Cosa facciamo · Operations: Risposta urgente alle vulnerabilità, in giornata
Tra un advisory critico e la correzione che arriva sul vostro server, siamo noi a chiudere il divario. Le mitigazioni entrano in poche ore, i pacchetti corretti vengono costruiti internamente lo stesso giorno in cui la correzione è pubblicata, e ogni server interessato riceve la patch in giornata, un host alla volta, con una via di ritorno collaudata.
Cos'è
- h2: Cos'è
Una procedura di emergenza collaudata, non una corsa improvvisata. Copre l'intero percorso, dalla lettura dell'advisory alla prova, a posteriori, che nessuno ha sfruttato la finestra. È sostenuta dal nostro mirror di pacchetti dentro il nostro datacenter, così le patch non dipendono mai dalla buona giornata di un mirror pubblico.
Come lo costruiamo
- h2: Come lo costruiamo
Prima leggiamo il nostro parco. Confermiamo quali server eseguono il componente interessato e se le applicazioni su di essi usano davvero la funzionalità vulnerabile.
Prima la mitigazione. Mentre la correzione viene preparata, entra la mitigazione meno invasiva: una modifica di configurazione, una funzionalità disabilitata, una regola all'edge. Le misure che costano prestazioni vengono rimosse non appena la correzione vera è in posto. Le misure che non costano nulla restano.
La costruiamo noi, in giornata. Quando il progetto upstream pubblica il sorgente corretto, costruiamo i pacchetti corretti lo stesso giorno. Costruiamo dalla specifica del maintainer della distribuzione in un container pulito ed etichettiamo la release in modo che la build del vendor sostituisca la nostra automaticamente al successivo aggiornamento ordinario. I pacchetti vanno nel nostro mirror con i loro checksum registrati.
Distribuzione un host alla volta. Ogni server riceve un controllo prima e uno dopo: gli stessi moduli caricati prima e dopo, gli stessi siti che rispondono, l'applicazione che restituisce una risposta sana. I pool di worker vengono riavviati in modo graduale, così un sito trafficato vede una pausa di circa un secondo, non un'interruzione.
Automatizziamo la parte delicata. Per flotte più grandi, come le piattaforme cPanel e Plesk dove la correzione arriva dal vendor del pannello di controllo, una distribuzione temporizzata aggiorna un server per esecuzione, campiona siti reali su di esso prima e dopo, e ferma l'intera sequenza chiamando un ingegnere nel momento in cui un solo sito non torna correttamente.
Verifichiamo se la finestra è stata usata. Dopo la distribuzione passiamo al setaccio i log web e di autenticazione per la finestra di divulgazione, cercando tentativi di sfruttamento e qualunque cosa sia andata a buon fine.
Da cosa vi protegge
-
h2: Da cosa vi protegge
-
Una falla sfruttata attivamente e lasciata aperta dopo che la sua correzione è stata pubblicata.
- Una correzione frettolosa che rompe ogni sito su un server di notte senza nessuno a guardare.
- Una patch della cui origine nessuno può garantire.
- Patch bloccate perché un mirror pubblico è lento o irraggiungibile.
- Non sapere se qualcuno è entrato prima che la correzione arrivasse.
In pratica
- h2: In pratica
Divulgazioni critiche del runtime, chiuse in un giorno. Quando una falla PHP di massima gravità riceve la correzione ufficiale, le mitigazioni entrano in posto sulle piattaforme managed prima di mezzogiorno. PHP corretto, costruito internamente dalla specifica del maintainer, viene pubblicato sul nostro mirror interno entro poche ore dalla release upstream, e i server applicativi di un editore di notizie ricevono la patch uno per uno, ciascuno con un singolo riavvio graduale dei worker di circa un secondo.
La flotta di un'agenzia digitale, aggiornata prima di mezzanotte. La stessa sera, la flotta multi-server di un'agenzia digitale è stata aggiornata da un capo all'altro, compresi gli host le cui build corrette sono arrivate dal vendor del pannello di controllo a tarda giornata e sono uscite attraverso la distribuzione automatizzata con arresto automatico. Quando il lead developer dell'agenzia ha chiesto a tarda sera se i loro server fossero coperti, ha avuto la risposta entro un'ora: ognuno di essi era fatto.
E i log erano puliti. Un passaggio al setaccio della finestra di divulgazione sulle piattaforme aggiornate ha trovato solo scansioni e un tentativo lento e distribuito di indovinare credenziali, tutto respinto, e nessun segno di compromissione.
Perché EuroVPS
-
h2: Perché EuroVPS
-
Patch in giornata su ogni server interessato, non «nella prossima finestra di manutenzione».
- Costruiamo noi pacchetti corretti affidabili, lo stesso giorno in cui la correzione è pubblicata.
- Il nostro mirror di pacchetti nel nostro datacenter, raggiungibile solo dal nostro spazio di indirizzi.
- Ogni distribuzione ha controlli prima, controlli dopo e un arresto automatico.
- Cerchiamo a posteriori le prove di sfruttamento e vi diciamo cosa abbiamo trovato.
Domande frequenti
- h2: Domande frequenti
- Applicate le patch al mio server senza chiedere? Per le vulnerabilità critiche sui servizi managed applichiamo la patch in giornata e vi teniamo informati per tutto il tempo. Qualsiasi downtime viene concordato prima con voi.
- Le patch metteranno giù il mio sito? Progettiamo le distribuzioni per evitarlo: riavvii graduali, un host alla volta, controlli di salute prima e dopo e un arresto automatico se qualcosa non torna.
- E se la mia applicazione ha bisogno di una versione vecchia? La mitighiamo, la isoliamo, concordiamo con voi un percorso di aggiornamento e documentiamo le misure in essere.
- Ricevo un report? Sì. Ricevete cosa era interessato, cosa abbiamo fatto, quando, e cosa ha mostrato l'analisi dei log.
- closing line: Se volete vulnerabilità chiuse da persone che costruiscono la correzione con le proprie mani, Parla con un ingegnere.
Il vostro prossimo partner per l'infrastruttura
Guardiamo la vostra infrastruttura.
Raccontateci cosa fate girare oggi e cosa deve migliorare. Un ingegnere esaminerà la vostra richiesta e vi aiuterà a pianificare il passo successivo.
+357 222 32280
Partiamo dalla vostra infrastruttura.
Un po' di contesto ci aiuta a iniziare la conversazione giusta.