Data in motion — tarmoq yoki tizim komponentlari orasida uzatilayotgan ma’lumot holati. U foydalanuvchi brauzeridan serverga yuborilayotgan HTTP so‘rovi, mikroxizmatlar orasidagi xabar, ma’lumotlar bazasi replikatsiyasi yoki zaxira nusxaning boshqa markazga ko‘chirilishini qamrab oladi. Ma’lumot uzatish kanali bo‘ylab harakatlanayotgan paytda ushlab qolish, o‘zgartirish va noto‘g‘ri manzilga yo‘naltirish xavfiga duch keladi.
Uzatish muhiti
Ma’lumot kabel, Wi-Fi, uyali aloqa yoki virtual tarmoq orqali uzatilishi mumkin. Ilova nuqtayi nazaridan transport ko‘pincha TCP, UDP, QUIC yoki xabar brokeri yordamida tashkil etiladi. Paketlar marshrutizator, proksi, yuk taqsimlagich va xavfsizlik qurilmalaridan o‘tadi. Har bir oraliq nuqta himoya chegarasiga ta’sir qiladi.
Data in motion faqat internet trafigi emas. Bitta server ichidagi jarayonlararo aloqa, konteynerlar orasidagi virtual tarmoq va saqlash qurilmasiga yuborilayotgan bloklar ham shu holatga kiradi. Ma’lumot manzilga yetib, disk yoki doimiy xotirada saqlangach, u data at rest hisoblanadi. CPU tomonidan faol qayta ishlanayotgan qiymatlar esa data in use toifasiga o‘tadi.
Maxfiylik va yaxlitlik
TLS transport kanalini shifrlab, sertifikat orqali qarshi tomon identifikatsiyasini tekshiradi va uzatilgan baytlar o‘zgarmaganini nazorat qiladi. HTTPS, SMTPS va ko‘plab ma’lumotlar bazasi protokollari TLS’dan foydalanadi. Faqat shifrlashning o‘zi yetarli emas: sertifikat nomi, amal qilish muddati va ishonch zanjiri tekshirilmasa, hujumchi o‘zini qonuniy server sifatida ko‘rsatishi mumkin.
Tarmoq qatlamida IPsec yoki VPN tunnel qo‘llanadi. Ilova qatlamidagi end-to-end shifrlashda ma’lumot jo‘natuvchida shifrlanib, faqat yakuniy qabul qiluvchida ochiladi. Bunda oraliq serverlar mazmunni ko‘rmaydi, ammo kalitlarni taqsimlash va tiklash murakkablashadi. Message authentication code yoki raqamli imzo xabarning yaxlitligi va kelib chiqishini mustaqil tasdiqlashi mumkin.
Amaliy boshqaruv
Tizim arxitekturasida qaysi oqimlar maxfiy ma’lumot olib yurishi hujjatlashtiriladi. Ichki tarmoq avtomatik ravishda ishonchli deb olinmaydi; xizmatlar o‘zaro autentifikatsiya qilinadi. Eskirgan TLS versiyalari va zaif cipher suite’lar o‘chiriladi. Kalit va sertifikatlar kodga yozilmaydi, maxsus sirlar omborida saqlanib, muntazam almashtiriladi.
Monitoring uchun metadata — manba, manzil, hajm, vaqt va protokol — ko‘pincha yetarli. To‘liq payloadni loglash parol, token yoki shaxsiy ma’lumotning jurnalga tushishiga olib kelishi mumkin. Diagnostika nusxalari maskalanadi va kirish huquqi cheklanadi. Trafikni siqish ham xavfsizlikka ta’sir qilishi mumkin: maxfiy qiymat hujumchi boshqaradigan matn bilan birga siqilsa, hajm farqi orqali ma’lumot sizishi ehtimoli paydo bo‘ladi.
Ishonchlilik
Harakatdagi ma’lumot yo‘qolishi, takrorlanishi yoki tartibi almashishi mumkin. TCP ketma-ketlik va qayta uzatishni ta’minlaydi, lekin ilova darajasidagi operatsiyaning aynan bir marta bajarilishini kafolatlamaydi. Xabar tizimlarida idempotency key, sequence number, acknowledgement va retry siyosati ishlatiladi. Shifrlangan kanal uzatishning maxfiyligini himoya qiladi, ammo biznes tranzaksiyasining to‘g‘riligini ilova nazorat qilishi kerak.
Ma’lumot oqimini inventarizatsiya qilish
Data flow diagram qaysi tizim qaysi ma’lumotni, qanday protokolda va qaysi ishonch chegarasi orqali uzatishini ko‘rsatadi. Inventarizatsiya bo‘lmasa yangi integratsiya shifrlanmagan yoki monitoringdan tashqarida qolishi mumkin. Har oqim uchun egasi, tasnifi, retention talabi va ruxsat etilgan qabul qiluvchilar qayd etiladi. Arxitektura o‘zgarganda diagramma ham yangilanadi; aks holda u real himoya vositasi bo‘la olmaydi.
Bog‘liq tushunchalar
Data at rest, Data in use, TLS, End-to-end encryption, VPN, Network security, Data integrity