Sicurezza dell'ecosistema

(Sezione Ecosistema e Rete)

1) Obiettivi e principi

L'obiettivo è quello di garantire la riservatezza, l'integrità e la disponibilità dei servizi e dei dati (CIA) per la scalabilità dell'ecosistema e l'evoluzione dei protocolli.

• Zero-Trust by design - Diffidare delle reti/host, controllare ogni azione in base al contesto.
• Least Privilege (PoLP) e need-to-know: accesso minimo e misurabile.
• Cryptographic assurance: firma/certificazione/questionario invece di «credibilità predefinita».
• Osservabilità by default: i segnali di sicurezza sono incorporati nei protocolli.
• Defense-in-Depth - Protezione a strati (identichnost→set→dannyye→vypusk).
• Secure-by-default: «chiuso» predefinito, fogli allow espliciti.

2) Modello di minaccia (High-level)

Rete e perimetro: DoS/L7, BGP/Anycast abuso, MITM, cambio DNS.
Identità e chiavi, compromissione delle chiavi, token vulnerabili, ripetizione delle firme.
Dati: esfiltrazione PII, perdita di telemetria, manipolazione dei metadati.
Catena di approvvigionamento: dipendenze/bild malevoli, sostituzione di manufatti, SDK vulnerabili.
Protocolli/ponti: reorghi, falsi laghetti, ritardi DA, messaggi a catena incrociata.
Rischi interni: errori di configurazione, diritti eccessivi, processi di deprecazione deboli.

3) Identità e fiducia

Identità: «org _ id», «peer _ id», account di servizio, utenti.
Autenticazione: mTLS (X.509), OAuth2/OIDC (JWT, DPoP/PoP), WebAuthn per le persone.
Autorizzazione: RBAC/ABAC + policy-as-code (OPA/Rego) su più livelli.
Allineamento delle funzionalità (capability negotion) durante la stretta di mano: annuncia versioni, QoS, limiti e domini consentiti.

Criteri (YAML)

yaml authz:
roles:
operator. p0: [payouts:write, events:subscribe, bridge:finalize]
reader. api: [rpc:read, catalog:read]
abac:
- when: {org_tier: "gold", region: "eu"}
allow: [qos:P0, data_class:P1]
tokens:
ttl_s: 900 rotation: "7d"

4) Sicurezza in rete e trasporti

Шлюзы/edge: WAF, L7-rate-limit, circuit-breaker, outlier-ejection.
Crittografia del traffico: TLS1. 3/mTLS, PFS, ciphers rigorosi, QUIC/HTTP/3.
Isolamento: segmentazione degli ambienti (prod/stage/dave), griglie private, egress control, eBPF-firewall.
P2P: firme dei messaggi, finestre anti-replay, controllo dei piatti (allow/deny), limiti gossip.

Esempio di regole di rete

yaml network:
ingress:
allow: ["443/tcp","443/udp"]     # HTTPS/HTTP3 deny: [""]
egress:
allow_domains: [".trusted. psp",".oracle","crl. ocsp."]
waf:
block: ["sql-injection","xss","proto-smuggling"]
dos:
rps_per_ip: 200 burst: 400

5) Protezione dei dati

Le classi di dati sono P0 (pagamento/chiavi), P1 (operativo), P2 (logica/diagnostica).
Crittografia: at-rest (AES-GCM/ChaCha20-Poly1305), chiavi per-region/tenant, HSM/KMS, crittografia envelope.
Tornizzazione e alias PII Divieto di PII nella telemetria/etichetta.
Residenza, volti regionali e magazzini, elenchi di esportazione bianchi.
Integrità: indirizzo hash degli artefatti, commercializzazione dei registri.

Directory criteri di storage (SQL)

sql
CREATE TABLE data_policies(
data_class TEXT, region TEXT, residency TEXT, kms_key TEXT, retention_days INT,
pii BOOLEAN, export_whitelist TEXT[]
);

6) Gestione dei segreti e delle chiavi

Generazione in HSM/KMS, rotazione pianificata e per evento (compromissione/licenziamento).
Separazione dei poteri (SoD) e M-of-N per le operazioni critiche.
I segreti sono solo il segreto manager (non le variabili ambiente/repository).
Key pinning per mTLS interserver, OCSP-stapling/CRL.

Criteri delle chiavi

yaml keys:
rotation_days: 30 pinning: true revoke_on:
- "suspicious_use"
- "employee_exit"
audit_required: ["signing_keys","bridge_keys"]

7) Catena di fornitura sicura (approccio SLSA)

Provenance - Firma degli artefatti (sigstore/cosign), SBOM, certificazione degli assiemi.
Isolamento dell'assieme: hermetic builds, riproduzione, scan delle dipendenze (SCA).
Politica di rilascio: canary/blue-green, gate SLO, kill-switch, rimborsi hash.
SDK/client: CSP/Referer-Policy, attributi integrity, anti-tamper.

yaml supply_chain:
require_sbom: true attestations: ["build","test","scan"]
deploy:
strategy: "canary"
gates: { error_rate_pct: 0. 4, tti_p95_ms: 2500 }

8) Accessibilità e privilegi

RBAC/ABAC - Diritti per ruoli/attributi, Temporary Escalation (JIT).
Servizi: separazione lettura/scrittura/admine, proibizione dei diritti wildcard.
Operatori: break-glass accesso multifattore con registrazione sessione.
Controllo: registri invariati (append-only), correlazione'sollest _ id/trace _ id '.

Registro ruoli/diritti (SQL)

sql
CREATE TABLE roles(name TEXT PRIMARY KEY, description TEXT);
CREATE TABLE permissions(role TEXT, resource TEXT, action TEXT, PRIMARY KEY(role,resource,action));

9) Osservabilità, SLI/SLO e segnali di sicurezza

• AuthN/AuthZ Success%, Anomalous Deny%;
• Key/Cert Draft (alla scadenza/non corrispondenza);
• Integrity Violations (firme, CSP)
• Abuse Signals: rate-limit hits, DoS/scan events;
• Data Residency Violations;
• Error Budget Burn по P0.

• Auth p95 ≤ 200 мс, Success ≥ 99. 95%;
• Gli eventi firmati sono stati 99. 9%;
• CSP violazioni ≤ 0. 05% di successi;
• Violazioni della residenza = 0.

Дашборды: Security Posture, Keys & Certs, Supply Chain, Abuse/DoS, Residency & DLP.

10) Risposta agli incidenti (IR) e SOAR

Pronto: runbook 'e su P0/P1, responsabili 24 x 7, canali di comunicazione.
Rilevamento: firme/regole comportamentali, coralizzazione in SIEM, automazione SOAR.
Contenimento: blocco di token/chiavi, lista deny percorsi, quarantine topic.
Eradicazione/ripristino: rotazioni, patch, sovrapposizione, recupero da snapshot.
Post mortem: entro 72 ore, azione-item, aggiornamento delle regole/test.

Regole SOAR (esempio)

yaml soar:
playbooks:
key_compromise:
trigger: ["anomalous_sign","suspicious_kid"]
actions: ["revoke_key","rotate","notify_owners","enable_strict_mode"]

11) Complaence e residenza

Requisiti regolatori: conservazione/eliminazione dei dati (DSR), reporting, certificazione RNG/crittografia.
Residenza: chiavi per-region e volt, esportazione in elenchi bianchi.
Processi: verifiche regolari, registro delle modifiche, timelock sui criteri critici.

yaml residency:
eu: { pii: "tokenized", export: ["anonymized_metrics"] }
uk: { pii: "tokenized", export: [] }
compliance:
dsr:
erase_sla_days: 30 export_sla_days: 30

12) DR/BCP e sostenibilità

RPO/RTO obiettivi: servizi P0 - RPO da 5 min, RTO da 15 min.
Geo-replica: attivo-passivo/attivo-attivo, test di ripristino periodici.
Modalità isolata: finalization-only, cache-only, limitazione delle operazioni «costose».
Canali di backup: provider IX/indipendenti, tunnel interregionali crittografati.

Criteri DR

yaml dr:
rpo_min: 5 rto_min: 15 exercises: ["quarterly-failover","annual-blackhole"]

13) Metriche e test di sicurezza

Chaos-security: тесты MITM/DNS-poison/packet-loss/latency.
Red/Blue Team: script di phishing, furto di token, iniezioni supply-chain.
Tabletop-drills - Modellazione decisionale e di comunicazione.
Autostop: SAST/DAST/IAST, protocolli di fuzzing, lenti di regole.

14) Playbook incidenti

A. Compromissione della chiave del partecipante

1. 'revoke _ key' ' rotate ', aggiornare il registro di fiducia;

2. includere le firme strict-mode 3) ricalibrare i battelli critici; 4) Report ai partner.

B. Violazione della residenza

1. Unità di esportazione immediata 2) redaction/rimozione; 3) informare il DPO/Compliance; 4) Aggiornare i test.

iniezione C. Supply-chain

1. Ritorno per hash, kill-switch; 2) revalidare SBOM/certificazione; 3) rotazione dei token CI; 4) post mortem.

D. DoS/L7-floud di massa

1. Attivazione dei limiti di rate/WAF rinforzati; 2) Anycast-drebling; 3) Priorità P0; 4) comunicare con i provider.

E. Draft regole/contratti

1. Abilita deny per diagrammi incompatibili 2) rilascio di adattatori 3) Aggiorna i linter/maiuscole.

15) Assegno foglio di implementazione (per passo)

1. Inserisci il modello di identità (org/peer/service/user) e mTLS+OIDC.
2. Descrivere policy-as-code (RBAC/ABAC), e JIT.
3. Crittografare i dati «in viaggio» e «in pace», toccare il PII e regolare la residenza.
4. Attivare la protezione Supply-chain: firma di manufatti, SBOM, certificazione, canary + kill-switch.
5. Configurare WAF/Rate-limits/DoS-guarda e egress-control.
6. Sollevare SIEM/SOAR, descrivere SLI/SLO, alert e dashboard Security.
7. Regolate le rotazioni chiavi/set e break-glass disponibili.
8. Esegui il DR/BCP e le modalità isolate, fai le esercitazioni.
9. Organizzare verifiche/loging e post mortem regolari.
10. Rivedere le regole trimestrali, automatizzare i controlli.

16) Glossario

Zero-Trust è un modello in cui ogni azione viene verificata indipendentemente dalla posizione.
PoLP è il principio dei diritti minimi necessari.
Policy-as-Code - Controllo di accesso/regole tramite criteri dichiarativi.
SLSA - Livelli di sicurezza della catena di fornitura software.
RPO/RTO - target di perdita di dati/tempo di ripristino.
DPoP/PoP - Aggancia un tocco a un canale TLS/client specifico.
Strict-mode è una modalità che impedisce schemi/firme non conformi.

La sicurezza dell'ecosistema non è uno schermo interrato e TLS, ma una lega di fiducia crittografica, regole rigorose di accesso, osservabilità e disciplina operativa. Seguire i controlli Zero-Trust, PoLP, supply-chain e SLO misurabili trasforma la sicurezza in una pratica di ingegneria gestita resistente a guasti, attacchi e cambiamenti regolatori.