Mehanizmi i tehnologije bezbednosti

Savremeni sistemi zahtevaju višeslojan pristup bezbednosti, u kome svaki sloj obavlja određene funkcije i deluje u sadejstvu sa ostalima kako bi se izgradio sveobuhvatan sistem bezbednosti. Pogledajmo ključne slojeve, njihove mehanizme i tehnologije, kao i najbolje prakse za njihovu primenu.

Nivoi bezbednosti sistema

Fizički sloj

• Serverske prostorije i data centri: Oprema mora da bude smeštena u zaštićenim data centrima sa višenivojskim sistemima kontrole pristupa: biometrijskom autentifikacijom, RFID karticama i video-nadzorom. Prostorije moraju da budu opremljene sistemima za gašenje požara i klimatizaciju, kao i zaštitom od kolebanja napona.
• Zaštita perimetra: Koriste se fizičke barijere (na primer, dvostruke brave na vratima), senzori pokreta i danonoćno fizičko obezbeđenje. Za kritične objekte primenjuje se princip „dubinske odbrane” (defense in depth) – višeslojna zaštita uz redovne provere ranjivosti.
• Redundantnost infrastrukture: Da bi se rizici sveli na najmanju meru, koriste se rezervni izvori napajanja (UPS, generatori), duplirani komunikacioni kanali i distribuirani data centri (geografsko razdvajanje).

Mrežni sloj

Ovaj sloj obezbeđuje bezbednost prenosa podataka, sprečava napade na mrežne resurse i kontroliše saobraćaj.

• Zaštitni zidovi: Savremeni zaštitni zidovi NGFW (Next-Generation Firewall) analiziraju saobraćaj na aplikacionom nivou i blokiraju sumnjive sesije. Na primer, možete da podesite pravila koja zabranjuju odlazne veze ka mreži Tor ili blokiraju portove koje sistem ne koristi.
• Zaštita od DDoS napada: Usluge u oblaku (na primer, Cloudflare) filtriraju saobraćaj prepoznavanjem anomalnih obrazaca. Lokalna rešenja obuhvataju ograničavanje broja zahteva (rate limiting) i rutiranje u crnu rupu (blackhole routing).
• Segmentacija mreže: Mreže se dele na virtuelne lokalne mreže (VLAN), demilitarizovane zone (DMZ) i izolovane podmreže. Za IoT uređaje koriste se namenski APN (Access Point Names), kako ti uređaji ne bi dolazili u dodir sa korporativnim saobraćajem.
• Sistemi za otkrivanje i sprečavanje upada (IDS/IPS): Alati kao što su Snort ili Suricata analiziraju pakete u realnom vremenu i blokiraju napade na osnovu potpisa i anomalija u ponašanju. Integracija sa SIEM sistemima (na primer, Splunk) omogućava automatsko reagovanje.
• Šifrovanje saobraćaja: Obavezno se koristi protokol TLS 1.3 sa savremenim algoritmima šifrovanja (AES-GCM, ChaCha20). Za VPN veze preporučuju se protokoli WireGuard ili IPsec umesto zastarelih PPTP/L2TP.

Sloj operativnog sistema

Bezbednost operativnog sistema postiže se strogom konfiguracijom, blagovremenim ažuriranjem i izolacijom procesa.

• Kontejnerizacija (Docker, Kubernetes): Svaki servis radi u izolovanom kontejneru sa ograničenim pravima. Na primer, veb-serveru se dodeljuje poseban korisnik bez pristupa sistemskim fajlovima.
• Moduli obavezne kontrole pristupa (MAC):
  • SELinux: Sprovodi politike zasnovane na oznakama i tako sprečava izvršavanje nepotpisanih binarnih fajlova.
  • AppArmor: Definiše profile aplikacija i ograničava njihov pristup sistemu fajlova.
• Revizija i praćenje: Alati kao što su Auditd ili Osquery prate izmene kritičnih fajlova (na primer, /etc/passwd). Za analizu zapisa (logova) koristi se stek ELK (Elasticsearch, Logstash, Kibana) ili Grafana.
• Ažuriranja i zakrpe: Ažuriranje se automatizuje pomoću alata kao što su unattended-upgrades (Linux) ili WSUS (Windows). Na kritičnim sistemima ažuriranja najpre testirajte u probnom okruženju (staging).

Aplikacioni sloj

Bezbednost aplikacija zahteva kombinaciju ugrađenih mehanizama i poštovanja standarda razvoja.

• Autentifikacija i autorizacija:
  • Višefaktorska autentifikacija (MFA) pomoću jednokratnih lozinki (OTP), U2F ključeva ili biometrije.
  • Implementacija protokola OAuth 2.0/OpenID Connect za delegirani pristup.
  • RBAC (kontrola pristupa zasnovana na ulogama) po principu najmanjih privilegija.
• Zaštita od veb-napada:
  • CSRF: Generisanje tokena pomoću kriptografski bezbednih algoritama (HMAC-SHA256).
  • XSS: Prečišćavanje ulaznih podataka pomoću biblioteka kao što je DOMPurify i primena politike CSP sa direktivom default-src 'self'.
  • SQL injekcije: Korišćenje ORM biblioteka (Hibernate, SQLAlchemy) ili pripremljenih upita (prepared statements).
• Bezbedan razvoj (DevSecOps): Integrišite skenere ranjivosti (OWASP ZAP, SonarQube) u CI/CD lanac (pipeline). Redovno sprovodite penetraciono testiranje i pregled koda.

Sloj za skladištenje podataka

Obezbedite poverljivost, integritet i dostupnost podataka.

• Šifrovanje:
  • Uskladišteni podaci: Šifruju se pomoću alata LUKS (Linux) ili BitLocker (Windows), algoritmom AES-256.
  • Podaci u prenosu: Za prenos između servera i klijenata koristi se TLS.
  • Ključevi: Čuvaju se u hardverskom bezbednosnom modulu HSM (Hardware Security Module) ili u servisu KMS u oblaku (AWS KMS, HashiCorp Vault).
• Izrada rezervnih kopija: Strategija 3-2-1: 3 kopije, na 2 različita medija, od kojih je 1 na udaljenoj lokaciji. Izrada kopija automatizuje se pomoću alata BorgBackup ili Veeam.
• Kontrola pristupa:
  • RBAC/ABAC: Dinamičko upravljanje pravima pristupa na osnovu atributa korisnika (radno mesto, lokacija).
  • Revizija: Evidentiranje svih operacija (CREATE, UPDATE, DELETE) uz integraciju sa SIEM sistemom.

Implementirani bezbednosni mehanizmi

Bezbednost mrežnog sloja

• Filtriranje dolaznog i odlaznog saobraćaja podešeno je tako da blokira neovlašćene veze. Radi veće bezbednosti preporučuje se da pristup sistemu ograničite na pouzdane IP adrese (preko interneta) ili samo na VPN veze.
• Koristite namenski APN u podešavanjima SIM kartice telemetrijskih (IoT) uređaja. To izoluje uređaje od opšteg internet saobraćaja i povećava zaštitu podataka.
• Veb-interfejsu se pristupa preko protokola HTTPS (TLS/SSL sertifikati), koji šifruje saobraćaj između klijenta i servera.

Zaštita sloja operativnog sistema

• Izolacija procesa povećava otpornost na otkaze sistema i hakerske napade. Na IoT serveru svaki deo sistema izolovan je pomoću Docker kontejnerizacije. Kontejnerizacija međusobno izoluje različite delove sistema, čime se moguća šteta od napada i otkaza svodi na najmanju meru.

• Korišćenje modula AppArmor ili SELinux (opciono). Bezbednosni moduli pružaju dodatnu zaštitu na nivou operativnog sistema: jačaju kontrolu pristupa i pomažu da se spreče neželjene radnje u sistemu.

  • Prilagođavanje politika: kreirajte stroge bezbednosne politike koje ograničavaju pristup kritičnim resursima.
  • Bezbednosna revizija: redovno analizirajte zapise da biste otkrili sumnjive aktivnosti.

Zaštita aplikacionog sloja

• Veb-deo sistema zaštićen je od napada tipa Cross-Site Request Forgery (CSRF). Ugrađeni mehanizmi generišu jedinstven token za svaki obrazac i tako sprečavaju falsifikovanje zahteva. Koriste se i atributi kolačića SameSite, kao i provera zaglavlja Referer.

• Sistem ima ugrađenu zaštitu od napada tipa Cross-Site Scripting (XSS), uključujući filtriranje korisničkog unosa kojim se sprečava ubacivanje zlonamernog JavaScript koda.

  • Politika bezbednosti sadržaja (CSP): podešavanje politika koje ograničavaju izvore iz kojih mogu da se učitavaju skripte i drugi resursi.
  • Neutralisanje specijalnih znakova (escaping): HTML, CSS i JavaScript kod u korisničkom unosu automatski se neutrališe.

• Sistem komunicira sa bazom podataka preko ORM modula, koji ima ugrađenu zaštitu od SQL injekcija (ne može da izvrši proizvoljan SQL kod), a uz to evidentira upite radi otkrivanja sumnjivih aktivnosti.

Zaštita sloja za skladištenje podataka

• Šifrovanje podataka: koriste se algoritmi šifrovanja (na primer, AES-256) koji štite podatke na disku i u prenosu.

• Rezervne kopije: podaci se redovno kopiraju i čuvaju u zaštićenom skladištu.

• Kontrola pristupa: koristi se kontrola pristupa zasnovana na ulogama (RBAC), a za sve operacije sa podacima u skladištu vodi se revizorski trag.