Segurança de infraestrutura e rede
O Midaz e todos os plugins da Lerian são cloud-native. Eles rodam em ambientes distribuídos e containerizados. Para fortalecer a segurança da sua infraestrutura e rede:
- Estabeleça um processo de gestão de patches que atualize o SO e os serviços com patches de segurança em um cronograma regular.
- Aplique procedimentos de hardening às suas imagens de sistema operacional antes do deploy.
- Use as imagens Docker do Midaz e dos plugins, que seguem o princípio do menor privilégio. Reforce isso no nível do cluster com os controles certos.
- Para o Kubernetes, aplique baselines de segurança com ferramentas de policy-as-code como Kyverno ou OPA Gatekeeper.
- Execute varreduras de vulnerabilidade rotineiras em todas as camadas da sua infraestrutura, incluindo as camadas que hospedam plugins.
- Use segmentação de rede para restringir o acesso aos componentes do Midaz e aos plugins apenas aos sistemas que precisam dele.
- Configure firewalls para gerenciar o fluxo de tráfego e prevenir acesso não autorizado.
- Quando possível, implemente Intrusion Detection Systems (IDS) e Intrusion Prevention Systems (IPS) para analisar o comportamento da rede e bloquear anomalias.
- Adote uma Zero Trust Architecture para sistemas sensíveis e fluxos de dados.
- Aplique TLS 1.2 ou superior para toda a comunicação entre o Midaz e os serviços de plugin.
Configurações gerais de segurança
Você deve proteger segredos, armazenamento e dados em todos os componentes da Lerian, incluindo o Midaz e seus plugins. Siga estas práticas:
- Use soluções confiáveis como AWS Secrets Manager, Azure Key Vault, Google Secret Manager ou HashiCorp Vault para armazenar segredos e dados de configuração com segurança.
- Rotacione credenciais e segredos em um cronograma regular. Siga o princípio do menor privilégio ao conceder acesso.
- Habilite o registro de auditoria. Configure backups automatizados para todos os bancos de dados que o Midaz e os plugins usam.
- Aplique criptografia em repouso a todos os dados persistentes, incluindo os dados que plugins como o Access Manager processam.
- Aplique restrições de acesso a dados sensíveis. Use tokenização, criptografia ou anonimização quando apropriado.
- Atualize o Midaz e todos os plugins da Lerian para as versões mais recentes, incluindo patches e melhorias de segurança.
Gestão de Identidade e Acesso (IAM)
Aplique uma abordagem unificada de IAM em duas camadas: o ambiente onde você faz o deploy do Midaz e dos plugins, e os próprios serviços. Siga estas práticas:
- Implemente um processo de IAM centralizado para gerenciar o acesso à infraestrutura que hospeda os produtos da Lerian.
- Aplique autenticação multifator (MFA) em todas as contas de usuário e administrador.
- Monitore e audite o acesso a contas de serviço em um cronograma regular, especialmente as contas que os plugins usam.
- Defina modelos de controle de acesso que sigam o princípio do menor privilégio com RBAC, ABAC ou estratégias personalizadas.
- Use credenciais temporárias e acesso por tempo limitado para operações de alta sensibilidade.
- Revise todos os privilégios de acesso em um cronograma regular, incluindo o acesso ao Midaz, Access Manager, Reporter e outros produtos.
Monitoramento e resposta a incidentes
Para incorporar observabilidade e preparo para incidentes em como você faz o deploy do Midaz e dos plugins:
- Faça o deploy de ferramentas de monitoramento de segurança para rastrear o comportamento em todos os serviços da Lerian, incluindo a atividade dos plugins.
- Habilite logs e traces em toda a sua infraestrutura e em cada componente do Midaz e de seus plugins.
- Integre logs dos serviços do Midaz e dos plugins com ferramentas de detecção de fraude ou monitoramento de anomalias.
- Centralize os logs em uma plataforma SIEM para uma detecção de ameaças mais eficiente.
- Mantenha um plano de resposta a incidentes atualizado, com playbooks específicos para serviços como Access Manager.
Camadas adicionais de proteção
Para ambientes críticos de produção ou de alta conformidade, adicione estas camadas de proteção:
- Aplique procedimentos de hardening de SO e de serviços em toda a sua stack.
- Mantenha ciclos regulares de patch para todos os ambientes de runtime, incluindo serviços e dependências de terceiros.
- Faça testes de penetração manuais para validar suas defesas, incluindo as defesas em torno de plugins e integrações.
- Faça o deploy de Web Application Firewalls (WAFs) para proteger as APIs de plugins e os endpoints do Midaz contra ataques de Camada 7.
- Use serviços Anti-DDoS e ferramentas de mitigação de bots para bloquear ataques automatizados ou em massa contra componentes expostos.
Configurações de segurança do Midaz
Revise e ajuste todas as credenciais e certificados antes de entrar em produção, seja você rodando o Midaz localmente ou fazendo o deploy dele em um cluster gerenciado.
Credenciais e segredos
O Midaz roda como um serviço de ledger consolidado. Em um deploy, forneça a configuração de produção pelo seu orquestrador e mantenha os segredos no seu cofre de segredos.Nunca faça o deploy do Midaz com credenciais padrão. Atualize todos os valores de segredo no seu ambiente antes de entrar em produção.
LCRYPTO_HASH_SECRET_KEY e LCRYPTO_ENCRYPT_SECRET_KEY. O Midaz não pode ler os dados de holders e instrumentos que criptografou com os valores anteriores.