Dezkubeدزکوب

سناریوی مرجع

سایتی که هیچ کابلی به بیرون ندارد

نصب و نگهداری بدون هیچ اتصال به اینترنت

این یک مطالعهٔ موردی مشتری نیست. یک الگوی پیاده‌سازی است: وضعیتی که در ارزیابی الزامات سازمانی جمع کرده‌ایم، با معماری راه‌حل و مکانیزم دقیقی که آن را ممکن می‌کند. چرا هنوز مشتری مرجع عمومی نداریم

وضعیت

یک سایت با ۱۲ سرور، بدون هیچ اتصالی به اینترنت — نه مستقیم، نه از طریق پروکسی. تنها راه ورود اطلاعات، رسانهٔ فیزیکی با فرآیند بازرسی است.

این سایت باید سامانه‌های خودش را اجرا کند، بروزرسانی بگیرد، و در ممیزی سالانه شواهد ارائه دهد.

نصب

  1. در محیط متصل — تولید بسته

    بستهٔ آفلاین با دایجست همهٔ اجزا ساخته می‌شود

  2. در محیط متصل — امضا

    بسته با کلید تأییدشده امضا می‌شود

  3. انتقال

    رسانهٔ فیزیکی؛ در سایت مقصد دریافت و بازرسی می‌شود

  4. در سایت — راستی‌آزمایی

    امضا پیش از هر کاری بررسی می‌شود

  5. در سایت — بارگذاری

    در رجیستری داخلی سایت

  6. در سایت — نصب

    کاملاً از منابع داخلی

محتوای بسته

ایمیج‌های کنترل‌پلن · ایمیج ۳۳ افزونه · نمودارهای Helm · کاتالوگ ایمیج ماشین مجازی · وزن مدل‌های هوش مصنوعی (اختیاری) · مستندات آفلاین.

کار روزمره

گواهی TLS
مرجع صدور داخلی سازمان، یا بارگذاری گواهی صادرشده
احراز هویت
IdP داخلی، یا حساب محلی
تصویر جدید ماشین مجازی
از کاتالوگ داخلی
ایمیج جدید اپلیکیشن
ساخت داخلی با BuildKit؛ هیچ pull از بیرون
بروزرسانی وابستگی
از آینهٔ داخلی که از بسته پر شده

نکتهٔ کلیدی: آینه ≠ بسته

آینهٔ pull-through در سایتِ کاملاً ایزوله بی‌فایده است.

آینه یک کشِ عبوری است: تا وقتی چیزی از آن کشیده نشود، خالی است — و در سایت ایزوله، کشیدن ممکن نیست. اولین درخواست با خطای «یافت نشد» جواب می‌گیرد. بسته کش را از قبل پر می‌کند. آینه برای سایتِ نیمه‌متصل است، جایی که پهنای باند محدود است ولی صفر نیست. این تفاوت را می‌گوییم چون در ارزیابی فنی، فرضِ اشتباه دربارهٔ آینه یکی از رایج‌ترین دلایل شکست نصب ایزوله است.

بروزرسانی

تولید
بستهٔ بروزرسانی، شامل فقط تفاوت‌ها
امضا
با کلید تأییدشده
انتقال
رسانهٔ فیزیکی
راستی‌آزمایی
امضا پیش از هر نصبی بررسی می‌شود؛ امضای نامعتبر یعنی توقف
نصب
با امکان بازگشت

ممیزی در سایت ایزوله

زنجیرهٔ ممیزی و بستهٔ شواهد کاملاً محلی تولید می‌شوند. خروجی می‌تواند روی رسانه منتقل شود.

محدودیت اعلام‌شده

اگر سازمان شما SIEM مرکزی دارد و سایت ایزوله است، انتقال لاگ به SIEM یک فرآیند دوره‌ای دستی خواهد بود، نه بلادرنگ.

فرآیند انتقال رسانه‌تان را بیاورید.

نشان می‌دهیم بسته چطور ساخته و راستی‌آزمایی می‌شود و چه چیزی دستی می‌ماند.