Cosa facciamo · Rete: Firewall perimetrali gestiti
I servizi esposti al pubblico ad Atene stanno dietro coppie di firewall ridondanti e stateful con una politica default-deny per host, blocco basato su threat intelligence e per paese, e la possibilità di aprire un servizio a un solo paese. Ogni regola prende il nome dall'host che protegge, ogni cambiamento passa da un'API con un backup preventivo, e ogni firewall riporta al nostro logging centrale.
Cos'è
Un perimetro gestito: i firewall davanti ai vostri indirizzi pubblici, gestiti da noi come parte della rete e non come un apparato che configurate da soli. Voi ci dite cosa deve esporre ogni servizio e a chi. Noi lo costruiamo come politica nominata e documentata, lo teniamo aggiornato e lo dimostriamo dall'esterno.
Come lo costruiamo
- Alta disponibilità per progettazione. I firewall OPNsense girano come coppie attivo e standby. Gli indirizzi virtuali CARP coprono sia il lato upstream sia il vostro gateway, e pfsync replica lo stato delle connessioni tra i nodi, così il guasto di un nodo è un failover stateful in meno di un secondo.
- Una politica che si documenta da sola. Ogni host preso in carico riceve il proprio alias nominato e le proprie regole.
- Una pila di blocchi ordinata. Il traffico incontra prima una lista combinata di threat intelligence costruita da più feed di reputazione, poi una lista unificata di blocco per paese, poi un blocco di range di hosting abusivi, e solo dopo i permessi per host. Se il vostro pubblico è in un solo paese, potete avere invece una lista di permessi con lo spazio di indirizzi di quel paese.
- Tarati per gli attacchi reali. L'elaborazione dei pacchetti è distribuita sui core della CPU con un numero di thread adeguato a ogni appliance. I servizi pubblici con molto traffico UDP sono gestiti in modo stateless così da non esaurire la tabella delle connessioni, e la difesa dai SYN flood usa cookie e timeout adattivi dimensionati sull'aritmetica della state table.
- Cambiati tramite API, mai a mano. Ogni cambiamento è fatto tramite la REST API di OPNsense e il risultato è verificato da un punto di osservazione esterno.
- Percorsi di backup a senso unico. La produzione non ha alcun percorso di rete verso l'infrastruttura di backup. I sistemi di backup prelevano; la produzione non spinge mai. Questo è imposto con regole di negazione sugli stessi apparati firewall, non sugli host.
- Logging che non può spegnersi in silenzio. Un watchdog riafferma a intervalli la configurazione di logging di ogni firewall, così un firewall non può mai smettere di riportare a Graylog senza che ce ne accorgiamo.
Gestiamo sia Cisco Firepower sia OPNsense, e quando spostiamo un segmento da una piattaforma firewall a un'altra seguiamo un metodo scritto e a fasi: il nuovo firewall entra nel routing senza annunciare nulla, poi prende in carico una VLAN alla volta con un cutover scriptato e un rollback automatico condizionato dal ping.
Da cosa vi protegge
- Da traffico di brute force e scansione proveniente da sorgenti note come malevole, e da paesi in cui non avete pubblico.
- Da un guasto del firewall che fa cadere ogni sessione.
- Dall'esaurimento della tabella delle connessioni per flood UDP o SYN.
- Da regole non documentate che nessuno osa rimuovere.
- Da un log di sicurezza che finisce silenziosamente nel nulla fino al giorno in cui vi serve.
In pratica
Un CRM aperto a un solo paese. Il CRM e l'ambiente di test di un cliente del retail sono stati presi in carico con accesso web e di amministrazione consentito solo dal paese che servono, tutto il resto negato, e verificati su entrambi i nodi firewall. Quando l'azienda ha avuto bisogno di altri due paesi, li abbiamo aggiunti il giorno dopo.
Perché EuroVPS
- Coppie ridondanti con failover stateful, non un singolo firewall.
- Politica per host, nominata, default-deny, che potete leggere.
- Threat intelligence, blocco per paese e liste di permessi per un solo paese come opzioni standard.
- Cambiamenti solo tramite API, e logging centrale a sua volta sorvegliato.
- Reti di backup che la produzione non può raggiungere, imposto a livello di firewall.
Domande frequenti
Posso limitare il mio servizio ai visitatori di un solo paese? Sì. Sostituiamo la pila di blocchi predefinita con una lista di permessi dello spazio di indirizzi di quel paese, e possiamo aggiungere paesi in seguito.
Cosa succede se un nodo firewall si guasta? Lo standby prende in carico gli indirizzi virtuali e lo stato delle connessioni esistenti, in genere in meno di un secondo.
Posso vedere o richiedere modifiche alle regole? Sì. Le regole sono nominate per host, così possiamo mostrarvi esattamente cosa è aperto per ogni servizio e cambiarlo su richiesta.
Bloccate gli attacchi automaticamente? Sì. Le liste di threat intelligence, di paesi e di range abusivi sono applicate prima delle vostre regole e tenute aggiornate.
Se volete i vostri servizi pubblici dietro un perimetro costruito e sorvegliato così, parla con un ingegnere.
Il vostro prossimo partner per l'infrastruttura
Guardiamo la vostra infrastruttura.
Raccontateci cosa fate girare oggi e cosa deve migliorare. Un ingegnere esaminerà la vostra richiesta e vi aiuterà a pianificare il passo successivo.
+357 222 32280
Partiamo dalla vostra infrastruttura.
Un po' di contesto ci aiuta a iniziare la conversazione giusta.