ANV SHIELD Enterprise Security Monolith

Zero-Trust, AI Doğrulama, HSM Entegrasyonu ve Tam İzlenebilirlik

🔒 Zero-Trust Architecture 🤖 AI-Powered Verification 🔐 HSM Integration 📊 Immutable Audit Logs 🚫 Device-Level Banning 🎭 Decoy Data Layer
<5min
Tehdit Tespit Süresi
99.9%
Doğrulama Doğruluğu
AES-256
Şifreleme Standardı
24/7
Otomatik İzleme

Sistem Mimarisi

Katmanlı, zero-trust prensiplerine dayalı enterprise güvenlik mimarisi

Edge Layer

CDN (CloudFront/Cloudflare)
DDoS Protection
WAF (Web Application Firewall)
Rate Limiting

API Gateway

NGINX/Envoy Proxy
JWT Validation
HMAC Signature Verification
Device Fingerprint Check
Bot Detection

Security Monolith (Stateful)

Auth Module (JWT/TOTP/HSM)
AI Verification Engine
Document Ingest & Sanitizer
Device Fingerprint Engine
Decoy Data Manager
Audit Log Writer
Admin Console API

Data & Key Management

AWS CloudHSM / HashiCorp Vault
Encrypted PostgreSQL (TDE)
Encrypted Object Store (S3)
Immutable Log Storage
RAM-Only Processing

SIEM & Monitoring

ELK/OpenSearch
Prometheus
Grafana
Alertmanager
Redis Streams / Kafka

Temel Özellikler

🤖

AI Verification Engine

Air-gapped ortamda çalışan yapay zeka motoru. OCR, sahtecilik tespiti, yüz tanıma, canlılık kontrolü, hologram/MRZ doğrulama. Offline modeller (ONNX/TensorRT) ile dış bağlantı olmadan çalışır.

🔐

HSM & Key Management

Hardware Security Module entegrasyonu ile ephemeral key yönetimi. Master key'ler sunucularda saklanmaz. Oturum anahtarları oluşturulur, kullanılır ve yok edilir. Otomatik key rotation politikaları.

📱

Device Fingerprinting & Ban

Motherboard/SoC seviyesinde cihaz tanımlama. Browser fingerprint, canvas, UA, timezone analizi. Soft, temporary ve permanent hardware ban mekanizmaları. Network-level IP/ASN banlama.

🎭

Decoy Data Layer

Güvenlik ihlali şüphesinde otomatik decoy mode. Gerçek dataset izole node'a taşınır, sahte ama tutarlı veriler döndürülür. Anomali eşiklerinde otomatik geçiş.

📊

Immutable Audit Logs

Her hassas işlem timestamp, admin ID ve request hash ile loglanır. SHA-256 hash chain ile zincirleme. Append-only storage ve opsiyonel blockchain notarization. RBAC ile kontrollü erişim.

🔒

Zero Data Retention

Ham hassas dokümanlar asla diske yazılmaz. RAM'de işlenir ve doğrulama sonrası anında yok edilir. Sadece hash ve doğrulama sonucu saklanır. Privacy-first yaklaşım.

⚡

Real-time Anomaly Detection

SIEM entegrasyonu ile gerçek zamanlı anomali tespiti. Mass access, elevation attempts, unusual log volume gibi pattern'ler anında tespit edilir. Otomatik alert ve containment.

🛡️

Multi-Layer Defense

WAF, rate limiting, bot filtering, DDoS shield, geo-blocking. Her request HMAC signed, JWT validated ve device fingerprint checked. Zero-trust: her mikro-servis izole, her request doğrulanır.

👥

2-Person Rule Admin

Kritik operasyonlar için iki admin onayı gerekir. Hardware security key + rotating TOTP. Override işlemleri, ban kaldırma, doküman görüntüleme için çift onay mekanizması.

API Endpoints

Tüm endpoint'ler HMAC signed header + JWT + device fingerprint gerektirir 

# Base URL
BASE: https://security.anv.local/api/v1/

Auth & Device

POST /auth/register

Kayıt işlemini başlatır. Presigned upload URL döndürür (60s TTL).

POST /auth/complete

Yüklenen kimlik dokümanını signed result ile doğrular.

POST /auth/login

Standart login + device fingerprint kontrolü.

POST /auth/refresh

Token yenileme endpoint'i.

Document Flow

GET /upload/presign?type={id|ruhsat|tapu}

Tek kullanımlık upload URL döndürür (60s expire).

POST /verify/status/{job_id}

Doğrulama sonucunu (signed) getirir.

POST /verify/manual-appeal/{job_id}

Manuel inceleme talebi (2-admin approval gerektirir).

Device & Ban

GET /device/status/{device_id}

Cihaz risk skoru ve ban durumunu döndürür.

POST /device/ban

Cihaz banlama (Admin only, 2-person auth).

GET /ban/check?device_signature=...

Gateway seviyesinde ban kontrolü.

Admin & Logs

GET /admin/logs?since=...

Immutable logları getirir (masked).

POST /admin/override/{job_id}

AI verdict override (2FA + hardware key + approval gerektirir).

Health & Ops

GET /health/live

Liveness probe endpoint.

GET /health/ready

Readiness probe endpoint.

POST /ops/decoy/enable

Decoy mode aktifleştirme (SIEM rule ile otomatik).

POST /ops/rotate_keys

Key rotation tetikleme.

Konfigürasyon Örnekleri

Upload Configuration

upload:
  presign_ttl_seconds: 60
  chunk_size_bytes: 2_097_152  # 2 MB
  max_file_size_mb: 50
  allowed_types:
    - image/jpeg
    - image/png
    - application/pdf

Rate Limits

gateway:
  auth:
    requests_per_minute: 30
    burst: 50
  upload:
    requests_per_minute: 5
    burst: 10
  api:
    requests_per_minute: 100
    burst: 200

Risk Thresholds

risk:
  soft_flag_threshold: 30  # Warning only
  action_required_threshold: 60  # Manual review
  hard_ban_threshold: 85  # Automatic ban
  decay_rate_per_day: 5  # Score reduction

Key Rotation

keys:
  ephemeral_ttl_seconds: 300  # 5 minutes
  master_rotation_days: 1  # Daily rotation
  hsm_provider: "aws-cloudhsm"
  vault_addr: "https://vault.internal:8200"

Olay Müdahale Süreci

5 dakikada tespit, 15 dakikada containment, 4 saatte recovery

1. Tespit (Detect) - <5 dakika

SIEM anomali tespiti: mass access, elevation attempts, unusual log volume. Otomatik alert tetiklenir, güvenlik ekibi bilgilendirilir.

2. İzolasyon (Isolate) - Anında

API Gateway otomatik rate-limit ve IP block. Decoy mode aktif edilir. Şüpheli trafiğin gerçek sistemlere ulaşması engellenir.

3. Kontrol Altına Alma (Contain) - <15 dakika

Tüm ephemeral key'ler revoke edilir. AI Verification Engine offline alınır (zaten persisted doc yok). Etkilenen endpoint'ler kapatılır.

4. Değerlendirme (Assess) - 30-60 dakika

Immutable log'lar analiz edilir. Hangi endpoint'lere erişildi, hangi job_id'ler etkilendi belirlenir. Chain of custody blockchain hash'leri ile doğrulanır.

5. Bildirim (Notify) - 1-2 saat

İç güvenlik ekibi, etkilenen müşteriler, yasal/compliance birimleri bilgilendirilir. Şeffaf iletişim protokolü uygulanır.

6. Kurtarma (Recover) - <4 saat

Key'ler rotate edilir. Clean node'lar known-good image'lardan ayağa kaldırılır. Chain of custody doğrulanır. Decoy mode'dan çıkılır, normal operasyon restore edilir.

7. Post-Mortem - 24-48 saat

Detaylı rapor hazırlanır. Exploit patch'lenir. SIEM rule'ları güncellenir. Lessons learned dokümante edilir ve ekip eğitilir.

Teknik Spesifikasyonlar

Bileşen Teknoloji/Standart Detay
Şifreleme (Data at Rest) AES-256 Tüm hassas veriler için
Şifreleme (Data in Transit) TLS 1.3 Minimum TLS 1.2, tercih 1.3
Password Hashing PBKDF2 + Salt 100,000+ iterations
Signature Algorithm ED25519 AI verification output signing
Hash Algorithm SHA-512 File integrity, audit chain
HSM AWS CloudHSM / FIPS 140-2 Level 3 Key generation & signing
Database PostgreSQL 14+ with TDE Transparent Data Encryption
Object Storage AWS S3 / MinIO Private buckets, signed URLs
Message Queue Redis Streams / Kafka Async job processing
SIEM ELK Stack / OpenSearch Real-time log analysis
Monitoring Prometheus + Grafana Metrics & dashboards
Container Orchestration Kubernetes 1.25+ Network policies, namespaces
AI Models ONNX / TensorRT Offline inference
Audit Log Storage Append-only / WORM Write Once Read Many
Presigned URL TTL 60 seconds Single-use upload URLs
Ephemeral Key TTL 5 minutes Session keys
Master Key Rotation 24-48 hours Automated rotation
Incident Detection SLA <5 minutes From anomaly to alert
Incident Containment SLA <15 minutes From detection to isolation
Recovery SLA <4 hours Full service restoration

Enterprise Güvenlik Çözümü

ANV SHIELD ile uygulamanızı enterprise seviye güvenlik altyapısı ile koruyun. Detaylı bilgi ve entegrasyon desteği için bizimle iletişime geçin.

İletişime Geçin Mimariyi İncele