Τι κάνουμε · Δίκτυο: Managed περιμετρικά firewalls
Οι δημόσιες υπηρεσίες στην Αθήνα βρίσκονται πίσω από πλεονάζοντα, stateful ζεύγη firewall με πολιτική default-deny ανά host, αποκλεισμό βάσει threat intelligence και χώρας, και τη δυνατότητα να ανοίξει μια υπηρεσία σε μία μόνο χώρα. Κάθε κανόνας φέρει το όνομα του host που προστατεύει, κάθε αλλαγή περνά μέσα από API με backup πρώτα, και κάθε firewall αναφέρει στο κεντρικό μας logging.
Τι είναι
Μια περίμετρος με διαχείριση: τα firewalls μπροστά από τις δημόσιες διευθύνσεις σας, που τα λειτουργούμε εμείς ως μέρος του δικτύου και όχι ως ένα κουτί που ρυθμίζετε μόνοι σας. Εσείς μας λέτε τι χρειάζεται να εκθέσει κάθε υπηρεσία και σε ποιον. Εμείς το χτίζουμε ως επώνυμη, τεκμηριωμένη πολιτική, το κρατάμε ενημερωμένο και το αποδεικνύουμε απ' έξω.
Πώς το χτίζουμε
- Υψηλή διαθεσιμότητα από σχεδιασμό. Τα firewalls OPNsense τρέχουν ως ζεύγη active και standby. Οι εικονικές διευθύνσεις CARP καλύπτουν τόσο την πλευρά προς τα πάνω όσο και το gateway σας, και το pfsync αναπαράγει την κατάσταση των συνδέσεων ανάμεσα στους κόμβους, ώστε μια βλάβη κόμβου να είναι ένα stateful failover κάτω από ένα δευτερόλεπτο.
- Μια πολιτική που τεκμηριώνει τον εαυτό της. Κάθε host που εντάσσεται αποκτά δικό του επώνυμο alias και δικούς του κανόνες.
- Μια διατεταγμένη στοίβα αποκλεισμών. Η κίνηση συναντά πρώτα μια συνδυασμένη λίστα threat intelligence χτισμένη από αρκετά reputation feeds, έπειτα μια ενιαία λίστα αποκλεισμού χωρών, έπειτα έναν αποκλεισμό καταχρηστικών εύρων hosting, και μόνο τότε τις επιτρεπτικές καταχωρήσεις ανά host. Αν το κοινό σας είναι σε μία χώρα, μπορείτε αντ' αυτού να έχετε λίστα επιτρεπόμενων με τον χώρο διευθύνσεων αυτής της χώρας.
- Ρυθμισμένα για πραγματικές επιθέσεις. Η επεξεργασία πακέτων μοιράζεται σε πυρήνες CPU με αριθμούς threads προσαρμοσμένους σε κάθε συσκευή. Οι δημόσιες υπηρεσίες με βαριά κίνηση UDP χειρίζονται stateless ώστε να μην εξαντλούν τον πίνακα συνδέσεων, και η άμυνα σε SYN flood χρησιμοποιεί προσαρμοστικά cookies και timeouts διαστασιολογημένα από την αριθμητική του state table.
- Αλλαγές μέσω API, ποτέ με το χέρι. Κάθε αλλαγή γίνεται μέσω του REST API του OPNsense και το αποτέλεσμα ελέγχεται από εξωτερικό σημείο παρατήρησης.
- Διαδρομές backup μίας κατεύθυνσης. Η παραγωγή δεν έχει καμία διαδρομή δικτύου προς την υποδομή backup. Τα συστήματα backup τραβούν. Η παραγωγή δεν σπρώχνει ποτέ. Αυτό επιβάλλεται με κανόνες deny πάνω στις ίδιες τις συσκευές firewall, όχι στους hosts.
- Logging που δεν μπορεί να σωπάσει. Ένας watchdog επαναβεβαιώνει τη διαμόρφωση logging κάθε firewall με χρονοδιακόπτη, ώστε ένα firewall να μην μπορεί ποτέ να σταματήσει να αναφέρει στο Graylog απαρατήρητο.
Λειτουργούμε τόσο Cisco Firepower όσο και OPNsense, και όταν μετακινούμε ένα τμήμα από τη μία πλατφόρμα firewall στην άλλη ακολουθούμε γραπτή, σταδιακή μέθοδο: το νέο firewall μπαίνει στη δρομολόγηση χωρίς να ανακοινώνει τίποτα, και έπειτα αναλαμβάνει ένα VLAN τη φορά με scripted cutover και αυτόματο rollback που ελέγχεται με ping.
Από τι σας προστατεύει
- Από κίνηση brute-force και σάρωσης από γνωστές κακόβουλες πηγές, και από χώρες στις οποίες δεν έχετε κοινό.
- Από μια βλάβη firewall που ρίχνει κάθε συνεδρία.
- Από εξάντληση του πίνακα συνδέσεων λόγω UDP ή SYN floods.
- Από ατεκμηρίωτους κανόνες που κανείς δεν τολμά να αφαιρέσει.
- Από ένα log ασφαλείας που πηγαίνει αθόρυβα στο πουθενά μέχρι τη μέρα που το χρειάζεστε.
Στην πράξη
Ένα CRM ανοιχτό σε μία μόνο χώρα. Το CRM και το περιβάλλον δοκιμών ενός πελάτη λιανικής εντάχθηκαν με πρόσβαση web και διαχείρισης επιτρεπόμενη μόνο από τη χώρα που εξυπηρετεί, με οτιδήποτε άλλο απαγορευμένο, και επαληθεύτηκαν και στους δύο κόμβους firewall. Όταν η επιχείρηση χρειάστηκε δύο ακόμη χώρες, τις προσθέσαμε την επόμενη μέρα.
Γιατί EuroVPS
- Πλεονάζοντα ζεύγη με stateful failover, όχι ένα μοναδικό firewall.
- Επώνυμη πολιτική default-deny ανά host, που μπορείτε να διαβάσετε.
- Threat intelligence, αποκλεισμός χωρών και λίστες επιτρεπόμενων μίας χώρας ως στάνταρ επιλογές.
- Αλλαγές μόνο μέσω API, και κεντρικό logging που παρακολουθείται και το ίδιο.
- Δίκτυα backup που η παραγωγή δεν μπορεί να φτάσει, επιβεβλημένα στο firewall.
Συχνές ερωτήσεις
Μπορώ να περιορίσω την υπηρεσία μου σε επισκέπτες από μία χώρα; Ναι. Αντικαθιστούμε την προεπιλεγμένη στοίβα αποκλεισμών με λίστα επιτρεπόμενων του χώρου διευθύνσεων αυτής της χώρας, και μπορούμε να προσθέσουμε χώρες αργότερα.
Τι συμβαίνει αν χαλάσει ένας κόμβος firewall; Ο standby αναλαμβάνει τις εικονικές διευθύνσεις και την υπάρχουσα κατάσταση συνδέσεων, συνήθως σε λιγότερο από ένα δευτερόλεπτο.
Μπορώ να δω ή να ζητήσω αλλαγές κανόνων; Ναι. Οι κανόνες είναι επώνυμοι ανά host, οπότε μπορούμε να σας δείξουμε ακριβώς τι είναι ανοιχτό για κάθε υπηρεσία και να το αλλάξουμε κατόπιν αιτήματος.
Αποκλείετε επιθέσεις αυτόματα; Ναι. Οι λίστες threat intelligence, χωρών και καταχρηστικών εύρων εφαρμόζονται πριν από τους δικούς σας κανόνες και διατηρούνται ενημερωμένες.
Αν θέλετε τις δημόσιες υπηρεσίες σας πίσω από μια περίμετρο που χτίζεται και παρακολουθείται έτσι, μιλήστε με έναν μηχανικό.
Ο επόμενος συνεργάτης σας στην υποδομή
Ας δούμε την υποδομή σας.
Πείτε μας τι τρέχετε σήμερα και τι χρειάζεται βελτίωση. Ένας μηχανικός θα εξετάσει το αίτημά σας και θα σας βοηθήσει να σχεδιάσετε το επόμενο βήμα.
+357 222 32280
Ας ξεκινήσουμε από την υποδομή σας.
Λίγο πλαίσιο μάς βοηθά να ξεκινήσουμε τη σωστή συζήτηση.