Security Operations Baseline

Операторский security baseline: security-relevant knobs в едином операционном контракте — безопасные дефолты, fail-closed гейты, точки наблюдаемости (sys.settings).

Источники

• Configuration schema reference — полная схема конфигурации.
• Operational policies baseline — governance безопасности.
• Рантайм-поверхность настроек видна через sys.settings.

Defaults

• server.addr = 127.0.0.1:5152 как safe default.
• Remote bind запрещен по умолчанию без явного insecure override.
• TLS по умолчанию opt-in; при remote bind политика может требовать TLS fail-closed.

Required fail-closed gates

1. Remote bind без allow_insecure должен завершаться отказом старта.
2. Password auth без TLS должен завершаться отказом старта.
3. Изменение настроек в рантайме (sys.set_setting) требует роли session_settings (0.6.4.16).

Knobs registry (operator highlights)

• [security] allow_insecure, [security] dev_mode
• [tls] enabled, [tls] cert_path, [tls] key_path, [tls] require_on_remote_bind
• ANGARABASE_AUTH_MODE, ANGARABASE_TLS_ENABLE
• ANGARABASE_TDE_ENABLE, ANGARABASE_TDE_MASTER_KEY_ID
• ANGARABASE_AUDIT_LOG_PATH, ANGARABASE_AUDIT_DML_MODE

Секреты (например, ANGARABASE_AUTH_PASSWORD, master key) не должны попадать в sys.settings.

Security modes matrix

• Local + strict/group_commit: разрешено.
• Local + relaxed durability: разрешено с warning.
• Remote bind: только с явным override и warning.
• Remote bind + relaxed: только с override, с усиленным warning.

Threat model and evidence

Threat inventory и evidence pointers — в Operational policies baseline.

Дальше

• Operational policies baseline — где зафиксированы политики, на которые опирается security operations.
• Backup and restore (operator-level) — защита данных как часть SecOps-периметра.
• Disaster recovery playbook — security-инциденты как DR-кейс.