Security Operations Baseline

Краткий операторский security baseline. Расширенный контекст и дополнительные детали находятся в migration history и связных страницах AngaraBook.

Goal

Свести security-relevant knobs в единый операционный контракт:

безопасные дефолты;
fail-closed гейты;
точки наблюдаемости (sys.settings).

Source of truth

Config schema: src/operations/config-schema.md
Runtime settings surfaces: crates/angarabase/src/settings.rs, crates/angarabase/src/virtual_catalog.rs
Security governance: src/operations/operational-policies.md

Defaults

server.addr = 127.0.0.1:5152 как safe default.
Remote bind запрещен по умолчанию без явного insecure override.
TLS по умолчанию opt-in; при remote bind политика может требовать TLS fail-closed.

Required fail-closed gates

Remote bind без allow_insecure должен завершаться отказом старта.
Password auth без TLS должен завершаться отказом старта.
Изменение настроек в рантайме (sys.set_setting) требует роли session_settings (RM-0.6.4.16).

Knobs registry (operator highlights)

[security] allow_insecure, [security] dev_mode
[tls] enabled, [tls] cert_path, [tls] key_path, [tls] require_on_remote_bind
ANGARABASE_AUTH_MODE, ANGARABASE_TLS_ENABLE
ANGARABASE_TDE_ENABLE, ANGARABASE_TDE_MASTER_KEY_ID
ANGARABASE_AUDIT_LOG_PATH, ANGARABASE_AUDIT_DML_MODE

Секреты (например, ANGARABASE_AUTH_PASSWORD, master key) не должны попадать в sys.settings.

Security modes matrix

Local + strict/group_commit: разрешено.
Local + relaxed durability: разрешено с warning.
Remote bind: только с явным override и warning.
Remote bind + relaxed: только с override, с усиленным warning.

Threat model and evidence

Для threat inventory и evidence pointers использовать:

src/operations/operational-policies.md

Дальше

Operational policies baseline — где зафиксированы политики, на которые опирается security operations.
Backup and restore (operator-level) — защита данных как часть SecOps-периметра.
Disaster recovery playbook — security-инциденты как DR-кейс.