Cosa facciamo · Operations: L'hardening baseline su ogni host
Ogni macchina che costruiamo parte dalla stessa base di sicurezza, e la base non è negoziabile. SELinux enforcing, un firewall host più una coppia di firewall perimetrali, policy di rete e di paese all'edge, solo chiavi SSH, niente swap sulle macchine virtuali. È ciò che rende «sicuro» una proprietà della piattaforma e non una promessa in un contratto.
Cos'è
- h2: Cos'è
Un insieme fisso di controlli applicato a ogni host Linux e a ogni servizio pubblico che gestiamo, dal momento in cui la macchina viene installata. È integrato nei nostri template di installazione, così un nuovo server è messo in sicurezza prima che chiunque vi faccia login, ed è verificato dall'esterno dopo ogni modifica invece di essere dato per buono dall'interno.
Come lo costruiamo
- h2: Come lo costruiamo
SELinux enforcing, sempre. Quando un'applicazione e la policy sono in disaccordo, scriviamo o correggiamo la policy. Non spegniamo la protezione e non la copriamo in superficie con una regola generata automaticamente che indebolisce in silenzio l'intero host. Quando cambiamo la modalità di enforcement su una macchina remota, viene prima armata una rete di sicurezza a tempo, così un errore non può mai chiuderci fuori dalla macchina.
Due firewall, non uno. Ogni servizio pubblico sta dietro una coppia di firewall perimetrali ad alta disponibilità, costruita su Cisco Firepower o OPNsense, in aggiunta al firewall host. Le modifiche al perimetro passano solo dall'API del firewall, prima sul nodo standby, e i due nodi vengono verificati identici dopo.
Policy di rete e di paese all'edge. I servizi pubblici hanno una blocklist di paesi mantenuta e una blocklist di reti note per abusi. Le piattaforme private hanno l'opposto: un'allowlist, dove solo paesi o reti indicati possono anche solo connettersi. Dopo ogni modifica, la policy viene testata da più paesi per dimostrare che fa ciò che dichiara.
Accesso amministrativo su una rete separata. Gli amministratori raggiungono un host attraverso i nostri VPN gateway e jump host, su una rete di gestione che il traffico dei clienti non può vedere.
Niente swap sulle macchine virtuali. Il disco di una macchina virtuale vive su un array enterprise all-flash. Lo swap consumerebbe la resistenza di quell'array come memoria di troppo pieno e trasformerebbe una carenza di memoria in un server lento e imprevedibile. Una macchina che ha bisogno di più memoria riceve più memoria, e l'applicazione viene regolata per starci.
Il filesystem giusto e le regolazioni giuste. XFS ovunque, e regolazioni dello storage adattate ai dischi reali dietro il controller, così lo storage a stato solido viene trattato come storage a stato solido.
Patch dal nostro mirror. Il nostro mirror di pacchetti vive dentro il nostro datacenter, con le firme upstream intatte, raggiungibile solo dai nostri intervalli di indirizzi. Un server deliberatamente incapace di raggiungere internet resta un server a cui possiamo applicare tutte le patch.
Stateless dove lo stato non serve. I servizi UDP che non hanno bisogno di connection tracking, come il DNS, passano stateless dal firewall, e l'elaborazione dei pacchetti è distribuita sui core del processore con il control plane tenuto separato, così il firewall resta veloce sotto carico.
Da cosa vi protegge
-
h2: Da cosa vi protegge
-
Una compromissione dell'applicazione che diventa una compromissione dell'intero server.
- Un servizio esposto al mondo intero quando doveva rispondere a un solo paese.
- Una carenza di memoria che si trasforma in un problema di storage.
- Patch in ostaggio di un mirror esterno.
In pratica
- h2: In pratica
Policy di paese, dimostrata dall'esterno. Quando abbiamo stretto le blocklist di paesi sulle nostre coppie di firewall pubblici, la modifica è andata prima sul nodo standby, i due nodi sono stati verificati identici e il risultato è stato testato da più paesi prima di considerarlo concluso.
Un sistema di test che risponde a un solo paese. Un cliente aveva bisogno di un sistema di staging raggiungibile solo dal proprio paese. Il set di regole è stato costruito per cliente, con blocchi espliciti su tutto il resto, posizionato deliberatamente rispetto alle regole generali sulle minacce, e dimostrato dall'interno e dall'esterno di quel paese.
Perché EuroVPS
-
h2: Perché EuroVPS
-
SELinux resta enforcing. Correggiamo la policy, non disabilitiamo la protezione.
- Un firewall host e una coppia perimetrale ad alta disponibilità su ogni servizio pubblico.
- Policy di paese e di rete testata dall'esterno dopo ogni modifica.
- Niente swap sulle VM: i problemi di memoria si risolvono con la memoria.
- Il nostro mirror di pacchetti, così le patch non aspettano mai nessun altro.
Domande frequenti
- h2: Domande frequenti
- Il fornitore della mia applicazione dice di disabilitare SELinux. Lo farete? No. Scriveremo la policy di cui la vostra applicazione ha bisogno. Nella nostra esperienza è quasi sempre una modifica piccola e precisa.
- Potete limitare il mio servizio a determinati paesi? Sì. Allowlist o blocklist, al perimetro, testata dall'esterno dopo l'applicazione.
- Perché non c'è swap sulla mia VM? Perché lo swap su flash enterprise condiviso rende un server lento e imprevedibile invece di risolvere il problema reale. Se il vostro carico di lavoro ha bisogno di più memoria, dimensioniamo la macchina per averla o vi aiutiamo a regolare l'applicazione.
- Posso avere login con password per il mio team? L'accesso amministrativo è a chiavi. Vi aiuteremo a configurare le chiavi per chiunque abbia bisogno di accesso.
- closing line: Se volete una piattaforma messa in sicurezza di default, non su richiesta, Parla con un ingegnere.
Il vostro prossimo partner per l'infrastruttura
Guardiamo la vostra infrastruttura.
Raccontateci cosa fate girare oggi e cosa deve migliorare. Un ingegnere esaminerà la vostra richiesta e vi aiuterà a pianificare il passo successivo.
+357 222 32280
Partiamo dalla vostra infrastruttura.
Un po' di contesto ci aiuta a iniziare la conversazione giusta.