Network security basics (firewalls, mTLS)
Тема дорожной карты · DevOps Engineer
Сетевая безопасность в DevOps — это решения о том, что с чем может разговаривать, и подтверждение этих решений конфигурацией, а не предположениями. Базовые блоки: фаерволы и security groups (на хосте и на уровне облака), TLS повсеместно с ротацией сертификатов (Let's Encrypt, cert-manager), VPC с приватными подсетями, VPN и bastion-хосты для доступа операторов, защита от DDoS на edge (Cloudflare, AWS Shield). Ведущий тренд — сдвиг от защиты периметра к identity-aware и zero-trust моделям.
Как это работает
Network security basics (firewalls, mTLS) для платформенных инженеров покрывает hardening ОС, сегментацию сетей, IAM, secrets management и защиту supply chain. Linux hardening — это CIS benchmarks (отключить ненужные сервисы, ограничить SSH, включить auditd). IAM следует least privilege: каждый пайплайн получает свой service account только с нужными ему правами. Секреты живут в Vault, AWS Secrets Manager или Yandex Lockbox — никогда в Git, никогда в env-переменных, видимых через printenv. Supply chain: подписывайте артефакты (Cosign, Sigstore), генерируйте SBOM (Syft), сканируйте на CVE (Trivy, Grype), используйте build-пайплайны с SLSA-уровнями.
Когда применять
Применяйте Network security basics (firewalls, mTLS) с первого дня — security debt накапливается быстрее, чем feature debt. Минимум до публичного запуска: TLS везде (Let's Encrypt или Caddy), нет дефолтных паролей, IAM-роли на workload, секреты в vault, контейнерные images сканируются в CI, авто-патчи ОС включены. Для российских платформ, обрабатывающих персональные данные, 152-ФЗ требует задокументированные access controls, audit trails и incident response — Роскомнадзор проверяет бумаги не меньше технологии. Pen-тест ежегодно с момента появления выручки.
Типичные ошибки
Ловушки security: секреты в .env.example, закоммиченные в Git; долгоживущие AWS access keys вместо short-lived role assumption; "починим потом" исключения в CI-сканировании, остающиеся навсегда; нет политики ротации любого credential; IAM-политики, скопированные из блог-постов без понимания (Action: "*" не значит "все мои сервисы"); нет incident response playbook (при ransomware будете импровизировать плохо); нет patching policy (CVE-2014-0160 Heartbleed жил в продакшене месяцами у многих компаний).