> ZERO-TRUST // zt-arch-18

Zero-Overhead WebAssembly Micro-Sandboxing for Untrusted Code

Üçüncü taraf eklentileri ve güvenilmeyen kullanıcı kodlarını sıfır dosya sistemi ve ağ erişimiyle milisaniyenin altında başlatan, yetenek tabanlı WebAssembly (Wasmtime) mikro kum havuzu mimarisi.

Genel BakışNIST 800-207 Mimariler18 Duruş SihirbazıInteractive Kılavuzlar10 Karşılaştırma Matrisi22

18 Mimari Kataloğuna Dön Bu Mimariyi Kendi Sisteminizle Değerlendirin

Hedef Saldırgan Tehdit Modeli

Kullanıcının yüklediği zararlı eklenti betiğiyle diğer kiracıların belleğini okumaya veya madencilik yazılımı çalıştırmaya çalışması.

Mimari Meta Verileri

CISA Sütunu:APPLICATIONS_WORKLOADS

Arketip Tipi:RUNTIME_KERNEL_DEFENSE

Format:text/markdown

NIST SP 800-207 Karşılanan Temel İlkeler

✓All data sources and computing services are considered resources.
✓Access to individual enterprise resources is granted on a per-session basis.
✓All communication is secured regardless of network location.

Engellenen MITRE ATT&CK Teknikleri

T1203Engellendi

T1059Engellendi

T1496Engellendi

T1055Engellendi

3 Olgunluk Seviyesi Konfigürasyonu

Başlangıç seviyesinden CISA Optimal tavizsiz savunmaya kadar evrimleşen teknik konfigürasyon parametreleri.

INITIAL TIER

Uygulama Kapsamı:

Node.js vm2 or Python restricted execution module.

Kimlik Doğrulama:

Token validation before execution.

Ağ Yalıtımı:

Standard container process.

Telemetri & Denetim:

Process stdout/stderr logging.

Bileşen Yığını:

nodejs-vm2python-sandbox

⚠️ Hata Riski: Known prototype pollution and sandbox escape vulnerabilities.

ADVANCED TIER

Uygulama Kapsamı:

Wasmtime runtime executing WebAssembly modules compiled from Rust/C++.

Kimlik Doğrulama:

Strict capability grant: explicit file descriptors and memory fuel limits.

Ağ Yalıtımı:

No network sockets provided in WASI environment.

Telemetri & Denetim:

Execution cycle count and memory usage metrics reported per tenant.

Bileşen Yığını:

wasmtimewasi-sdkrust-wasm

⚠️ Hata Riski: WASM compilation memory spikes during module instantiation.

OPTIMAL TIERCISA OPTIMAL

Uygulama Kapsamı:

Distributed edge WASM fabric running untrusted code with sub-millisecond cold start times.

Kimlik Doğrulama:

Fine-grained Capability-Based Security (Object Capabilities) per execution invocation.

Ağ Yalıtımı:

Micro-isolated linear memory bounds enforced by CPU hardware architecture.

Telemetri & Denetim:

Cryptographically signed audit logs of every input/output payload.

Bileşen Yığını:

spin-wasmwasmedgecosign-wasmtetragon

⚠️ Hata Riski: WASI standard evolution requiring updates to guest module bindings.

Altyapı Kodları: Terraform & Kubernetes Manifestoları

Doğrudan üretim ortamınıza uygulanabilir Helm/Terraform ve Kubernetes YAML şablonları.

main.tf (Terraform HCL)

OpenTofu / Terraform

resource "aws_ecs_task_definition" "wasm_worker" {
  family                   = "wasm-plugin-runner"
  requires_compatibilities = ["FARGATE"]
  network_mode             = "awsvpc"
  cpu                      = "256"
  memory                   = "512"

  container_definitions = jsonencode([{
    name      = "wasmtime"
    image     = "ghcr.io/tiny-cto/wasm-runner:latest"
    essential = true
  }])
}

policy.yaml (Kubernetes Manifest)

Kube v1.28+

apiVersion: node.k8s.io/v1
kind: RuntimeClass
metadata:
  name: wasm-runtime
handler: wasmtime

Yapay Zekâ Özeti — Zero-Overhead WebAssembly Micro-Sandboxing for Untrusted Code

AEO / GEO / Perplexity Indexable

CISA Sütunu & ArketipAPPLICATIONS_WORKLOADS // RUNTIME_KERNEL_DEFENSE

NIST SP 800-207 İlkeleriAll data sources and computing services are considered resources.; Access to individual enterprise resources is granted on a per-session basis.

Engellenen ATT&CKT1203, T1059, T1496, T1055

Optimal Seviye Yığınıspin-wasm, wasmedge, cosign-wasm, tetragon

Mimarî Plan Sıkça Sorulan Sorular

Zero-Overhead WebAssembly Micro-Sandboxing for Untrusted Code mimarisi hangi birincil tehdit modellerini ve MITRE ATT&CK tekniklerini engeller?

Zero-Overhead WebAssembly Micro-Sandboxing for Untrusted Code, Kullanıcının yüklediği zararlı eklenti betiğiyle diğer kiracıların belleğini okumaya veya madencilik yazılımı çalıştırmaya çalışması. Saldırganların yanlamasına ilerlemesini (lateral movement) ve yetki yükseltmesini engellemek için T1203, T1059, T1496, T1055 tekniklerini çekirdek seviyesinde (in-kernel) veya kriptografik kimlik kanıtlamasıyla etkisiz hale getirir.

Bu mimari NIST SP 800-207 Sıfır Güven ilkelerini nasıl karşılar?

Bu mimari, NIST SP 800-207 yönergelerine uygun olarak şu temel ilkeleri tavizsiz zorunlu kılar: All data sources and computing services are considered resources.; Access to individual enterprise resources is granted on a per-session basis.; All communication is secured regardless of network location.. Statik ağ çevresi güveni yerine her istekte dinamik kimlik kanıtlaması ve kriptografik doğrulama yürütülür.

INITIAL (Başlangıç) ile OPTIMAL (Tavizsiz Savunma) seviyeleri arasındaki operasyonel farklar nelerdir?

INITIAL seviyesi temel politika ve kimlik doğrulamasına odaklanırken (Node.js vm2 or Python restricted execution module.), OPTIMAL seviyesi CISA ZTMM 2.0 tavizsiz savunma hedeflerini hayata geçirir (Distributed edge WASM fabric running untrusted code with sub-millisecond cold start times.). OPTIMAL seviye teknoloji yığını: spin-wasm, wasmedge, cosign-wasm, tetragon.

Bu mimarideki temel hata riski (Failure Risk) nedir ve operasyonel dayanıklılık nasıl korunur?

Birincil operasyonel risk: WASI standard evolution requiring updates to guest module bindings.. Bu risk, yedekli denetim düzlemi (control plane) dağıtımı, yerel önbellek yedekleri ve otomatik hata devri (failover) mekanizmalarıyla bertaraf edilir.

Bu mimari Altyapı Kodu (IaC) ile üretim ortamına nasıl uygulanır?

Bu sayfada sunulan ana Terraform/OpenTofu (main.tf) ve Kubernetes politika (policy.yaml) bildirimleri doğrudan GitOps boru hatlarına (ArgoCD, Flux) entegre edilebilir. Bildirimler, en az ayrıcalık ve kriptografik iş yükü kanıtlaması parametreleriyle önceden yapılandırılmıştır.