Wzmocnienie środowiska żywnościowego

Wzmocnienie środowiska produkcyjnego

1) Przeznaczenie i ramka

Utwardzanie to systematyczny zestaw praktyk, który zmniejsza prawdopodobieństwo wystąpienia incydentów i spowodowanych przez nie szkód. Uwaga: obwód API, dane klienta/płatności, CI/CD, platforma kontenerowa, dostęp, kontrola zmian, obserwowalność i zgodność.

• Bezpieczeństwo według projektu i domyślnie: minimalne wymagane uprawnienia, bezpieczne domyślne.
• Zero Trust: Zaufaj ani sieci, ani tożsamości bez weryfikacji.
• Defense-in-Depth: multi-level protection (network → service → application → data).
• Niezmienność artefaktów: „zbuduj raz, uruchom wiele”.
• E2E ślady i dźwięk: kto, kiedy, co się zmieniło - i dlaczego.

2) Model zagrożenia i aktywa krytyczne

Aktywa: konta i żetony płatnicze, dane PII/paszportowe, salda RNG/gry, klucze szyfrujące, sekrety integracji, rurociągi, obrazy kontenerów.
Wektory: luki zależności, wycieki tokenów, misconfiguration/K8s w chmurze, SSRF/RCE w API, łańcuch dostaw (kompromis CI/CD/repozytorium), dostęp poufny, ruch DDoS/bot.
Scenariusze: wycofanie środków przez nieupoważniony podmiot, zastąpienie współczynników/sald, drenaż bazowy, wychwytywanie rurociągów, ręczne edycje produktu.

3) Architektura i izolacja sieci

Segmentacja: oddzielny VPC/VNet dla prod/stage/dev. Inside prod - podsieci dla krawędzi (LB/WAF), API, bazy danych, analityki, usług administratora.
Polityka „wprost dozwolona”: zaprzeczanie - wszystko między podsieciami, otwieranie tylko niezbędnych portów/kierunków.
mTLS między usługami, rotacja certyfikatu jest zautomatyzowana.

yaml apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata:
name: default-deny namespace: prod spec:
podSelector: {}
policyTypes: ["Ingress","Egress"]
apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata:
name: allow-api-to-db namespace: prod spec:
podSelector:
matchLabels: {app: db}
ingress:
- from:
- podSelector: {matchLabels: {app: api}}
ports: [{protocol: TCP, port: 5432}]

4) Tożsamość i dostęp (PAM/JIT)

SSO + MFA dla wszystkich ludzi.
RBAC&ABAC - Role na poziomie chmury, klastra, przestrzeni nazw i aplikacji.
PAM: skok/bastion, dostęp do JIT (ograniczony czas), nagrywanie sesji.
Break-glass: zamknięte konta z kluczem sprzętowym, wydanie dziennika.
Regularne skany „kto ma dostęp do czego”, recenzja raz na 30 dni.

5) Sekrety i klucze

Vault/KMS/Secrets Manager, wyłączyć tajemnice z Git.
KMS/HSM dla kluczy głównych; KEK/DEK, automatyczna rotacja.
Zasady TTL: tokeny krótkotrwałe (OIDC/JWT), rachunki tymczasowe dla CI.
Szyfrowanie: w stanie spoczynku (AES-256/GCM), w locie (TLS 1. 2 +/mTLS), kolumny danych PII/karty - z osobnym kluczem.

6) Łańcuch dostaw - CI/CD hartowanie

Izolacja biegaczy dla prod (samodzielnie hosted w sieci prywatnej).
Podpis artefaktów (Sigstore/cosign), weryfikacja podpisu na depla.
SBOM (CycloneDX/SPDX), SCA/VA na każdym commit i przed zwolnieniem.
„no tag latest” polityki, tylko niezmienne znaczniki.
Zasada 4-oka: obowiązkowy przegląd kodu i zatwierdzenie zmiany.
Infrastruktura jako kod: Terraform/Helm „policy-as-code” (OPA/Conftest).

rego package iac. guardrails

deny[msg] {
input. resource. type == "storage_bucket"
input. resource. acl == "public-read"
msg:= sprintf("Public bucket forbidden: %s", [input. resource. name])
}

7) Kontenery i kubernety

Minimalna podstawa obrazu (bez zakłóceń), bez korzeni, tylko do odczytu FS, drop CAPs.
Kontrola wstępu: zaprzeczanie uprzywilejowanemu, Path, Network.
Pod Standards Security: baseline/restricted длбprod ns.
ImageKeyWebhook - pominięcie tylko podpisanych obrazów.
Zasady runtime (Falco/eBPF): wpisy do nieprawidłowych syscalls.
Limit/Limit Range: ochrona węzłów przed „hałaśliwymi sąsiadami”.

8) Obwód API: WAF, limity stawek, Bot/DDoS

Brama API: uwierzytelnianie (OAuth2/JWT/HMAC), normalizacja, mTLS, walidacja schematu.
WAF: podstawowe zasady + kasta dla mierników biznesowych.
Limity stawek: globalne/według IP/według klucza klienta; „żetony” i pęknięcie.

nginx limit_req_zone $binary_remote_addr zone=api:20m rate=10r/s;

server {
location /api/ {
limit_req zone=api burst=30 nodelay;
proxy_pass http://api_backend;
}
}

Zarządzanie bot: sygnały behawioralne, odcisk palca urządzenia, wyzwanie.
DDoS: szorowanie CDN/krawędzi, autoskalowanie, „dark-launch” dla gorących funkcji.

9) Zasady konfiguracji i bezpieczne domyślne

Funkcja flagi/kill-switches, aby szybko wyłączyć ryzykowne funkcje.
Config-as-Code z walidacją obwodu, kanaryjski/niebiesko-zielony dla konfiguracji.
Czas do odwołania jako KPI podczas odwoływania konfiguracji/klawiszy.

10) Dane i prywatność

Klasyfikacja: PII/finance/operating logs/telemetry.
Minimalizacja: przechowywać tylko to, czego potrzebujesz, anonimizację/pseudonimizację.
Kopie zapasowe: oddzielne konto/projekt, szyfrowanie, regularne próby DR.
Zasady wycofywania: ta sama metoda, ograniczenia prędkości, punktacja ryzyka, 4-oczy.
Legal Hold/retention: harmonogram przechowywania, zarządzane usuwanie.

11) Obserwowalność, wpisy i reakcja

Triada: dzienniki (niezawierające tajemnic), mierniki (SLO/SLA), szlaki (W3C).
Sygnały bezpieczeństwa: sukces/awaria wejść, eskalacja uprawnień, zmiany tajemnic, odchylenia ruchu.
SIEM + SOAR: korelacja i półautomatyczne odtwarzacze.
Playbooks incydentu: DDoS, wyciek tajemnic, kompromis biegacza, zwrot wydania, „zamrożenie” płatności.
MTTD/MTTR jako podstawowe wskaźniki reakcji.

12) Zarządzanie zmianą i uwolnieniem

Rada Doradcza ds. Zmian (lekkie) dla zmian wysokiego ryzyka.
Bramy wstępne: testy, bezpieczeństwo, perf, migracje baz danych.
Canary/Blue-Green/Shadow depley, automatyczny zwrot przez SLO.
Zabronić bezpośrednich edycji w prod: zmiany tylko przez rurociągu.

13) Słabości i łaty

Polityka patchowa: krytyczna - ASAP; wysoki - przez N dni.
Rescan po naprawie; Waga narażenia CVE.
Chaos-bezpieczeństwo: okresowe ćwiczenia table-top i czerwone ataki poleceń w zaznaczonych oknach.

14) Zgodność i audyt

Ramy kontroli: PCI DSS (płatności), SOC 2, ISO 27001.
Artefakty: matryca kontrolna, dzienniki zmian, raporty skanowania, wyniki badań DR, przegląd dostępu.
Ciągła dostępność: „dowód jako kod” - artefakty są zbierane automatycznie z rurociągów i systemów.

15) Ekonomia i niezawodność

Poręcze według kosztów: kwoty, budżety, wpisy, automatyczne wyłączenie niewykorzystanych zasobów.
Pojemność: planowanie zorientowane na SLO, testy obciążenia, „dni chaosu”.
Priorytety odzyskiwania: RTO/RPO według usług, mapa zależności.

16) Anty-wzory

Sekrety v.env w Git, wspólne "admin" dla wszystkich, "direct SSH in prod', ręczne poprawki w kontenerach," najnowsze "tagi, jeden wspólny klaster dla wszystkiego, publiczne wiadra, CI-runner z wychodzącym internetem w sieci prod, dzienniki z PII, bez wyłącznika zabójstwa dla" gorące "funkcje.

17) Lista kontrolna szybkiego startu (90 dni)

0-30 dni

Włącz MFA/SSO, przegląd dostępu; zaprzeczanie wszelkim politykom sieciowym; Menedżer tajemnic/KMS; zakazane uprzywilejowane w K8s; Włącz podstawowe wpisy wejścia/eskalacji WAF/Rate-limit.

31-60 dni

Podpis obrazu + ImagePolicy; SBOM + SCA бCI; kanaryjski/wałek; korelacje SIEM; Odtwarzacze IR; JIT/PAM; kopia zapasowa z testem DR.

61-90 dni

OPA-barierki dla IaC; eBPF/Falco; zarządzanie botem; okresowy przegląd dostępu; ćwiczenia w zakresie bezpieczeństwa chaosu; audyt konfiguracji i barier kosztowych.

18) Wskaźniki zapadalności

Dostęp:% kont z MSZ, średni wiek żetonów, czas pamięci.
Rurociąg:% podpisane/SBOM obrazy, pokrycie SAST/DAST.
Platforma: udział strumieni z tylko do odczytu FS, ograniczony PSS, zasięg Polityki.
Obwód:% API z zasadami limitu/WAF, średnia odpowiedź na DDoS.
IR: MTTD/MTTR, częstotliwość stołu-góry, odsetek udanych prób DR.
Zgodność: odsetek kontroli z automatycznymi dowodami.

19) Dodatek: Szablony polityki

AWS SCP (publiczny zakaz kubeł)

json
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "DenyPublicS3",
"Effect": "Deny",
"Action": ["s3:PutBucketAcl","s3:PutBucketPolicy"],
"Resource": "",
"Condition": {"StringEquals": {"s3:x-amz-acl": "public-read"}}
}]
}

Kubernetes PodSecurity (znak nazw)

yaml apiVersion: v1 kind: Namespace metadata:
name: prod labels:
pod-security. kubernetes. io/enforce: restricted pod-security. kubernetes. io/audit: restricted

OPA dla pojemników (zakazane uprzywilejowane)

rego package k8s. admission deny[msg] {
input. request. object. spec. containers[_].securityContext. privileged == true msg:= "Privileged containers are not allowed in prod"
}

20) Wniosek

Wzmacnianie środowiska żywnościowego jest ciągłym procesem. Priorytetowe określenie środków ograniczających ryzyko: dostęp i tajemnice, izolacja sieci, kontrola podpisywania artefaktów i rurociągów, ochrona obwodu API, obserwowalność i dyscyplina zmian. Zbuduj resztę iteracyjnie, uchwycić metryki dojrzałości i kontroli ekonomii.