Արտոնությունների սեգմենտացիա

1) Ինչո՞ ւ է անհրաժեշտ սեգմենացիան

Արտոնությունների սեգմենտացիան «blast radius» սխալների և ինսայդերի չարաշահումների նվազեցման բանալին է։ Այն թույլ է տալիս ճշգրիտ սահմանափակել, թե ով և որտեղ կարող է ինչ գործողություններ կատարել, ինչ տվյալների հետ, միաժամանակ պահպանել վիրահատությունների արագությունը և համապատասխանել կարգավորողների պահանջներին։

Հաղթողներ

«ավելցուկ իրավունքների» պատճառով ավելի քիչ բան կա։

հետաքննությունների արագացումը 'հասանելիությունը թափանցիկ և բացատրական է.

SoD/complaens, ապացուցված աուդիտ;

անվտանգ փորձարկումներ և արագ ֆորումներ առանց ռիսկի միջուկի համար։

2) Սկզբունքներ

Zero Trust: Յուրաքանչյուր գործողություն ստուգվում է համատեքստային; չկա «վստահելի գոտիներ»։

Least Privilege: նվազագույն իրավունքներ, որոնք տրվել են նվազագույն ժամանակահատվածի համար (իդեալում JIT)։

Expover Role: իրավունքները կախված են ոչ միայն դերից, այլ նաև ատրիբուտներից (տենանտ, տարածաշրջանը, շրջապատը, ռիսկը)։

Segregation of Duties (SoD) 'կիսում ենք նախաձեռնությունը, հաստատումը, կատարումը և աուդիտը։

Policy-as-Code: քաղաքական գործիչները կոդով, տարբերակով, թեստերով և խանդավառությամբ։

3) Հասունության մոդել

1. RBAC (roles): Սկսելը ֆիքսված դերեր է (Suplect, Risk, Payments, Trading, Ops, SDE, Compliance)։

2. ABAC (attributes) 'ավելացնում ենք ատրիբուտները' տենանտ, տարածաշրջանը, միգրացիան, արտադրանքը, ալիքը, շրջապատը (105/stage/dev), ժամանակը, վիրահատության ռիսկի դասը, KRI ազդանշանները։

3. PBAC (policy-based): կենտրոնացված քաղաքականությունները «ո/որ/որտեղ/երբ/ինչու» + պայմանները (օրինակ, «վաճառքում միայն JIT-ով և տիկետով»)։

4) Հատվածային հատվածները (առանցքը առանցքի հետևում)

4. 1 Tenant/հաճախորդ

Հասանելիությունը և վիրահատությունները սահմանափակված են ռուսական բրենդի/օպերատորի/աֆֆիլիատի միջոցով։

Քրոս-տենանտային գործողությունները արգելված են, բացի խիստ որոշակի ագրեգացիայից առանց PII-ի։

4. 2 Տարածաշրջանը/միգրացիան

Քաղաքական գործիչները հաշվի են առնում տեղական պոլիոնային և KYC/AML կանոնները։

Խաղացողի տվյալների հետ վիրահատությունները սահմանափակված են պահեստավորման և վերամշակման երկրագրությամբ։

4. 3 Շրջապատում (dev/stage/2019)

Մոսկվան մեկուսացված է 'առանձին կրեդներ, ցանցեր, Bastion/PAM, «read-only լռելյայն»։

Մուտքագրումը միայն JIT-ն է, տիկետի և փոփոխությունների պատուհանների հետ։

4. 4 Տվյալների դաս

PII/ֆինանսներ/խաղային հեռուստատեսություն/տեխնոլոգներ - հասանելիության և դիմակավորման տարբեր մակարդակներ։

PII էքսպորտը միայն հաստատված workflow-ի և TTL-ի միջոցով է։

4. 5 Վիրահատությունների քննադատությունը

P1/P2/P3 դասարանները 'գործակիցների հրապարակումը, ձեռքով հաշվարկները, եզրակացությունները, PMS-routing-ի փոփոխությունը, պահանջում են drontrol։

Ցածր կորիզային վիրահատությունները կարող են լինել քաղաքականությամբ։

5) Արտոնությունների մակարդակները (tiers)

Viewer 'միայն ագրեգատների և քողարկված տվյալների կարդալը։

Oper.ru 'ռումբերի ընթացակարգերի կատարումը առանց միգրացիայի փոփոխության։

Medributor: միգրացիայի փոփոխությունը քննադատական մրցույթներում։

Approver 'ռուսական և high-risk վիրահատությունների հաստատումը (չի համակցվում կատարման հետ' SoD)։

Admin (JIT) 'կարճ բարձրացում հազվագյուտ խնդիրների համար dronsll-ի և նստաշրջանի ձայնագրման համար։

6) SoD և անհամատեղելի դերեր

Անհամատեղելիության օրինակներ

Եզրակացություններ նախաձեռնելը պլանավորվում է վերջնական կերպով անցկացնել։

Ստեղծել բոնուսային քարոզարշավը նախատեսվում է ակտիվացնել երկարության մեջ, որպեսզի փոխի սահմանները։

Ֆիչին մշակելու համար հարկավոր է բացականչել մասունքները։

Խնդրիր, որ PII-ի բեռնումը հաստատվի, որպեսզի հաստատվի, թե ինչպես կարելի է վերծանել։

Յուրաքանչյուր զույգի համար ձևավորված քաղաքական և բացառություն է վերանայման ամսաթվով։

7) JIT հասանելիությունը և PAM-ը

Elevation-ի խնդրանքով 'ռուսական նպատակը/ticet/ժամանակահատվածը; դեպքից հետո 'մեքենա-ակնարկ։

Dronall: P1/P2 գործողությունները երկու տարբեր գործառույթներից են։

Session 24l: Քննադատական նստաշրջանների ձայնագրումը, անոմալիաների ալտերտները, PII-ի հետ աշխատելիս կոպապաստանների արգելքը։

Break-glass: Վթարային հասանելիությունը կոշտ լիմիտներով և ռուսական փոփի աուդիտով։

8) Ծառայողական հաշիվները և API սկաուտները։

Նվազագույն մոտիվներ; բաժանումը առաջադրանքների/միկրովայրկյաններին; հակիրճ հոսանքներ/հավաստագրեր։

Գաղտնիքների վերացումը, shared-գաղտնիքների արգելքը։ արգելք «god-scope»։

Limits rate/wwww.tas, idempotency-բանալիներ, webhuks ստորագրություն (HMAC)։

9) Ենթակառուցվածքի մակարդակում հատվածներ

Ցանցերը ՝ հատվածների մեկուսացում (per-domain/per-tenae), egress արգելքը լռելյայն, mTSA։

Kubernetes/Cloud: neeemspeiss/per-միջավայրի նախագծեր և տիրույթ, Gatekeeper/OPA-ը վտանգավոր ձևանմուշներ պատրաստելու համար։

BD/Kashi: Brocker (DB proxy/IAM), read-only լռելյայն, DDL արգելքը պատուհանից դուրս։

Տե՛ ս տարբեր բանալիներ/per-դասարանի տվյալներ TTL և WORM քաղաքական գործիչների հետ։

10) Քաղաքականությունը որպես կոդ (PaC)

Ռեպոզիտորների քաղաքականությունները (Rego/YAML), PR-revew, auto-թեստեր (unit/e2e), նախկին աուդիտ։

Դինամիկ կոնտեքստը 'օրվա ժամանակը, միգրացիան, KRI մակարդակը, վիրահատության ռիսկը։

Allow/deny-ի լուծման բացատրությունը և աուդիտի քաղաքականության հղումը։

11) Ամսագրեր և աուդիտ

Լիխտա 'ով/ինչ/որտեղ/երբ/ինչու, առաջ/post-արժեքներ, ID ticete-ը։

Անփոխարինելիությունը 'կենտրոնացված հավաքումը, WORM/immutable, գրառումների ստորագրությունը։

Կապը 'API Express API Express BD-ի ադմինի վահանակից շղթան արտաքին պրովայդերներն են։

SLA-ն բացատրում է, որ կառավարման/կարգավորողի հարցումների պատասխանելու արագությունը։

12) Դաշբորդներն ու մետրիկները (KPI/KRI)

KPI հասանելիությունը 'JIT vs-ի անընդհատ իրավունքների մասնաբաժինը, արտոնության միջին տևողությունը, ծածկված SoD%, կոդավորման վերամշակման ժամանակը, ռեցերտիայի ծածկումը։

KRI չարաշահումները 'զգայուն վիրահատությունների աճը, զանգվածային արտանետումները, ոչ հիպիկ վայրերը/ժամացույցները, հաջորդականությունները «դիմումը հակադարձվում է»։

Exec-dashbord 'բարձր ռիսկային դերերի կարգավիճակի հետք, break-glass իրադարձություններ, միտումներ։

13) Քաղաքական (էսքիզներ) օրինակներ

Prod-операции: `allow if role in {Operator, Admin} AND env=prod AND jit=true AND ticket!=null AND sod_ok AND time in ChangeWindow`.
Экспорт PII: `allow if data_class=PII AND purpose in ApprovedPurposes AND ttl<=7d AND encryption=ON AND approvers>=2`.
PSP-роутинг: `allow if action=UpdateRouting AND dual_control AND risk_assessment_passed AND rollback_plan_attached`.

14) Ճանապարհի քարտեզը (8-12 շաբաթ)

Մոսկվան։ 1-2 'վիրահատությունների/դերերի/տվյալների, SoD մատրիցի, տվյալների դասակարգման և սեգմենտների դասակարգումը։

Մոսկվան։ 3-4: RBAC-բազիսը, դերերի կատալոգը, JIT prod կոնսոլների համար, PaC (OPA/Gatekeeeper) սկիզբը։

Մոսկվան։ 5-6: ABAC 'ստենանտ/տարածաշրջանի/շրջակա միջավայրի/տվյալների դասարանի ատրիբուտներ; նեյրոսպեյսների/նախագծերի բաժանումը։

Մոսկվան։ 7-8: PAM (JIT-elevation, նստաշրջանների ձայնագրությունը, break-glass), DDL արգելքը և BD բրոքերը, PII էքսպորտի քաղաքականությունը։

Մոսկվան։ 9-10: PBAC բարձր ռիսկային վիրահատությունների համար (եզրակացություններ, բոնուսներ, PSA), dron.rl, KRI-alerta։

Մոսկվան։ 11-12: եռամսյակային ռեակտիվացում, 100% high-risk վիրահատություն PaC, հաշվետվություններ և ուսուցում։

15) Արտեֆակտները

Role Catalog 'դերեր, նվազագույն արտոնություններ, սեփականատերեր։

SoD Matics: անհամատեղելի դերեր/վիրահատություններ, բացառություններ, override գործընթացը։

Policy Pack: PaC քաղաքական հավաքածու թեստերով և deny/allow օրինակներով։

Windows Request Form: Նպատակը, ժամանակահատվածը, օբյեկտը (tenant/տարածաշրջանը/շրջանակը), ռիսկի գնահատումը, apruvers։

Sultitive Ops Register: www.P1/P2 գործողություններ, պատուհաններ, dens.ru չափանիշներ։

Audit Playbook 'ամսագրերի հավաքումը և տրամադրումը, SLA պատասխանը, դերերը։

16) Անտիպատերնի

Անընդհատ admin իրավունքները և ընդհանուր։

Քրոս-տենանտ հասանելի «հարմարավետության համար»։

Մեկուսացման բացակայություն 108/stage/dev։

Քաղաքականությունը թղթի վրա առանց enforce կոդում/կոնսոլներում։

PII էքսպորտը առանց ռուսական և TTL-ի։

Ռեսերտիայի բացակայությունը և «կախված» իրավունքները։

17) Արդյունքը

Արտոնությունների սեգմենտացիան պարզապես «ճիշտ դերեր» չէ։ Սա բազմաչափ մեկուսացում է (տենանտ, տարածք, շրջանակ, տվյալներ, քննադատություն) + դինամիկ ենթատեքստը (ABAC/PBAC) + գործընթացները (SoD, JIT, resertiation) + տեխնիկական հարկադրանք (PaC, PAM, ցանցեր/BD)։ Այս ստանդարտը կտրուկ նվազեցնում է սխալների և չարաշահումների ռիսկը, արագացնում անվտանգ փոփոխությունները և դարձնում է կայուն պլատֆորմը մասշտաբի և կարգավորիչների պահանջներին։