Τι κάνουμε · Λειτουργίες: Το hardening baseline σε κάθε host

Πώς το χτίζουμε

• h2: Πώς το χτίζουμε

SELinux enforcing, πάντα. Όταν μια εφαρμογή και η πολιτική διαφωνούν, γράφουμε ή διορθώνουμε την πολιτική. Δεν κλείνουμε την προστασία και δεν την καλύπτουμε επιφανειακά με έναν αυτόματα παραγόμενο κανόνα που αποδυναμώνει αθόρυβα ολόκληρο τον host. Όταν αλλάζουμε τη λειτουργία enforcement σε απομακρυσμένο μηχάνημα, οπλίζεται πρώτα ένα χρονομετρημένο δίχτυ ασφαλείας, ώστε ένα λάθος να μην μπορεί ποτέ να μας κλειδώσει έξω από το μηχάνημα.

Δύο firewalls, όχι ένα. Κάθε δημόσια υπηρεσία βρίσκεται πίσω από ένα ζεύγος περιμετρικών firewalls υψηλής διαθεσιμότητας, χτισμένο σε Cisco Firepower ή OPNsense, επιπλέον του host firewall. Οι αλλαγές στην περίμετρο γίνονται μόνο μέσω του API του firewall, πρώτα στον standby κόμβο, και οι δύο κόμβοι επαληθεύονται πανομοιότυποι μετά.

Πολιτική δικτύου και χώρας στο edge. Οι δημόσιες υπηρεσίες έχουν μια συντηρούμενη λίστα αποκλεισμού χωρών και μια λίστα αποκλεισμού δικτύων γνωστών για κατάχρηση. Οι ιδιωτικές πλατφόρμες παίρνουν το αντίθετο: μια λίστα επιτρεπόμενων, όπου μόνο συγκεκριμένες χώρες ή συγκεκριμένα δίκτυα μπορούν καν να συνδεθούν. Μετά από κάθε αλλαγή, η πολιτική δοκιμάζεται από πολλές χώρες για να αποδειχθεί ότι κάνει αυτό που λέει.

Διαχειριστική πρόσβαση σε ξεχωριστό δίκτυο. Οι διαχειριστές φτάνουν σε έναν host μέσω των δικών μας VPN gateways και jump hosts, σε ένα δίκτυο διαχείρισης που η κίνηση των πελατών δεν μπορεί να δει.

Καθόλου swap σε εικονικές μηχανές. Ο δίσκος μιας εικονικής μηχανής ζει σε μια enterprise all-flash συστοιχία. Το swap θα ξόδευε την αντοχή αυτής της συστοιχίας ως μνήμη υπερχείλισης και θα μετέτρεπε μια έλλειψη μνήμης σε έναν αργό, απρόβλεπτο server. Ένα μηχάνημα που χρειάζεται περισσότερη μνήμη παίρνει περισσότερη μνήμη, και η εφαρμογή ρυθμίζεται για να χωράει σε αυτήν.

Το σωστό filesystem και οι σωστές ρυθμίσεις. XFS παντού, και ρυθμίσεις storage προσαρμοσμένες στους πραγματικούς δίσκους πίσω από τον controller, ώστε το solid-state storage να αντιμετωπίζεται ως solid-state storage.

Patching από το δικό μας mirror. Το mirror πακέτων μας ζει μέσα στο δικό μας datacenter, με τις upstream υπογραφές ανέπαφες, προσβάσιμο μόνο από τα δικά μας εύρη διευθύνσεων. Ένας server που σκόπιμα δεν μπορεί να φτάσει το internet παραμένει server που μπορούμε να διορθώνουμε πλήρως.

Stateless όπου δεν χρειάζεται κατάσταση. Οι υπηρεσίες UDP που δεν χρειάζονται connection tracking, όπως το DNS, περνούν stateless από το firewall, και η επεξεργασία πακέτων κατανέμεται στους πυρήνες του επεξεργαστή με το control plane κρατημένο χωριστά, ώστε το firewall να παραμένει γρήγορο υπό φορτίο.