Default deny — faqat aniq ruxsat berilgan amal yoki trafikni qabul qilib, qolgan barcha holatni sukut bo‘yicha rad etish xavfsizlik tamoyilidir. U kirish nazorati, firewall, API, bulut siyosati va ilova funksiyalarida qo‘llanadi. Yangi yoki unutilgan holat avtomatik ochiq qolmagani sabab tizimning xavfsiz boshlang‘ich holatini yaratadi.
Ruxsat ro‘yxati modeli
Default deny allowlist bilan ishlaydi. Avval zarur subject, resurs va amallar aniqlanadi, keyin ular uchun tor qoidalar yoziladi. Hech bir qoida mos kelmasa, yakuniy qaror deny bo‘ladi. Bu blacklist modelidan farq qiladi: blacklist ma’lum zararli holatlarni to‘sadi, noma’lumini esa o‘tkazishi mumkin.
allow app-server -> database tcp/5432
allow monitoring -> app-server tcp/metrics
deny any -> any
Yakuniy deny ko‘pincha implicit bo‘ladi, lekin audit va tushunarlilik uchun explicit yozilishi mumkin. Platformaning qoidalarni baholash tartibi natijaga ta’sir qiladi.
Kirish nazoratida
Yangi foydalanuvchi hech qanday rol yoki policy olmasa, himoyalangan resursga kira olmaydi. Yangi endpoint ham avtorizatsiya deklaratsiyasiz ochilmasligi kerak. Frameworkda global authenticated va deny-by-default middleware qo‘llanib, ommaviy endpointlar explicit belgilanishi mumkin.
Yo‘q atribut yoki policy engine xatosini permit deb qabul qilish default denyga zid. Noaniq holat rad etiladi va operatorga kuzatuv signali yuboriladi. Favqulodda break-glass jarayoni alohida, vaqtinchalik va audit qilinadigan istisno bo‘ladi.
Tarmoqda
Firewall avval kerakli ingress va egress oqimlarini ochadi, qolganini to‘sadi. Faqat kiruvchi trafikni cheklash yetarli emas; buzilgan workload tashqariga ulanishi mumkin. DNS, vaqt sinxronlash, yangilash repositorysi va boshqa zarur egress oqimlari inventar qilinadi.
Dinamik manzillar allowlistni boshqarishni qiyinlashtiradi. Tarmoq prefiksi o‘rniga identity, service account yoki tasdiqlangan proxy orqali chiqish ishlatilishi mumkin. IPv4 va IPv6 alohida qoidalar talab qilishi mumkin.
Joriy etish
Mavjud ochiq tizimni birdan default denyga o‘tkazish qonuniy trafikni buzadi. Avval log yoki dry-run rejimida amaldagi oqimlar kuzatiladi. Har bir oqimning egasi va maqsadi tasdiqlanib, minimal qoida yaratiladi. Keyin segment yoki xizmat bo‘yicha bosqichma-bosqich majburiy rejim yoqiladi.
Kuzatuv davri barcha ish yukini qamramasligi mumkin: oy yakuni, backup yoki favqulodda jarayon kam ishlaydi. Biznes jarayonlari hujjati va egalar tasdig‘i telemetriyani to‘ldiradi. Rad hodisalari so‘rov identifikatori va mos kelmagan qoidani ko‘rsatadigan tarzda kuzatiladi.
Istisnolarni boshqarish
Vaqtinchalik allow aniq principal, resurs, amal, egasi va tugash sanasiga ega bo‘ladi. allow any bilan muammoni tez yopish keyinchalik doimiy zaiflikka aylanadi. Avtomatik expiry va davriy review eski istisnolarni olib tashlaydi.
Default deny mavjudligi barcha ruxsat xavfsiz degani emas. Juda keng allow qoidasi amalda defaultni bekor qilishi mumkin. Policy linter, effective access tahlili va salbiy testlar “ruxsat berilmasligi kerak” holatlarni muntazam tekshiradi.
Ishlash va foydalanuvchi tajribasi
Rad javobi tashqi foydalanuvchiga ortiqcha ichki ma’lumot bermaydi, lekin qonuniy foydalanuvchiga murojaat yo‘lini ko‘rsatishi mumkin. Operator uchun batafsil sabab audit tizimida saqlanadi. Qaror kesh qilinsa, yangi deny yoki ruxsat bekor qilinishi tez kuchga kirishi kerak.
Avtomatlashtirish
Default deny yangi resurs yaratilishi bilanoq kuchga kirishi uchun platforma shabloniga kiritiladi. Keyinchalik qo‘shiladigan subnet, endpoint yoki saqlash obyekti eski keng defaultni meros olmasligi kerak. Policy as Code testi explicit public istisnodan boshqa barcha holat rad etilishini tekshiradi. Drift monitoring qo‘lda yaratilgan allow qoidasini aniqlab, egasiga signal beradi.
Bog‘liq tushunchalar
Least privilege, Allowlist, Authorization, Firewall, Policy engine, Zero Trust, Fail closed