SOPS Encryption Metric Collection

SOPS Encryption Metrics

SOPS Secrets Encryption Age KMS GitOps Prometheus Metric Collection Grafana Dashboard Alertmanager Kubernetes Terraform Helm Monitoring

SOPS Secret Management

# === SOPS Setup & Usage ===

# Install
# brew install sops age
# apt install sops age

# Generate Age Key
# age-keygen -o ~/.sops/key.txt
# export SOPS_AGE_KEY_FILE=~/.sops/key.txt

# .sops.yaml — Configuration
# creation_rules:
#   - path_regex: \.enc\.yaml$
#     age: >-
#       age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p
#   - path_regex: production/.*\.yaml$
#     kms: arn:aws:kms:us-east-1:123456:key/abc-123
#   - path_regex: staging/.*\.yaml$
#     age: >-
#       age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p

# Encrypt
# sops --encrypt secrets.yaml > secrets.enc.yaml
# sops --encrypt --in-place secrets.yaml

# Decrypt
# sops --decrypt secrets.enc.yaml
# sops --decrypt --in-place secrets.enc.yaml

# Edit (decrypt -> edit -> encrypt)
# sops secrets.enc.yaml

# secrets.yaml (before encryption)
# database:
#   host: db.example.com
#   password: supersecret123
#   port: 5432
# api:
#   key: sk_live_abc123xyz
#   webhook_secret: whsec_456

from dataclasses import dataclass
from typing import List

@dataclass
class SecretFile:
    path: str
    encryption: str
    keys_count: int
    last_rotated: str
    status: str

secrets = [
    SecretFile("production/db.enc.yaml", "AWS KMS", 5, "2024-03-01", "Encrypted"),
    SecretFile("production/api.enc.yaml", "AWS KMS", 8, "2024-03-01", "Encrypted"),
    SecretFile("staging/db.enc.yaml", "Age", 5, "2024-02-15", "Encrypted"),
    SecretFile("staging/api.enc.yaml", "Age", 6, "2024-02-15", "Encrypted"),
    SecretFile("dev/config.yaml", "None", 3, "—", "PLAINTEXT"),
]

print("=== Secret Files ===")
for s in secrets:
    print(f"  [{s.status}] {s.path}")
    print(f"    Encryption: {s.encryption} | Keys: {s.keys_count} | Rotated: {s.last_rotated}")

Prometheus Metric Collection

# === Prometheus Setup ===

# docker-compose.yml
# services:
#   prometheus:
#     image: prom/prometheus:latest
#     ports: ["9090:9090"]
#     volumes:
#       - ./prometheus.yml:/etc/prometheus/prometheus.yml
#   grafana:
#     image: grafana/grafana:latest
#     ports: ["3000:3000"]
#   alertmanager:
#     image: prom/alertmanager:latest
#     ports: ["9093:9093"]

# prometheus.yml
# global:
#   scrape_interval: 15s
# scrape_configs:
#   - job_name: 'app'
#     static_configs:
#       - targets: ['app:8000']
#   - job_name: 'node'
#     static_configs:
#       - targets: ['node-exporter:9100']

# Python App — Expose Metrics
# from prometheus_client import Counter, Histogram, Gauge, start_http_server
#
# REQUEST_COUNT = Counter('http_requests_total', 'Total HTTP Requests',
#                         ['method', 'endpoint', 'status'])
# REQUEST_LATENCY = Histogram('http_request_duration_seconds',
#                             'HTTP Request Duration',
#                             ['method', 'endpoint'])
# ACTIVE_CONNECTIONS = Gauge('active_connections', 'Active Connections')
#
# start_http_server(8000)  # Expose /metrics on port 8000
#
# @app.middleware("http")
# async def metrics_middleware(request, call_next):
#     ACTIVE_CONNECTIONS.inc()
#     with REQUEST_LATENCY.labels(request.method, request.url.path).time():
#         response = await call_next(request)
#     REQUEST_COUNT.labels(request.method, request.url.path, response.status_code).inc()
#     ACTIVE_CONNECTIONS.dec()
#     return response

@dataclass
class MetricData:
    metric: str
    type: str
    value: str
    alert_threshold: str
    status: str

metrics = [
    MetricData("http_requests_total", "Counter", "1,250,000", "—", "OK"),
    MetricData("http_request_duration_seconds P99", "Histogram", "0.32s", "< 1s", "OK"),
    MetricData("active_connections", "Gauge", "45", "< 100", "OK"),
    MetricData("error_rate_5xx", "Counter", "0.2%", "< 1%", "OK"),
    MetricData("cpu_usage", "Gauge", "65%", "< 80%", "OK"),
    MetricData("memory_usage", "Gauge", "78%", "< 85%", "Warning"),
    MetricData("disk_usage", "Gauge", "42%", "< 80%", "OK"),
]

print("\n=== Metrics Dashboard ===")
for m in metrics:
    print(f"  [{m.status}] {m.metric} ({m.type})")
    print(f"    Value: {m.value} | Threshold: {m.alert_threshold}")

GitOps Integration

# === SOPS + GitOps + Monitoring ===

# ArgoCD + SOPS Plugin
# apiVersion: argoproj.io/v1alpha1
# kind: Application
# metadata:
#   name: my-app
# spec:
#   source:
#     plugin:
#       name: argocd-vault-plugin
#       env:
#         - name: SOPS_AGE_KEY
#           value: $AGE_KEY

# Helm + SOPS
# helm secrets upgrade my-release ./chart \
#   -f values.yaml \
#   -f secrets.enc.yaml

# Alert Rules
# groups:
#   - name: app_alerts
#     rules:
#       - alert: HighErrorRate
#         expr: rate(http_requests_total{status=~"5.."}[5m]) > 0.01
#         for: 5m
#         labels: { severity: critical }
#       - alert: HighLatency
#         expr: histogram_quantile(0.99, rate(http_request_duration_seconds_bucket[5m])) > 1
#         for: 5m
#         labels: { severity: warning }
#       - alert: SecretRotationOverdue
#         expr: time() - secret_last_rotated_timestamp > 86400 * 90
#         labels: { severity: warning }

gitops_workflow = [
    "1. Developer แก้ Secret ด้วย sops edit secrets.enc.yaml",
    "2. Commit encrypted file ไป Git",
    "3. PR Review ดู Diff ของ Keys (Values ยัง encrypted)",
    "4. Merge → ArgoCD Sync ด้วย SOPS Plugin",
    "5. SOPS Decrypt ใน Cluster เป็น K8s Secret",
    "6. App ใช้ Secret จาก Environment Variable",
    "7. Prometheus เก็บ Metrics จาก App",
    "8. Grafana Dashboard แสดงผล Alert เมื่อผิดปกติ",
]

print("GitOps + Monitoring Workflow:")
for step in gitops_workflow:
    print(f"  {step}")

# PromQL Examples
promql = {
    "Request Rate": "rate(http_requests_total[5m])",
    "Error Rate": "rate(http_requests_total{status=~'5..'}[5m])",
    "P99 Latency": "histogram_quantile(0.99, rate(http_request_duration_seconds_bucket[5m]))",
    "CPU Usage": "100 - (avg(rate(node_cpu_seconds_total{mode='idle'}[5m])) * 100)",
    "Memory Usage": "(1 - node_memory_MemAvailable_bytes / node_memory_MemTotal_bytes) * 100",
}

print(f"\n\nPromQL Queries:")
for name, query in promql.items():
    print(f"  [{name}]: {query}")

เคล็ดลับ

• Age: ใช้ Age แทน PGP สำหรับ SOPS ง่ายกว่า เร็วกว่า
• Rotate: หมุน Secret ทุก 90 วัน ตั้ง Alert เตือน
• Git: เก็บ Encrypted Secrets ใน Git อย่างปลอดภัย
• Labels: ใช้ Labels ใน Metrics สำหรับ Filter และ Grouping
• Alert: ตั้ง Alert ที่ Actionable ไม่ Alert ทุกอย่าง

แนวทางป้องกันภัยไซเบอร์สำหรับองค์กรไทย

ภัยคุกคามทางไซเบอร์ในปี 2026 มีความซับซ้อนมากขึ้น Ransomware ยังคงเป็นภัยอันดับหนึ่ง โดยผู้โจมตีใช้ AI ช่วยสร้าง Phishing Email ที่แนบเนียนขึ้น องค์กรควรมี Multi-Layered Security ตั้งแต่ Perimeter Defense ด้วย Next-Gen Firewall Endpoint Protection ด้วย EDR Solution และ Network Detection and Response

การฝึกอบรมพนักงานเป็นสิ่งสำคัญที่สุด เพราะ Human Error เป็นสาเหตุหลักของการรั่วไหลข้อมูล ควรจัด Security Awareness Training อย่างน้อยไตรมาสละครั้ง ทำ Phishing Simulation ทดสอบพนักงาน และมี Incident Response Plan ที่ชัดเจน ฝึกซ้อมเป็นประจำ

สำหรับกฎหมาย PDPA ของไทย องค์กรต้องมี Data Protection Officer แจ้งวัตถุประสงค์การเก็บข้อมูลอย่างชัดเจน ขอ Consent ก่อนใช้ข้อมูลส่วนบุคคล มีมาตรการรักษาความปลอดภัยที่เหมาะสม และแจ้งเหตุ Data Breach ภายใน 72 ชั่วโมง

สรุป

SOPS Encryption Age KMS GitOps Prometheus Metric Collection Grafana Dashboard Alertmanager PromQL Counter Histogram Gauge Kubernetes Helm ArgoCD Secret Rotation Monitoring