---
title: 'Mehanizmi i tehnologije bezbednosti'
section: 'Concepts'
weight: 1
description: Višeslojni pristup bezbednosti platforme – fizički i mrežni sloj, sloj operativnog sistema, aplikacioni sloj i sloj za skladištenje podataka, kao i mehanizmi implementirani na svakom nivou.
related:
- security/data-security
- security
- operations/backup-and-restore
- eu-compliance
---
import Alert from '@/components/docs/Alert.astro';
Savremeni sistemi zahtevaju višeslojan pristup bezbednosti, u kome svaki sloj obavlja određene funkcije i deluje u sadejstvu sa ostalima kako bi se [izgradio sveobuhvatan sistem bezbednosti](#implementirani-bezbednosni-mehanizmi). Pogledajmo ključne slojeve, njihove mehanizme i tehnologije, kao i najbolje prakse za njihovu primenu.
## Nivoi bezbednosti sistema
### Fizički sloj
Fizička bezbednost je osnova celokupnog sistema zaštite. Njen cilj je da spreči neovlašćen pristup
hardverskim resursima i infrastrukturi.
- **Serverske prostorije i data centri:**
Oprema mora da bude smeštena u zaštićenim data centrima sa višenivojskim sistemima kontrole pristupa: biometrijskom autentifikacijom, RFID karticama i video-nadzorom. Prostorije moraju da budu opremljene sistemima za gašenje požara i klimatizaciju, kao i zaštitom od kolebanja napona.
- **Zaštita perimetra:**
Koriste se fizičke barijere (na primer, dvostruke brave na vratima), senzori pokreta i danonoćno fizičko obezbeđenje. Za kritične objekte primenjuje se princip „dubinske odbrane” (defense in depth) – višeslojna zaštita uz redovne provere ranjivosti.
- **Redundantnost infrastrukture:**
Da bi se rizici sveli na najmanju meru, koriste se rezervni izvori napajanja (UPS, generatori), duplirani komunikacioni kanali i distribuirani data centri (geografsko razdvajanje).
### Mrežni sloj
Ovaj sloj obezbeđuje bezbednost prenosa podataka, sprečava napade na mrežne resurse i kontroliše saobraćaj.
- **Zaštitni zidovi:**
Savremeni zaštitni zidovi NGFW (Next-Generation Firewall) analiziraju saobraćaj na aplikacionom nivou i blokiraju sumnjive sesije. Na primer, možete da podesite pravila koja zabranjuju odlazne veze ka mreži Tor ili blokiraju portove koje sistem ne koristi.
- **Zaštita od DDoS napada:**
Usluge u oblaku (na primer, Cloudflare) filtriraju saobraćaj prepoznavanjem anomalnih obrazaca. Lokalna rešenja obuhvataju ograničavanje broja zahteva (rate limiting) i rutiranje u crnu rupu (blackhole routing).
- **Segmentacija mreže:**
Mreže se dele na virtuelne lokalne mreže (VLAN), demilitarizovane zone (DMZ) i izolovane podmreže. Za IoT uređaje koriste se namenski APN (Access Point Names), kako ti uređaji ne bi dolazili u dodir sa korporativnim saobraćajem.
- **Sistemi za otkrivanje i sprečavanje upada (IDS/IPS):**
Alati kao što su Snort ili Suricata analiziraju pakete u realnom vremenu i blokiraju napade na osnovu potpisa i anomalija u ponašanju. Integracija sa SIEM sistemima (na primer, Splunk) omogućava automatsko reagovanje.
- **Šifrovanje saobraćaja:**
Obavezno se koristi protokol TLS 1.3 sa savremenim algoritmima šifrovanja (AES-GCM, ChaCha20). Za VPN veze preporučuju se protokoli WireGuard ili IPsec umesto zastarelih PPTP/L2TP.
### Sloj operativnog sistema
Bezbednost operativnog sistema postiže se strogom konfiguracijom, blagovremenim ažuriranjem i izolacijom procesa.
- **Kontejnerizacija (Docker, Kubernetes):**
Svaki servis radi u izolovanom kontejneru sa ograničenim pravima. Na primer, veb-serveru se dodeljuje poseban korisnik bez pristupa sistemskim fajlovima.
- **Moduli obavezne kontrole pristupa (MAC):**
- **SELinux:** Sprovodi politike zasnovane na oznakama i tako sprečava izvršavanje nepotpisanih binarnih fajlova.
- **AppArmor:** Definiše profile aplikacija i ograničava njihov pristup sistemu fajlova.
- **Revizija i praćenje:**
Alati kao što su Auditd ili Osquery prate izmene kritičnih fajlova (na primer, /etc/passwd). Za analizu zapisa (logova) koristi se stek ELK (Elasticsearch, Logstash, Kibana) ili Grafana.
- **Ažuriranja i zakrpe:**
Ažuriranje se automatizuje pomoću alata kao što su unattended-upgrades (Linux) ili WSUS (Windows). Na kritičnim sistemima ažuriranja najpre testirajte u probnom okruženju (staging).
### Aplikacioni sloj
Bezbednost aplikacija zahteva kombinaciju ugrađenih mehanizama i poštovanja standarda razvoja.
- **Autentifikacija i autorizacija:**
- Višefaktorska autentifikacija (MFA) pomoću jednokratnih lozinki (OTP), U2F ključeva ili biometrije.
- Implementacija protokola OAuth 2.0/OpenID Connect za delegirani pristup.
- RBAC (kontrola pristupa zasnovana na ulogama) po principu najmanjih privilegija.
- **Zaštita od veb-napada:**
- **CSRF:** Generisanje tokena pomoću kriptografski bezbednih algoritama (HMAC-SHA256).
- **XSS:** Prečišćavanje ulaznih podataka pomoću biblioteka kao što je DOMPurify i primena politike CSP sa direktivom `default-src 'self'`.
- **SQL injekcije:** Korišćenje ORM biblioteka (Hibernate, SQLAlchemy) ili pripremljenih upita (prepared statements).
- **Bezbedan razvoj (DevSecOps):**
Integrišite skenere ranjivosti (OWASP ZAP, SonarQube) u CI/CD lanac (pipeline). Redovno sprovodite penetraciono testiranje i pregled koda.
### Sloj za skladištenje podataka
Obezbedite poverljivost, integritet i dostupnost podataka.
- **Šifrovanje:**
- **Uskladišteni podaci:** Šifruju se pomoću alata LUKS (Linux) ili BitLocker (Windows), algoritmom AES-256.
- **Podaci u prenosu:** Za prenos između servera i klijenata koristi se TLS.
- **Ključevi:** Čuvaju se u hardverskom bezbednosnom modulu HSM (Hardware Security Module) ili u servisu KMS u oblaku (AWS KMS, HashiCorp Vault).
- **Izrada rezervnih kopija:**
Strategija 3-2-1: 3 kopije, na 2 različita medija, od kojih je 1 na udaljenoj lokaciji. Izrada kopija automatizuje se pomoću alata BorgBackup ili Veeam.
- **Kontrola pristupa:**
- **RBAC/ABAC:** Dinamičko upravljanje pravima pristupa na osnovu atributa korisnika (radno mesto, lokacija).
- **Revizija:** Evidentiranje svih operacija (CREATE, UPDATE, DELETE) uz integraciju sa SIEM sistemom.
Višeslojna zaštita ne zahteva samo uvođenje tehnologija. Zahteva i stalno praćenje, obuku
zaposlenih i prilagođavanje novim pretnjama. Redovne revizije, primena standarda (ISO/IEC 27001,
NIST) i automatizacija procesa od ključnog su značaja za dugoročnu održivost.
## Implementirani bezbednosni mehanizmi
### Bezbednost mrežnog sloja
- **Filtriranje dolaznog i odlaznog saobraćaja** podešeno je tako da blokira neovlašćene veze. Radi veće bezbednosti preporučuje se da pristup sistemu ograničite na pouzdane IP adrese (preko interneta) ili samo na VPN veze.
- **Koristite namenski APN** u podešavanjima SIM kartice telemetrijskih (IoT) uređaja. To izoluje uređaje od opšteg internet saobraćaja i povećava zaštitu podataka.
- Veb-interfejsu se pristupa preko **protokola HTTPS** (TLS/SSL sertifikati), koji šifruje saobraćaj između klijenta i servera.
### Zaštita sloja operativnog sistema
- **Izolacija procesa** povećava otpornost na otkaze sistema i hakerske napade. Na IoT serveru svaki deo sistema izolovan je pomoću Docker kontejnerizacije. Kontejnerizacija međusobno izoluje različite delove sistema, čime se moguća šteta od napada i otkaza svodi na najmanju meru.
- Korišćenje modula AppArmor ili SELinux (opciono). **Bezbednosni moduli** pružaju dodatnu zaštitu na nivou operativnog sistema: jačaju kontrolu pristupa i pomažu da se spreče neželjene radnje u sistemu.
- **Prilagođavanje politika**: kreirajte stroge bezbednosne politike koje ograničavaju pristup kritičnim resursima.
- **Bezbednosna revizija**: redovno analizirajte zapise da biste otkrili sumnjive aktivnosti.
### Zaštita aplikacionog sloja
- Veb-deo sistema zaštićen je od napada tipa **Cross-Site Request Forgery (CSRF)**. Ugrađeni mehanizmi generišu jedinstven token za svaki obrazac i tako sprečavaju falsifikovanje zahteva. Koriste se i atributi kolačića SameSite, kao i provera zaglavlja Referer.
- Sistem ima ugrađenu zaštitu od napada tipa **Cross-Site Scripting (XSS)**, uključujući filtriranje korisničkog unosa kojim se sprečava ubacivanje zlonamernog JavaScript koda.
- Politika bezbednosti sadržaja (CSP): podešavanje politika koje ograničavaju izvore iz kojih mogu da se učitavaju skripte i drugi resursi.
- Neutralisanje specijalnih znakova (escaping): HTML, CSS i JavaScript kod u korisničkom unosu automatski se neutrališe.
- Sistem komunicira sa bazom podataka preko **ORM modula**, koji ima ugrađenu zaštitu od SQL injekcija (ne može da izvrši proizvoljan SQL kod), a uz to evidentira upite radi otkrivanja sumnjivih aktivnosti.
### Zaštita sloja za skladištenje podataka
- **Šifrovanje podataka:** koriste se algoritmi šifrovanja (na primer, AES-256) koji štite podatke na disku i u prenosu.
- **Rezervne kopije:** podaci se redovno kopiraju i čuvaju u zaštićenom skladištu.
- **Kontrola pristupa:** koristi se kontrola pristupa zasnovana na ulogama (RBAC), a za sve operacije sa podacima u skladištu vodi se revizorski trag.