Ce que nous faisons · Opérations: Le hardening baseline sur chaque hôte

Comment nous le construisons

• h2: Comment nous le construisons

SELinux enforcing, toujours. Quand une application et la politique sont en désaccord, nous écrivons ou corrigeons la politique. Nous ne coupons pas la protection et nous ne la masquons pas avec une règle générée qui affaiblit discrètement tout l'hôte. Quand nous changeons le mode d'application sur une machine distante, un filet de sécurité temporisé est armé d'abord, pour qu'une erreur ne puisse jamais nous enfermer dehors.

Deux firewalls, pas un. Chaque service public se trouve derrière une paire de firewalls périmétriques à haute disponibilité, bâtie sur Cisco Firepower ou OPNsense, en plus du firewall hôte. Les changements en périphérie passent uniquement par l'API du firewall, nœud de secours d'abord, et les deux nœuds sont vérifiés identiques ensuite.

Politique réseau et pays en edge. Les services publics portent une liste de blocage de pays maintenue et une liste de blocage de réseaux connus pour les abus. Les plateformes privées reçoivent l'inverse : une liste d'autorisation, où seuls des pays nommés ou des réseaux nommés peuvent se connecter. Après chaque changement, la politique est testée depuis plusieurs pays pour prouver qu'elle fait ce qu'elle dit.

L'accès administratif sur un réseau séparé. Les administrateurs atteignent un hôte par nos propres passerelles VPN et nos jump hosts, sur un réseau de gestion que le trafic des clients ne peut pas voir.

Pas de swap sur les machines virtuelles. Le disque d'une machine virtuelle vit sur une baie all-flash d'entreprise. Le swap dépenserait l'endurance de cette baie comme mémoire de débordement et transformerait un manque de mémoire en un serveur lent et imprévisible. Une machine qui a besoin de plus de mémoire reçoit plus de mémoire, et l'application est réglée pour y tenir.

Le bon système de fichiers et les bons réglages. XFS partout, et des réglages de stockage adaptés aux vrais disques derrière le contrôleur, pour que le stockage SSD soit traité comme du stockage SSD.

Des correctifs depuis notre propre miroir. Notre miroir de paquets vit dans notre propre datacenter, signatures amont intactes, joignable uniquement depuis nos propres plages d'adresses. Un serveur volontairement incapable d'atteindre l'internet reste un serveur que nous pouvons corriger entièrement.

Stateless là où l'état n'est pas nécessaire. Les services UDP qui n'ont pas besoin de suivi de connexion, comme le DNS, sont passés en stateless au firewall, et le traitement des paquets est réparti sur les cœurs du processeur avec le plan de contrôle tenu à part, pour que le firewall reste rapide sous charge.