生態系統的安全

（部分： 生態系統和網絡）

1）目標和原則

目標是確保服務和數據的機密性，完整性和可訪問性（CIA），同時擴展生態系統和協議演變。

• 零信任通過設計：不信任網絡/主機,根據上下文檢查每個活動。
• Least Privilege （PoLP）和need to know： access-最小且可測量。
• Cryptographic assurance：簽名/認證/錨,而不是「默認信任」。
• 默認觀察：協議中內置了安全信號。
• 深度防禦：分層保護（identichnost→set→dannyye→vypusk）。
• Secure-by-default：默認情況下「關閉」，顯式allow lists。

2）威脅模型（高水平）

網絡和外圍：DoS/L7-fluds，BGP/Anycast濫用，MITM，DNS替代。

身份和密鑰： 鑰匙妥協,易受攻擊的令牌,簽名重播.

數據：PII滲漏，遙測泄漏，元數據操作。
供應鏈：惡意依賴/賬單，替代工件，易受攻擊的SDK。
協議/橋梁：reorgs，偽造的prufs，DA延遲，replay跨鏈消息。
內部風險：錯位錯誤，權利過剩，清算過程薄弱。

3）身份和信任

身份：'org_id'、'peer_id'、服務帳戶、用戶。
身份驗證：mTLS（X.509），OAuth2/OIDC（短壽命的JWT，DPoP/PoP），面向人類的WebAuthn。
授權：多級RBAC/ABAC+策略即代碼（OPA/Rego）。
握手時功能匹配（capability negotation）：聲明版本、QoS、限制和有效域。

政策（YAML）

yaml authz:
roles:
operator. p0: [payouts:write, events:subscribe, bridge:finalize]
reader. api: [rpc:read, catalog:read]
abac:
- when: {org_tier: "gold", region: "eu"}
allow: [qos:P0, data_class:P1]
tokens:
ttl_s: 900 rotation: "7d"

4）網絡安全和運輸

Шлюзы/edge: WAF, L7-rate-limit, circuit-breaker, outlier-ejection.

流量加密：TLS1。3/mTLS，PFS，嚴格的ciphers，QUIC/HTTP/3。
隔離：環境細分（prod/stage/dev）、專用網格、egress控制、eBPF-firewall。
P2P：消息簽名，反重播窗口，斑點控制（allow/deny），gossip限制。

網絡規則示例

yaml network:
ingress:
allow: ["443/tcp","443/udp"]     # HTTPS/HTTP3 deny: [""]
egress:
allow_domains: [".trusted. psp",".oracle","crl. ocsp."]
waf:
block: ["sql-injection","xss","proto-smuggling"]
dos:
rps_per_ip: 200 burst: 400

5）數據保護

數據類：P0（付款/密鑰）、P1（操作）、P2（日誌/診斷）。
加密：at rest（AES-GCM/ChaCha20-Poly 1305），按區域/密碼，HSM/KMS，envelope加密。
PII令牌化和化名；遙測/標簽中禁止PII。
居住地：區域自由和設施倉庫，白色出口清單。
完整性：工件散列尋址，日誌變異。

存儲策略目錄（SQL）

sql
CREATE TABLE data_policies(
data_class TEXT, region TEXT, residency TEXT, kms_key TEXT, retention_days INT,
pii BOOLEAN, export_whitelist TEXT[]
);

6）秘密和密鑰管理

生成HSM/KMS，按時間表和事件輪換（損害/解雇）。
關鍵操作的權力共享（SoD）和M-of-N。
秘密僅在秘密管理器中（不在環境/存儲庫變量中）。
服務間mTLS，OCSP-stapling/CRL的關鍵針。

密鑰策略

yaml keys:
rotation_days: 30 pinning: true revoke_on:
- "suspicious_use"
- "employee_exit"
audit_required: ["signing_keys","bridge_keys"]

7）安全供應鏈（SLSA方法）

Provenance：工件簽名（sigstore/cosign）, SBOM,裝配證明。
裝配隔離：hermetic builds,可重復性,依賴性掃描（SCA）。
發行策略：金絲雀/藍綠色，SLO門，殺手開關，哈希回滾。
SDK/客戶端： CSP/Referrer-Policy, integrity屬性,anti-tamper。

yaml supply_chain:
require_sbom: true attestations: ["build","test","scan"]
deploy:
strategy: "canary"
gates: { error_rate_pct: 0. 4, tti_p95_ms: 2500 }

8）可用性和特權

RBAC/ABAC：角色/屬性權限、臨時升級（JIT）。
服務：閱讀/寫入/管理，禁止通配符權利。
運算符：破玻璃通過多因素訪問,並記錄會話。
審計：不變日誌（僅限附錄），相關性「request_id/trace_id」。

角色/權利寄存器（SQL）

sql
CREATE TABLE roles(name TEXT PRIMARY KEY, description TEXT);
CREATE TABLE permissions(role TEXT, resource TEXT, action TEXT, PRIMARY KEY(role,resource,action));

9）可觀察性，SLI/SLO和安全信號

• AuthN/AuthZ Success%, Anomalous Deny%;
• Key/Cert Drift（到期/不一致）；
• 誠信暴力（簽名，CSP）；
• Abuse Signals: rate-limit hits, DoS/scan events;
• Data Residency Violations;
• Error Budget Burn по P0.

• Auth p95 ≤ 200 мс, Success ≥ 99.95%;
• 已簽署的活動≥ 99。9%;
• CSP違規行為≤ 0。05％的熱門歌曲；
• 居住違規行為=0。

Дашборды: Security Posture, Keys & Certs, Supply Chain, Abuse/DoS, Residency & DLP.

10）事件響應（IR）和SOAR

準備：runbook'和負責P0/P1 24 × 7的溝通渠道。
檢測：簽名/行為規則，SIEM的語音，SOAR自動化。
遏制：令牌/密鑰塊，路線deny清單，quarantine拓撲。
發布/恢復：輪換，補丁，重新組裝，從狙擊手中恢復。
Mortem後：72小時內,動作Aitema,政策/測試更新。

SOAR規則（示例）

yaml soar:
playbooks:
key_compromise:
trigger: ["anomalous_sign","suspicious_kid"]
actions: ["revoke_key","rotate","notify_owners","enable_strict_mode"]

11）合規性和居住性

監管要求：數據存儲/刪除（DSR），報告，RNG/密碼學認證。
居住地：按區域鍵和電壓，按白色列表導出。
流程：定期審計，更改記錄，關鍵策略的時間表。

yaml residency:
eu: { pii: "tokenized", export: ["anonymized_metrics"] }
uk: { pii: "tokenized", export: [] }
compliance:
dsr:
erase_sla_days: 30 export_sla_days: 30

12） DR/BCP和可持續性

RPO/RTO目標：P0服務-RPO ≤ 5分鐘，RTO ≤ 15分鐘。
Geo復制：資產-passive/資產-資產，定期恢復測試。
孤立模式：僅最終化，僅緩存，限制「昂貴」操作。
備用通道：獨立的IX/提供商，加密的區域間隧道。

DR政策

yaml dr:
rpo_min: 5 rto_min: 15 exercises: ["quarterly-failover","annual-blackhole"]

13）安全度量與測試

Chaos-security: тесты MITM/DNS-poison/packet-loss/latency.

紅色/藍色團隊：網絡釣魚場景，代幣劫持，供應鏈註入。
Tabletop-drills：模擬決策和通信。

自動測試： SAST/DAST/IAST, fuzzing協議,linters.

14）事件花花公子

A.對成員鑰匙的損害

1. 「revoke_key」 → 「rotate」 →更新受信任的註冊表；

2.啟用嚴格模式簽名；3）重新吸收關鍵的蹦床；4）向合作夥伴報告。

B.居住中斷

1.立即出口塊；2）幹擾/刪除；3）通知DPO/Compliance；4）更新測試。

C.供應鏈註射

1.回滾哈希，殺手開關；2）重新驗證SBOM/認證；3）CI令牌的輪換；4）後太平間。

D.大規模的DoS/L7洪水

1.激活強化限值/WAF；2）Anycast劃船；3）P0優先級；4）與提供商溝通。

E.漂移政策/合同

1.為不兼容的電路啟用deny；2）適配器發布；3）更新林特/寄存器。

15）實施支票（按步驟）

1.輸入身份模型（org/peer/service/user）和mTLS+OIDC。
2.描述策略即代碼（RBAC/ABAC）、PoLP和JIT上報。
3.加密「在路上」和「靜止」數據,令牌化PII,設置駐留。
4.啟用供應鏈保護：工件簽名、SBOM、認證、canary+kill-switch。
5.配置WAF/Rate-limits/DoS衛兵和egress控制。
6.舉起SIEM/SOAR，描述SLI/SLO，Alerts和Security dashbords。
7.調整鑰匙/硫酸鹽的旋轉和斷面玻璃的可用性。
8.演練DR/BCP和孤立模式，進行演習。
9.組織審計/編寫和定期的後面模擬。
10.每季度審查策略,自動化檢查。

16）詞匯表

Zero-Trust是一種模型，可以獨立於位置檢查每個動作。
PoLP是最低要求權利的原則。
Policy-as-Code-通過聲明性策略控制訪問/規則。
SLSA-軟件供應鏈安全級別。
RPO/RTO-數據丟失/恢復時間目標值。
DPoP/PoP-令牌綁定到特定的TLS通道/客戶端。
嚴格模式是一種禁止不匹配的電路/簽名的模式。

底線：生態系統的安全不是「防火墻和TLS」,而是加密信任、嚴格的訪問策略、可觀察性和操作紀律的融合。遵循Zero-Trust，PoLP，供應鏈控制和可測量的SLO，將安全性轉變為可管理的工程實踐，可抵抗故障，攻擊和監管變化。