Що ми робимо · Експлуатація: Hardening baseline на кожному хості
Кожна машина, яку ми будуємо, починає з одного й того самого базового рівня безпеки, і цей рівень не підлягає обговоренню. SELinux у режимі enforcing, firewall на хості плюс пара firewall на периметрі, мережева політика та політика країн на edge, лише SSH-ключі, без swap на віртуальних машинах. Саме це робить «безпечний» властивістю платформи, а не обіцянкою в договорі.
Що це
Фіксований набір засобів контролю, що застосовується до кожного хоста Linux і кожного публічного сервісу, який ми експлуатуємо, з моменту встановлення машини. Він вбудований у наші шаблони інсталяції, тож новий сервер проходить посилення захисту (hardening) ще до того, як хтось на нього увійде, і перевіряється ззовні після кожної зміни, а не приймається на віру зсередини.
Як ми це будуємо
SELinux у режимі enforcing, завжди. Коли застосунок і політика не узгоджуються, ми пишемо або виправляємо політику; ми не вимикаємо захист і не прикриваємо проблему згенерованим правилом, яке тихо послаблює весь хост. Коли ми змінюємо режим примусу на віддаленій машині, спершу зводиться запобіжник за таймером, тож помилка ніколи не зможе відрізати машину від нас.
Два firewall, а не один. Кожен публічний сервіс стоїть за парою firewall високої доступності на периметрі, збудованою на Cisco Firepower або OPNsense, на додаток до firewall на хості. Зміни на периметрі вносяться лише через API firewall, спершу на резервному вузлі, і згодом обидва вузли перевіряються на ідентичність.
Мережева політика та політика країн на edge. Публічні сервіси мають підтримуваний список заблокованих країн і список мереж, відомих зловживаннями. Приватні платформи отримують протилежне: список дозволених, у якому підключатися можуть лише названі країни або названі мережі. Після кожної зміни політика тестується з кількох країн, щоб довести, що вона робить те, що заявлено.
Адміністративний доступ в окремій мережі. Адміністратори дістаються до хоста через наші власні VPN-шлюзи та jump hosts, у мережі керування, яку клієнтський трафік не бачить.
Без swap на віртуальних машинах. Диск віртуальної машини розташований на корпоративному all-flash масиві. Swap витрачав би ресурс цього масиву як надлишкову пам’ять і перетворював би нестачу пам’яті на повільний, непередбачуваний сервер. Машина, якій потрібно більше пам’яті, отримує більше пам’яті, а застосунок налаштовується так, щоб у неї вміститися.
Правильна файлова система і правильні налаштування. XFS скрізь, а налаштування сховища відповідають реальним дискам за контролером, тож твердотільне сховище обробляється саме як твердотільне.
Оновлення з власного дзеркала. Наше дзеркало пакетів розташоване всередині нашого власного дата-центру, з незайманими підписами вихідних проєктів, і доступне лише з наших власних діапазонів адрес. Сервер, навмисно позбавлений доступу до інтернету, залишається сервером, який ми можемо повністю оновлювати.
Без збереження стану там, де стан не потрібен. UDP-сервіси, які не потребують відстеження з’єднань, наприклад DNS, пропускаються через firewall без збереження стану, а обробка пакетів розподіляється між ядрами процесора з окремо винесеною площиною керування, тож firewall залишається швидким під навантаженням.
Від чого це вас захищає
- Компрометація застосунку, яка стає компрометацією всього сервера.
- Сервіс, відкритий усьому світу, хоча йому потрібно було відповідати лише одній країні.
- Нестача пам’яті, яка перетворюється на проблему зі сховищем.
- Оновлення, взяте в заручники зовнішнім дзеркалом.
На практиці
Політика країн, доведена ззовні. Коли ми посилювали списки заблокованих країн на наших публічних парах firewall, зміна спершу пішла на резервний вузол, обидва вузли були перевірені на ідентичність, а результат протестований з кількох країн, перш ніж вважатися завершеним.
Тестова система, що відповідає лише одній країні. Клієнту потрібна була staging-система, доступна лише з його власної країни. Набір правил був збудований окремо для клієнта, з явним блокуванням усього іншого, свідомо розміщений відносно загальних правил проти загроз і доведений зсередини і ззовні цієї країни.
Чому EuroVPS
- SELinux залишається в режимі enforcing. Ми виправляємо політику, а не вимикаємо захист.
- Firewall на хості та пара високої доступності на периметрі для кожного публічного сервісу.
- Політика країн і мереж тестується ззовні після кожної зміни.
- Без swap на VM: проблеми з пам’яттю вирішуються пам’яттю.
- Власне дзеркало пакетів, тож оновлення ніколи не чекає на когось іншого.
Часті запитання
Постачальник мого застосунку каже вимкнути SELinux. Ви це зробите? Ні. Ми напишемо політику, яка потрібна вашому застосунку. З нашого досвіду це майже завжди невелика, точкова зміна.
Чи можете ви обмежити мій сервіс певними країнами? Так. Список дозволених або список заблокованих, на периметрі, з тестуванням ззовні після застосування.
Чому на моїй VM немає swap? Бо swap на спільному корпоративному flash робить сервер повільним і непередбачуваним замість того, щоб вирішити справжню проблему. Якщо вашому навантаженню потрібно більше пам’яті, ми підбираємо для нього машину або допомагаємо налаштувати застосунок.
Чи можу я отримати вхід за паролем для своєї команди? Адміністративний доступ здійснюється за ключами. Ми допоможемо налаштувати ключі для всіх, кому потрібен доступ.
Якщо вам потрібна платформа, захищена за замовчуванням, а не на вимогу, Поговоріть з інженером.
Ваш наступний партнер з інфраструктури
Погляньмо на вашу інфраструктуру.
Розкажіть, що ви запускаєте сьогодні і що потребує покращення. Інженер розгляне ваш запит і допоможе спланувати наступний крок.
+357 222 32280
Почнімо з вашої інфраструктури.
Трохи контексту допомагає нам почати правильну розмову.