Əsas fikir
Nəzarətləri yalnız şəbəkə sərhədində toplamayın. Hər resursun kim tərəfindən idarə olunduğunu, hansı kimliyin ona müraciət etdiyini və hadisənin necə aşkarlanıb bərpa ediləcəyini dizayna daxil edin.
Xidmət modelinə görə məsuliyyəti bölüşdürün
IaaS, PaaS və SaaS eyni məsuliyyət sərhədinə malik deyil. Hər iş yükü üçün provayderin idarə etdiyi fiziki və platforma qatlarını, müştərinin idarə etdiyi hesabları, məlumatı, parametrləri və tətbiq hissələrini qeyd edin. Məsələn, virtual maşında əməliyyat sistemi yeniləməsi müştərinin işi ola bilər, idarə olunan tətbiq xidmətində isə bəzi alt qatları provayder idarə edir. Xidmət adı ilə kifayətlənməyin: faktiki konfiqurasiya və müqavilə sənədlərinə əsasən məsul matrisi hazırlayın. Aşağıdakı nümunələr başlanğıc nöqtəsidir; dəqiq bölgü xidmət sənədlərindən və konfiqurasiyadan asılıdır.
| Xidmət nümunəsi | Provayderin idarə etdiyi sahə | Müştərinin yoxlaması |
|---|---|---|
| IaaS virtual maşını | Fiziki və virtuallaşdırma infrastrukturu | Qonaq ƏS, tətbiqlər və icazələr |
| İdarə olunan tətbiq platforması | Xidmətin müəyyən etdiyi platforma və icra qatları | Tətbiq kodu, məlumat, kimliklər və əlçatan parametrlər |
| SaaS | Təchizatçının işlətdiyi tətbiq xidməti | İstifadəçilər, paylaşım, tenant parametrləri və məlumat emalı |
Şəbəkəni və girişi kimlik ətrafında qurun
Şəbəkə seqmentlərini, giriş nöqtələrini, API-ləri və xidmətlərarası əlaqələri xəritələyin. Geniş etibar sərhədlərinə güvənmək əvəzinə istifadəçi və iş yükü kimliklərinə əsaslanan autentifikasiya və səlahiyyət yoxlaması tətbiq edin; hər xidmətə yalnız tələb olunan əlaqəni açın. İdarəetmə interfeyslərini məhdudlaşdırın, girişlərin haradan və hansı şərtlərlə mümkün olduğunu yoxlayın. Şəbəkə filtrləri vacib qatdır, amma hesab və tətbiq icazələrini əvəz etmir.
Tətbiq və məlumatı dizayn mərhələsində qoruyun
Tətbiq axınında məlumatın harada yaradıldığını, saxlandığını və ötürüldüyünü müəyyən edin. İdentifikasiya, icazə, təhlükəsiz sirr saxlama, şifrələmə və məlumatın məxfiliyinə uyğun audit qeydlərini planlaşdırın. Çoxkirayəli xidmətlərdə müştərilər və tenantlar arasında sərhədlərin tətbiq, yaddaş və giriş səviyyəsində qorunduğunu yoxlayın. Serverless və konteynerlərdə də icra mühiti, paketlər, xidmət hesabları və API-lər üçün sahib təyin edin. Tətbiqi buluda köçürmək öz-özlüyündə bu nəzarətləri təmin etmir.
Aşkarlama, bərpa və dəyişiklikləri arxitekturaya daxil edin
Təhlükəsizlik hadisələrinin hansı qeydlərdən araşdırılacağını və siqnalın kimə çatacağını əvvəlcədən müəyyənləşdirin. Konfiqurasiya dəyişikliklərini izləyin, qayda və şablonları versiya nəzarətində saxlayın, pozuntulara görə avtomatik düzəlişin biznes təsirini sınaqdan keçirin. Ehtiyat nüsxə və bərpa yolunu bulud provayderinin əlçatanlığından ayrı qiymətləndirin. Arxitektura nəzərdən keçirilməsində təhlükə ssenariləri, sahiblik, əməliyyat prosesi və bərpa addımları birlikdə yoxlanmalıdır.
Şablonları və tərəfdaş sərhədlərini sınaqdan keçirin
Təhlükəsiz başlanğıc şablonları və CI/CD yoxlamaları komandalara təsdiqlənmiş konfiqurasiyanı təkrar istifadə etməyə kömək edir. İstisnaları səbəb, sahib və bitmə tarixi ilə sənədləşdirin; hər buraxılışdan əvvəl imtiyazlı giriş, açıq xidmətlər və sirrlərin kodda olub-olmadığını yoxlayın. Xarici SaaS, idarə olunan verilənlər bazası və inteqrasiya provayderləri üçün təhlükəsizlik məsuliyyətini, hadisə bildirişini, log ixracını və bərpa asılılıqlarını müqavilə və əməliyyat planında dəqiqləşdirin.