İçeriğe geç
Subnomic
Ücretsiz başla

Filo

Kendi sunucuların ve cluster’ların

Sunucuların ve cluster’ların, port açmadan.

Tek bir ajan kur. Dışarı bağlanır; her terminal, veritabanı sorgusu, kubectl çağrısı ve iç pano o bağlantıdan geçer — korkuluklarla denetlenir, kaydedilir ve isteyen kişiye bağlanır.

Başla Dokümanları oku
Gelen portlar
0
Ajan modları
host · docker · k8s · tunnel
Veritabanları
Postgres · MySQL · Redis · Mongo
Sunucular
Pro’dan itibaren
db-primary · agent install
$ curl -fsSL https://objects.subnomic.com/subnomic/install.sh \
    | sudo TOKEN=<token> bash
subnomic-agent.service active · outbound only

Nasıl çalışır

Kur, eriş, yönet.

01

Ajanı kur

Bir sunucuda bir systemd servisi, bir cluster’da bir Deployment ya da Docker’ın yanında bir container. Tek bir giden bağlantı açar, gelen hiçbir şeye ihtiyaç duymaz.

prod-eu
$ kubectl apply -f \
    https://objects.subnomic.com/subnomic/agent.yaml
02

Arkasındakine eriş

Tarayıcıda bir terminal ya da subnomic ssh, bir veritabanı konsolu, iç web uygulamaları ve oluşturulan bir kubeconfig üzerinden kubectl — hepsi aynı tünelden.

~
$ subnomic ssh db-primary
03

Yönet

Korkuluklar komutları ve sorguları çalışmadan önce denetler, oturumlar yeniden oynatmak için kaydedilir ve bir sunucu, biri bağlanmadan önce anlık (JIT) onay isteyebilir.

Erişim ve operasyon

Ajanın erişime açtıkları.

Terminal, tarayıcıda ya da CLI’da

Ajanın çalıştığı her sunucuda, komut başına korkuluk denetimiyle etkileşimli bir kabuk. Linux’ta herkes kendi operatör kullanıcısıyla işlem yapar.

Kimsenin parolaya ihtiyaç duymadığı bir veritabanı konsolu

PostgreSQL, MySQL, Redis ve MongoDB. Her ifade okuma, bakım ya da yazma olarak sınıflandırılır ve buna uyan izni gerektirir.

İç uygulamalar

Özel ağlardaki panoları ve web uygulamalarını tünel üzerinden aç; VPN ya da dışarı açık bir port olmadan.

Proxy üzerinden kubectl

Oluşturulan bir kubeconfig, kubectl’i Subnomic üzerinden geçirir; cluster’ı silmek onu iptal eder. Bir de tarayıcıda bir API konsolu.

Kaydedilir, canlı da izlenebilir

Terminal, pod kabuğu ve veritabanı oturumları yeniden oynatmak için kaydedilir. Canlı bir terminali izle, girdi gönder ya da sonlandır.

Kubernetes kaynak yöneticisi

Envanter, YAML ve form düzenlemeleri, imaj güncellemeleri, cordon ve drain, bir de örneklenen kullanımın P95’inden doğru boyutlandırma.

Alarmlar, olaylar, nöbet

CPU, bellek, disk ve sağlıksız kaynaklar üzerindeki kurallar olay açar; olay on beş dakika sonra nöbetçiye yükseltilir ve bir yapay zekâ incelemesi alır.

Anomali tespiti

Mesai dışı oturumlar, yeni bir sunucuya ilk oturum ve toplu dosya işlemleri, ayarlayabildiğin eşiklere göre işaretlenir.

Yamalar ve bulut hesapları

apt, dnf ve yum üzerinden bekleyen güncellemeler ve güvenlik düzeltmeleri; ajan zaten çalışır durumda kurulan DigitalOcean ve Proxmox makineleri.

Enterprise

Enterprise katmanının denetim için ekledikleri.

Yukarıdaki her şey Team’de var. Bunlar bir güvenlik incelemesinin sorduğu kısımlar ve Enterprise ile gelirler.

Anlık (JIT) erişim ve acil erişim (break-glass)

İste, onayla ve süresi dolsun — varsayılan olarak bir saat. Acil erişimi kişi bir gerekçeyle kendine verir; varsayılan süresi on beş dakikadır ve sahiplere anında bildirilir.

Kurcalamayı gösteren denetim kaydı

Etkinlik kaydı, çalışma alanı başına bir hash zincirine mühürlenir; doğrulama, silinen ve değiştirilen satırları bildirir ve henüz ne kadarının mühürlenmediğini söyler.

Denetim akışı

Mühürlenmiş kayıtlar, SIEM’in için imzalı bir webhook’a ya da Slack’e tam olarak bir kez teslim edilir.

Kanıt paketleri

Erişim incelemeleri ve SOC 2, ISO 27001, HIPAA ya da PCI DSS için çerçevelenmiş raporlar ile ham kanıtlardan oluşan bir ZIP — sertifika değil, denetimin için malzeme.

Çalışma alanı ağ kısıtlamaları

İzleme ya da zorlama modunda bir IP izin listesi; kendini dışarıda bırakmanı önleyen bir korumayla.

Operasyon defterleri

Adımları gerçekten çalışan runbook’lar, onları açıklayan metnin yanında.

Korkuluklar

İlk eşleşmenin karar verdiği bir kural listesi.

Kurallar; bir sorguya, bir komuta ya da bir Kubernetes değişikliğine öncelik sırasıyla uygulanan düzenli ifadelerdir. İlk eşleşme kazanır — izin ver, reddet ya da onay gerektir — ve kurallar yüklenemezse eylem reddedilir.

  • Veritabanı sorguları ve Kubernetes değişiklikleri, çalışmadan önce ifadenin kendisi üzerinden denetlenir.
  • Etkileşimli kabuk kuralları hatalara karşı bir korumadır, bir sandbox değil: bash -c ya da bir düzenleyiciden kaçış onları atlatabilir. Sınırı RBAC, bağlanma onayı ve kayıt çizer.
  • Gözetimsiz çağıranlar — zamanlamalar, iş akışları, yapay zekâ — “onay gerektir” kararını ret olarak sayar.
  • Bir deneme (dry-run) test aracı ve başlamak için 71 şablon.
guardrails · first match wins
# priority  target    pattern                                action
10          database  \bdelete\s+from\s+scratch\b             allow
20          database  \b(delete|update)\b(?![\s\S]*\bwhere\b)  deny
30          server    \bsystemctl\s+(stop|restart)\b          require_approval
40          kube      delete.*namespace=prod                 deny

Planlar

Her parçanın başladığı plan.

Plan Ücretsiz Pro Team Enterprise
Sunucular ve cluster’lar—325250
Terminal, uygulamalar, kubectl—✓✓✓
Veritabanı konsolu, zamanlanmış görevler—✓✓✓
Korkuluklar, oturum kaydı——✓✓
Alarmlar, olaylar, nöbet, tespit——✓✓
Bulut hesapları, yamalar, maliyet——✓✓
Anlık (JIT) erişim, acil erişim———✓
Kurcalamayı gösteren denetim kaydı, denetim akışı———✓
Kanıt paketleri, IP izin listesi———✓

Her katman aynı şekilde satın alınır — Enterprise dahil.

Sorular

Bir güvenlik incelemesinin ilk sordukları.

Ajanın gelen bir porta ihtiyacı var mı?

Hayır. Uzun ömürlü tek bir giden bağlantı açar ve her erişim türü onu paylaşır. Ayrıca izin listesinin dışındaki hiçbir yere bağlanmayı kabul etmez; bu liste varsayılan olarak özel adres aralıklarıdır.

Ajan hangi sistemlerde çalışır?

Test edilen yol systemd’li Linux. macOS, Windows, FreeBSD ve OpenBSD için de amd64 ve arm64 derlemeleri yayımlanır; Kubernetes ajanı da root olmadan çalışır.

Veritabanı sonuçları kayıtlarda saklanır mı?

Hayır. Bir veritabanı kaydı sorgu metnini, satır sayısını ve süreyi tutar — sonuç satırlarını asla.

Bizi SOC 2 uyumlu yapar mı?

Hiçbir araç yapmaz. Kanıt paketleri, bir denetçinin istediği erişim incelemelerini, oturumları, izinleri ve yapılandırmayı, belirttiğin kontrol setine göre çerçeveleyerek toplar.

Çalışma alanının geri kalanı

Aynı fatura, aynı kimlik bilgileri, aynı denetim kaydı.

SitelerGerçekten geri alınabilen statik barındırma DepolamaS3 uyumlu nesne depolama RegistryTarama yapan özel bir OCI registry Yapay zekâÇalışma alanına uzanabilen bir ajan İş akışlarıBirbirine bağlanmış ürünler

Son gelen portu da kapat.

Bir sunucuyu birkaç dakikada bağla. Sunucular ve cluster’lar Pro’da başlar.

Başla Dokümanları oku