Mecanisme și tehnologii de securitate

Sistemele moderne cer o abordare a securității pe mai multe niveluri, în care fiecare nivel îndeplinește funcții specifice și interacționează cu celelalte pentru a crea un sistem de securitate complet. Să analizăm nivelurile principale, mecanismele și tehnologiile lor, precum și bunele practici de implementare.

Nivelurile de securitate ale sistemului

Nivelul fizic

• Săli de servere și centre de date: echipamentele trebuie amplasate în centre de date securizate, cu sisteme de control al accesului pe mai multe niveluri: autentificare biometrică, cartele RFID și supraveghere video. Spațiile trebuie dotate cu sisteme de stingere a incendiilor, de climatizare și de protecție împotriva fluctuațiilor de tensiune.
• Protecția perimetrului: se folosesc bariere fizice (de exemplu, încuietori duble la uși), senzori de mișcare și pază 24/7. Pentru instalațiile critice se aplică principiul apărării în profunzime (defense in depth) – securitate pe mai multe niveluri, cu audituri periodice ale vulnerabilităților.
• Redundanța infrastructurii: pentru a reduce la minimum riscurile, se folosesc surse de alimentare de rezervă (UPS, generatoare), canale de comunicație dublate și centre de date distribuite (izolare geografică).

Nivelul de rețea

Acest nivel asigură securitatea transmisiei de date, previne atacurile asupra resurselor de rețea și controlează traficul.

• Firewall-uri: firewall-urile moderne de tip NGFW (Next-Generation Firewall) analizează traficul la nivelul aplicațiilor și blochează sesiunile suspecte. De exemplu, puteți configura reguli care interzic conexiunile de ieșire către rețeaua Tor sau care blochează porturile pe care sistemul nu le folosește.
• Protecția împotriva atacurilor DDoS: serviciile în cloud (de exemplu, Cloudflare) filtrează traficul prin recunoașterea tiparelor anormale. Soluțiile locale includ limitarea numărului de cereri și rutarea traficului către o „gaură neagră” (blackhole routing).
• Segmentarea rețelei: rețeaua se împarte în rețele VLAN, zone DMZ și subrețele izolate. Pentru dispozitivele IoT se folosesc nume de puncte de acces (APN) dedicate, care le împiedică să interacționeze cu traficul corporativ.
• Sisteme de detectare și de prevenire a intruziunilor (IDS/IPS): instrumente precum Snort sau Suricata analizează pachetele în timp real și blochează atacurile pe baza semnăturilor și a anomaliilor de comportament. Integrarea cu sisteme SIEM (de exemplu, Splunk) permite un răspuns automat.
• Criptarea traficului: se folosește obligatoriu TLS 1.3 cu cifruri moderne (AES-GCM, ChaCha20). Pentru VPN se recomandă protocoalele WireGuard sau IPsec în locul protocoalelor învechite PPTP/L2TP.

Nivelul sistemului de operare

Securitatea sistemului de operare se obține prin configurare strictă, actualizări efectuate la timp și izolarea proceselor.

• Containerizare (Docker, Kubernetes): fiecare serviciu rulează într-un container izolat, cu drepturi limitate. De exemplu, serverului web i se atribuie un utilizator separat, fără acces la fișierele de sistem.
• Module de control obligatoriu al accesului (Mandatory Access Control, MAC):
  • SELinux: implementează politici bazate pe etichete pentru a împiedica executarea fișierelor binare nesemnate.
  • AppArmor: creează profiluri pentru aplicații și le restricționează accesul la sistemul de fișiere.
• Auditare și monitorizare: instrumente precum Auditd sau Osquery monitorizează modificările fișierelor critice (de exemplu, /etc/passwd). Pentru analiza jurnalelor se folosesc stive ELK (Elasticsearch, Logstash, Kibana) sau Grafana.
• Actualizări și patch-uri: automatizare prin utilitare precum unattended-upgrades (Linux) sau WSUS (Windows). Pentru sistemele critice, testați în prealabil actualizările într-un mediu de preproducție (staging).

Nivelul aplicațiilor

Securitatea aplicațiilor cere o combinație între mecanismele integrate și respectarea standardelor de dezvoltare.

• Autentificare și autorizare:
  • Autentificare multifactor (MFA) prin OTP, chei U2F sau date biometrice.
  • Implementarea protocoalelor OAuth 2.0/OpenID Connect pentru accesul delegat.
  • Controlul accesului pe bază de roluri (RBAC), după principiul privilegiului minim.
• Protecția împotriva atacurilor web:
  • CSRF: generarea tokenurilor cu algoritmi siguri din punct de vedere criptografic (HMAC-SHA256).
  • XSS: curățarea datelor de intrare cu biblioteci precum DOMPurify și implementarea politicii CSP cu directiva default-src 'self'.
  • Injecții SQL: utilizarea unui instrument ORM (Hibernate, SQLAlchemy) sau a instrucțiunilor SQL pregătite (prepared statements).
• Dezvoltare securizată (DevSecOps): integrați scanere de vulnerabilități (OWASP ZAP, SonarQube) în fluxul CI/CD (pipeline). Efectuați regulat teste de penetrare și revizuiri ale codului.

Nivelul de stocare a datelor

Asigurați confidențialitatea, integritatea și disponibilitatea datelor.

• Criptare:
  • Datele stocate: se folosește LUKS (Linux) sau BitLocker (Windows) cu AES-256.
  • Datele în tranzit: TLS pentru transmisia dintre servere și clienți.
  • Cheile: stocarea într-un modul hardware HSM (Hardware Security Module) sau într-un serviciu KMS în cloud (AWS KMS, HashiCorp Vault).
• Crearea copiilor de rezervă: strategia 3-2-1: 3 copii, pe 2 suporturi diferite, dintre care 1 în afara sediului. Automatizare cu BorgBackup sau Veeam.
• Controlul accesului:
  • RBAC/ABAC: gestionarea dinamică a drepturilor pe baza atributelor utilizatorului (funcția, localizarea).
  • Audit: jurnalizarea tuturor operațiilor (CREATE, UPDATE, DELETE), cu integrare într-un sistem SIEM.

Mecanisme de securitate implementate

Securitatea nivelului de rețea

• Filtrarea traficului de intrare și de ieșire este configurată pentru a bloca conexiunile neautorizate. Pentru o securitate sporită, se recomandă să permiteți accesul la sistem numai de la adrese IP de încredere (prin internet) sau numai prin conexiuni VPN.
• Folosiți un APN dedicat în setările cartelelor SIM ale dispozitivelor de telemetrie (IoT). Astfel, dispozitivele sunt izolate de traficul general de internet, iar protecția datelor crește.
• Accesul la interfața web se face prin protocolul HTTPS (certificate TLS/SSL), care criptează traficul dintre client și server.

Protecția nivelului sistemului de operare

• Izolarea proceselor crește rezistența la defecțiunile sistemului și la atacurile informatice. Pe serverul IoT, fiecare parte a sistemului este izolată prin containerizare cu Docker. Containerizarea izolează părțile sistemului unele de altele, ceea ce reduce la minimum daunele posibile în urma atacurilor și a defecțiunilor.

• Utilizarea modulelor AppArmor sau SELinux (opțională). Modulele de securitate oferă protecție suplimentară la nivelul sistemului de operare: întăresc controlul accesului și ajută la prevenirea acțiunilor nedorite în sistem.

  • Personalizarea politicilor: creați politici de securitate stricte pentru a restricționa accesul la resursele critice.
  • Auditul de securitate: analizați regulat jurnalele pentru a identifica activitatea suspectă.

Protecția nivelului aplicațiilor

• Partea web a sistemului este protejată împotriva atacurilor de tip Cross-Site Request Forgery (CSRF). Mecanismele integrate generează un token unic pentru fiecare formular și împiedică astfel falsificarea cererilor. Se folosesc și atributele SameSite ale cookie-urilor și verificarea antetului Referer.

• Sistemul are protecție integrată împotriva atacurilor de tip Cross-Site Scripting (XSS), inclusiv filtrarea datelor introduse de utilizatori pentru a împiedica injectarea de cod JavaScript rău intenționat.

  • Politica de securitate a conținutului (CSP): configurarea politicilor care restricționează sursele din care se pot încărca scripturile și alte resurse.
  • Neutralizarea datelor (escaping): caracterele speciale HTML, CSS și JavaScript din datele introduse de utilizatori se codifică automat.

• Interacțiunea cu baza de date se face prin modulul ORM, care are protecție integrată împotriva injecțiilor SQL (nu poate executa cod SQL arbitrar) și jurnalizează interogările pentru a detecta activitatea suspectă.

Protecția nivelului de stocare a datelor

• Criptarea datelor: se folosesc algoritmi de criptare (de exemplu, AES-256) pentru protecția datelor pe disc și în tranzit.

• Copii de rezervă: copiile de rezervă ale datelor se creează regulat și se păstrează într-un spațiu de stocare securizat.

• Controlul accesului: se folosesc controlul accesului pe bază de roluri (RBAC) și auditarea tuturor operațiilor cu datele din spațiul de stocare.