Oziq-ovqat muhitini mustahkamlash

1) Maqsad va ramka

Prod-atrof-muhitni mustahkamlash - bu hodisalar ehtimolini va ularning zararini kamaytiradigan amaliyotlarning tizimli to’plamidir. Fokus: API-perimetr, mijozlar/to’lovlar ma’lumotlari, CI/CD, konteyner platformasi, kirish, o’zgarishlarni nazorat qilish, kuzatish va tartibga solish talablariga muvofiqlik.

Asosiy tamoyillar:

Security by Design & Default: minimal imtiyozlar, xavfsiz defoltlar.
Zero Trust: Na tarmoqqa, na identifikatsiyaga ishonmang.
Defence-in-Depth: ko’p darajali himoya (tarmoq → xizmat → ilova → ma’lumotlar).
Artefaktlarning immutabelligi: «build once, run many».
E2E-izlar va tinglanuvchanlik: kim, qachon, nimani o’zgartirdi va nima uchun.

2) Tahdidlar modeli va tanqidiy aktivlar

Aktivlar: hisobvaraqlar va to’lov tokenlari, PII/pasport ma’lumotlari, RNG/o’yin balanslari, shifrlash kalitlari, integratsiya sirlari, deploy payplaynlari, konteyner tasvirlari.
Vektorlar: qaramlik zaifliklari, tokenlarning chiqib ketishi, bulutning/K8s, SSRF/RCEning APIdagi noto’g’ri konfiguratsiyasi, supply chain (CI/CD/repozitoriya kompromsatsiyasi), insayder kirish, DDoS/bot-trafik.
Ssenariylar: avtorizatsiyalanmagan subyekt tomonidan mablag’larni chiqarish, koeffitsiyentlar/balanslarni almashtirish, bazani to’kish, payplaynni qo’lga olish, mahsulotdagi qo’lda tuzatishlar.

3) Tarmoq arxitekturasi va izolyatsiya

Segmentatsiya: prod/stage/dev uchun alohida VPC/VNet. Prod ichida - edge (LB/WAF), API, DB, tahlilchilar, ma’muriy xizmatlar uchun kichik tarmoqlar.
«Aniq ruxsat etilgan» siyosati: kichik tarmoqlar orasidagi deny-all, biz faqat kerakli portlarni/yo’nalishlarni ochamiz.
mTLS xizmatlar oʻrtasida, sertifikatlar rotatsiyasi avtomatlashtirilgan.

NetworkPolicy K8s misoli (deny-all + allow-list):

yaml apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata:
name: default-deny namespace: prod spec:
podSelector: {}
policyTypes: ["Ingress","Egress"]
apiVersion: networking. k8s. io/v1 kind: NetworkPolicy metadata:
name: allow-api-to-db namespace: prod spec:
podSelector:
matchLabels: {app: db}
ingress:
- from:
- podSelector: {matchLabels: {app: api}}
ports: [{protocol: TCP, port: 5432}]

4) O’ziga xoslik va foydalanish (PAM/JIT)

Barcha kirish uchun SSO + MFA.
RBAC&ABAC: bulutlar, klaster, nomlar va dasturlar darajasidagi rollar.
PAM: jump/bastion, JIT-kirish (cheklangan vaqt), session recording.
Break-glass: apparat kalitli muhrlangan hisobotlar, jurnallashtiriladigan berish.

Har 30 kunda bir marta «kim nimadan foydalanishi mumkin?»

5) Sirlar va kalitlar

Maxfiy saqlash (Vault/KMS/Secrets Manager), Git’dan sirlarni chiqarib tashlang.
master-kalitlar uchun KMS/HSM; KEK/DEK, avtomatik rotatsiya.
TTL siyosati: qisqa yashaydigan tokenlar (OIDC/JWT), CI uchun vaqtinchalik qaydlar.
Shifrlash: tinch (AES-256/GCM), parvoz (TLS 1. 2 +/mTLS), PII/kartochka ma’lumotlari ustunlari - alohida kalit bilan.

6) Supply chain и CI/CD hardening

Prod uchun runner’larni izolyatsiya qilish (shaxsiy tarmoqdagi self-hosted).
Artefaktlar imzosi (Sigstore/cosign), deploydagi imzoni tekshirish.
SBOM (CycloneDX/SPDX), SCA/VA har bir kommitada va chiqarishdan oldin.
«no tag latest» siyosati, faqat immutable teglar.
4 ko’zli printsip: majburiy code review va change approval.
Infrastructure as Code: Terraform/Helm с policy-as-code (OPA/Conftest).

OPA-regl misoli (public S3/Storage taqiqlangan):

rego package iac. guardrails

deny[msg] {
input. resource. type == "storage_bucket"
input. resource. acl == "public-read"
msg:= sprintf("Public bucket forbidden: %s", [input. resource. name])
}

7) Konteynyerlar va Kubernetes

Minimal tasvir bazasi (distroless), rootless, read-only FS, drop CAPs.
Admission-control: privileged, hostPath, hostNetwork.
Pod Security Standards: baseline/restricted для prod ns.
ImagePolicyWebhook: faqat imzolangan rasmlarni oʻtkazib yuborish.
Runtime-siyosati (Falco/eBPF): anormal syscalls uchun alertlar.
Quota/LimitRange: tugunlarni shovqinli qoʻshnilardan himoya qilish.

8) API-perimetri: WAF, Rate Limits, Bot/DDoS

API Gateway: autentifikatsiya (OAuth2/JWT/HMAC), normallashtirish, mTLS, schema validation.
WAF: bazaviy qoidalar + biznes-metrika kastasi.
Rate limits: global/IP/mijoz kaliti bo’yicha; «tokenlar» va burst.

NGINX-rate-limit misoli:

nginx limit_req_zone $binary_remote_addr zone=api:20m rate=10r/s;

server {
location /api/ {
limit_req zone=api burst=30 nodelay;
proxy_pass http://api_backend;
}
}

Bot management: xulq-atvor signallari, device fingerprint, challenge.
DDoS: CDN/edge-skrubbing, autoscaling, issiq chichlar uchun «dark-launch».

9) Konfiguratsiya siyosati va xavfsiz defoltlar

Xatarli funksiyalarni tezda oʻchirish uchun feature flags/kill-switches.
Config-as-Code sxemalar validatsiyasi, konfiguratsiyalar uchun canary/blue-green.
KPI sifatida Time-to-Revoke.

10) Ma’lumotlar va maxfiylik

Tasniflash: PII/moliya/operatsion loglar/telemetriya.
Minimallashtirish: faqat kerakli narsalarni saqlash, anonimlashtirish/taxalluslashtirish.
Backups: alohida akkaunt/loyiha, shifrlash, muntazam DR mashqlari.
Chiqish qoidalari: same-method, velocity-limitlar, risk-skoring, 4 ko’z.
Legal Hold/retenshn: saqlash jadvallari, boshqariladigan utilizatsiya.

11) Kuzatish, alerta va harakat qilish

Triada: loglar (sirsiz), metriklar (SLO/SLA), treyslar (W3C).
Xavfsizlik signallari: kirish joylarining muvaffaqiyati/muvaffaqiyatsizligi, imtiyozlarning kuchayishi, sirlarning o’zgarishi, trafikning chetga chiqishi.
SIEM + SOAR: korrelyatsiya va yarim avtomatik pleybuklar.
Hodisalar pleybuklari: DDoS, sirlarning tarqalishi, runner’a buzilishi, reliz rollback, to’lovlarni «muzlatish».
MTTD/MTTR tezkorlikning asosiy metrikasi sifatida.

12) O’zgartirishlar va chiqarishni boshqarish

Change Advisory Board (yengil) high-risk o’zgarishlar uchun.
Pre-prod gates: testlar, xavfsizlik, perf, migratsiya.
Canary/Blue-Green/Shadow deploi, SLO bo’yicha avtomatik rollback.
Prodda toʻgʻridan-toʻgʻri oʻzgarishlarni taqiqlash: oʻzgarishlar faqat payplayn orqali amalga oshiriladi.

13) Zaifliklar va patchlar

Patch policy: tanqidiy - ASAP; high - N kun mobaynida.
Fixdan keyin qayta skanerlash; ekspozitsiya bo’yicha CVE-tortish.
Chaos-security: tanlangan oynalarda «table-top» davriy mashqlari va «qizil jamoa» hujumlari.

14) Muvofiqlik va audit

Nazorat freymvorkalari: PCI DSS (to’lovlar), SOC 2, ISO 27001.
Artefaktlar: nazorat matritsasi, o’zgartirish jurnallari, skan hisobotlari, DR-test natijalari, access-review.
Doimiy tayyorgarlik: «evidence as code» - artefaktlar avtomatik ravishda payplaynlar va tizimlardan yig’iladi.

15) Iqtisodiyot va ishonchlilik

Guardrails qiymati bo’yicha: kvotalar, budjetlar, alertlar, foydalanilmayotgan resurslarni avtomatik ravishda o’chirish.
Sig’imi: SLO yo’naltirilgan rejalashtirish, yuklash testlari, «tartibsizlik kunlari».
Tiklashning ustuvor yo’nalishlari: servislar bo’yicha RTO/RPO, qaramlik xaritasi.

16) Anti-patternlar

Sirlar v.env v v Git, hamma uchun umumiy «admin», «to’g» ridan to’g «ri SSH v prod», konteynerlardagi qo’l fikslari, «latest» teglari, hamma uchun bitta umumiy klaster, ommaviy baketalar, prod-tarmog’ida outbound-internet bilan CI-runner, PII bilan loglar, «issiq» uchun kill-switch mavjud emas fichlar.

17) Tezkor boshlash chek-varaqasi (90 kun)

0-30 kun

MFA/SSOni, kirish joylarini tahrirlashni o’z ichiga oladi; deny-all tarmoq siyosati; Secrets Manager/KMS; K8s privileged taqiqlanishi; WAF/Rate-limit; kirish/eskalatsiyaning bazaviy alertlari.

31-60 kun

Rasm imzosi + ImagePolicy; SBOM + SCA в CI; canary/rollback; SIEM korrelyatsiya; pleybuki IR; JIT/PAM; DR-test bilan zaxira nusxa olish.

61-90 kun

IaC uchun OPA-guardrails; eBPF/Falco; bot-menejment; periodic access-review; chaos-security mashqlari; konfiguratsiyalar auditi va cost-guardrails.

18) Etuklik metrikasi

Foydalanuvchilar:% MFA hisoblari, tokenlarning oʻrtacha yoshi, chaqirib olish vaqti.
Payplayn:% imzo/SBOM, SAST/DAST qoplamasi.
Platforma: read-only FS, PSS-restricted, NetworkPolicy qoplamali pod’lar ulushi.
Perimetri:% rate-limit/WAF qoidalari bilan API, DDoS uchun o’rtacha javob.
IR: MTTD/MTTR, «table-top» chastotasi, muvaffaqiyatli DR mashqlari foizi.
Muvofiqlik: avtomatik dalillar bilan nazoratlarning ulushi.

19) Ilova: siyosat shablonlari

AWS SCP (ommaviy baxetlarni taqiqlash)

json
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "DenyPublicS3",
"Effect": "Deny",
"Action": ["s3:PutBucketAcl","s3:PutBucketPolicy"],
"Resource": "",
"Condition": {"StringEquals": {"s3:x-amz-acl": "public-read"}}
}]
}

Kubernetes PodSecurity (namespace-label)

yaml apiVersion: v1 kind: Namespace metadata:
name: prod labels:
pod-security. kubernetes. io/enforce: restricted pod-security. kubernetes. io/audit: restricted

Konteynerlar uchun OPA (privileged taqiqlangan)

rego package k8s. admission deny[msg] {
input. request. object. spec. containers[_].securityContext. privileged == true msg:= "Privileged containers are not allowed in prod"
}

20) Xulosa

Oziq-ovqat muhitini mustahkamlash - bu uzluksiz jarayon. Xavfni maksimal darajada kamaytiradigan chora-tadbirlarga ustuvor ahamiyat bering: foydalanish imkoniyati va sirlari, tarmoq izolyatsiyasi, artefaktlar imzosi va payplayn nazorati, API-perimetri himoyasi, kuzatuv va o’zgarishlar tartibi. Qolganlarini etuklik metrikalari va nazorat iqtisodiyotini belgilab, iterativ ravishda ko’paytiring.

Oziq-ovqat muhitini mustahkamlash