---
title: 'Mehanizmi i tehnologije sigurnosti'
section: 'Concepts'
weight: 1
description: Višeslojni pristup sigurnosti platforme – fizički i mrežni sloj, sloj operacijskog sustava, aplikacijski sloj i sloj za pohranu podataka, kao i mehanizmi implementirani na svakoj razini.
related:
- security/data-security
- security
- operations/backup-and-restore
- eu-compliance
---
import Alert from '@/components/docs/Alert.astro';
Suvremeni sustavi zahtijevaju višeslojan pristup sigurnosti, u kojem svaki sloj obavlja određene funkcije i djeluje u sprezi s ostalima kako bi se [izgradio sveobuhvatan sigurnosni sustav](#implementirani-sigurnosni-mehanizmi). Pogledajmo ključne slojeve, njihove mehanizme i tehnologije te najbolje prakse za njihovu primjenu.
## Razine sigurnosti sustava
### Fizički sloj
Fizička sigurnost temelj je cjelokupnog sustava zaštite. Cilj joj je spriječiti neovlašteni
pristup hardverskim resursima i infrastrukturi.
- **Poslužiteljske prostorije i podatkovni centri:**
oprema mora biti smještena u zaštićenim podatkovnim centrima s višerazinskim sustavima kontrole pristupa: biometrijskom autentifikacijom, RFID karticama i videonadzorom. Prostorije moraju biti opremljene sustavima za gašenje požara i klimatizaciju, kao i zaštitom od kolebanja napona.
- **Zaštita perimetra:**
koriste se fizičke prepreke (na primjer, dvostruke brave na vratima), senzori pokreta i danonoćna zaštitarska služba. Za kritične objekte primjenjuje se načelo „dubinske obrane” (defense in depth) – višeslojna zaštita uz redovite provjere ranjivosti.
- **Redundancija infrastrukture:**
kako bi se rizici sveli na najmanju mjeru, koriste se pričuvni izvori napajanja (UPS, generatori), udvostručeni komunikacijski kanali i distribuirani podatkovni centri (geografsko razdvajanje).
### Mrežni sloj
Ovaj sloj štiti prijenos podataka, sprječava napade na mrežne resurse i upravlja prometom.
- **Vatrozidi:**
suvremeni vatrozidi NGFW (Next-Generation Firewall) analiziraju promet na aplikacijskoj razini i blokiraju sumnjive sesije. Na primjer, možete konfigurirati pravila koja zabranjuju odlazne veze prema mreži Tor ili blokiraju portove koje sustav ne koristi.
- **Zaštita od DDoS napada:**
usluge u oblaku (na primjer, Cloudflare) filtriraju promet prepoznavanjem anomalnih obrazaca. Lokalna rješenja obuhvaćaju ograničavanje broja zahtjeva (rate limiting) i usmjeravanje u crnu rupu (blackhole routing).
- **Segmentacija mreže:**
mreže se dijele na virtualne lokalne mreže (VLAN), demilitarizirane zone (DMZ) i izolirane podmreže. Za IoT uređaje koriste se namjenski APN-ovi (Access Point Names) kako ti uređaji ne bi dolazili u dodir s korporativnim prometom.
- **Sustavi za otkrivanje i sprječavanje upada (IDS/IPS):**
alati kao što su Snort ili Suricata analiziraju pakete u stvarnom vremenu i blokiraju napade na temelju potpisa i anomalija u ponašanju. Integracija sa SIEM sustavima (na primjer, Splunk) omogućuje automatsko reagiranje.
- **Šifriranje prometa:**
obvezno se koristi protokol TLS 1.3 sa suvremenim algoritmima šifriranja (AES-GCM, ChaCha20). Za VPN veze preporučuju se protokoli WireGuard ili IPsec umjesto zastarjelih PPTP/L2TP.
### Sloj operacijskog sustava
Sigurnost operacijskog sustava postiže se strogom konfiguracijom, pravodobnim ažuriranjem i izolacijom procesa.
- **Kontejnerizacija (Docker, Kubernetes):**
svaka usluga radi u izoliranom kontejneru s ograničenim pravima. Na primjer, web-poslužitelju se dodjeljuje zaseban korisnik bez pristupa datotekama sustava.
- **Moduli obvezne kontrole pristupa (MAC):**
- **SELinux:** provodi politike temeljene na oznakama i tako sprječava izvršavanje nepotpisanih binarnih datoteka.
- **AppArmor:** definira profile aplikacija i ograničava njihov pristup datotečnom sustavu.
- **Revizija i nadzor:**
alati kao što su Auditd ili Osquery nadziru izmjene kritičnih datoteka (na primjer, /etc/passwd). Za analizu zapisa (logova) koristi se skup alata ELK (Elasticsearch, Logstash, Kibana) ili Grafana.
- **Ažuriranja i zakrpe:**
ažuriranje se automatizira pomoću alata kao što su unattended-upgrades (Linux) ili WSUS (Windows). Za kritične sustave ažuriranja najprije testirajte u probnom okruženju (staging).
### Aplikacijski sloj
Sigurnost aplikacija zahtijeva kombinaciju ugrađenih mehanizama i poštivanja standarda razvoja.
- **Autentifikacija i autorizacija:**
- Višefaktorska autentifikacija (MFA) pomoću jednokratnih lozinki (OTP), U2F ključeva ili biometrije.
- Implementacija protokola OAuth 2.0/OpenID Connect za delegirani pristup.
- RBAC (kontrola pristupa temeljena na ulogama) prema načelu najmanjih privilegija.
- **Zaštita od web-napada:**
- **CSRF:** generiranje tokena pomoću kriptografski sigurnih algoritama (HMAC-SHA256).
- **XSS:** pročišćavanje ulaznih podataka pomoću biblioteka, kao što je DOMPurify, i primjena politike CSP s direktivom `default-src 'self'`.
- **SQL injekcije:** korištenje ORM biblioteka (Hibernate, SQLAlchemy) ili pripremljenih upita (prepared statements).
- **Siguran razvoj (DevSecOps):**
integrirajte skenere ranjivosti (OWASP ZAP, SonarQube) u CI/CD lanac (pipeline). Redovito provodite penetracijsko testiranje i pregled koda.
### Sloj za pohranu podataka
Osigurajte povjerljivost, cjelovitost i dostupnost podataka.
- **Šifriranje:**
- **Pohranjeni podaci:** šifriraju se pomoću alata LUKS (Linux) ili BitLocker (Windows), algoritmom AES-256.
- **Podaci u prijenosu:** za prijenos između poslužitelja i klijenata koristi se TLS.
- **Ključevi:** pohranjuju se u hardverskom sigurnosnom modulu HSM (Hardware Security Module) ili u usluzi KMS u oblaku (AWS KMS, HashiCorp Vault).
- **Izrada sigurnosnih kopija:**
strategija 3-2-1: 3 kopije, na 2 različita medija, od kojih je 1 na udaljenoj lokaciji. Izrada kopija automatizira se pomoću alata BorgBackup ili Veeam.
- **Kontrola pristupa:**
- **RBAC/ABAC:** dinamičko upravljanje pravima pristupa na temelju atributa korisnika (radno mjesto, lokacija).
- **Revizija:** bilježenje svih operacija (CREATE, UPDATE, DELETE) uz integraciju sa SIEM sustavom.
Višeslojna zaštita ne zahtijeva samo uvođenje tehnologija. Zahtijeva i stalni nadzor, obuku
zaposlenika i prilagodbu novim prijetnjama. Redovite revizije, primjena normi (ISO/IEC 27001,
NIST) i automatizacija procesa od ključne su važnosti za dugoročnu održivost.
## Implementirani sigurnosni mehanizmi
### Sigurnost mrežnog sloja
- **Filtriranje dolaznog i odlaznog prometa** konfigurirano je tako da blokira neovlaštene veze. Radi veće sigurnosti preporučuje se ograničiti pristup sustavu na pouzdane IP adrese (preko interneta) ili samo na VPN veze.
- **Koristite namjenski APN** u postavkama SIM kartice telemetrijskih (IoT) uređaja. To izolira uređaje od općeg internetskog prometa i povećava zaštitu podataka.
- Web-sučelju se pristupa putem **protokola HTTPS** (TLS/SSL certifikati), koji šifrira promet između klijenta i poslužitelja.
### Zaštita sloja operacijskog sustava
- **Izolacija procesa** povećava otpornost na kvarove sustava i hakerske napade. Na IoT poslužitelju svaki dio sustava izoliran je pomoću Docker kontejnerizacije. Kontejnerizacija međusobno izolira različite dijelove sustava, čime se moguća šteta od napada i kvarova svodi na najmanju mjeru.
- Korištenje modula AppArmor ili SELinux (po izboru). **Sigurnosni moduli** pružaju dodatnu zaštitu na razini operacijskog sustava: jačaju kontrolu pristupa i pomažu spriječiti neželjene radnje u sustavu.
- **Prilagodba politika**: izradite stroge sigurnosne politike koje ograničavaju pristup kritičnim resursima.
- **Sigurnosna revizija**: redovito analizirajte zapise kako biste otkrili sumnjive aktivnosti.
### Zaštita aplikacijskog sloja
- Web-dio sustava zaštićen je od napada tipa **Cross-Site Request Forgery (CSRF)**. Ugrađeni mehanizmi generiraju jedinstven token za svaki obrazac i tako sprječavaju krivotvorenje zahtjeva. Koriste se i atributi kolačića SameSite te provjera zaglavlja Referer.
- Sustav ima ugrađenu zaštitu od napada tipa **Cross-Site Scripting (XSS)**, uključujući filtriranje korisničkog unosa kojim se sprječava ubacivanje zlonamjernog JavaScript koda.
- Politika sigurnosti sadržaja (CSP): konfiguriranje politika koje ograničavaju izvore iz kojih se mogu učitavati skripte i drugi resursi.
- Neutraliziranje posebnih znakova (escaping): HTML, CSS i JavaScript kod u korisničkom unosu automatski se neutralizira.
- Sustav komunicira s bazom podataka putem **ORM modula**, koji ima ugrađenu zaštitu od SQL injekcija (ne može izvršiti proizvoljan SQL kod), a usto bilježi upite radi otkrivanja sumnjivih aktivnosti.
### Zaštita sloja za pohranu podataka
- **Šifriranje podataka:** koriste se algoritmi šifriranja (na primjer, AES-256) koji štite podatke na disku i u prijenosu.
- **Sigurnosne kopije:** podaci se redovito kopiraju i čuvaju u zaštićenom spremištu.
- **Kontrola pristupa:** koristi se kontrola pristupa temeljena na ulogama (RBAC), a za sve operacije s podacima u spremištu bilježi se revizijski trag.