Security Baseline Controls

Overview

มาตรฐาน security ขั้นต่ำที่ทุก service ต้องมี: authentication, authorization, input validation, secrets handling, และ security headers ที่ทำให้ระบบปลอดภัยตั้งแต่ day one

Why This Matters

• •Compliance: Meet SOC2, ISO27001, GDPR requirements
• •Defense in depth: Multiple security layers
• •Consistency: Same security posture across services
• •Audit: Clear evidence of controls

Core Concepts

1. Authentication Requirements

• •ทุก endpoint (ยกเว้น health) ต้องมี authentication
• •validate tokens อย่างถูกต้อง: signature, issuer, audience, expiry, clock skew
• •สำหรับ sessions ต้องมี: secure cookie, CSRF protection, session rotation

2. Authorization Patterns

• •resource-level authorization (owner/tenant) เป็น default
• •RBAC สำหรับ roles ทั่วไป, ABAC/policies สำหรับเงื่อนไขซับซ้อน (tenant tier, attributes)
• •deny-by-default: ถ้าไม่มี policy/permission ให้ reject

3. Input Validation

• •validate ที่ boundary: request body/query/path headers (schema-based)
• •enforce limits: max size, max length, enums, number ranges
• •normalize/sanitize ตามชนิดข้อมูล (เช่น trim, canonicalize emails)

4. Output Encoding

• •ตั้ง Content-Type ถูกต้องเสมอ และใช้ JSON serialization มาตรฐาน
• •UI ที่ render HTML ต้อง escape/encode ตาม context (server ไม่ควรส่ง HTML ที่มี user input โดยตรง)
• •หลีกเลี่ยงการสะท้อน input กลับไปใน error message โดยไม่ sanitize

5. Secrets Management

• •secrets ต้องไม่อยู่ใน repo, container image, หรือ logs
• •ใช้ secret manager + least privilege access (scoped identities)
• •รองรับ rotation: short TTL tokens, reload without redeploy ถ้าเป็นไปได้

6. Security Headers

• •เปิดใช้ HSTS บน production domains ที่รองรับ HTTPS
• •ใส่ CSP ที่เหมาะสม (สำหรับ web apps) และปิด clickjacking (X-Frame-Options/frame-ancestors)
• •ตั้ง Referrer-Policy, X-Content-Type-Options เป็น baseline

7. Dependency Security

• •เปิดใช้ dependency scanning ใน CI (SCA) และกำหนด SLA ในการ patch
• •pin versions และหลีกเลี่ยง latest ใน production
• •สำหรับ containers: scan base image + SBOM ถ้า platform รองรับ

8. Audit Logging

• •log security-relevant events: login, token refresh, permission changes, admin actions, data export
• •audit logs ต้อง immutable/append-only และเข้าถึงจำกัด
• •ใส่ requestId/actorId/tenantId (ถ้ามี) และ redact PII ตาม policy

Quick Start

import helmet from "helmet";
import type { Request, Response, NextFunction } from "express";

export function securityHeaders() {
  return helmet({
    contentSecurityPolicy: false, // enable + tune per app (web) when ready
  });
}

export function requireAuth(req: Request, res: Response, next: NextFunction) {
  const auth = req.header("authorization");
  if (!auth?.startsWith("Bearer ")) return res.status(401).json({ error: "Unauthorized" });
  // verify token (issuer/audience/signature/expiry) here
  next();
}

Production Checklist

• • Authentication on all endpoints (except health)
• • Authorization checks for protected resources
• • Input validation on all user inputs
• • Security headers configured
• • Secrets from secret manager (not env/code)
• • Dependencies scanned for vulnerabilities
• • Security audit logging enabled

Security Headers

// Required headers
{
  "Strict-Transport-Security": "max-age=31536000; includeSubDomains",
  "X-Content-Type-Options": "nosniff",
  "X-Frame-Options": "DENY",
  "X-XSS-Protection": "1; mode=block",
  "Content-Security-Policy": "default-src 'self'",
  "Referrer-Policy": "strict-origin-when-cross-origin"
}

Input Validation Checklist

// Every user input must be:
// 1. Type-checked (string, number, etc.)
// 2. Length-limited (max characters)
// 3. Format-validated (regex, enum)
// 4. Sanitized (HTML escape, SQL escape)

const schema = z.object({
  email: z.string().email().max(255),
  name: z.string().min(1).max(100),
  age: z.number().int().min(0).max(150)
});

Authentication Requirements

Anti-patterns

1. •Security as afterthought: Add security later
2. •Trust internal traffic: No service-to-service auth
3. •Log everything: Including secrets
4. •Ignore dependencies: Old vulnerable packages
5. •Over-logging: log PII/credentials แล้วค่อย “ลบทีหลัง” (ทำไม่ได้จริง)

Integration Points

• •Identity providers
• •Secret managers
• •Security scanning tools
• •SIEM systems

Further Reading

• •OWASP Top 10
• •OWASP ASVS
• •Security Headers