Was wir tun · Betrieb: Schnelle Reaktion auf Schwachstellen, am selben Tag
Zwischen einer kritischen Sicherheitsmeldung und dem Moment, in dem die Korrektur auf Ihrem Server ankommt, schließen wir die Lücke selbst. Gegenmaßnahmen greifen innerhalb von Stunden, korrigierte Pakete werden hausintern am Tag der Veröffentlichung der Korrektur gebaut, und jeder betroffene Server wird am selben Tag gepatcht, ein Host nach dem anderen, mit einem getesteten Weg zurück.
Was es ist
- h2: Was es ist
Ein eingeübtes Notfallverfahren, keine improvisierte Hektik. Es deckt den gesamten Weg ab, vom Lesen der Sicherheitsmeldung bis zum Nachweis im Nachhinein, dass niemand das Zeitfenster genutzt hat. Es stützt sich auf unseren eigenen Paket-Mirror in unserem Rechenzentrum, sodass das Patchen nie davon abhängt, ob ein öffentlicher Mirror gerade einen guten Tag hat.
Wie wir es bauen
- h2: Wie wir es bauen
Zuerst die eigene Infrastruktur lesen. Wir stellen fest, welche Server die betroffene Komponente ausführen und ob die Anwendungen darauf die verwundbare Funktion tatsächlich nutzen.
Zuerst abschwächen. Während die Korrektur vorbereitet wird, greift die am wenigsten störende Gegenmaßnahme: eine Konfigurationsänderung, eine abgeschaltete Funktion, eine Regel am Edge. Maßnahmen, die Performance kosten, werden aufgehoben, sobald die eigentliche Korrektur eingespielt ist. Maßnahmen, die nichts kosten, bleiben.
Selbst bauen, am selben Tag. Wenn das Upstream-Projekt korrigierten Quellcode veröffentlicht, bauen wir korrigierte Pakete am selben Tag. Wir bauen aus der Paketspezifikation des Distributions-Maintainers in einem sauberen Container und kennzeichnen die Version so, dass der Build des Herstellers unseren beim nächsten normalen Update automatisch ersetzt. Die Pakete kommen in unseren eigenen Mirror, mit ihren Prüfsummen dokumentiert.
Ausrollen, ein Host nach dem anderen. Jeder Server bekommt eine Prüfung vorher und eine Prüfung nachher: dieselben Module geladen, dieselben Websites antworten, die Anwendung liefert eine gesunde Antwort. Worker-Pools werden sanft neu gestartet, sodass eine stark besuchte Website eine Pause von etwa einer Sekunde sieht, keinen Ausfall.
Den sorgfältigen Teil automatisieren. Für größere Flotten, etwa cPanel- und Plesk-Plattformen, bei denen die Korrektur vom Hersteller des Control Panels kommt, aktualisiert ein zeitgesteuerter Rollout einen Server pro Lauf, prüft stichprobenartig echte Websites darauf vorher und nachher, und hält den gesamten Durchlauf an und ruft einen Ingenieur, sobald eine einzige Website nicht korrekt zurückkommt.
Prüfen, ob das Zeitfenster genutzt wurde. Nach dem Rollout durchsuchen wir die Web- und Authentifizierungs-Logs für das Zeitfenster der Veröffentlichung nach Angriffsversuchen und nach allem, was Erfolg hatte.
Wovor es Sie schützt
-
h2: Wovor es Sie schützt
-
Eine aktiv ausgenutzte Schwachstelle, die offen bleibt, nachdem ihre Korrektur veröffentlicht wurde.
- Eine überhastete Korrektur, die nachts jede Website auf einem Server lahmlegt, ohne dass jemand hinsieht.
- Ein Patch, für dessen Herkunft niemand bürgen kann.
- Patchen, das stockt, weil ein öffentlicher Mirror langsam oder nicht erreichbar ist.
- Nicht zu wissen, ob jemand eingedrungen ist, bevor die Korrektur ankam.
In der Praxis
- h2: In der Praxis
Kritische Runtime-Schwachstellen, an einem Tag geschlossen. Wenn eine PHP-Schwachstelle höchster Schwere ihre offizielle Korrektur erhält, greifen die Gegenmaßnahmen auf allen verwalteten Plattformen vor Mittag. Das korrigierte PHP, hausintern aus der Spezifikation des Maintainers gebaut, wird innerhalb von Stunden nach der Upstream-Veröffentlichung in unseren internen Mirror gestellt, und die Anwendungsserver eines Nachrichtenverlags werden einer nach dem anderen gepatcht, jeder mit einem einzigen sanften Worker-Neustart von etwa einer Sekunde.
Die Flotte einer Digitalagentur, vor Mitternacht gepatcht. Am selben Abend wurde die Flotte aus mehreren Servern einer Digitalagentur von Anfang bis Ende gepatcht, einschließlich der Hosts, deren korrigierte Builds spät an diesem Tag vom Hersteller ihres Control Panels kamen und über den automatisierten, selbst anhaltenden Rollout ausgerollt wurden. Als der leitende Entwickler der Agentur spät am Abend fragte, ob ihre Server abgedeckt seien, hatte er seine Antwort innerhalb einer Stunde: jeder einzelne war fertig.
Und die Logs waren sauber. Eine Durchsicht des Zeitfensters der Veröffentlichung auf allen gepatchten Plattformen fand nur Scanning und einen langsamen, verteilten Versuch, Zugangsdaten zu erraten, alles abgewiesen, und kein Anzeichen einer Kompromittierung.
Warum EuroVPS
-
h2: Warum EuroVPS
-
Patchen am selben Tag auf jedem betroffenen Server, nicht «im nächsten Wartungsfenster».
- Wir bauen vertrauenswürdige korrigierte Pakete selbst, am selben Tag, an dem die Korrektur veröffentlicht wird.
- Unser eigener Paket-Mirror in unserem eigenen Rechenzentrum, nur aus unserem Adressraum erreichbar.
- Jeder Rollout hat Prüfungen vorher, Prüfungen nachher und einen automatischen Stopp.
- Wir suchen im Nachhinein nach Spuren einer Ausnutzung und sagen Ihnen, was wir gefunden haben.
Häufige Fragen
- h2: Häufige Fragen
- Patchen Sie meinen Server, ohne zu fragen? Bei kritischen Schwachstellen auf verwalteten Diensten patchen wir am selben Tag und halten Sie durchgehend auf dem Laufenden. Jede Ausfallzeit wird vorher mit Ihnen abgestimmt.
- Legt das Patchen meine Website lahm? Wir planen Rollouts so, dass genau das vermieden wird: sanfte Neustarts, ein Host nach dem anderen, Gesundheitsprüfungen vorher und nachher, und ein automatischer Stopp, wenn etwas falsch aussieht.
- Was, wenn meine Anwendung eine alte Version braucht? Wir schwächen das Risiko um sie herum ab, isolieren sie, vereinbaren mit Ihnen einen Upgrade-Pfad und dokumentieren die geltenden Maßnahmen.
- Bekomme ich einen Bericht? Ja. Sie erfahren, was betroffen war, was wir getan haben, wann, und was die Durchsicht der Logs ergeben hat.
- closing line: Wenn Sie wollen, dass Schwachstellen von Menschen geschlossen werden, die die Korrektur selbst bauen, sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.