Επίπεδα ασφαλείας στην υποδομή

(Τμήμα: Τεχνολογία και Υποδομές)

Σύντομη περίληψη

Η ασφάλεια είναι ένα σύστημα στρωμάτων: κάθε στρώμα συγκρατείται και ανιχνεύει επιθέσεις σε περίπτωση αποτυχίας του προηγούμενου. Για το iGaming, αυτό είναι ιδιαίτερα κρίσιμο: ροές πληρωμών, PII, ολοκλήρωση εταίρων και φορτία αιχμής. Παρακάτω είναι το πλαίσιο άμυνας σε βάθος, το οποίο συνδέει το δίκτυο, την ταυτότητα, τις εφαρμογές, τα δεδομένα και τις επιχειρησιακές διαδικασίες σε ένα πρόγραμμα διαχείρισης.

1) Μοντέλο απειλής και θεμελιώδη στοιχεία

Μοντελοποίηση απειλής: αλυσίδα STRIDE/θανάτωσης για τις ροές κλειδιών (σύνδεση, κατάθεση, προσφορά, απόσυρση, οπίσθια σχοινιά).
Zero Trust: «μην εμπιστεύεστε εξ ορισμού», ελάχιστα δικαιώματα, ελέγξτε σε κάθε λυκίσκο.
Ελάχιστο προνόμιο και διαχωρισμός καθηκόντων: οι ρόλοι είναι ατομικές, ευαίσθητες λειτουργίες διαχωρισμένες.
Ασφαλής εξ ορισμού: κλειστές θύρες, αρνητικές πολιτικές, ασφαλείς χρεοκοπίες.
Δυνατότητα ελέγχου: όλες οι προσβάσεις/αλλαγές - στον κεντρικό έλεγχο.

2) Δίκτυο και περίμετρος

Σκοπός: Αποφυγή πλευρικής κίνησης και απομονωμένη διαχείριση του κινδύνου.

Κατάτμηση/ζώνες: Edge (CDN/WAF) → API → services → data (DB/KMS) → admin/backhoe.
απομόνωση VPC/VNet + υποδίκτυα για δημόσιες/ιδιωτικές υπηρεσίες· Έλεγχος εξόδου/ΝΑΤ (συμπεριλαμβανομένου του καταλόγου εξόδου προς τους παρόχους υπηρεσιών πληρωμών/παιχνιδιών).
mTLS παντού (μάτια/είσοδος), TLS 1. 2 +/HSTS/διαμόρφωση κρυπτογράφησης.
διαχείριση WAF/bot/DDoS στην περίμετρο· αντι-βαθμολόγηση για γέμιση ευπιστίας.
Ασφάλεια DNS: διαχωρισμός-ορίζοντας, DNSSEC, ανοχή βλάβης, κρυπτογράφηση για κρίσιμους τομείς.

yaml apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: { name: api-deny-all, namespace: prod }
spec:
podSelector: { matchLabels: { app: api } }
policyTypes: [Ingress, Egress]
ingress: [] # deny-all egress:
- to:
- namespaceSelector: { matchLabels: { name: prod } }
podSelector: { matchLabels: { app: payments } }
ports: [{ protocol: TCP, port: 8080 }]

3) Ταυτότητα και πρόσβαση (IAM/PAM)

Σκοπός: Κάθε πρόσβαση αιτιολογείται, περιορίζεται και ελέγχεται με διαφάνεια.

SSO + MFA για άτομα και αυτοκίνητα· πλήκτρα υλικού για προνομιούχους λογαριασμούς.
RBAC/ABAC για cloud/K8s/backoff· SCIM - αυτόματη ενεργοποίηση/απενεργοποίηση.
Πρόσβαση JIT (προσωρινή), θραύση με ενισχυμένο έλεγχο.
Λογαριασμοί υπηρεσιών με βραχύβιες μάρκες (OIDC/JWT), έλεγχος μυστικών πελατών.
Καθρέφτης προμαχώνων/εντολών: πρόσβαση σε βάσεις δεδομένων/κόμβους παραγωγής - μόνο μέσω συνεδριών προμαχώνα και γραφής.

4) Μυστικά και κλειδιά

Στόχος είναι να εξαλειφθούν οι διαρροές και να παρασχεθεί ένας διαχειρίσιμος βασικός κύκλος ζωής.

KMS/HSM (πλήκτρο μάγου), τακτική περιστροφή· διαίρεση κλειδιών σε ζώνες/στόχους.
Μυστικά θησαυροφυλακίου/Cloud KMS με δυναμικά πλέγματα και μίσθωση.

• Σε ηρεμία (DB/κουβάδες/στιγμιότυπα) με κρυπτογράφηση φακέλου.
• Υπό διαμετακόμιση (TLS/mTLS).
• Προσδιορισμός σημάτων για τα δεδομένα πληρωμών. Νήματα ασφαλείας PAN και τρισδιάστατη ασφάλεια (PCI DSS).

hcl path "kv/prod/payments/" {
capabilities = ["read","list"]
}
path "database/creds/readonly" {
capabilities = ["read"]
}

5) Ασφάλεια εμπορευματοκιβωτίων και Kubernetes

Σκοπός: ελαχιστοποίηση της επιφάνειας επίθεσης στο επίπεδο του χρόνου εκτέλεσης.

Εικόνες: ελάχιστη βασική, χωρίς μεταγλωττιστές/κελύφη. υπογραφές (συνημμένα) και SBOM.
Έλεγχος εισόδου (OPA/Gatekeeper/Kyverno): απαγόρευση ': τελευταία', 'προνομιακή', 'hostPath', 'ρίζα'.
Runtime- политики: Seccomp/AppArmor, 'readingRootFilesystem', 'drop ALL' ικανότητες + επιτρεπόμενη λίστα.
Μυστικά ως όγκος/env από τον μυστικό διαχειριστή. χωρίς ψήσιμο στην εικόνα.
PodSecurity (Εισδοχή ασφαλείας Pod): επιβολή περιορισμού.
Μητρώα: ιδιωτικά, με έλεγχο τρωτότητας (SAST/DAST/CSA).

yaml apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sAllowedRepos metadata: { name: only-internal-registry }
spec:
repos: ["registry.internal.local/"]

6) Αλυσίδα εφοδιασμού и CI/CD

Σκοπός: Εμπιστοσύνη των αντικειμένων από τη δέσμευση στην παραγωγή.

Πολιτικές υποκαταστημάτων: επανεξέταση κώδικα, προστατευόμενα υποκαταστήματα, υποχρεωτικοί έλεγχοι.
Υπογραφή και προέλευση τεχνουργήματος (SLSA/COSIGN), αμετάβλητες ετικέτες (αμετάβλητες εικόνες).
SBOM (CycloneDX/SPDX), Εξαρτώμενα/Ανακαινισμένα εξαρτήματα.
απομόνωση του ΚΚΠ: εφήμεροι δρομείς, μυστικά μόνο σε προστατευόμενες θέσεις εργασίας, χωρίς απλό κείμενο.
Πύλες CD: ποιότητα/SAST/άδειες/πολιτικές πωλητών· προώθηση μόνο μέσω GitOps.

7) Ασφάλεια εφαρμογής (API/web/mobile)

Στόχος: πρόληψη λογικών και τεχνικών επιθέσεων.

AuthN/AuthZ: OAuth2/OIDC/JWT; Σύντομη TL, εναλλαγές κλειδιών, έλεγχοι κοινού/εκδότη.
Ασφάλεια εισόδου: επικύρωση/ομαλοποίηση, προστασία έγχυσης, πρότυπα με παραμέτρους.
CSP/HSTS/XFO/XSS-Protection, αυστηρά CORS, όριο MIME/μεγέθους που μπορεί να μεταφορτωθεί.
Όριο ποσοστώσεων/ποσοστώσεις, κλείδες ταυτότητας για πληρωμές/εκταμιεύσεις.
Ficheflags: γρήγορος διακόπτης για επικίνδυνα χαρακτηριστικά.

nginx add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:;" always;
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options DENY;

8) Δεδομένα, PII και συμμόρφωση (συμπεριλαμβανομένων των ΕΚΕ)

Στόχος: ελάχιστη συλλογή, ελάχιστη πρόσβαση, μέγιστη διαφάνεια.

zones/классы: «δημόσια/εσωτερική/εμπιστευτική/pii/pci». Ετικέτες σε θησαυροφυλάκια και κούτσουρα.
Ελαχιστοποίηση PII: ψευδωνυμοποίηση του 'player _ id', μαρκαρισμός των λεπτομερειών πληρωμής.
Πολιτικές αποθήκευσης: θερμός/ψυχρός, WORM για λογιστικούς ελέγχους. αυτόματη διαγραφή TTL.
Πρόσβαση: μόνο μέσω συμφωνημένων ρόλων και χαρακτηριστικών (περιφέρεια/στόχος).
Κατάτμηση ΕΚΕ: μεμονωμένο τμήμα, αρχεία καταγραφής πρόσβασης, κανονικές σαρώσεις/ASV.

9) Στρώμα ακμών: προστασία CDN/WAF/DDoS/bot

Ο στόχος: να ξεριζώσουμε τα «σκουπίδια» στον πυρήνα της πλατφόρμας.

CDN: γεω-μπλοκ, στρατηγικές κρυφής μνήμης, προστασία επιπέδου 7.
WAF: βασικές υπογραφές + τελωνειακοί κανόνες για API (συστήματα JSON, απαγόρευση μη τυποποιημένων μεθόδων).
Bots: ανάλυση συμπεριφοράς, δακτυλικό αποτύπωμα συσκευής, όριο ταχύτητας/captcha για ανωμαλίες.
TLS/ALPN: απενεργοποίηση παλαιών κρυπτογραφημάτων, ενεργοποίηση συρραφής OCSP.

10) Παρακολούθηση, τηλεμετρία και SecOps

Στόχος: Βλέπε επιθέσεις και αντίδραση πριν από το συμβάν.

Παρατηρησιμότητα: μετρήσεις/κούτσουρα/μονοπάτια με «trace _ id» και πεδία ελέγχου.
SIEM/SOAR: συσχέτιση γεγονότων (επαλήθευση ταυτότητας, αλλαγές IAM, ενεργοποιήσεις WAF, πρόσβαση σε μυστικά).
Κανόνες ανίχνευσης: 401/403 ακίδες, κλιμάκωση ρόλων, μαζικές πληρωμές, γεω ανωμαλίες.
Σάρωση: SAST/DAST/IAST, CSPM/KSPM, τακτικές δοκιμές πέους και επικήρυξη σφαλμάτων.
Καταπολέμηση της απάτης: βαθμολόγηση συναλλαγών/συμπεριφοράς, φίλτρα ταχύτητας, κατάλογοι κυρώσεων.

11) Αξιοπιστία, αποθεματικό και αδιάλειπτη λειτουργία

Στόχος: Επιβίωση της σύγκρουσης χωρίς απώλεια δεδομένων και SLA.

Αντιγραφή και PITR για βάσεις δεδομένων, συχνές στιγμιότυπα με ανάκτηση δοκιμής.
Σχέδιο DR: RTO/RPO, περιοχή αποτυχία σεναρίων, αλλαγή δοκιμών.
Μυστικά σε DR: ανεξάρτητα κλειδιά/αντίγραφο KMS, διαδικασία περιστροφής έκτακτης ανάγκης.
Επίσημοι οδηγοί: κατάλογοι ανακτήσεων και ασκήσεις ημέρας παιχνιδιού.

12) Επιχειρησιακές διαδικασίες και νοοτροπία

Στόχος είναι η ασφάλεια να είναι «χρεοκοπία».

Ασφάλεια από δημόσιες σχέσεις: Υποχρεωτική επανεξέταση της ασφάλειας για ευαίσθητες αλλαγές.
Πολιτικές απελευθέρωσης: Κλειστά παράθυρα νύχτας/αιχμής. καταλόγους ελέγχου πριν από την πτήση.
Secure Runbooks - οδηγίες με ασφαλείς παραμέτρους, ελεγκτικές ενέργειες.
Εκπαίδευση: προσομοιώσεις phishing, εκπαίδευση σε περιστατικά, ζωντανές συνεδρίες tabletop.

13) Κατάλογοι ελέγχου (συνοπτικοί)

Δίκτυο και περίμετρος

• Κάθε είσοδος ανά WAF/CDN. Ενεργοποίηση του DDoS
• mTLS μεταξύ υπηρεσιών· άρνηση όλων των πολιτικών δικτύου
• Επιτρεπόμενος αριθμός εξόδου από εξωτερικούς παρόχους

Ταυτότητα

• SSO + MFA· JIT και break-glass με έλεγχο
• RBAC/ABAC, Απενεργοποίηση απολύσεων SCIM
• Λογαριασμοί υπηρεσιών με κοντές μάρκες

K8s/containers

Υπογραφές εικόνας + SBOM. απαγόρευση ': μεταγενέστερη'

• Seccomp/AppArmor, μόνο ανάγνωση FS, καπάκια πτώσης
• Πολιτικές Gatekeeper/Kyverno και λίστες άρνησης

Μυστικά/Κλειδιά

• Θησαυροφυλάκιο/KMS, περιστροφές, διαχωρισμός κλειδιών
• Κρυπτογράφηση σε ηρεμία/σε διαμετακόμιση
• Ενοποίηση σημάτων για πληρωμές

CI/CD и αλυσίδα εφοδιασμού

• Εφήμεροι δρομείς. μυστικά μόνο σε προστατευόμενες θέσεις εργασίας
• SAST/DAST/άδειες; Υπογραφή τεχνουργήματος
• Προώθηση GitOps, πύλες ποιότητας

Δεδομένα/PII/ΕΚΕ

• Ταξινόμηση δεδομένων και ετικετών στα αποθετήρια
• Πολιτικές διατήρησης/WORM· πρόσβαση ανά ρόλο
• απομόνωση τμήματος PCI, σαρώσεις ASV

SECOPS

• Κανόνες SIEM/SOAR, κλιμακώσεις
• Φίλτρα καταπολέμησης της απάτης και της ταχύτητας
• Σχέδιο DR, δοκιμές RTO/RPO

14) Παραδείγματα «σκληρών» πολιτικών

Kyverno: Απαγόρευση προνομιακών εμπορευματοκιβωτίων

yaml apiVersion: kyverno.io/v1 kind: ClusterPolicy metadata: { name: disallow-privileged }
spec:
rules:
- name: no-priv match: { resources: { kinds: ["Pod"] } }
validate:
message: "Privileged containers are not allowed"
pattern:
spec:
containers:
- securityContext:
privileged: "false"

OPA (Rego): απαγόρευση «HostorNetwork»

rego package kubernetes.admission

violation[msg] {
input.request.kind.kind == "Pod"
input.request.object.spec.hostNetwork == true msg:= "hostNetwork is not allowed"
}

15) Αντι-μοτίβα

«Προστασία της περιμέτρου» χωρίς εσωτερική mTLS/κατάτμηση → πλευρική κίνηση.
Μυστικά στις μεταβλητές CI env, αποστολή σε αρχεία καταγραφής.
Εικόνες ': τελευταία', χωρίς υπογραφές και SBOM.
Να επιτραπεί η εφαρμογή όλων των πολιτικών στο σύμπλεγμα· κοινοί χώροι για τα πάντα.
Κρυπτογράφηση «σε χαρτί» χωρίς πραγματική περιστροφή κλειδιών και δοκιμές ανάκτησης.
Βασίζονται σε WAF αντί λογικής διόρθωσης και επικύρωσης δεδομένων.
Δεν υπάρχουν ασκήσεις DR/σενάρια πίνακα - το σχέδιο είναι «συλλογή σκόνης».

16) Πώς να ξεκινήσετε (σχέδιο 90 ημερών)

1. Εβδομάδα 1-2: Απογραφή περιουσιακών στοιχείων/δεδομένων, ταξινόμηση, χάρτης ροής

2. Εβδομάδα 3-4: Ενεργοποίηση πολιτικών mTLS/άρνηση όλων των δικτύων, φίλτρα WAF/DDoS/bot.
3. Εβδομάδα 5-6: Θησαυροφυλάκιο/KMS, εναλλαγές κλειδιών, σήμανση πληρωμής.

4. Εβδομάδα 7-8: Απαγορεύσεις Gatekeeper/Kyverno, Seccomp/AppArmor, 'προνομιούχος '/' HostPath'

5. Εβδομάδα 9-10: Υπογραφές εικόνας, SBOM, CI/CD Gates, GitOps Promotion.
6. Εβδομάδα 11-12: Κανόνες SIEM/SOAR, προειδοποιήσεις κλιμάκωσης, καταπολέμηση της απάτης.
7. Εβδομάδα 13: Άσκηση DR, Ενημέρωση Runabook και Κατάσταση Συμμόρφωσης (PII/PCI).

Αποτελέσματα

Τα στρώματα ασφαλείας είναι η αρχιτεκτονική των λύσεων, όχι ένα σύνολο από κουτιά ελέγχου. Συνδυάστε τον διαχωρισμό δικτύου και το Zero Trust, αυστηρή IAM, ασφαλή containers/K8s, διαχειρίσιμα μυστικά και κρυπτογράφηση, προστατευμένους αγωγούς, άμυνα άκρων και παρατηρησιμότητα SecOps. Στη συνέχεια, ακόμη και σε περίπτωση επιθέσεων και συντριβών, η πλατφόρμα θα διατηρήσει την ακεραιότητα των δεδομένων, την εμπιστευτικότητα των PII/PCI και τη διαθεσιμότητα βασικών ροών - καταθέσεων, προσφορών και αναλήψεων - σε οποιεσδήποτε ώρες αιχμής.