Təhlükəsizlik üzrə ən yaxşı təcrübələr
Bulutistan Cloud hesabınızı, giriş məlumatlarınızı, şəbəkələrinizi və məlumatlarınızı qoruyan parametrlər və vərdişlər, hər biri üçün konsol vasitələri ilə.
Platforma sizə nəzarət vasitələri verir, layihələrinizin (project) nə dərəcədə yaxşı qorunması isə onlardan necə istifadə etməyinizdən asılıdır. Bu məqalə ən vacib təcrübələri nəyi qoruduqlarına görə qruplaşdıraraq bir yerə toplayır. Hansı hissəni Bulutistan, hansını isə siz qoruduğunuzu öyrənmək üçün Paylaşılan məsuliyyət səhifəsinə baxın.
Girişi qoruyun
- Hesabınız üçün iki faktorlu autentifikasiyanı (two-factor authentication) aktivləşdirin. Autentifikator tətbiqindən (authenticator app) istifadə edin və Recovery codes siyahısını təhlükəsiz yerdə saxlayın: kodlar bir dəfə göstərilir. İki faktorlu autentifikasiyanı quraşdırın bölməsinə baxın.
- Onu mövcud üzvlər üçün tələb edin. Abunəliyin (subscription) sahibi Identity & AccessAuthentication bölməsində Enforce 2FA for all members dəyişdirici düyməsini aktivləşdirir. İki faktorlu autentifikasiyası olmayan mövcud üzvlərdən növbəti girişdə onu quraşdırmaq tələb olunur. Bu tələb artıq açıq olan seansları sonlandırmır.
- Seanslarınızı nəzərdən keçirin. Identity & AccessAuthentication bölməsindəki Active sessions paneli hesabınıza daxil olmuş hər brauzeri sadalayır. Tanımadığınız brauzer olarsa, onun seansını ləğv edin və ya Sign out everywhere else düyməsini seçin.
Məsələn, Enforce 2FA for all members dəyişdirici düyməsini aktivləşdirdikdən sonra iki faktorlu autentifikasiya olmadan daxil olan mövcud üzv konsola çatmazdan əvvəl onu quraşdırmalıdır. İki faktorlu autentifikasiyanı məcburi edin səhifəsinə baxın.
Minimal imtiyazlar verin
- Ən məhdud daxildə qurulmuş rolu (built-in role) seçin. Reader rolu yalnız oxuya bilir. Contributor rolu resursları idarə edir, lakin girişi və ödənişi dəyişə bilmir. Billing Operator rolu yalnız ödənişi və büdcələri (budget) idarə edir. Owner rolunu girişi və ödənişi idarə edən az sayda şəxs üçün saxlayın.
- Rolu ən dar miqyasda (scope) verin. Şəxs bir layihədə işləyirsə, rolu bütün abunəlikdə deyil, həmin layihədə verin. Daxildə qurulmuş rol həddindən artıq imkan verirsə, fərdi rol (custom role) yaradın.
- Ayrılan şəxsləri silin. Üzvü sildikdə onun API tokenləri (API token) ləğv edilir. Üzvü qeyri-aktiv edin, yenidən aktivləşdirin və ya silin bölməsinə baxın.
Məsələn, bir tətbiqi yerləşdirən tərtibatçı həmin tətbiqin layihəsində Contributor rolunu alır, başqa heç bir yerdə isə rolu olmur. Daxildə qurulmuş və fərdi rollardan istifadə edin səhifəsinə baxın.
Giriş məlumatlarını qısamüddətli və məhdud saxlayın
- Avtomatlaşdırma üçün xidmət hesablarından (service account) istifadə edin. Xidmət hesabı açarı şəxsin deyil, xidmət hesabının rolları ilə işləyir və onu quran şəxs ayrıldıqda da işləməyə davam edir. Açarın müddəti həmişə 365 gündən sonra bitir. Açarları idarə edin bölməsinə baxın.
- API tokenlərini məhdudlaşdırın. Hər API tokeninə yalnız ona lazım olan miqyasları və bitmə tarixi verin, çağıranın sabit ünvanları olduqda isə IP allowlist parametrini təyin edin.
- Sirləri (secret) təhlükəsiz saxlayın. Platforma sirri bir dəfə göstərir. Sirləri heç vaxt kodda və ya versiya nəzarəti sistemində deyil, sirr menecerində saxlayın.
- Rotasiya edin, şübhə olduqda isə dərhal ləğv edin. API tokenini rotasiya etdikdən sonra köhnə sirr 24 saat ərzində işləməyə davam edir ki, onu API-ni çağıran proqramlarınızda yeniləyə biləsiniz. Ləğv edilmiş token növbəti sorğusunda işləməyi dayandırır. API tokenini rotasiya edin bölməsinə baxın.
- Tətbiq giriş məlumatlarına (application credential) da eyni cür yanaşın. OpenStack alətləri üçün tətbiq giriş məlumatı bir layihəyə aiddir və onun müddəti həmişə bitir. Qısa qüvvədə olma müddəti seçin, müddəti bitməzdən əvvəl onu rotasiya edin və artıq lazım olmadıqda ləğv edin. Giriş məlumatlarını rotasiya və ləğv edin səhifəsinə baxın.
Məsələn, yerləşdirmə konveyeri yalnız staging layihəsində Contributor rolu olan xidmət hesabının açarından istifadə edir və konveyer açarı müddəti bitməzdən əvvəl əvəz edir. Xidmət hesabları və API tokenləri səhifəsinə baxın.
Şəbəkədən əlçatanlığı məhdudlaşdırın
- Hər daxil olan trafik qaydasında mənbə təyin edin. Virtual maşın (instance) yaratma ustadının Quick security rules bölməsindəki qaydalar mənbəni dəyişməsəniz, öz portlarını bütün ünvanlara açır, SSH və ya RDP bütün internetə açıq olduqda isə konsol xəbərdarlıq edir. Cari ictimai ünvanınızı daxil etmək üçün My IP düyməsindən istifadə edin.
- Yalnız iş yükünə lazım olan portları açın. Artıq istifadə etmədiyiniz qaydaları silin.
- Vacib olduğu yerlərdə çıxan trafiki məhdudlaşdırın. Yeni təhlükəsizlik qrupu (security group) bütün çıxan trafikə icazə verir. Yalnız müəyyən ünvanlara çatmalı olan virtual maşınlar üçün bu qaydaları silin və daha dar qaydalar əlavə edin.
- İctimai ünvanları yalnız lazım olan yerdə verin. Floating IP-ni yalnız internetdən əlçatan olmalı olan virtual maşınlarla əlaqələndirin. Digərlərinə öz şəbəkənizdən Site-to-Site VPN tuneli vasitəsilə qoşulun.
Məsələn, virtual maşınlarınıza SSH girişinə yalnız ofisinizin ünvan diapazonundan icazə verin, 80 və 443 portlarına isə bütün ünvanlardan yalnız veb serverlərinizdə icazə verin. Təhlükəsizlik qruplarını və qaydaları yaradıb redaktə edin səhifəsinə baxın.
Məlumatlarınızı qoruyun
- Lazım olan disklərin (volume) ehtiyat nüsxəsini (backup) çıxarın. Backup Center yalnız ehtiyat nüsxə planına (backup plan) təyin etdiyiniz disklərin ehtiyat nüsxəsini çıxarır. Heç bir planın əhatə etmədiyi diskləri müntəzəm yoxlayın. Qorunmayan diskləri tapın səhifəsinə baxın.
- Silinmədən qorumanı (deletion protection) aktivləşdirin. Deletion protection dəyişdirici düyməsi aktiv olduqda konsol və REST API kimsə qorumanı qeyri-aktiv edənə qədər virtual maşını və ya diski silməkdən imtina edir. Virtual maşınlar üçün Silinmədən qorumanı aktivləşdirin və ya qeyri-aktiv edin bölməsinə, disklər üçün isə Diski qoruyun səhifəsinə baxın.
- Riskli dəyişikliklərdən əvvəl ani görüntü (snapshot) yaradın, məsələn, əməliyyat sistemini yeniləməzdən əvvəl. Disklərin ani görüntülərini yaradın səhifəsinə baxın.
- Həssas məlumatları özünüz şifrləyin, onlar saxlanma zamanı şifrlənməli olduqda. Şifrləmə səhifəsinə baxın.
Məsələn, virtual maşındakı verilənlər bazasını yeniləməzdən əvvəl onun məlumat diskinin (data disk) ani görüntüsünü yaradın, virtual maşın və disk üçün isə silinmədən qorumanı aktiv saxlayın.
Dəyişiklikləri izləyin
- Activity Log-u nəzərdən keçirin. Gözləmədiyiniz əməliyyatları, məsələn, silinmiş resursları və ya dəyişdirilmiş rol təyinatlarını axtarın. Qeydlər saxlama müddəti (retention) bitdikdən sonra silinir, ona görə saxlamalı olduğunuz qeydləri ixrac edin. Audit və fəaliyyət qeydləri səhifəsinə baxın.
- Vacib olanlar üçün xəbərdarlıq qurun. Vacib virtual maşınlarınız üçün xəbərdarlıq qaydaları (alert rule) yaradın və bildirişləri komandanızın izlədiyi bildiriş kanalına (notification channel) göndərin. Webhook bildirişləri aldıqda onların imzalarını yoxlayın. Xəbərdarlıq qaydaları yaradın səhifəsinə baxın.