Mehanizmi i tehnologije sigurnosti

Suvremeni sustavi zahtijevaju višeslojan pristup sigurnosti, u kojem svaki sloj obavlja određene funkcije i djeluje u sprezi s ostalima kako bi se izgradio sveobuhvatan sigurnosni sustav. Pogledajmo ključne slojeve, njihove mehanizme i tehnologije te najbolje prakse za njihovu primjenu.

Razine sigurnosti sustava

Fizički sloj

• Poslužiteljske prostorije i podatkovni centri: oprema mora biti smještena u zaštićenim podatkovnim centrima s višerazinskim sustavima kontrole pristupa: biometrijskom autentifikacijom, RFID karticama i videonadzorom. Prostorije moraju biti opremljene sustavima za gašenje požara i klimatizaciju, kao i zaštitom od kolebanja napona.
• Zaštita perimetra: koriste se fizičke prepreke (na primjer, dvostruke brave na vratima), senzori pokreta i danonoćna zaštitarska služba. Za kritične objekte primjenjuje se načelo „dubinske obrane” (defense in depth) – višeslojna zaštita uz redovite provjere ranjivosti.
• Redundancija infrastrukture: kako bi se rizici sveli na najmanju mjeru, koriste se pričuvni izvori napajanja (UPS, generatori), udvostručeni komunikacijski kanali i distribuirani podatkovni centri (geografsko razdvajanje).

Mrežni sloj

Ovaj sloj štiti prijenos podataka, sprječava napade na mrežne resurse i upravlja prometom.

• Vatrozidi: suvremeni vatrozidi NGFW (Next-Generation Firewall) analiziraju promet na aplikacijskoj razini i blokiraju sumnjive sesije. Na primjer, možete konfigurirati pravila koja zabranjuju odlazne veze prema mreži Tor ili blokiraju portove koje sustav ne koristi.
• Zaštita od DDoS napada: usluge u oblaku (na primjer, Cloudflare) filtriraju promet prepoznavanjem anomalnih obrazaca. Lokalna rješenja obuhvaćaju ograničavanje broja zahtjeva (rate limiting) i usmjeravanje u crnu rupu (blackhole routing).
• Segmentacija mreže: mreže se dijele na virtualne lokalne mreže (VLAN), demilitarizirane zone (DMZ) i izolirane podmreže. Za IoT uređaje koriste se namjenski APN-ovi (Access Point Names) kako ti uređaji ne bi dolazili u dodir s korporativnim prometom.
• Sustavi za otkrivanje i sprječavanje upada (IDS/IPS): alati kao što su Snort ili Suricata analiziraju pakete u stvarnom vremenu i blokiraju napade na temelju potpisa i anomalija u ponašanju. Integracija sa SIEM sustavima (na primjer, Splunk) omogućuje automatsko reagiranje.
• Šifriranje prometa: obvezno se koristi protokol TLS 1.3 sa suvremenim algoritmima šifriranja (AES-GCM, ChaCha20). Za VPN veze preporučuju se protokoli WireGuard ili IPsec umjesto zastarjelih PPTP/L2TP.

Sloj operacijskog sustava

Sigurnost operacijskog sustava postiže se strogom konfiguracijom, pravodobnim ažuriranjem i izolacijom procesa.

• Kontejnerizacija (Docker, Kubernetes): svaka usluga radi u izoliranom kontejneru s ograničenim pravima. Na primjer, web-poslužitelju se dodjeljuje zaseban korisnik bez pristupa datotekama sustava.
• Moduli obvezne kontrole pristupa (MAC):
  • SELinux: provodi politike temeljene na oznakama i tako sprječava izvršavanje nepotpisanih binarnih datoteka.
  • AppArmor: definira profile aplikacija i ograničava njihov pristup datotečnom sustavu.
• Revizija i nadzor: alati kao što su Auditd ili Osquery nadziru izmjene kritičnih datoteka (na primjer, /etc/passwd). Za analizu zapisa (logova) koristi se skup alata ELK (Elasticsearch, Logstash, Kibana) ili Grafana.
• Ažuriranja i zakrpe: ažuriranje se automatizira pomoću alata kao što su unattended-upgrades (Linux) ili WSUS (Windows). Za kritične sustave ažuriranja najprije testirajte u probnom okruženju (staging).

Aplikacijski sloj

Sigurnost aplikacija zahtijeva kombinaciju ugrađenih mehanizama i poštivanja standarda razvoja.

• Autentifikacija i autorizacija:
  • Višefaktorska autentifikacija (MFA) pomoću jednokratnih lozinki (OTP), U2F ključeva ili biometrije.
  • Implementacija protokola OAuth 2.0/OpenID Connect za delegirani pristup.
  • RBAC (kontrola pristupa temeljena na ulogama) prema načelu najmanjih privilegija.
• Zaštita od web-napada:
  • CSRF: generiranje tokena pomoću kriptografski sigurnih algoritama (HMAC-SHA256).
  • XSS: pročišćavanje ulaznih podataka pomoću biblioteka, kao što je DOMPurify, i primjena politike CSP s direktivom default-src 'self'.
  • SQL injekcije: korištenje ORM biblioteka (Hibernate, SQLAlchemy) ili pripremljenih upita (prepared statements).
• Siguran razvoj (DevSecOps): integrirajte skenere ranjivosti (OWASP ZAP, SonarQube) u CI/CD lanac (pipeline). Redovito provodite penetracijsko testiranje i pregled koda.

Sloj za pohranu podataka

Osigurajte povjerljivost, cjelovitost i dostupnost podataka.

• Šifriranje:
  • Pohranjeni podaci: šifriraju se pomoću alata LUKS (Linux) ili BitLocker (Windows), algoritmom AES-256.
  • Podaci u prijenosu: za prijenos između poslužitelja i klijenata koristi se TLS.
  • Ključevi: pohranjuju se u hardverskom sigurnosnom modulu HSM (Hardware Security Module) ili u usluzi KMS u oblaku (AWS KMS, HashiCorp Vault).
• Izrada sigurnosnih kopija: strategija 3-2-1: 3 kopije, na 2 različita medija, od kojih je 1 na udaljenoj lokaciji. Izrada kopija automatizira se pomoću alata BorgBackup ili Veeam.
• Kontrola pristupa:
  • RBAC/ABAC: dinamičko upravljanje pravima pristupa na temelju atributa korisnika (radno mjesto, lokacija).
  • Revizija: bilježenje svih operacija (CREATE, UPDATE, DELETE) uz integraciju sa SIEM sustavom.

Implementirani sigurnosni mehanizmi

Sigurnost mrežnog sloja

• Filtriranje dolaznog i odlaznog prometa konfigurirano je tako da blokira neovlaštene veze. Radi veće sigurnosti preporučuje se ograničiti pristup sustavu na pouzdane IP adrese (preko interneta) ili samo na VPN veze.
• Koristite namjenski APN u postavkama SIM kartice telemetrijskih (IoT) uređaja. To izolira uređaje od općeg internetskog prometa i povećava zaštitu podataka.
• Web-sučelju se pristupa putem protokola HTTPS (TLS/SSL certifikati), koji šifrira promet između klijenta i poslužitelja.

Zaštita sloja operacijskog sustava

• Izolacija procesa povećava otpornost na kvarove sustava i hakerske napade. Na IoT poslužitelju svaki dio sustava izoliran je pomoću Docker kontejnerizacije. Kontejnerizacija međusobno izolira različite dijelove sustava, čime se moguća šteta od napada i kvarova svodi na najmanju mjeru.

• Korištenje modula AppArmor ili SELinux (po izboru). Sigurnosni moduli pružaju dodatnu zaštitu na razini operacijskog sustava: jačaju kontrolu pristupa i pomažu spriječiti neželjene radnje u sustavu.

  • Prilagodba politika: izradite stroge sigurnosne politike koje ograničavaju pristup kritičnim resursima.
  • Sigurnosna revizija: redovito analizirajte zapise kako biste otkrili sumnjive aktivnosti.

Zaštita aplikacijskog sloja

• Web-dio sustava zaštićen je od napada tipa Cross-Site Request Forgery (CSRF). Ugrađeni mehanizmi generiraju jedinstven token za svaki obrazac i tako sprječavaju krivotvorenje zahtjeva. Koriste se i atributi kolačića SameSite te provjera zaglavlja Referer.

• Sustav ima ugrađenu zaštitu od napada tipa Cross-Site Scripting (XSS), uključujući filtriranje korisničkog unosa kojim se sprječava ubacivanje zlonamjernog JavaScript koda.

  • Politika sigurnosti sadržaja (CSP): konfiguriranje politika koje ograničavaju izvore iz kojih se mogu učitavati skripte i drugi resursi.
  • Neutraliziranje posebnih znakova (escaping): HTML, CSS i JavaScript kod u korisničkom unosu automatski se neutralizira.

• Sustav komunicira s bazom podataka putem ORM modula, koji ima ugrađenu zaštitu od SQL injekcija (ne može izvršiti proizvoljan SQL kod), a usto bilježi upite radi otkrivanja sumnjivih aktivnosti.

Zaštita sloja za pohranu podataka

• Šifriranje podataka: koriste se algoritmi šifriranja (na primjer, AES-256) koji štite podatke na disku i u prijenosu.

• Sigurnosne kopije: podaci se redovito kopiraju i čuvaju u zaštićenom spremištu.

• Kontrola pristupa: koristi se kontrola pristupa temeljena na ulogama (RBAC), a za sve operacije s podacima u spremištu bilježi se revizijski trag.