Consolidarea mediului alimentar

Consolidarea mediului de producție

1) Scop și cadru

Întărirea este un set sistematic de practici care reduce probabilitatea de incidente și daunele cauzate de acestea. Focus: perimetrul API, datele clientului/plății, CI/CD, platforma containerului, accesele, controlul schimbării, observabilitatea și conformitatea.

• Securitate prin design și implicit: privilegii minime necesare, valori implicite sigure.
• Zero Trust: Nu aveți încredere nici în rețea, nici în identități fără verificare.
• Apărare în profunzime: protecție pe mai multe niveluri (rețea → service → aplicație → date).
• Imutabilitatea artefactelor: „construi o dată, rula multe”.
• urme E2E și auditabilitate: cine, când, ce sa schimbat - și de ce.

2) Modelul amenințării și activele critice

Active: conturi și jetoane de plată, date PII/pașaport, solduri RNG/joc, chei de criptare, secrete de integrare, conducte de implementare, imagini container.
Vectori: vulnerabilități de dependență, scurgeri de jetoane, misconfiguration/K8s cloud, SSRF/RCE în API, lanț de aprovizionare (compromis CI/CD/depozit), acces insider, trafic DDoS/bot.
Scenarii: retragerea fondurilor de către o entitate neautorizată, substituirea coeficienților/soldurilor, scurgerea bazei, captarea conductelor, editarea manuală a produsului.

3) Arhitectura rețelei și izolare

Segmentare: separat VPC/VNet pentru prod/stage/dev. În interiorul prod - subrețele pentru margine (LB/WAF), API, bază de date, analiză, servicii de admin.
Politica „permisă în mod explicit”: negarea tuturor între subrețele, deschiderea numai a porturilor/direcțiilor necesare.
mTLS între servicii, rotația certificatului este automată.

yaml apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata:
name: default-deny namespace: prod spec:
podSelector: {}
policyTypes: ["Ingress","Egress"]
apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata:
name: allow-api-to-db namespace: prod spec:
podSelector:
matchLabels: {app: db}
ingress:
- from:
- podSelector: {matchLabels: {app: api}}
ports: [{protocol: TCP, port: 5432}]

4) Identități și acces (PAM/JIT)

SSO + MFA pentru toate accesele umane.
RBAC&ABAC - Roluri la nivel de cloud, cluster, namespace și aplicație.
PAM: salt/bastion, acces JIT (timp limitat), înregistrare sesiune.
Break-glass: conturi sigilate cu o cheie hardware, emisiune jurnal.
Scanări regulate ale „cine are acces la ce”, revizuiți o dată la fiecare 30 de zile.

5) Secretele și cheile

Vault/KMS/Secrets Manager, exclude secretele de la Git.
KMS/HSM pentru cheile master; KEK/DEK, rotație automată.
Politici TTL: jetoane de scurtă durată (OIDC/JWT), conturi temporare pentru CI.
Criptare: în repaus (AES-256/GCM), în zbor (TLS 1. 2 +/mTLS), coloane de date PII/card - cu o cheie separată.

6) Lanțul de aprovizionare и întărire CI/CD

Izolarea alergătorilor pentru prod (auto-găzduit într-o rețea privată).
Semnătura artefactelor (Sigstore/cosign), verificarea semnăturii pe depla.
SBOM (CycloneDX/SPDX), SCA/VA pe fiecare comiteți și înainte de eliberare.
„no tag ultimele” politici, doar etichete imuabile.
Principiul 4-ochi: revizuirea obligatorie a codului și aprobarea modificării.
Infrastructura ca cod: Terraform/Helm с policy-as-code (OPA/Conftest).

rego package iac. guardrails

deny[msg] {
input. resource. type == "storage_bucket"
input. resource. acl == "public-read"
msg:= sprintf("Public bucket forbidden: %s", [input. resource. name])
}

7) Containere și Kubernetes

Baza minimă de imagini (distroless), fără rădăcini, numai citire FS, picătură PAC.
Controlul admiterii: nega privilegiat, hostPath, hostNetwork.
Standardele de securitate Pod: bază/restricționat для prod ns.
ImagePolicyWebhook - sărind doar peste imaginile semnate.
Politici de rulare (Falco/eBPF): alerte la syscalls anormale.
Cota/LimitRange: protejarea nodurilor de „vecinii zgomotoși”.

8) perimetru API: WAF, Limite de rată, Bot/DDoS

Gateway API: autentificare (OAuth2/JWT/HMAC), normalizare, mTLS, validare schemă.
WAF: reguli de bază + castă pentru măsurătorile de afaceri.
Limite de tarif: global/prin IP/prin cheie client; „jetoane” şi explozie.

nginx limit_req_zone $binary_remote_addr zone=api:20m rate=10r/s;

server {
location /api/ {
limit_req zone=api burst=30 nodelay;
proxy_pass http://api_backend;
}
}

Managementul bot: semnale comportamentale, amprenta dispozitivului, provocare.
DDoS: scrubbing CDN/edge, autoscaling, „dark-launch” pentru caracteristici fierbinți.

9) Politici de configurare și valori implicite sigure

Caracteristică steaguri/kill-switch-uri pentru a dezactiva rapid caracteristici riscante.
Config-as-Code cu validarea circuitului, canar/albastru-verde pentru configurații.
Time-to-Revoce ca KPI la revocarea configurațiilor/tastelor.

10) Date și confidențialitate

Clasificare: PII/finante/busteni de operare/telemetrie.
Minimizare: stocați doar ceea ce aveți nevoie, anonimizare/pseudonimizare.
Backup-uri: cont separat/proiect, criptare, repetiții DR regulate.
Reguli de retragere: aceeași metodă, limite de viteză, scor de risc, 4 ochi.
Legal Hold/retenție: programe de stocare, eliminare gestionată.

11) Observabilitate, alerte și răspuns

Triada: busteni (care nu contin secrete), metrici (SLO/SLA), trasee (W3C).
Semnale de securitate: succesul/eșecul intrărilor, escaladarea privilegiilor, schimbările de secrete, abaterile de trafic.
SIEM + SOAR: cărți de joc de corelație și semi-automate.
Playbook-uri incidente: DDoS, scurgeri de secrete, compromiterea alergătorului, revenirea eliberării, „înghețarea” plăților.
MTTD/MTTR ca valori primare de reacție.

12) Schimbare și Release Management

Schimbați Consiliul consultativ (ușor) pentru modificări cu risc ridicat.
Porți pre-prod: teste, securitate, perf, migrații de baze de date.
Canary/Blue-Green/Shadow depley, rollback automat de SLO.
Interziceți editările directe în prod: se modifică numai prin conductă.

13) Vulnerabilități și patch-uri

Politica de patch-uri: critică - ASAP; ridicat - timp de N zile.
Rescanare după remediere; Ponderarea expunerii la CVE.
Haos-securitate: exerciții periodice de masă și atacuri de comandă roșii în ferestrele evidențiate.

14) Conformitate și audit

Cadre de control: PCI DSS (plăți), SOC 2, ISO 27001.
Artefacte: matrice de control, jurnalele de schimbare, rapoarte de scanare, rezultatele testelor DR, access-review.
Disponibilitate continuă: „dovezi ca cod” - artefactele sunt colectate automat din conducte și sisteme.

15) Economie și fiabilitate

Guardrails după cost: cote, bugete, alerte, oprirea automată a resurselor neutilizate.
Capacitate: planificare orientată spre SLO, teste de încărcare, „zile de haos”.
Priorități de recuperare: RTO/RPO după serviciu, harta dependenței.

16) Anti-modele

Secretele v.env în Git, comune "admin" pentru toată lumea, "direct SSH în prod', remedieri manuale în containere," cele mai recente "tag-uri, un grup comun pentru tot, găleți publice, CI-runner cu Internet de ieșire în prod-rețea, jurnale cu PII, nici un kill-switch pentru caracteristici" fierbinte ".

17) Lista de verificare a începerii rapide (90 de zile)

0-30 zile

Activați MFA/SSO, revizuirea accesului; negarea tuturor politicilor de rețea; Secrets Manager/KMS; privilegiat interzis în K8s; Activați alerte de bază de intrare/escaladare WAF/Rate-limit.

31-60 zile

Semnătura imaginii + PolicyImage; SBOM + SCA в CI; canar/rollback; Corelații SIEM; IR playbooks; JIT/PAM; backup cu testul DR.

61-90 zile

OPA-guardrails pentru IaC; eBPF/Falco; managementul bot; revizuirea periodică a accesului; exercițiul haos-securitate; audit de configurații și cost-guardrails.

18) Valorile maturității

Accesări:% din conturile cu MFA, vârsta medie a jetoanelor, timpul de rechemare.
Conducte:% semnate/imagini SBOM, acoperire SAST/DAST.
Platforma: cota de capsule cu citire numai FS, PSS-restricționat, acoperire NetworkPolicy.
Perimetru:% API cu limită de rată/norme WAF, răspuns mediu la DDoS.
IR: MTTD/MTTR, frecvența de masă de top, procentul de repetiții DR de succes.
Conformitate: proporția controalelor cu probe automate.

19) Apendice: Șabloane de politică

AWS SCP (Public Bucket Ban)

json
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "DenyPublicS3",
"Effect": "Deny",
"Action": ["s3:PutBucketAcl","s3:PutBucketPolicy"],
"Resource": "",
"Condition": {"StringEquals": {"s3:x-amz-acl": "public-read"}}
}]
}

Kubernetes PodSecurity (namespace-etichetă)

yaml apiVersion: v1 kind: Namespace metadata:
name: prod labels:
pod-security. kubernetes. io/enforce: restricted pod-security. kubernetes. io/audit: restricted

OPA pentru containere (privilegiat interzis)

rego package k8s. admission deny[msg] {
input. request. object. spec. containers[_].securityContext. privileged == true msg:= "Privileged containers are not allowed in prod"
}

20) Concluzie

Consolidarea mediului alimentar este un proces continuu. Prioritizați măsurile de atenuare a riscurilor: acces și secrete, izolarea rețelei, semnarea artefactelor și controlul conductelor, protecția perimetrului API, observabilitatea și disciplina de schimbare. Construiți restul iterativ, capturând valorile maturității și controlul economiei.