Straturi de securitate în infrastructură
(Secțiunea: Tehnologie și infrastructură)
Scurt rezumat
Securitatea este un sistem de straturi: fiecare strat reține și detectează atacurile dacă cel anterior a eșuat. Pentru iGaming, acest lucru este deosebit de important: fluxurile de plăți, PII, integrările partenerilor și încărcăturile de vârf. Mai jos este cadrul de apărare în profunzime, care conectează rețeaua, identitatea, aplicațiile, datele și procesele operaționale într-un singur program gestionat.
1) Modelul de amenințare și fundamentele
Modelarea amenințării: lanțul STRIDE/kill pentru fluxurile de chei (conectare, depunere, ofertare, retragere, backfile).
Zero Trust: „nu aveți încredere în mod implicit”, drepturi minime, verificați fiecare hop.
Cel mai puțin privilegiu și segregarea îndatoririlor: rolurile sunt operațiuni atomice, sensibile separate.
Secure by Default: porturi închise, politici de negare a tuturor, valori implicite sigure.
Auditabilitate: toate accesările/modificările - în auditul centralizat.
2) Rețea și perimetru
Scop: evitați mișcarea laterală și gestionați riscul izolat.
Segmentare/zone: Edge (CDN/WAF) → API → servicii → date (DB/KMS) → admin/backhoe.
Izolarea VPC/VNet + subrețele pentru servicii publice/private; Controlul NAT/ieșire (inclusiv lista de ieșire la furnizorii de PSP/joc).
mTLS peste tot (mesh/Ingress), TLS 1. 2 +/HSTS/configurație cripto clară.
WAF/bot management/DDoS pe perimetru; anti-scoring pentru umplutura de acreditare.
Securitate DNS: split-horizon, DNSSEC, toleranță la erori, fixare cache pentru domenii critice.
yaml apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: { name: api-deny-all, namespace: prod }
spec:
podSelector: { matchLabels: { app: api } }
policyTypes: [Ingress, Egress]
ingress: [] # deny-all egress:
- to:
- namespaceSelector: { matchLabels: { name: prod } }
podSelector: { matchLabels: { app: payments } }
ports: [{ protocol: TCP, port: 8080 }]3) Identitate și acces (IAM/PAM)
Scop: Fiecare acces este justificat, restricționat și auditat transparent.
SSO + MFA pentru persoane și autoturisme; chei hardware pentru conturi privilegiate.
RBAC/ABAC pentru cloud/K8s/backoff; SCIM - pornire/oprire automată.
Acces JIT (temporar), spart-glass cu audit îmbunătățit.
Conturi de servicii cu jetoane de scurtă durată (OIDC/JWT), auditul secretelor clienților.
Bastion/oglindire comandă: acces la baze de date/noduri de producție - numai prin bastion și sesiuni de scriere.
4) Secretele și cheile
Scopul este de a elimina scurgerile și de a oferi un ciclu de viață cheie ușor de gestionat.
KMS/HSM (cheie expert), rotație regulată; împărțirea cheilor în zone/ținte.
Secretele Vault/Cloud KMS cu cute dinamice și leasing.
- În repaus (DB/găleți/instantanee) cu criptare plic.
- În tranzit (TLS/mTLS).
- Tokenizarea datelor de plată; fire PAN-safe și 3-domeniu de securitate (PCI DSS).
hcl path "kv/prod/payments/" {
capabilities = ["read","list"]
}
path "database/creds/readonly" {
capabilities = ["read"]
}5) Securitatea containerelor și Kubernetes
Scop: pentru a minimiza suprafața de atac la nivelul runtime.
Imagini: minim de bază, fără compilatoare/scoici; semnături (cosign) și SBOM.
Controlul admiterii (OPA/Gatekeeper/Kyverno): interdicție „: cele mai recente”, „privilegiate”, „hostPath”, „root”.
Runtime- политики: Seccomp/AppArmor, 'readOnlyRootFilesystem', 'drop ALL' capabilities + allow-list.
Secretele ca volum/env de la managerul secret; fără coacere în imagine.
PodSecurity (или Pod Security Admission): aplicarea restricțiilor.
Registre: privat, cu verificarea vulnerabilității (SAST/DAST/CSA).
yaml apiVersion: constraints.gatekeeper.sh/v1beta1 kind: K8sAllowedRepos metadata: { name: only-internal-registry }
spec:
repos: ["registry.internal.local/"]6) Lanț de aprovizionare и CI/CD
Scop: artefacte de încredere de la angajamentul de producție.
Politici de ramură: revizuire de cod, sucursale protejate, verificări obligatorii.
Semnătura și proveniența artefactului (SLSA/COSIGN), etichete imuabile (imagini imuabile).
SBOM (CycloneDX/SPDX), Dependabot/Renovate și dependențe de fixare.
Izolarea CI: alergători efemeri, secrete numai în locuri de muncă protejate, fără text clar.
CD-gates: calitate/SAST/licențe/vânzător-politici; promovare numai prin GitOps.
7) Securitatea aplicației (API/web/mobil)
Obiectiv: prevenirea atacurilor logice și tehnice.
AuthN/AuthZ: OAuth2/OIDC/JWT; scurt TTL, rotații cheie, audiență/cecuri emitent.
Securitate de intrare: validare/normalizare, protecție împotriva injecției, șabloane cu parametri.
CSP/HSTS/XFO/XSS-Protection, CORS stricte, downloadable MIME/size limit.
Limită de rată/cote, chei de idempotență pentru plăți/plăți.
Ficheflags: kill-switch rapid pentru caracteristici periculoase.
nginx add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data: https:;" always;
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options DENY;8) Date, PII și conformitate (inclusiv PCI)
Obiectiv: colectare minimă, acces minim, transparență maximă.
Data- zones/классы: „public/intern/confidential/pii/pci”. Etichete în seifuri și jurnale.
Minimizarea PII: pseudonimizarea 'player _ id', tokenizarea detaliilor de plată.
Politici de stocare: cald/rece, WORM pentru audit; ștergerea automată TTL.
Acces: numai prin roluri și atribute convenite (regiune/țintă).
Segmentarea PCI: segmente izolate, jurnale de acces, scanări regulate/ASV-uri.
9) Strat de margine: protecție CDN/WAF/DDoS/bot
Scopul: de a elimina „gunoiul” la miezul platformei.
CDN: geo-blocuri, strategii cache, protecție strat-7.
WAF: semnături de bază + reguli personalizate pentru API (scheme JSON, interzicerea metodelor non-standard).
Roboți: analiză comportamentală, amprentă digitală a dispozitivului, rate-limit/captcha pentru anomalii.
TLS/ALPN: opriți cifrurile vechi, activați capsarea OCSP.
10) Monitorizare, telemetrie și SecOps
Ţintă: Vezi atacurile şi reacţionează înainte de incident.
Observabilitate: măsurători/jurnale/trasee cu 'trace _ id' și câmpuri de audit.
SIEM/SOAR: corelarea evenimentelor (autentificare, modificări IAM, declanșatoare WAF, acces la secrete).
Reguli de detectare: 401/403 vârfuri, escaladarea rolurilor, plăți în masă, anomalii geo.
Scanare: SAST/DAST/IAST, CSPM/KSPM, teste pene regulate și recompense bug.
Antifraudă: tranzacții/comportament de notare, filtre de viteză, liste de sancțiuni.
11) Fiabilitate, rezervă și continuitatea afacerii
Scopul: Supraviețuiți accidentului fără pierderi de date și SLA-uri.
Replicarea și PITR pentru baze de date, instantanee frecvente cu recuperare de test.
Planul DR: RTO/RPO, region failover script-uri, teste de comutare.
Secretele în DR: chei independente/replica KMS, procesul de rotație de urgență.
Ghiduri formale: liste de verificare de recuperare și exerciții de joc.
12) Procese operaționale și cultură
Scopul este ca securitatea să fie „implicită”.
Securitate prin PR: Revizuirea obligatorie a securității pentru modificări sensibile.
Politici de lansare: Ferestre de noapte/vârf închise; liste de verificare înainte de zbor.
Secure Runbooks - instrucțiuni cu parametri siguri, acțiuni de audit.
Training: simulări de phishing, antrenament incident, sesiuni live de masă.
13) Liste de verificare (scurt)
Rețea și perimetru
- Toate intrările pe WAF/CDN; DDoS activat
- mTLS între servicii; refuza toate politicile de rețea
- Lista de permisiuni de ieșire către furnizorii externi
Identitate
- SSO + MFA; JIT și break-glass cu audit
- RBAC/ABAC, SCIM-Dezactivați disponibilizările
- Conturi de servicii cu jetoane scurte
K8s/containers
- Semnături de imagine + SBOM; interdicție „: latest”
- Seccomp/AppArmor, read-only FS, capace drop
- Politicile Gatekeeper/Kyverno și listele de negare
Secretele/Cheile
- Vault/KMS, rotații, împărțirea cheilor
- Criptare în repaus/în tranzit
- Tokenizare pentru plăți
CI/CD и lanțul de aprovizionare
- Alergători efemeri; secrete numai în locuri de muncă protejate
- SAST/DAST/licențe; semnături artefact
- Promovarea GitOps, porți de calitate
Date/PII/PCI
- Clasificarea datelor și etichetelor în depozite
- Politici de retenție/WORM; acces după rol
- Izolarea segmentului PCI, scanări ASV
SecOps
- Regulile SIEM/SOAR, alerte de escaladare
- Filtre antifraudă și de viteză
- Planul DR, teste RTO/RPO
14) Exemple de politici „dure”
Kyverno: Interzicerea containerelor privilegiate
yaml apiVersion: kyverno.io/v1 kind: ClusterPolicy metadata: { name: disallow-privileged }
spec:
rules:
- name: no-priv match: { resources: { kinds: ["Pod"] } }
validate:
message: "Privileged containers are not allowed"
pattern:
spec:
containers:
- securityContext:
privileged: "false"OPA (Rego): ban 'hostNetwork'
rego package kubernetes.admission
violation[msg] {
input.request.kind.kind == "Pod"
input.request.object.spec.hostNetwork == true msg:= "hostNetwork is not allowed"
}15) Anti-modele
„Protejați perimetrul” fără mTLS/segmentare internă → mișcare laterală.
Secrete în variabilele CI env, încărcarea în jurnale.
Imagini ': cele mai recente', fără semnături și SBOM.
Permite-toate politica în cluster; Neimspace comune pentru tot.
Criptarea „pe hârtie” fără rotirea reală a cheilor și a testelor de recuperare.
Bazați-vă pe WAF în loc de corecție logică și validare a datelor.
Nu există exerciții DR/scenarii tabelare - planul este „colectarea prafului”.
16) Cum să începeți (plan de 90 de zile)
1. Săptămâna 1-2: Inventarul activelor/datelor, clasificarea, harta fluxului
2. Săptămâna 3-4: Activați politicile de rețea mTLS/deny-all, filtrele WAF/DDoS/bot.
3. Săptămâna 5-6: Vault/KMS, rotații cheie, tokenizare plată.
4. Săptămâna 7-8: interdicțiile Gatekeeper/Kyverno, Seccomp/AppArmor, 'privilegiate '/' hostPath'
5. Săptămâna 9-10: Semnături de imagine, SBOM, CI/CD Gates, GitOps Promovare.
6. Săptămâna 11-12: reguli SIEM/SOAR, alerte de escaladare, anti-fraudă.
7. Săptămâna 13: Exercițiu DR, actualizare Runabook și starea de conformitate (PII/PCI).
Rezultate
Straturile de securitate sunt arhitectura soluțiilor, nu un set de casete de selectare. Combinați segmentarea rețelei și Zero Trust, IAM strict, containers/K8s securizat, secrete gestionate și cripto, conducte protejate, apărare de margine și observabilitate SecOps. Apoi, chiar și în caz de atacuri și accidente, platforma va menține integritatea datelor, confidențialitatea PII/PCI și disponibilitatea fluxurilor cheie - depozite, oferte și retrageri - la orice oră de vârf.