61 lines
5.1 KiB
Markdown
61 lines
5.1 KiB
Markdown
# IwoooS 即時資安工作範圍與 Wave 0 處置
|
||
|
||
| 項目 | 內容 |
|
||
|------|------|
|
||
| 日期 | 2026-06-11 |
|
||
| 模式 | 即時危害優先，但避免未協調的服務中斷 |
|
||
| 主控範圍 | AWOOOI / IwoooS 全產品資安視野 |
|
||
| runtime gate | `0`，除非另有明確維護窗口與 rollback owner |
|
||
|
||
## 1. 工作範圍
|
||
|
||
IwoooS 資訊安全範圍涵蓋下列面向：
|
||
|
||
1. 主機：`192.168.0.110`、`192.168.0.111`、`192.168.0.112`、`192.168.0.120`、`192.168.0.121`、`192.168.0.168`、`192.168.0.188`，以及已納入文件的 GCP / fallback 節點。
|
||
2. K3s / ArgoCD / Kubernetes：namespace、Deployment、ConfigMap、Secret metadata、RBAC、NetworkPolicy、CronJob、HPA / VPA、Velero、Node Problem Detector、kured、descheduler。
|
||
3. 服務：AWOOOI API / Web / Worker / auto-repair canary、AwoooP、OpenClaw、Ollama、PostgreSQL、Redis、Harbor、Gitea、Gitea Actions runner、Sentry、Langfuse、SignOz、ClickHouse、Prometheus、Alertmanager、MinIO、Kali Scanner。
|
||
4. 網路與入口：Nginx、public domains、TLS / certbot、NodePort、VIP、WireGuard、內網 IP 暴露、CORS、public / internal route 邊界。
|
||
5. 套件與供應鏈：Python、Node / pnpm、Docker image、Harbor image scan、Gitea / GitHub workflow、runner labels、deploy keys、secret name parity。
|
||
6. 網站與後台：AWOOOI 前台、AwoooP、Governance、Code Review、安全合規、授權、告警、操作日誌、admin / treasury 類頁面。
|
||
7. 新納管產品：VibeWork、agent-bounty-protocol，以及後續由 owner 指定的新 repo / product / surface。
|
||
8. AI / Agent：模型 provider、NemoTron / Hermes / OpenClaw / ElephantAlpha、MCP / A2A、cron / daemon、auto claim / submit、外部訊息與 payout / withdrawal 邊界。
|
||
9. 備份與復原：restic、offsite escrow、Gitea / DB / MinIO / Sentry / SignOz / Config backup、cold-start / DR runbook。
|
||
10. 人工治理：owner response、security acceptance record、AwoooP approval 邊界、redacted evidence、quarantine、runtime follow-up gate。
|
||
|
||
## 2. 新優先序
|
||
|
||
使用者已調整方向：即時性資訊安全危害優先。後續排序如下：
|
||
|
||
1. P0：已提交或可能外洩的 secret、token、密碼、private key、cookie、session、webhook secret。
|
||
2. P0：可被濫用的遠端執行、掃描、agent 自主行為、payout / withdrawal、未授權 deploy / workflow / runner 修改。
|
||
3. P0：公開入口、Nginx、TLS、CORS、內網 IP 暴露、未驗證 SSH host key、明顯 MITM 或橫向移動風險。
|
||
4. P1：高風險過期套件、Kali 112 大量待更新、`networking.service` failed、服務 hardening 缺口。
|
||
5. P1：備份 / restore / offsite escrow、Harbor image scan、可觀測性告警鏈路與失敗限定通知。
|
||
6. P2：前台可視化、進度卡、UX、長期 GitHub primary readiness 與文檔整理。
|
||
|
||
## 3. Wave 0 已處置項
|
||
|
||
本波只做 source-control 層級的低風險修補，不登入主機、不重啟服務、不跑 active scan。
|
||
|
||
| 風險 | 處置 | 後續 |
|
||
|------|------|------|
|
||
| MinIO Prometheus bearer token 寫在 repo | 移除明文 token，改成 `bearer_token_file` reference | 需要 owner 安排 live token 輪替與主機 secret file 注入 |
|
||
| MinIO admin secret 出現在操作註解 | 改成 `<MINIO_ACCESS_KEY>` / `<MINIO_SECRET_KEY>` placeholder | live 操作須走密碼庫，不在文件或對話貼值 |
|
||
| Velero MinIO credential sample 寫入可用值 | 改成 `<MINIO_ACCESS_KEY>` / `<MINIO_SECRET_KEY>` placeholder | 若此值曾被使用，需輪替 MinIO / Velero credential |
|
||
| ArgoCD admin 密碼寫在端點文件 | 改成受控密碼庫 / SSO / break-glass 流程說明 | 需要 owner 確認該密碼是否仍有效，若有效需輪替 |
|
||
| dev CD SSH 關閉 host key 驗證 | 改成 `ssh-keyscan` + 強制 host key 驗證 + 指定 known_hosts | 若 120 host key 變更，需人工確認 fingerprint |
|
||
| Ansible / session health check 關閉 host key 驗證 | 改成 `accept-new`，避免無條件信任變更後 host key | 後續可升級為 pinned known_hosts evidence |
|
||
| docker-health-monitor deploy script 關閉 host key 驗證 | 改成 `ssh-keyscan` + `accept-new` + 指定 known_hosts | 後續可升級為 pinned host fingerprint |
|
||
|
||
## 4. 仍需跨專案同步
|
||
|
||
1. AwoooP：同步即時風險優先序，避免把 UI 可見當批准。
|
||
2. VibeWork：維持獨立產品邊界，只同步資安範圍與 owner response，不改其 repo / production。
|
||
3. agent-bounty-protocol：優先確認 external agent、MCP / A2A、cron / daemon、webhook、treasury / payout 邊界；不讀 `.env`，不啟用 runtime。
|
||
4. StockPlatform、Tsenyang、Bitan 等既有產品：後續納入全產品入口 / Nginx / TLS / secret / backup / admin surface 檢查，不與 AWOOOI runtime 混用權限。
|
||
5. 主機維護：Kali 112、111、168、188、110、120、121 任何更新、restart、hardening、firewall、scan、reboot 都需維護窗口、rollback owner、post-check owner 與跨專案通知。
|
||
|
||
## 5. 邊界
|
||
|
||
本波不代表 active scan、credentialed scan、Kali `/execute`、ArgoCD sync、kubectl、SSH 主機修改、secret value collection、repo / refs mutation、GitHub primary switch、deploy、restart、payout、withdrawal 或外部 agent action 已授權。
|