Що ми робимо · Експлуатація: Екстрене реагування на вразливості того ж дня
Між критичним бюлетенем безпеки і появою виправлення на вашому сервері ми закриваємо проміжок самі. Заходи пом’якшення впроваджуються за години, виправлені пакети збираються власними силами того ж дня, коли опубліковано виправлення, і кожен уражений сервер оновлюється того ж дня, по одному хосту за раз, із перевіреним шляхом назад.
Що це
Відпрацьована процедура на випадок надзвичайної ситуації, а не імпровізована метушня. Вона охоплює весь шлях від прочитання бюлетеня до доказу згодом, що ніхто не скористався проміжком. Її підтримує власне дзеркало пакетів усередині нашого дата-центру, тож оновлення ніколи не залежить від того, чи має публічне дзеркало вдалий день.
Як ми це будуємо
Спершу читаємо власне господарство. Ми підтверджуємо, на яких серверах працює уражений компонент і чи застосунки на них справді використовують вразливу функцію.
Спершу пом’якшуємо. Поки виправлення готується, впроваджується найменш руйнівний захід пом’якшення: зміна конфігурації, вимкнена функція, правило на edge. Заходи, що коштують продуктивності, знімаються, щойно встановлено справжнє виправлення. Заходи, що нічого не коштують, залишаються.
Збираємо самі, того ж дня. Коли вихідний проєкт публікує виправлений код, ми збираємо виправлені пакети того ж дня. Ми збираємо зі специфікації пакета самого мейнтейнера дистрибутива в чистому контейнері і позначаємо реліз так, щоб власна збірка постачальника автоматично замінила нашу під час наступного звичайного оновлення. Пакети потрапляють на наше власне дзеркало, а їхні контрольні суми зберігаються в обліку.
Розгортаємо по одному хосту за раз. Кожен сервер проходить перевірку до і після: ті самі модулі завантажені до і після, ті самі сайти відповідають, застосунок повертає справну відповідь. Пули воркерів перезапускаються плавно, тож завантажений сайт бачить паузу приблизно в секунду, а не простій.
Автоматизуємо обережну частину. Для більших парків, наприклад платформ cPanel і Plesk, де виправлення надходить від постачальника панелі керування, розгортання за таймером оновлює один сервер за прохід, вибірково перевіряє на ньому реальні сайти до і після, і зупиняє весь прохід та викликає інженера тієї ж миті, коли хоча б один сайт не повертається належним чином.
Перевіряємо, чи скористалися проміжком. Після розгортання ми переглядаємо журнали web-серверів і автентифікації за період розкриття вразливості в пошуках спроб експлуатації та всього, що могло вдатися.
Від чого це вас захищає
- Активно експлуатована вразливість, яка залишається відкритою після публікації виправлення.
- Поспішне виправлення, яке вночі ламає всі сайти на сервері, коли ніхто не стежить.
- Патч, за походження якого ніхто не може поручитися.
- Оновлення, що застрягло, бо публічне дзеркало повільне або недоступне.
- Незнання того, чи хтось проник усередину до того, як виправлення було встановлено.
На практиці
Критичні вразливості runtime, закриті за один день. Коли вразливість PHP найвищого рівня серйозності отримує офіційне виправлення, заходи пом’якшення впроваджуються на керованих платформах ще до полудня. Виправлений PHP, зібраний власними силами зі специфікації самого мейнтейнера, публікується на нашому внутрішньому дзеркалі протягом кількох годин після релізу, і сервери застосунків новинного видавця оновлюються один за одним, кожен з одним плавним перезапуском воркерів тривалістю близько секунди.
Парк цифрової агенції, оновлений до опівночі. Того ж вечора багатосерверний парк цифрової агенції був оновлений наскрізно, включно з хостами, виправлені збірки для яких надійшли від постачальника їхньої панелі керування пізно того дня і були розгорнуті через автоматизоване розгортання із самозупинкою. Коли провідний розробник агенції пізно ввечері запитав, чи захищені їхні сервери, він отримав відповідь протягом години: кожен із них був готовий.
І журнали були чистими. Перегляд періоду розкриття вразливості на оновлених платформах виявив лише сканування та повільну, розподілену спробу підбору логінів, усе відхилене, і жодних ознак компрометації.
Чому EuroVPS
- Оновлення того ж дня на кожному ураженому сервері, а не «в наступне вікно обслуговування».
- Ми самі збираємо довірені виправлені пакети того ж дня, коли опубліковано виправлення.
- Власне дзеркало пакетів у нашому власному дата-центрі, доступне лише з нашого адресного простору.
- Кожне розгортання має перевірки до і після та автоматичну зупинку.
- Згодом ми шукаємо ознаки експлуатації і повідомляємо вам, що знайшли.
Часті запитання
Чи оновлюєте ви мій сервер, не питаючи? Для критичних вразливостей у керованих послугах ми оновлюємо того ж дня і тримаємо вас у курсі протягом усього процесу. Будь-який простій спершу погоджується з вами.
Чи покладе оновлення мій сайт? Ми проєктуємо розгортання так, щоб цього уникнути: плавні перезапуски, один хост за раз, перевірки стану до і після та автоматична зупинка, якщо щось виглядає не так.
Що, як моєму застосунку потрібна стара версія? Ми пом’якшуємо ризик навколо нього, ізолюємо його, погоджуємо з вами шлях оновлення і документуємо впроваджені заходи.
Чи отримаю я звіт? Так. Ви отримуєте інформацію про те, що було уражено, що ми зробили, коли, і що показав перегляд журналів.
Якщо ви хочете, щоб вразливості закривали люди, які самі збирають виправлення, Поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.