Was wir tun · Betrieb: Die Hardening-Baseline auf jedem Host
Jede Maschine, die wir bauen, beginnt mit derselben Sicherheitsbasis, und diese Basis steht nicht zur Verhandlung. SELinux enforcing, eine Host-Firewall plus ein Paar Perimeter-Firewalls, Netzwerk- und Länderrichtlinien am Edge, nur SSH-Schlüssel, kein Swap auf virtuellen Maschinen. Das macht «sicher» zu einer Eigenschaft der Plattform statt zu einem Versprechen in einem Vertrag.
Was es ist
- h2: Was es ist
Ein fester Satz von Kontrollen, der auf jeden Linux-Host und jeden öffentlichen Dienst angewendet wird, den wir betreiben, vom Moment der Installation an. Er ist in unsere Installationsvorlagen eingebaut, sodass ein neuer Server gehärtet ist, bevor sich jemand daran anmeldet, und er wird nach jeder Änderung von außen geprüft, statt von innen als gegeben angenommen zu werden.
Wie wir es bauen
- h2: Wie wir es bauen
SELinux enforcing, immer. Wenn eine Anwendung und die Richtlinie nicht zusammenpassen, schreiben oder korrigieren wir die Richtlinie. Wir schalten den Schutz nicht ab, und wir übertünchen das Problem nicht mit einer generierten Regel, die den ganzen Host still schwächt. Wenn wir den Enforcement-Modus auf einer entfernten Maschine ändern, wird zuerst ein zeitgesteuertes Sicherheitsnetz scharf geschaltet, damit ein Fehler uns nie von der Maschine aussperren kann.
Zwei Firewalls, nicht eine. Jeder öffentliche Dienst steht hinter einem hochverfügbaren Firewall-Paar am Perimeter, aufgebaut auf Cisco Firepower oder OPNsense, zusätzlich zur Host-Firewall. Änderungen am Perimeter laufen ausschließlich über die API der Firewall, zuerst auf dem Standby-Knoten, und beide Knoten werden danach als identisch verifiziert.
Netzwerk- und Länderrichtlinien am Edge. Öffentliche Dienste tragen eine gepflegte Sperrliste von Ländern und eine Sperrliste von Netzen, die für Missbrauch bekannt sind. Private Plattformen bekommen das Gegenteil: eine Freigabeliste, bei der nur benannte Länder oder benannte Netze überhaupt eine Verbindung aufbauen können. Nach jeder Änderung wird die Richtlinie aus mehreren Ländern getestet, um zu beweisen, dass sie tut, was sie sagt.
Administrativer Zugang über ein getrenntes Netz. Administratoren erreichen einen Host über unsere eigenen VPN-Gateways und Jump-Hosts, in einem Verwaltungsnetz, das der Kundenverkehr nicht sehen kann.
Kein Swap auf virtuellen Maschinen. Die Festplatte einer virtuellen Maschine liegt auf einem All-Flash-Array der Enterprise-Klasse. Swap würde die Lebensdauer dieses Arrays als Überlaufspeicher verbrauchen und einen Speichermangel in einen langsamen, unberechenbaren Server verwandeln. Eine Maschine, die mehr Arbeitsspeicher braucht, bekommt mehr Arbeitsspeicher, und die Anwendung wird so abgestimmt, dass sie hineinpasst.
Das richtige Dateisystem und die richtigen Einstellungen. XFS überall, und Storage-Einstellungen, die auf die realen Platten hinter dem Controller abgestimmt sind, damit Solid-State-Storage auch als Solid-State-Storage behandelt wird.
Patchen aus unserem eigenen Mirror. Unser Paket-Mirror liegt in unserem eigenen Rechenzentrum, mit intakten Upstream-Signaturen, nur aus unseren eigenen Adressbereichen erreichbar. Ein Server, der das Internet bewusst nicht erreichen kann, bleibt ein Server, den wir vollständig patchen können.
Zustandslos, wo kein Zustand nötig ist. UDP-Dienste, die kein Connection Tracking brauchen, etwa DNS, werden an der Firewall zustandslos durchgeleitet, und die Paketverarbeitung wird über die Prozessorkerne verteilt, mit getrennt gehaltener Control Plane, damit die Firewall unter Last schnell bleibt.
Wovor es Sie schützt
-
h2: Wovor es Sie schützt
-
Eine kompromittierte Anwendung, die zu einem kompromittierten Server wird.
- Ein Dienst, der der ganzen Welt offensteht, obwohl er nur je einem Land antworten musste.
- Ein Speichermangel, der zu einem Storage-Problem wird.
- Patchen in Geiselhaft eines externen Mirrors.
In der Praxis
- h2: In der Praxis
Länderrichtlinie, von außen bewiesen. Als wir die Ländersperrlisten auf unseren öffentlichen Firewall-Paaren verschärft haben, ging die Änderung zuerst auf den Standby-Knoten, beide Knoten wurden als identisch verifiziert, und das Ergebnis wurde aus mehreren Ländern getestet, bevor es als erledigt galt.
Ein Testsystem, das nur einem Land antwortet. Ein Kunde brauchte ein Staging-System, das nur aus seinem eigenen Land erreichbar ist. Das Regelwerk wurde je Kunde aufgebaut, mit ausdrücklichen Sperren für alles andere, bewusst relativ zu den allgemeinen Bedrohungsregeln platziert und von innerhalb und außerhalb dieses Landes bewiesen.
Warum EuroVPS
-
h2: Warum EuroVPS
-
SELinux bleibt enforcing. Wir korrigieren die Richtlinie, wir schalten den Schutz nicht ab.
- Eine Host-Firewall und ein hochverfügbares Perimeter-Paar vor jedem öffentlichen Dienst.
- Länder- und Netzwerkrichtlinien nach jeder Änderung von außen getestet.
- Kein Swap auf VMs: Speicherprobleme werden mit Arbeitsspeicher gelöst.
- Unser eigener Paket-Mirror, damit das Patchen nie auf jemand anderen wartet.
Häufige Fragen
- h2: Häufige Fragen
- Der Hersteller meiner Anwendung sagt, ich soll SELinux abschalten. Machen Sie das? Nein. Wir schreiben die Richtlinie, die Ihre Anwendung braucht. Nach unserer Erfahrung ist das fast immer eine kleine, präzise Änderung.
- Können Sie meinen Dienst auf bestimmte Länder beschränken? Ja. Freigabeliste oder Sperrliste, am Perimeter, nach dem Einspielen von außen getestet.
- Warum gibt es keinen Swap auf meiner VM? Weil Swap auf gemeinsam genutztem Enterprise-Flash einen Server langsam und unberechenbar macht, statt das eigentliche Problem zu lösen. Wenn Ihre Workload mehr Arbeitsspeicher braucht, dimensionieren wir die Maschine dafür oder helfen Ihnen, die Anwendung abzustimmen.
- Kann ich Passwort-Logins für mein Team bekommen? Der administrative Zugang ist schlüsselbasiert. Wir helfen Ihnen, Schlüssel für alle einzurichten, die Zugang brauchen.
- closing line: Wenn Sie eine Plattform wollen, die standardmäßig gehärtet ist, nicht auf Anfrage, sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.