο κατόπιν αιτήματος: προσδιορίστε τον στόχο/το εισιτήριο/τον όρο· μετά τη λήξη - αυτόματη ανάκληση.
Διπλός έλεγχος: P1/P2 ενέργειες - δύο εφαρμογές από διαφορετικές λειτουργίες.
Έλεγχος συνεδρίας: καταγραφή κρίσιμων συνεδριών, συναγερμών ανωμαλίας, απαγόρευση αντιγραφής πάστας κατά την εργασία με PII.
Υαλοπίνακες θραύσης: πρόσβαση έκτακτης ανάγκης με σκληρά όρια και υποχρεωτική μετά τον έλεγχο.

8) Λογαριασμοί υπηρεσιών και πεδία εφαρμογής API

Ελάχιστα πεδία εφαρμογής. Εργασία/μικροϋπηρεσία κατάτμηση βραχύβιων μαρκών/πιστοποιητικών.
Εναλλαγή μυστικών, απαγόρευση κοινών μυστικών. απαγόρευση του «θεϊκού πεδίου εφαρμογής».
Όρια για τους συντελεστές/ποσοστώσεις, πλήκτρα ταυτότητας, υπογραφή webhook (HMAC).

9) Κατάτμηση σε επίπεδο υποδομής

Δίκτυα: απομόνωση τμήματος (ανά τομέα/ανά ενοικιαστή), αναστολή προεπιλεγμένης εξόδου, mTLS.
Kubernetes/Cloud: χώροι ονομάτων/έργα ανά περιβάλλον και τομέα, Gatekeeper/OPA για την απαγόρευση επικίνδυνων προτύπων.
DB/Caches: μεσίτης πρόσβασης (διαμεσολαβητής DB/IAM), μόνο για ανάγνωση εξ ορισμού, DDL που αποκλείει πωλήσεις εκτός παραθύρου.
Αποθετήρια: διαφορετικά κλειδιά/κουβάδες ανά κλάση δεδομένων με πολιτικές TTL και WORM για τον έλεγχο.

10) Πολιτικές ως Κώδικας (PaC)

Πολιτικές στα αρχεία καταγραφής (Rego/YAML), επανεξέταση δημοσίων σχέσεων, αυτόματες δοκιμές (μονάδα/e2e), έλεγχος diff.
Δυναμικό πλαίσιο: ώρα ημέρας, τοποθεσία, επίπεδο KRI, βαθμός κινδύνου της λειτουργίας.
Επεξήγηση της δυνατότητας λήψης/άρνησης απόφασης και αναφορά στην πολιτική ελέγχου.

11) Καταχωρίσεις και λογιστικός έλεγχος

Πληρότητα: ποιος/τι/πού/πότε/γιατί, προ/μετά τιμές, ταυτότητα εισιτηρίου.
Μη μεταβαλλόμενη: κεντρική συλλογή, WORM/αμετάβλητη, υπογραφή εγγραφής.
Συνδεσιμότητα: μια αλυσίδα από κονσόλες admin → API → βάσεις δεδομένων → εξωτερικούς παρόχους.
SLA ελέγχου: ποσοστό ανταπόκρισης σε αιτήματα ελέγχου/ρυθμιστικής αρχής.

12) Ταμπλό και Μετρικά (KPI/KRI)

Πρόσβαση στο KPI: μερίδιο της JIT έναντι μόνιμων δικαιωμάτων, μέση διάρκεια προνομίου,% που καλύπτεται από SoD, χρόνος επεξεργασίας αιτήσεων, κάλυψη επαναπιστοποίησης.
KRI κατάχρησης: εκρήξεις ευαίσθητων επιχειρήσεων, μαζική εκφόρτωση, άτυπες τοποθεσίες/ώρες, ακολουθίες «zayavka→deystviye→otkat».
Πίνακας Exec: κατάσταση τροχιάς ρόλων υψηλού κινδύνου, συμβάντα θραύσης γυαλιού, τάσεις.

13) Παραδείγματα πολιτικής (σκίτσα)

Prod- операции: 'enable if role in {Operator, Admin} AND env = prod AND jit = true AND ticket! = null AND sod_ok AND time in Chanch Window'.
PII: «Επιτρέπετε αν ΚΑΙ ΣΚΟΠΕΤΕ σε Σκοπούς ΚΑΙ ttl <= 7d ΚΑΙ κρυπτογράφηση = ON AND εγκρίνει> = 2».
PSP- роутинг: "να επιτραπεί η ανάληψη δράσης = UpdedRouting AND dual_control AND risk_assessment_passed AND rollback_plan_attached'.

14) Χάρτης πορείας για την εφαρμογή (8-12 εβδομάδες)

Νεντ. 1-2: Λειτουργική/ρόλος/απογραφή δεδομένων, SoD Matrix, Data Classification and Segmentation Domains.
Νεντ. 3-4: Βάση RBAC, κατάλογος ρόλων, JIT για κονσόλες παραγωγής, έναρξη PaC (OPA/Gatekeeper).
Νεντ. 5-6: ABAC: ιδιότητες ενοικιαστή/περιφέρειας/περιβάλλοντος/κλάσης δεδομένων· διαχωρισμός των χώρων ονομάτων/έργων.
Νεντ. 7-8: PAM (υψόμετρο JIT, καταγραφή συνεδρίας, θραύση γυαλιού), απαγόρευση DDL και μεσίτης βάσεων δεδομένων, πολιτικές εξαγωγών PII.
Νεντ. 9-10: PBAC για πράξεις υψηλού κινδύνου (συμπεράσματα, πριμοδοτήσεις, PSP), διπλός έλεγχος, καταχωρίσεις KRI.
Νεντ. 11-12: Τριμηνιαία επαναπιστοποίηση, 100% κάλυψη υψηλού κινδύνου των πράξεων PaC, υποβολή εκθέσεων και κατάρτιση.

15) Τεχνουργήματα

Κατάλογος ρόλων: ρόλοι, ελάχιστα προνόμια, ιδιοκτήτες.
SoD Matrix: ασύμβατοι ρόλοι/λειτουργίες, εξαιρέσεις, διαδικασία παράκαμψης.
Πακέτο πολιτικής: ένα σύνολο πολιτικών PaC με δοκιμές και παραδείγματα αρνούνται/επιτρέπουν.
Έντυπο αίτησης πρόσβασης: στόχος, όρος, αντικείμενο (ενοικιαστής/περιφέρεια/περιβάλλον), εκτίμηση κινδύνου, εφαρμογές.
Μητρώο ευαίσθητων επιχειρήσεων: κατάλογος P1/P2 δράσεων, παραθύρων, κριτηρίων διπλού ελέγχου.
Audit Playbook: συλλογή και παροχή αρχείων καταγραφής, απάντηση SLA, ρόλοι.

16) Αντιπατερίδια

Μόνιμα διοικητικά δικαιώματα και γενικοί λογαριασμοί.
Πρόσβαση μεταξύ ενοικιαστών «για λόγους ευκολίας».
Καμία διάταξη απομόνωσης/στάδιο/dev.
Πολιτικές σε χαρτί χωρίς επιβολή σε κώδικα/κονσόλες.
Εξαγωγή PII με χειροκίνητη διάταξη χωρίς κρυπτογράφηση και TTL.
Έλλειψη επαναπιστοποίησης και αναρτημένα δικαιώματα.

17) Η τελική γραμμή

Ο κατακερματισμός των προνομίων δεν είναι απλώς "σωστοί ρόλοι. "Πρόκειται για πολυδιάστατη απομόνωση (ενοικιαστής, περιφέρεια, περιβάλλον, δεδομένα, κρισιμότητα) + δυναμικό πλαίσιο (ABAC/PBAC) + διεργασίες (SoD, JIT, επαναπιστοποίηση) + τεχνικός εξαναγκασμός (PaC, PAM, δίκτυα/DB). Αυτός ο βρόχος μειώνει δραματικά τον κίνδυνο σφάλματος και κατάχρησης, επιταχύνει την ασφαλή αλλαγή και καθιστά την πλατφόρμα ανθεκτική στις απαιτήσεις κλίμακας και ρύθμισης.