Амалиётҳо ва § Конфигуратсияҳои аудити идоракунӣ

Конфигуратсияҳои аудит

1) Мақсад ва арзиш

Конфигуратсияҳои аудиторӣ масъулияти собит ва такрори тағиротро таъмин мекунанд: кӣ, кай ва чӣ тағир ёфт; чӣ асоснок аст; ҳамчун санҷида; чӣ гуна ба ақиб кашидан. Ин хатари ҳодисаҳо, ихроҷи асрори махфӣ, номутобиқатии мувофиқат ва таҳрирҳои "пинҳон" -ро дар prod коҳиш медиҳад.

• Як манбаи ягонаи ҳақиқат (SO) барои конфигуратсияҳо.
• Пайгирии пурраи тағирот (ба охир).
• Варақаҳои пешгӯишаванда ва бозгашти зуд.
• Сиёсати мувофиқат ва амният.

2) Ҳаҷм

Инфраструктура: Terraform/Helm/Ansible/K8s намоёнҳо, шабакаи ACL/WAF/CDN.
Танзимоти барнома: файлҳои 'yaml/json/properties', парчамҳои хусусият, маҳдудиятҳо/квотаҳо.
Асрҳо ва калидҳо: vault/kms, сертификатҳо, нишонаҳо, паролҳо.
Лӯлаҳои маълумот: схемаҳо, тағиротҳо, ҷадвалҳои ETL/ҷараён.
Интегратсияҳо: PSP/KYC/провайдерҳо, вебҳукҳо, сиёсати такрорӣ/вақт.
Мушоҳида: Қоидаҳои ҳушдор, панели панел, SLO/SLA.

3) Принсипҳо

Ҳамчун маълумот конфигуратсия кунед: артефактҳои декларативӣ, санҷидашуда, санҷидашуда.
Тағйирнопазирӣ ва idempotency: таҷдиди миёна аз рамз.
Схемаҳо ва шартномаҳо: санҷиши қатъӣ (JSON-Schema/Protobuf), мутобиқати бозгашт/пеш.
Кам кардани таҳрирҳои дастӣ: тағирот танҳо тавассути MR/PR.
Ҷудосозии вазифаҳо (So-D) ва 4-чашм: муаллиф! = deploer; баррасии ҳатмӣ.
Атрибутсия ва имзоҳо: имзоҳои супоришҳо/релизҳо, аттестатсияи артефактҳо.

4) Меъмории аудит

1. SCM (Git) ҳамчун So-T: ҳама конфигуратсияҳо дар анбор, шохаи 'асосӣ' ҳифз карда мешавад.

• Феҳристи конфигуратсия (феҳристи конфигуратсияҳо, моликият, SLA-ҳо, муҳитҳо),
• Феҳристи схема (версияҳои схемаи конфигуратсия/рӯйдодҳо),
• Муҳаррики сиёсат (OPA/Conftest) - маҷмӯи чекҳо.
• 3. Дарвозаҳои CI/CD: формат/схема → чеки статикӣ → чекҳои сиёсат → сканкунии махфӣ → нақшаи тағирот
• 4. Расондан: Gitops (масалан, ArgoCD/Flux) бо детектори дрифт ва гузоришҳои аудити барномаҳо.
• 5. Дӯкони далелҳо: анбори ашёи аудиторӣ (нақша, гузоришҳо, имзоҳо, сохтмонҳо, SBOM).
• 6. Сабти амал: сабти тағйирнопазири (танҳо замима) рӯйдодҳои 'CREATE/APPLACE/ROLLBACK/ACCESS'.

5) Модели маълумоти аудит (ҳадди аққал)

Сущности: 'Конфигент (id, env, хизматрасонӣ, соҳиб, schema_version, ҳассосият)'

События: 'change _ id, актёр, амал, ts, diff_hash, сабаб, тасдиқ []'

Артефакты: 'план _ урл, test_report_url, policy_report, имзо, release_tag'

Пайвастшавӣ: RFC/чипта PR depla (sha) сабти барориши мониторинги SLO.

6) Раванди тағирот (ба охир мерасад)

1. RFC/чипта → ҳадаф, хатар, бозгашт.
2. PR/MR → linting, тасдиқи схемавӣ, чекҳои сиёсат, сканкунии махфӣ.
3. Нақша/пешнамоиш → хушк/нақша, diff манбаъ, сметаи арзиш/таъсир.
4. Тасдиқ кунед (4-eyes/SoD, нишони CAB бо хатари баланд).
5. Ҷойгиркунӣ (аз рӯи тиреза/тақвим) → GIT-ҳо татбиқ мешаванд; ҳушдордиҳӣ фаъол аст.
6. Санҷиш → дуд/SLO-gardrail, тасдиқи натиҷа.
7. Бойгонии далелҳо → мағозаи далелҳо; навсозии луғати конфигуратсия.

7) Сиёсатҳо ва қоидаҳо (намунаҳо)

Ҳамин тавр: Муаллифи PR prod-ро нигоҳ намедорад.
Мӯҳлати вақт: Не истеҳсолот берун аз "ях".
Ҳаҷм: тағир додани калидҳои ҳассос 2 навсозиро аз Амният/Мувофиқат талаб мекунад.
Асрҳо: дар репо нигоҳ доштан манъ аст; роҳи амудӣ + танҳо истинодҳои нақши дастрасӣ.
Тӯрҳо: ingress бо '0. 0. 0. 0/0 'бидуни истисноии муваққатӣ ва TTL иҷозат дода намешавад.
Огоҳиҳо: кам кардани танқиди P1 бидуни CAB манъ аст.

8) Назорати махфӣ

Нигоҳдории Vault/KMS, TTL-ҳои кӯтоҳ, гардиши худкор.
Сканкунии махфӣ дар CI (шакли асосӣ, энтропияи баланд).
Ҷудокунии асрори муҳит/нақшҳо; ҳадди аққали имтиёзҳои зарурӣ.
Рамзгузорӣ "дар сим" ва "дар истироҳат"; сабтҳои аудити пӯшидаи дастрасӣ ба асрҳо.

9) Асбобҳо (тағирёбанда)

Линт/Схема: 'yamllint', 'jsonschema', 'ajv', 'cue'.
Сиёсат: OPA/Conftest, Checkov/tfsec/kube-polics.
GitCCs: ArgoCD/Flux (муайянкунии дрифт, аудит, RBAC).
Асрҳо: Hashi ​ ​ Corp Vault, KMS абрӣ, менеҷерони сертификат.
Сканнерҳо: труффлехог, гитлеакҳо (асрҳо); OPA/Регула (қоидаҳо).
Ҳисобот: гузоришҳои содиротӣ ба DWH/BI, пайванд ба ҳодиса ва системаи тағирот.

10) Намунаҳои қоидаҳо ва артефактҳо

JSON-схема барои танзими маҳдуд

json
{
"$schema": "http://json-schema. org/draft-07/schema#",
"title": "limits",
"type": "object",
"required": ["service", "region", "rate_limit_qps"],
"properties": {
"service": {"type":"string", "pattern":"^[a-z0-9-]+$"},
"region": {"type":"string", "enum":["eu","us","latam","apac"]},
"rate_limit_qps": {"type":"integer","minimum":1,"maximum":5000},
"timeouts_ms": {"type":"integer","minimum":50,"maximum":10000}
},
"additionalProperties": false
}

Conftest/OPA (rego) - рад '0. 0. 0. 0/0 'v ingress

rego package policy. network

deny[msg] {
input. kind == "IngressRule"
input. cidr == "0. 0. 0. 0/0"
msg:= "Ingress 0. 0. 0. 0/0 is not allowed. Specify specific CIDRs or throw an exception with TTL"
}

Conftest/OPA - Пас

rego package policy. sod

deny[msg] {
input. env == "prod"
input. pr. author == input. pr. merger msg: = "SoD: PR author cannot hold in prod."
}

SQL (DWH) - ки танқиди огоҳиҳоро дар як моҳ коҳиш доданд

sql
SELECT actor, COUNT() AS cnt
FROM audit_events
WHERE action = 'ALERT_SEVERITY_CHANGED'
AND old_value = 'P1' AND new_value IN ('P2','P3')
AND ts >= date_trunc('month', now())
GROUP BY 1
ORDER BY cnt DESC;

Намунаи паёми Git (майдонҳои зарурӣ)

feat(config/payments): raise PSP_B timeout to 800ms in EU

RFC: OPS-3421
Risk: Medium (PSP_B only, EU region)
Backout: revert PR + restore timeout=500ms
Tests: schema ok, conftest ok, e2e ok

11) Мониторинг ва огоҳӣ

Кашфи кашфиёт: конфигуратсия дар кластер ≠ Git → P1/P2 сигнал + худкори барқароркунӣ (оштӣ).
Тағироти дорои хавфи баланд: тағир додани шабакаҳо/асрҳо/сиёсатҳо - огоҳӣ дар # security-ops.
Далелҳои гумшуда: бе нақша/имзо/ҳисобот ҷойгир кунед - блок ё ҳушдор.
Дороиҳои мӯҳлати истифодашуда: мӯҳлати амали сертификат/калид → огоҳиҳои фаъолона.

12) Нишондиҳандаҳо ва KPI

Фарогирии аудит% - ҳиссаи конфигуратсияҳо дар схемаҳо/сиёсатҳо/сканерҳо.
Drift MTTR вақти миёнаи тозакунӣ аст.
Мутобиқати сиёсат% - Гузаронидани сиёсат ба PR.
Асрори ихроҷи MTTR - аз ихроҷ то бозсозӣ/гардиш.
Меъёри ақибмонӣ - таносуби гардиши тағиротҳои конфигуратсия.
Андозаи миёнаи тағирот - фарқияти миёнаи хатҳо/захираҳо (камтар беҳтар аст).

13) Ҳисоботдиҳӣ ва мувофиқат

Пайгирии аудит: нигоҳдорӣ ≥ 1-3 сол (мувофиқи талабот), нигоҳдории тағйирнопазир.
Танзимкунанда: ISO 27001/27701, SOX-ба монанди SOX, GDPR (PII), талаботи соҳа (IGaming: баҳисобгирии тағирот дар ҳисобҳои GGR/NGR, маҳдудиятҳо, қоидаҳои бонус).
Ҳисоботҳои ҳармоҳа: тағироти боло, вайронкунии сиёсат, кашолакунӣ, мӯҳлати сертификатҳо, ҳолати гардиш.

14) Китобҳои бозӣ

A. Drift дар prod муайян карда шуд

1. Бастани амонати худкор барои хидмати зарардида.
2. Сурати ҳолати ҷориро хориҷ кунед.
3. Бо Git муқоиса кунед, "оштӣ" ё бозгаштро оғоз кунед.
4. Эҷоди ҳодисаи P2, муайян кардани манбаи дрифт (дастӣ kubectl/console).
5. Фаъол кардани муҳофизат: ягон тағироти мустақим (PSP/ABAC) нест, соҳибонро огоҳ кунед.

Мӯҳлати амали сертификати B. PSP

1. Гузариш ба роҳи нусхабардории/PSP, кам кардани вақт/бозсозӣ.
2. Сертификати навро тавассути раванди PKI бароварда, конфигуратсияро тавассути Git нав кунед.
3. Озмоиши дуд, бозгашти трафик, пӯшидани ҳодиса, пас аз марг.

C. махфӣ PR зад

1. Бекор кардани калид/нишона, истифодаи гардиш.
2. Аз нав сабт кардани таърих/хориҷ кардани артефакт аз кэш, баровардани RCA.
3. Ба сканери махфӣ қоида илова кунед, фармонро таълим диҳед.

15) Анти-намунаҳо

Таҳрири дастӣ "дар фурӯш" бидуни пайгирӣ ва бозгашт.
Конфигуратсияҳо бе схемаҳо ва бе тасдиқкунӣ.
Асрҳо дар тағирёбандаҳои Git/CI бе KMS/Vault.
Монорепос бо эквиваленти "супер-рости ҷаҳонӣ".
"Кар" Git ​ ​ Ops бидуни ҳушдорҳо ва гузоришҳои барномавӣ.
PR-ҳои бузург "ҳама якбора" - тавсифи номуайян ва хатари баланд.

16) Рӯйхати санҷишҳо

Пеш аз якҷояшавӣ

• Диаграмма ва линтерҳо гузаштанд
• OPA/Сиёсати махфӣ сабз аст
• Сканкунии махфӣ - "тоза"
• Нақша/diff замима карда мешавад, хавф арзёбӣ карда мешавад, бозгашт омода аст
• 2 апрел (prod) ва So

Пеш аз ҷойгиркунӣ

• Озод кардани тиреза ва тақвим тафтиш карда шуд
• Мониторинги дрифт фаъол аст
• SLO gardrail танзим карда шудааст, санҷишҳои дуд омодаанд

Моҳона

• Гардиши калидҳо/сертификатҳо аз рӯи ҷадвал
• Инвентаризатсияи соҳибон ва ҳуқуқҳо
• OPA/Шарҳи қоидаҳои истисноӣ (TTL)
• Санҷиши пармакунии оташ

17) Маслиҳатҳои тарроҳӣ

Тағиротро ба диффузияҳои хурд тақсим кунед; як PR як ҳадаф аст.
Қолабҳои ҳатмии PR/ӯҳдадорӣ бо RFC/хавф/бозгашт.
Барои конфигуратсияҳои динамикӣ, "марказҳои конфигуратсия" -ро бо аудит ва бозгашт истифода баред.
Схемаҳои версионалӣ; шикастани бидуни муҳоҷиратро манъ кунед.
"Харитаи конфигуратсия" -ро тасаввур кунед: чӣ, дар куҷо, кӣ назорат карда мешавад.

18) Ҳамгироӣ бо идоракунии тағирот ва ҳодисаҳо

PR RFC тақвимро ҳодисаҳо/пас аз марг нашр мекунад.
Нишондиҳандаҳои худкор (SLO/business) барои танзими релизҳо.
Худкорона эҷод кардани вазифаҳо барои нест кардани парчамҳои кӯҳна/истисноҳо (TTL).

19) Сатри поён

Конфигуратсияҳои аудиторӣ "гузоришдиҳии коғазӣ" нестанд, балки механизми эътимоднокии амалиётӣ: конфигуратсияҳо маълумот, тағирот назорат ва санҷида мешаванд, асрори қулф ва калид аст ва тамоми ҳикоя шаффоф ва санҷида мешавад. Ҳамин тавр платформаи устувор, мувофиқ ва пешгӯишаванда сохта мешавад.