Инфраструктурадагы коопсуздук катмарлары

(Бөлүк: Технология жана инфраструктура)

Кыскача резюме

Коопсуздук - бул катмарлардын системасы: ар бир катмар мурункусу иштебей калса, чабуулдарды кармап, аныктайт. iGaming үчүн бул өзгөчө маанилүү: төлөм агымдары, PII, өнөктөштүк интеграциясы жана эң жогорку жүктөр. Төмөндө - тармак, идентификация, тиркемелер, маалыматтар жана операциялык процесстерди бир башкарылуучу программага бириктирген коргоо-in-depth алкагы.

1) Коркунучтардын модели жана негизги принциптери

Threat Modeling: STRIDE/kill chain үчүн негизги агымдар (логин, депозиттик, коюм, чыгаруу, backofis).
Zero Trust: "демейки ишеним жок", минималдуу укуктар, ар бир хоп боюнча текшерүү.
Least Privilege & Сегрегация of Duties: ролдору атомдук, сезгич иш бөлүнөт.
Secure by Default: жабык порттор, deny-all саясаты, коопсуз дефолттар.
Аудитордук жөндөмдүүлүк: бардык жеткиликтүүлүктөр/өзгөрүүлөр - борборлоштурулган аудитте.

2) Тармак жана периметри

Максаты: каптал кыймылына жол бербөө жана тобокелдикти обочолонтуу башкаруу.

Сегментация/зоналар: Edge (CDN/WAF) → API → кызматтар → маалыматтар (DB/KMS) → админ/backofis.
VPC/VNet изоляция + коомдук/жеке кызматтар үчүн көмөкчордондор; NAT/egress-control (анын ичинде PSP/оюн провайдерлерине egress-allowlist).
mTLS бардык жерде (mesh/Ingress), TLS 1. 2 +/HSTS/так крипто configuration.
WAF/бот башкаруу/DDoS периметри боюнча; credential stuffing үчүн анти-эсеби.
DNS-коопсуздук: split-horizon, DNSSEC, ката каршылык, критикалык домендер үчүн кэш-пиннинг.

yaml apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata: { name: api-deny-all, namespace: prod }
spec:
podSelector: { matchLabels: { app: api } }
policyTypes: [Ingress, Egress]
ingress: [] # deny-all egress:
- to:
- namespaceSelector: { matchLabels: { name: prod } }
podSelector: { matchLabels: { app: payments } }
ports: [{ protocol: TCP, port: 8080 }]

3) Идентификация жана жеткиликтүүлүк (IAM/PAM)

Максаты: ар бир кирүү негиздүү, чектелген жана ачык-айкын текшерилет.

адамдар жана машиналар үчүн SSO + MFA; артыкчылыктуу эсептер үчүн аппараттык ачкычтар.
булут/K8s/backofis үчүн RBAC/ABAC; SCIM - автоматтык күйгүзүү/өчүрүү.
JIT-жетүү (убактылуу), break-glass күчөтүлгөн аудит менен.
Кыска мөөнөттүү токендер менен Service Accounts (OIDC/JWT), кардар сырларын текшерүү.
Bastion/күзгү буйруктары: Prod-DD/түйүндөргө жетүү - жаздыруу үчүн bastion жана сессиялар аркылуу гана.

4) Сырлар жана ачкычтар

Максаты: агып жок кылуу жана башкарылуучу ачкычтардын жашоо циклин камсыз кылуу.

KMS/HSM (мастер ачкычы), үзгүлтүксүз айлануу; аймактар/максаттар боюнча ачкычтарды бөлүштүрүү.
Жашыруун сактоо (Vault/Cloud KMS Secrets) менен dynamic-creds жана lease.

• At rest (DB/бакет/snapshot) менен envelope encryption.
• In transit (TLS/mTLS).
• Төлөм маалыматтары үчүн Tokenization; PAN-коопсуздук агымдары жана 3-домен коопсуздук (PCI DSS).

hcl path "kv/prod/payments/" {
capabilities = ["read","list"]
}
path "database/creds/readonly" {
capabilities = ["read"]
}

5) Контейнер жана Kubernetes коопсуздук

Максаты: Рантайм деъгээлинде кол салуу бетин азайтуу.

Сүрөттөр: минималдуу базалык, компиляторлор/shells жок; кол тамгалар (cosign) жана SBOM.
Admission-Control (OPA/Gatekeeper/Kyverno): тыюу ': latest', 'privileged', 'hostPath', 'root'.
Runtime-политики: Seccomp/AppArmor, `readOnlyRootFilesystem`, `drop ALL` capabilities + allow-list.
Secrets катары volume/env жашыруун менеджери; бейнесине bake-in жок.
PodSecurity (или Pod Security Admission): enforce restricted.
Registrs: жеке, кемчиликтерди текшерүү менен (SAST/DAST/CSA).

yaml apiVersion: constraints. gatekeeper. sh/v1beta1 kind: K8sAllowedRepos metadata: { name: only-internal-registry }
spec:
repos: ["registry. internal. local/"]

6) Supply-chain и CI/CD

Максаты: коммиттен өндүрүшкө чейинки экспонаттарга ишенүү.

Branch-policies: код-ревю, корголгон бутактар, милдеттүү текшерүүлөр.
Артефакттардын жана provenance кол тамгасы (SLSA/COSIGN), өзгөрүлбөс теги (иммутабель сүрөттөрү).
SBOM (CycloneDX/SPDX), Dependabot/Renovate жана pinning көз карандылыгы.
Изоляция CI: эфемерные раннеры, секреты только в защищенных джобах, no-plaintext.
CD-оюндар: quality/SAST/лицензия/сатуучу саясаты; GitOps аркылуу гана промоушн.

7) Колдонмо коопсуздугу (API/Web/Mobile)

Максаты: логикалык жана техникалык чабуулдарды алдын алуу.

AuthN/AuthZ: OAuth2/OIDC/JWT; кыска TTL, ачкычтарды айлантуу, audience/issuer текшерүү.
Input Security: валидация/нормалдаштыруу, инъекциядан коргоо, параметрлер менен шаблондор.
CSP/HSTS/XFO/XSS-коргоо, катуу CORS, жүктөлүүчү MIME/өлчөмдөрүн чектөө.
Rate limit/quotas, idempotency-keys төлөмдөр/төлөмдөр үчүн.
Ficheflags: коркунучтуу өзгөчөлүктөрү үчүн тез kill-switch.

nginx add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:;" always;
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options DENY;

8) Маалыматтар, PII жана комплаенс (анын ичинде PCI)

Максаты: минималдуу чогултуу, минималдуу жеткиликтүүлүк, максималдуу ачыктык.

Data-zones/классы: `public/internal/confidential/pii/pci`. Сактоочу жайлардагы теги.
PII минималдаштыруу: 'player _ id' псевдонимдештирүү, төлөм реквизиттерин белгилөө.
Сактоо саясаты: ысык/муздак, аудит үчүн WORM; TTL боюнча автоматтык түрдө алып салуу.
Кирүү: макулдашылган ролдор жана атрибуттар аркылуу гана (аймак/максат).
PCI сегментациялоо: изоляцияланган сегмент, кирүү журналдары, үзгүлтүксүз сканерлер/ASV.

9) Edge катмары: CDN/WAF/DDoS/бот коргоо

Максаты: "таштандыларды" платформанын өзөгүнө чейин сүрүп чыгаруу.

CDN: гео-блоктор, кэш-стратегиялар, layer-7 коргоо.
WAF: негизги белгилер + API боюнча атайын эрежелер (JSON схемалар, стандарттуу эмес ыкмаларды тыюу).
Боттор: жүрүм-турум аналитикасы, device fingerprint, rate-limit/аномалиялар менен капчалар.
TLS/ALPN: эски шифрлерди өчүрүү, OCSP stapling.

10) Мониторинг, телеметрия жана SecOps

Максаты: кол салууларды көрүү жана окуяга чейин жооп берүү.

Байкоо: метриктер/Логи/Traces менен 'trace _ id' жана аудит-талаалар.
SIEM/SOAR: окуялардын корреляциясы (аутентификация, IAM, WAF өзгөрүүлөрү, сырларга жетүү).
Аныктоо эрежелери: 401/403 жарылуулар, role-escalation, массалык төлөмдөр, гео аномалиялар.
Сканерлөө: SAST/DAST/IAST, CSPM/KSPM, үзгүлтүксүз пенсиялык тесттер жана Bounty Bounty.
Анти-Frod: бүтүмдөр/жүрүм-турум, velocity чыпкалар, санкциялык тизмелер.

11) Ишенимдүүлүк, камдык жана бизнес-континуитет

Максаты: маалыматтарды жана SLA жоготуу жок ийгиликсиз аман.

DD үчүн Replication жана PITR, сыноолорду калыбына келтирүү менен тез-тез snapshot.
DR-план: RTO/RPO, региондук failover жагдайлар, которуу тесттер.
DR сырлары: көз карандысыз ачкычтар/KMS реплика, шашылыш айлануу жараяны.
Формалдуу гайддар: калыбына келтирүү чектери жана game-day машыгуулары.

12) Операциялык процесстер жана маданият

Максаты: коопсуздук болушу үчүн "демейки".

Security by PR: сезгич өзгөрүүлөр үчүн милдеттүү security-review.
чыгаруу саясаты: түнкү/жогорку терезелер жабык; алдын ала учуу чек баракчалары.
Secure Runbooks: коопсуз параметрлери менен көрсөтмөлөр, иш-аракеттерди текшерүү.
Окутуу: фишинг-симуляциялар, инциденттик машыгуулар, "жандуу" планшет сессиялары.

13) контролдук тизмелери (кыска)

Тармак жана периметри

• WAF/CDN үчүн бардык ingress; DDoS киргизилген
• кызмат арасында mTLS; deny-бардык тармак саясаты
• Egress-allowlist тышкы жөнөтүүчүлөргө

ID

• SSO+MFA; Аудит менен JIT жана break-glass
• RBAC/ABAC, SCIM-иштен чыгаруу
• Кыска токендер менен кызмат Accounts

K8s/контейнерлер

• Image кол + SBOM; тыюу салуу ': latest'
• Seccomp/AppArmor, read-only FS, drop caps
• Gatekeeper/Kyverno саясаты жана deny-тизмеси

Сырлар/ачкычтар

• Vault/KMS, айлануу, ачкычтарды бөлүү
• Шифрлөө at rest/in transit
• төлөмдөр үчүн Tokenization

CI/CD и supply-chain

• Эфемер раннерлери; Сырлар корголгон джобдордо гана
• SAST/DAST/лицензия; артефакттардын кол тамгалары
• GitOps-промоушен, сапаттуу гейтс

Маалыматтар/PII/PCI

• Маалымат классификациясы жана кампадагы теги
• Retention/WORM саясаты; ролдорго жетүү
• Изоляция PCI-сегмент, ASV-сканерлер

SecOps

• SIEM/SOAR эрежелери, эскалация боюнча коркунучтар
• Анти-Frod жана Velocity чыпкалар
• DR планы, RTO/RPO тесттер

14) "Катаал" саясаттын мисалдары

Kyverno: артыкчылыктуу контейнерлер тыюу салуу

yaml apiVersion: kyverno. io/v1 kind: ClusterPolicy metadata: { name: disallow-privileged }
spec:
rules:
- name: no-priv match: { resources: { kinds: ["Pod"] } }
validate:
message: "Privileged containers are not allowed"
pattern:
spec:
containers:
- securityContext:
privileged: "false"

OPA (Rego): тыюу 'hostNetwork'

rego package kubernetes. admission

violation[msg] {
input. request. kind. kind == "Pod"
input. request. object. spec. hostNetwork == true msg:= "hostNetwork is not allowed"
}

15) Анти-үлгүлөрү

Ички mTLS/segmentation → каптал кыймылы жок "периметрин коргоо".
env-өзгөрмөлүү CI сырлары, Логиге жүктөө.
Сүрөттөр 'latest', кол жоктугу жана SBOM.
кластерде allow-all саясаты; бардыгы үчүн жалпы неймспейстер.
Шифрлөө "кагазда" ачкычтарды жана калыбына келтирүү тесттерин реалдуу ротациялоосуз.
Логиканы оңдоонун жана маалыматтарды валидациялоонун ордуна WAF таянуу.
DR/таблицалык сценарийлер жок - план "чаң".

16) Кантип баштоо керек (90 күндүк план)

1. Жума 1-2: assets/маалыматтар, классификация, агымдардын картасы.
2. Жума 3-4: mTLS/deny-бардык тармактык саясатчылар, WAF/DDoS/бот чыпкалар кирет.
3. Жума 5-6: Vault/KMS, ачкычтарды айлантуу, төлөмдөрдү белгилөө.
4. Жума 7-8: Gatekeeper/Kyverno, Seccomp/AppArmor, тыюу 'privileged '/' hostPath'.
5. Жума 9-10: кол сүрөттөр, SBOM, гейт CI/CD, GitOps-промоушен.
6. Жума 11-12: SIEM/SOAR эрежелери, эскалация алерттери, анти-фрод.
7. Жума 13: DR-окутуу, Runabook жана шайкештик статусу (PII/PCI) жаңылоо.

Жыйынтыктар

Коопсуздук катмарлары - бул чечимдердин архитектурасы, "белги" топтому эмес. Тармактын сегментациясын жана Zero Trust, катуу IAM, коопсуз контейнерлер/K8s, башкарылуучу сырлар жана крипто, корголгон payplayns, edge коргоо жана SecOps байкоо туташтыруу. Ошондо, атүгүл кол салуулар жана бузулуулар менен платформа маалыматтардын бүтүндүгүн, PII/PCI купуялуулугун жана негизги агымдардын жеткиликтүүлүгүн сактайт - депозиттер, коюмдар жана корутундулар - ар кандай жогорку сааттарда.