Proteggi flussi di dati

Baseline sicurezza produzione

• Utilizzare wss e convalidare la catena di certificati server completa.

• Utilizzare un bundle trust CA privato quando necessario; non impostare una modalità TLS non sicura o non verificata.

• Memorizza password, chiavi private client e token in un gestore segreti approvato. Iniettarli in fase di esecuzione.

• Non inserire credenziali nell'URL WebSocket, nei log, nella cronologia della shell, nei repository di configurazione o nei file AsyncAPI.

• Concedere il ruolo minimo GoldenGate richiesto per ogni task amministrativo e le credenziali di amministrazione separate dalle credenziali del consumer di runtime, ove possibile.

• Limitare l'accesso alla rete alle subnet, ai servizi e agli instradamenti proxy del client approvati.

• Ruotare le credenziali e i certificati senza perdere il checkpoint del consumer permanente.

Considerazioni sul proxy inverso

Un proxy inverso può modificare l'host pubblico, il prefisso del percorso, la modalità di autenticazione, il punto di interruzione TLS, il timeout di inattività, la dimensione massima dei messaggi e il funzionamento dell'aggiornamento WebSocket. Convalidare tutti gli elementi riportati di seguito.

• Le intestazioni HTTP Upgrade e Connection vengono inoltrate per l'handshake WebSocket.

• I timeout di inattività e lettura superano il periodo di inattività previsto oppure il traffico ping/pong mantiene attiva la connessione.

• Le dimensioni massime di frame e messaggi superano le dimensioni configurate del record Data Stream e del batch.

• Il file YAML AsyncAPI generato espone l'indirizzo dell'host e del canale raggiungibile esternamente.

• Le intestazioni di autenticazione e i certificati client vengono passati o terminati in base alla progettazione della sicurezza.

Dati payload riservati

I flussi di dati possono esporre immagini a riga intera, DDL, token, dettagli host, nomi di database e URI di origine. Applica i controlli di classificazione dei dati, minimizzazione del campo, mascheramento o tokenizzazione, crittografia in transito e in archivio, registrazione dell'accesso e conservazione al consumatore e a ogni copia a valle. Evitare di abilitare env, sys o tutti i token a meno che non venga esaminato ogni valore emesso.