---
title: 'Қауіпсіздік тетіктері мен технологиялары'
section: 'Concepts'
weight: 1
description: Платформа қауіпсіздігіне қабаттық тәсіл — физикалық, желілік, ОЖ, қолданбалы және деректерді сақтау қабаттары, әрі әр деңгейде іске асырылған тетіктер.
related:
- security/data-security
- security
- operations/backup-and-restore
- eu-compliance
---
import Alert from '@/components/docs/Alert.astro';
Заманауи жүйелер қауіпсіздікке қабаттық тәсілді талап етеді: мұнда әр қабат нақты функцияларды орындап, [тұтас қауіпсіздік жүйесін құру](#implemented-security-mechanisms) үшін басқа қабаттармен өзара әрекеттеседі. Негізгі қабаттарды, олардың тетіктері мен технологияларын, әрі оларды іске асырудың үздік тәжірибелерін қарастырайық.
## Жүйе қауіпсіздігінің деңгейлері
### Физикалық қабат
Физикалық қауіпсіздік — бүкіл қорғаныс жүйесінің іргетасы. Оның мақсаты — аппараттық ресурстар мен
инфрақұрылымға рұқсатсыз кіруді болдырмау.
- **Серверлік бөлмелер мен деректер орталықтары:**
Жабдық көп деңгейлі кіруді бақылау жүйелері бар қорғалған деректер орталықтарында орналасуы тиіс: биометриялық аутентификация, RFID-карталар және бейнебақылау. Үй-жайлар өрт сөндіру, климатты бақылау жүйелерімен әрі кернеу ауытқуларынан қорғаныспен жабдықталуы керек.
- **Периметрді қорғау:**
Физикалық кедергілер (мысалы, қос есік құлпы), қозғалыс датчиктері және тәулік бойғы күзет қолданылады. Маңызды нысандар үшін «терең қорғаныс» қағидаты қолданылады — осалдықтарды тұрақты аудиттеумен қатар жүретін көп қабатты қауіпсіздік.
- **Инфрақұрылым артықтығы:**
Тәуекелдерді барынша азайту үшін резервтік қуат көздері (UPS, генераторлар), қосарланған байланыс арналары және таратылған деректер орталықтары (географиялық оқшаулау) пайдаланылады.
### Желілік қабат
Бұл қабат деректерді жеткізу қауіпсіздігін қамтамасыз етеді, желі ресурстарына шабуылдардың алдын алады және трафикті бақылайды.
- **Желіаралық экрандар (firewall):**
Заманауи NGFW (Next-Generation Firewalls) трафикті қолданбалы деңгейде талдап, күдікті сеанстарды бұғаттайды. Мысалы, Tor желісіне шығыс қосылымдарға тыйым салатын немесе жүйе пайдаланбайтын порттарды бұғаттайтын ережелерді теңшеуге болады.
- **DDoS шабуылдарынан қорғану:**
Бұлттық қызметтер (мысалы, Cloudflare) аномалды үлгілерді тану арқылы трафикті сүзеді. Жергілікті шешімдерге жиілікті шектеу (rate limiting) және blackhole-бағыттау жатады.
- **Желіні сегменттеу:**
Желілер VLAN, DMZ және оқшауланған ішкі желілерге бөлінеді. IoT-құрылғылары үшін оларды корпоративтік трафикпен өзара әрекеттесуден сақтау мақсатында арнайы APN (Access Point Names) қолданылады.
- **Енуді анықтау және болдырмау жүйелері (IDS/IPS):**
Snort немесе Suricata секілді құралдар пакеттерді нақты уақытта талдап, қолтаңбалар мен мінез-құлық аномалияларына негізделген шабуылдарды бұғаттайды. SIEM жүйелерімен (мысалы, Splunk) ықпалдасу автоматты әрекет етуге мүмкіндік береді.
- **Трафикті шифрлау:**
Заманауи шифрлармен (AES-GCM, ChaCha20) бірге TLS 1.3 қолдану міндетті. VPN үшін ескірген PPTP/L2TP орнына WireGuard немесе IPsec протоколдары ұсынылады.
### Операциялық жүйе қабаты
ОЖ қауіпсіздігіне қатаң теңшеу, жаңартуларды уақтылы орнату және процестерді оқшаулау арқылы қол жеткізіледі.
- **Контейнерлеу (Docker, Kubernetes):**
Әрбір қызмет шектеулі құқықтары бар оқшауланған контейнерде жұмыс істейді. Мысалы, веб-серверге жүйелік файлдарға қол жеткізе алмайтын жеке пайдаланушы тағайындалады.
- **Мәжбүрлі қол жеткізуді бақылау (MAC) модульдері:**
- **SELinux:** қол қойылмаған бинарлық файлдардың орындалуын болдырмау үшін белгілерге негізделген саясаттарды іске асырады.
- **AppArmor:** қолданбаларды профильдеп, олардың файлдық жүйеге қол жеткізуін шектейді.
- **Аудит және мониторинг:**
Auditd немесе Osquery секілді құралдар маңызды файлдардың (мысалы, /etc/passwd) өзгерістерін бақылайды. Журналдарды талдау үшін ELK-стектер (Elasticsearch, Logstash, Kibana) немесе Grafana қолданылады.
- **Жаңартулар мен түзетулер:**
unattended-upgrades (Linux) немесе WSUS (Windows) секілді утилиталар арқылы автоматтандыру. Маңызды жүйелер үшін жаңартуларды staging-ортада алдын ала сынаңыз.
### Қолданбалы қабат
Қолданба қауіпсіздігі ендірілген тетіктердің үйлесімін әрі әзірлеу стандарттарын ұстануды талап етеді.
- **Аутентификация және авторизация:**
- OTP, U2F-кілттер немесе биометрия арқылы көпфакторлы аутентификация (MFA).
- Делегацияланған қол жеткізу үшін OAuth 2.0/OpenID Connect енгізу.
- Ең аз артықшылық қағидатымен RBAC (рөлге негізделген қол жеткізуді бақылау).
- **Веб-шабуылдардан қорғану:**
- **CSRF:** криптографиялық берік алгоритмдерді (HMAC-SHA256) қолдана отырып токен генерациялау.
- **XSS:** DOMPurify секілді кітапханалар арқылы енгізілген деректерді тазарту әрі `default-src 'self'` директивасымен CSP енгізу.
- **SQL-инъекциялар:** ORM (Hibernate, SQLAlchemy) немесе дайын сұраулардың (prepared statements) қолданылуы.
- **Қауіпсіз әзірлеу (DevSecOps):**
Осалдық сканерлерін (OWASP ZAP, SonarQube) CI/CD құбырына ықпалдастырыңыз. Тұрақты пентесттер мен кодты тексеруді жүргізіңіз.
### Деректерді сақтау қабаты
Деректердің құпиялылығын, тұтастығын және қолжетімділігін қамтамасыз етіңіз.
- **Шифрлау:**
- **Сақтауда (at rest):** AES-256 қолданатын LUKS (Linux) немесе BitLocker (Windows).
- **Жеткізу кезінде (in transit):** серверлер мен клиенттер арасында жеткізу үшін TLS.
- **Кілттер:** аппараттық HSM (Hardware Security Module) немесе бұлттық KMS (AWS KMS, HashiCorp Vault) ішінде сақтау.
- **Резервтік көшіру:**
3-2-1 стратегиясы: 3 көшірме, 2 түрлі тасығышта, 1 — нысаннан тыс. BorgBackup немесе Veeam арқылы автоматтандыру.
- **Қол жеткізуді бақылау:**
- **RBAC/ABAC:** пайдаланушы атрибуттарына (лауазым, орналасу) негізделген құқықтарды динамикалық басқару.
- **Аудит:** SIEM жүйесіне ықпалдасумен барлық операцияларды (CREATE, UPDATE, DELETE) тіркеу.
Көп қабатты қауіпсіздік тек технологияны іске асыруды ғана талап етпейді. Ол сондай-ақ тұрақты
мониторингті, қызметкерлерді оқытуды және жаңа қатерлерге бейімделуді қажет етеді. Тұрақты
аудиттер, стандарттарды (ISO/IEC 27001, NIST) пайдалану және процестерді автоматтандыру — ұзақ
мерзімді тұрақтылықтың кепілі.
## Іске асырылған қауіпсіздік тетіктері
### Желілік қабат қауіпсіздігі
- **Кіріс және шығыс трафикті сүзу** рұқсатсыз қосылымдарды бұғаттау үшін теңшелген. Қауіпсіздікті арттыру мақсатында жүйеге қол жеткізуді сенімді IP-мекенжайлармен (интернет арқылы) немесе тек VPN арқылы қосылымдармен шектеу ұсынылады.
- Телеметриялық (IoT) құрылғылардың SIM-карта параметрлерінде **арнайы APN пайдаланыңыз**. Бұл құрылғыларды жалпы интернет-трафиктен оқшаулап, деректерді қорғауды күшейтеді.
- Веб-интерфейске қол жеткізу клиент пен сервер арасындағы трафикті шифрлайтын **HTTPS протоколы** (TLS/SSL сертификаттары) арқылы жүзеге асады.
### Операциялық жүйе қабатын қорғау
- **Процестерді оқшаулау** жүйелік ақаулар мен бұзып кіруге төзімділікті арттырады. IoT-серверде жүйенің әр бөлігі Docker контейнерлеуі арқылы оқшауланады. Контейнерлеу жүйенің түрлі бөліктерін бір-бірінен оқшаулайды, бұл шабуылдар мен ақаулардан болатын ықтимал залалды барынша азайтады.
- AppArmor, SELinux немесе Parsec модульдерін пайдалану (қалауыңыз бойынша). **Қауіпсіздік модульдері** операциялық жүйе деңгейінде қосымша қорғаныс беріп, қол жеткізуді бақылауды күшейтеді әрі жүйедегі қалаусыз әрекеттердің алдын алуға көмектеседі.
- **Саясатты теңшеу**: маңызды ресурстарға қол жеткізуді шектеу үшін қатаң қауіпсіздік саясаттарын жасаңыз.
- **Қауіпсіздік аудиті**: күдікті әрекеттерді анықтау үшін журналдарды тұрақты талдаңыз.
### Қолданбалы қабатты қорғау
- Жүйенің веб-бөлігі **Cross-Site Request Forgery (CSRF)** секілді шабуылдардан қорғалған. Ендірілген тетіктер әрбір пішін үшін бірегей токен генерациялап, сұранысты бұрмалаудың алдын алады. Сондай-ақ SameSite cookie атрибуттары мен Referer тексерістері қолданылады.
- Жүйеде зиянды JavaScript-кодты енгізудің алдын алу үшін пайдаланушы енгізген деректерді сүзуді қоса алғанда, **Cross-Site Scripting (XSS)** шабуылдарынан ендірілген қорғаныс бар.
- Content Security Policy (CSP): скрипттер мен басқа ресурстар жүктелетін көздерді шектеу үшін саясаттарды теңшеу.
- Деректерді экрандау: пайдаланушы енгізген деректердегі HTML, CSS және JavaScript автоматты түрде экрандалады.
- Дерекқормен өзара әрекеттесу **ORM модулі** арқылы орындалады; оның SQL-инъекциядан ендірілген қорғанысы бар (ол ерікті SQL-кодты орындай алмайды) әрі күдікті әрекетті анықтау үшін сұрауларды тіркеп отырады.
### Деректерді сақтау қабатын қорғау
- **Деректерді шифрлау:** дискідегі әрі жеткізу кезіндегі деректерді қорғау үшін шифрлау алгоритмдерін (мысалы, AES-256) пайдаланады.
- **Резервтік көшіру:** деректер тұрақты түрде резервтік көшіріліп, қорғалған қоймада сақталады.
- **Қол жеткізуді бақылау:** рөлге негізделген қол жеткізуді бақылау (RBAC) әрі қоймадағы барлық дерек операцияларын аудиттеу қолданылады.