Bekijk Volledige Versie : Veilige hosting
Ik zou graag jullie mening eens horen over het onderstaande:
Stel: je wilt een superveilige hostingomgeving aanbieden aan klanten, waar zou deze allemaal aan moeten voldoen?
Dingen die zo in mij opkomen:
- Continue monitoring
- Continue up-to-date houden van server software
- SSL
- DNSsec
- DDOS bescherming
- Fysieke beveiliging van de servers (afgesloten racks of databunker?)
- Redundancy, uitsluiten spof's
- Firewall, Antivirus, PHP safemode
- Mod Ruid, Mod security
- ...
En aangezien klanten zelf de deur nog weleens wagenwijd open willen zetten door verouderde scripts te installeren.. Mogelijk een bindend advies voor updates?
En als je dit wilt aanbieden als "veilige hosting" klinkt dat niet als een uitdaging voor hackers?
Overigens wil ik hier niet mee beweren dan andere hosting niet veilig zou zijn, maar wat kun je extra doen om het nog veiliger te maken.
Belangrijkste: shared hosting vermijden, virtualiseer elke klant in een nieuwe (lightweight) container dmv OpenVZ, Jails, LXC, ...
Wat je nog meer kan doen, is verre van compleet en heeft veelal impact op usability:
- Draai elke service in een aparte container. Zo kan een bug in postfix minder snel leiden tot het hacken van de web- of databaseserver.
- Backups, je kan deze encrypten met PKI. Ik heb het bij mij zo ingericht dat alleen mijn klanten de backups kunnen decrypten, dat maakt je een iets minder groot doelwit van hackers.
- Intrusion Detection/Prevention op hele netwerk
- Antivirus gaat alleen traag worden, zonder dat het veel oplevert
- Ook uitgaande firewall instellen
- Websites read-only mounten of dmv permissies read-only maken
- Communicatie naar (en liefst ook vanaf) je klanten beveiligen met PGP of S/MIME
- Port knocking om ssh poort te verbergen als je erg paranoïde bent
systemdeveloper
16/10/13, 15:45
En een ding dat vrijwel iedereen vergeet/geen zin in heeft... zorgen dat niet jan en alleman je executables op je server kan aanroepen en die welke wél aangeroepen kunnen worden, niet onder een priviliged user draaien.
SebastiaanStok
16/10/13, 19:55
"PHP safemode"
PHP safemode is een schijnveiligheid: http://www.pfz.nl/wiki/safe-mode/
Een belangrijke tip, installeer geen C compilers op de server of beperk uitvoeren tot de root-user.
Veel virussen hebben een compiler nodig om zich zelf actief te maken, als die niet aanwezig is word het een stuk moeilijker.
Je houd hier niet alles mee tegen maar de rootkits die het meest hardnekkig zijn.
systemdeveloper
16/10/13, 21:07
Zoals al aangegeven, er zijn legio mogelijkheden om het méér te beveiligen. Maar beveiliging staat haaks op gebruikersgemak dus je moet kijken wat je gebruikers 'aankunnen'.
Als je bv. een website voor de overheid bouwt is dat een heel ander verhaal dan voor de groenteboer zijn website over oldtimers.
Bij de eerste kun je met gemak dingen zoals access over een encrypted vpn opleggen met een whitelist in de firewall e.d. en dat hebben ze maar te slikken, maar je groenteboer hangt na de eerste de beste wijziging van zijn mailwachtwoord (op een 'standaard' server) al snel in de firewall als je het 'aantal foutieve logins' niet op een miljoenmiljard hebt staan...
Voor normale hosting is de regel meer 'met hoeveel actieve beveiligingen (lange passwords, strikte rechten, jailen) kun je nog wegkomen voordat je klanten dagelijks aan de lijn hangen' en de rest probeer je zo passief mogelijk te doen (firewalls, ids, spamfilters, virusscanners, monitoring van nieuwe bestanden, traffic monitoring, e.d.).
Ik lees een hoop clichés, en dat is op zich best jammer.
Ten eerste: 'veiliger = automatisch duurder'.
Dat is absoluut niet het geval maar het is echter wel wat men altijd verwacht.
Er zijn genoeg partijen die 'standaard' een verbeterde veilige omgeving aanbieden.
Het gaat pas stukken duurder worden op het moment dat een regulier Datacenter met beperkte (fysieke-)beveiliging (en dat is zo ongeveer 80% zeker)het extra wil gaan beveiligen. Daar moeten hoge kosten gemaakt worden die niet terugverdiend kunnen worden binnen het dan lopende winstmodel/businessmodel. Dat is ook vaak de reden dat de beveiliging beperkt blijft. Partijen die met het ontwerp en de uitwerking van de protocollen en normen direct vanaf de start de beveiliging meenemen als essentieel onderdeel van het geheel, die kunnen je een uitstekende veiligheid bieden tegen een normaal tarief.
Als tweede lees ik vaak terug dat veiligheid altijd ten koste moet gaan van gebruikersgemak.
Dit is deels natuurlijk waar, er moeten vaak wat extra handelingen verricht woorden.
Een uitgekiende veiligheid, met protocollen waar geen uitzonderingen op gemaakt kunnen worden, kan juist bijdragen aan een fijnere werkomgeving en een 'rust' welke niet opweegt tegen een paar extra handelingen. Het maken van uitzonderingen maakt het onwerkbaar en tegelijkertijd 'zinloos'. Er zijn legio partijen die prachtige draaiboeken hebben, protocollen waar je je vingers bij aflikt, maar men vervalt altijd in fout gedrag. Men wil gebruikersgemak voor veiligheid plaatsen om het zichzelf makkelijker te maken. Dit zie je voornamelijk terug bij security medewerkers die dagelijks de zelfde koppen zien binnenkomen...
Verder denk ik dat je een juiste afweging moet maken, wat is voor mijn applicaties of netwerk de beoogde veiligheidsgraad en ten koste van wat kan/mag dat gaan. Prefereer ik extreme fysieke veiligheid boven het 'groene ondernemen', of is ook dat van groot belang en wil je veiligheid ten koste van alles?
Als derde zou ik willen aanhalen dat je als bedrijf, bij het aanbieden van veilige hosting (is wel erg breed begrip...) twee zaken kunt doen. Je verbergt zoveel mogelijk en doet er alles aan om niets uit te lokken. Daarmee maak je het jezelf makkelijker en kun je hopen op zo weinig mogelijk aanvallen. Dat toont echter ook een zwakte aan, dus beter is het om het ook daadwerkelijk veilig te hebben... Gebakken lucht zit niemand op te wachten. Je moet/kunt je enkel op die wijze profileren als je het ook waar kunt maken.
Dat is waar veel organisaties het ook moeilijk mee hebben. De schijnveiligheid op veel locaties. Het feit dat in elke offerte staat vermeld 'niemand kan bij uw rack komen' terwijl tegelijkertijd de schoonmaakster wekelijks binnen wandelt en je een stuk verderop de vloertegel kunt lichten en zo bij de vezel van jouw rack kunt komen. De 24/7 bewaking welke dan blijkt te bestaan uit een EBN-er die eens per uur een rondje over de parkeerplaats rijd en kijkt of de deuren nog dicht zitten.
Op het gebied van netwerkbeveiliging geld eigenlijk het zelfde. Als je een Ddos-proof hosting aan wilt bieden, zorg dan ook dat die hosting in staat is om de zware aanvallen van tegenwoordig te weerstaan. Wil je bescherming bieden voor je klanten, zorg dan dat je ook die veiligheidsaspecten op orde hebt, en niet alleen in je aanbod. En als laatste, zeg alleen 24/7 monitoring als er ook daadwerkelijk mensen 24/7 real-time monitoren, niet als je een sms-je krijgt bij downtime... Om 24/7 te kunnen monitoren (365 dagen per jaar), heb je al 6-7 personen nodig (rekening houdend met ziekte, vakanties, vrije dagen en weekenden). Idem qua security. 24/7 bewaking en monitoring (er vanuit gaande dat dit natuurlijk twee verschillende personen moeten zien gezien de vakgebieden) houd dus al automatisch in dat je (of je provider-) 12 tot 14 personen aan het werk moet zetten.
Alvast een goed weekend allen...
systemdeveloper
17/10/13, 10:38
@Rik, TS had het over een hostingomgeving, niet over de omliggende infra.
Ik denk dat veel hosters weinig invloed hebben hoe hun DC dingen regelt en vaak is dat voor hun maar een kwestie van aannemen dat het zo is (denk aan hosters met een paar U in een shared rack).
Zodra je wat meer hebt is dat een ander verhaal natuurlijk.
Verder vind ik dat meer beveiliging wel degelijk de boel duurder maakt. Misschien niet voor de eindklant, maar als je een firewall gebruikt en je moet 1 keer een klant eruit vissen omdat is zijn password op 1 van devices vergeten is aan te passen, kost het je tijd. Strikte rechten gebruiken en je krijgt geheid een mail/telefoontje van een klant over hoe en wat.. kost je tijd.
En dat zijn dan alleen nog maar de basic dingen die iedereen wel heeft.
Daarnaast moet je natuurlijk ook wel iets van beveiliging weten. Ook dat kost tijd en geld.
En wanneer je alles hebt gedaan (exclusief point-to-point encryption) heb je nog altijd het feit dat er ergens een rogue beheerder kan zitten die de boel meekijkt, eventueel logt en misschien zelfs de logs kwijtraakt of laat rondslingeren.
Ik vind overigens wel dat je er toch wel het nodige aan moet doen om niks uit te lokken. Aan de ene kant kun je dat schijnveiligheid noemen, maar midden op de markt gaan staan en roepen dat je de sterkste bent, levert gewoon klappen op.
Erg bedankt voor de serieuze reacties tot dusver.
Mijn doel was om te kijken in hoeverre zaken binnen een bepaald budget realiseerbaar zijn, en niet in de laatste plaats in hoeverre extra veiligheid de gebruiksvriendelijkheid beïnvloedt. Er zal dus een concessie moeten ontstaan tussen betaalbaarheid, gebruiksgemak en veiligheid waarbij de balans naar veiligheid moet doorslaan.
Ook hier geld natuurlijk: hoe gek wil je het maken en hoe breed moet je het trekken. Maar als je roept dat je "veilige hosting" aanbiedt dan ben ik van mening dat dit ver uitgewerkt moet worden. Wat heb je aan een "veilig" hostingpakketje als de fysieke server in een datacenter hangt waar iedereen in-en-uit loopt?
Ook rijzen er regelmatig vragen over de veiligheid van cloudhosting. Ik vraag me af of je zoiets überhaupt moet willen virtualiseren: ivm de extra virtualisatielaag die ook kwetsbaarheden met zich meebrengt, is het misschien beter om gewoon weer "ouderwetse" dedi's aan te bieden? Oude wijn in nieuwe zakken werkt altijd goed in marketing ;)
Aan de andere kant; als je met veel geld over straat moet, verwachten mensen niet dat het in een tasje van Albert Hein zit (om maar eens wat beeldspraak te gebruiken).
Het uitlokken van reacties lijkt me wel een probleem toch. Vroeger was er ook weleens iemand op alt.hack.nl die riep dat zijn computer on-hackbaar was. Dan waren er altijd wel een paar (kuch) die dat even gingen uitproberen. Midden op de markt gaan staan lijkt me dan ook geen goed idee. Anderzijds wat Rik zegt; "als je het niet waar kunt maken moet je het niet beloven" ben ik het ook helemaal mee eens.
Kortom, een lastig verhaal nog.
p.s. voordat iedereen gaat proberen om mijn website onderuit te trekken; dit geldt niet voor mijn huidige hostingomgeving ;)
mgielissen
17/10/13, 12:17
Voor iedere container/klant heb je dan een apart IPv4 adres nodig, de gemiddelde prijs van een extra IP adres is ca 1,00 - 2,50 per maand. Met IPv6 heb je er trouwens genoeg ;)
Voor iedere container/klant heb je dan een apart IPv4 adres nodig, de gemiddelde prijs van een extra IP adres is ca 1,00 - 2,50 per maand. Met IPv6 heb je er trouwens genoeg ;)
Gezien SSL is dat sowieso gewenst en heeft daarnaast wel voordelen igv DDOS en dergelijke toch?
Ik ben er vrij zeker van dat er een bug in jails/lxc/openvz zit waardoor je root privileges kan krijgen, echter is het een kwestie van risicoanalyse. Je kan vanaf het bovenliggende OS ook zaken regelen zoals de firewall en backups. Dit is dan niet te beinvloeden in de containers als het goed is. Dedi's aanbieden levert je enorm veel overhead op.
Je hebt niet per container of klant een apart ipv4 adres nodig. Je kan prima een proxy ervoor zetten zoals varnish/nginx. Als je een groot doelwit bent, word je zeker gehacked. Niet alleen buitenstaanders hacken je systemen, ook klanten en (ex)medewerkers!
Voor SSL heb je geen meerdere ipv4 adressen nodig. Wie nog IE6 gebruikt heeft toch schijt aan beveiliging, dus die klikt toch wel op "Website toch bezoeken" knop bij een waarschuwing. Je kan natuurlijk ook een SAN certificaat nemen met meerdere hostnames.
SSL maakt een DDOS alleen maar erger, de clients (in een botnet) die requests doen naar je website hoeven haast geen cpu te gebruiken. Jouw servers wel: die moeten alle requests encrypten/decrypten en een key exchange opzetten.
mgielissen
17/10/13, 14:32
Gezien SSL is dat sowieso gewenst en heeft daarnaast wel voordelen igv DDOS en dergelijke toch?
Bij een DDOS kun je eenvoudig het IP adres van de klant nullrouten in de router.
systemdeveloper
17/10/13, 14:38
Bij een DDOS kun je eenvoudig het IP adres van de klant nullrouten in de router.
Dan is je klant wel direct down.
Bij een DDOS kun je eenvoudig het IP adres van de klant nullrouten in de router.
En is het nu juist niet de bedoeling van veilige hosting om de website/klant kost wat kost online te houden en niet zelf offline te halen. Want dan heeft het hele veilige hosting natuurlijk geen zin aangezien je niet kunt waarmaken wat je beloofd.
Tja.. Dat is ook weer zoiets. Wat is veiliger, een DDOS nullrouten en daarmee de website tijdelijk buiten gebruik stellen (onbereikbaar issie toch al) of kosten wat het kost online houden tijdens een overbelasting ;)
Loop je bijvoorbeeld niet meer risico dat hackers zich toegang kunnen verschaffen op een wankele server omdat serversoftware crasht en commando's op de poorten gaat accepteren. Of is dat tegenwoordig niet meer zo?
(Is alweer een jaar of 25 geleden dat ik me met dat soort dingen bezighield ;) )
Ik werk zelf niet op netwerkniveau, dus weet niet of je makkelijk kunt rerouten naar een backup server eventueel.
@Rik, TS had het over een hostingomgeving, niet over de omliggende infra.
Iets beter kijken....
- Fysieke beveiliging van de servers (afgesloten racks of databunker?)
- Redundancy, uitsluiten spof's
Ik denk dat veel hosters weinig invloed hebben hoe hun DC dingen regelt en vaak is dat voor hun maar een kwestie van aannemen dat het zo is (denk aan hosters met een paar U in een shared rack).
Zodra je wat meer hebt is dat een ander verhaal natuurlijk.
Je bepaald als hoster toch zelf in welk DC je gaat staan en wat je eisen zijn?
Verder vind ik dat meer beveiliging wel degelijk de boel duurder maakt. Misschien niet voor de eindklant, maar als je een firewall gebruikt en je moet 1 keer een klant eruit vissen omdat is zijn password op 1 van devices vergeten is aan te passen, kost het je tijd. Strikte rechten gebruiken en je krijgt geheid een mail/telefoontje van een klant over hoe en wat.. kost je tijd.
En dat zijn dan alleen nog maar de basic dingen die iedereen wel heeft.
Daarnaast moet je natuurlijk ook wel iets van beveiliging weten. Ook dat kost tijd en geld.
Dat jij vindt dat het het duurder maakt betekend niet dat dit ook altijd zo is... Als je een beetje normale bedrijfsvoering hebt dan zijn die kosten voor je maatregelen, firewall of wat anders, gewoon doorberekend in je kostprijzen (anders doe je iets niet goed).
En wanneer je alles hebt gedaan (exclusief point-to-point encryption) heb je nog altijd het feit dat er ergens een rogue beheerder kan zitten die de boel meekijkt, eventueel logt en misschien zelfs de logs kwijtraakt of laat rondslingeren.
Kwestie van beter selecteren en/of screenen. Zorgen dat je zaken niet uitbesteed als er klanten op draaien die eisen dat er geen externe partijen op meekijken etc. Overal zijn oplossingen voor, het is alleen de vraag of je als provider de moeite wilt nemen om al die zaken te doen en of jouw doelgroep daar wel op zit te wachten...
Ik vind overigens wel dat je er toch wel het nodige aan moet doen om niks uit te lokken. Aan de ene kant kun je dat schijnveiligheid noemen, maar midden op de markt gaan staan en roepen dat je de sterkste bent, levert gewoon klappen op.
Als je die klappen niet daadwerkelijk op kunt vangen, moet je ook niets roepen over je veiligheid ;)
Anders is het dus blijkbaar niet zo veilig als voorgesteld wordt...
Zou je er niets over zeggen, je verbergen en zwijgen over je maatregelen, dan kan dat er ook op duiden dat het blijkbaar niet op orde is...
systemdeveloper
17/10/13, 21:41
Rik, ik ga me niet eens de moeite nemen om je verhaal allemaal te quoten, maar als het in de praktijk allemaal zo gebeurde als jij zei, had niemand problemen :)
- De meeste DC's en personen hebben niet eens de mogelijkheid om iemand goed te screenen maar kunnen hooguit een VOG vragen wat alsnog een redelijk beperkt screening is. Bon, het is beter dan gewoon iemand aannemen vanwege kwalificaties en zijn vlotte babbel, maar dat kan snel veranderen als ie eenmaal aangenomen is.
- Niet elke hoster zit in een op en top soeperdoeper beveiligt dc/lokatie, of misschien hebben ze zich laten overtuigen door een bladiebla verhaal van iemand die uit zijn nek lult.
- Uiteraard worden de kosten die een bedrijf maakt doorberekent aan zijn klanten. Maar wat heeft dat te maken met wat ik zei? Zijn doorberekende kosten dan geen kosten?
- En klappen kunnen opvangen heeft bijster weinig te maken met klappen opzoeken. Een klap op je oog kun je ook opvangen, als je persé een week met een blauw oog wilt lopen. Het stomste wat je kunt doen is van de daken blaten welke beveiligingen je wel (of niet) hebt.
Edit: Ok, dat eerste puntje gun ik je ;)
Maar feit is... de meeste hosters hebben niet eens het geld/kennis om firewalls van xxk of meer aan te schaffen en de jaarlijkse licenties te voldoen. Dus willen en kunnen is gewoon niet voor iedereen weggelegd. Misschien wel voor mensen die ruzie maken over beveiliging, maar er zijn duizenden die hoster spelen natuurlijk.
mgielissen
17/10/13, 22:14
Dan is je klant wel direct down.
Je beperkt wel de impact voor andere klanten. Bij shared IP hosting gaat alles down
systemdeveloper
17/10/13, 22:18
Je beperkt wel de impact voor andere klanten. Bij shared IP hosting gaat alles down
Ja, ok, dat is wel zo. Afhankelijk van de ddos heb je misschien geen keuze, maar punt blijft dat de ddos dan linksom of rechtsom gelukt is.
Edit: Nou ja.. het ligt aan het soort ddos. Ken genoeg mensen die via een linkje op geenstijl al 'ddos' riepen en daarvoor hoef je echt niet veel te doen om het op te lossen. Een ddos op je infra los je daar niet mee op iig.
mgielissen
17/10/13, 22:29
Ja, ok, dat is wel zo. Afhankelijk van de ddos heb je misschien geen keuze, maar punt blijft dat de ddos dan linksom of rechtsom gelukt is.
Dit is weer afhankelijk van het soort DDOS. Als er veel traffic binnenkomt, dan hou je deze niet tegen met iptables op de hwnode. Het blijft toch binnenkomen op de switch. Dan moet je 'm afvangen op de router.
systemdeveloper
17/10/13, 22:43
Dit is weer afhankelijk van het soort DDOS. Als er veel traffic binnenkomt, dan hou je deze niet tegen met iptables op de hwnode. Het blijft toch binnenkomen op de switch. Dan moet je 'm afvangen op de router.
Met iptables op een bakkie zelf loop je al erg snel tegen een muur aan. En met een router in je eigen setup van een paar rackjes misschien ook nog wel. Vaak ben je dat toch wel aangewezen op wat assistentie van het DC en die moeten de betreffende bandbreedte dan ook nog maar hebben en de mensen die iets meer kunnen dan alleen een ip uit de lucht knallen.
(Dus dan moet je bij Rik zitten, die maakt er direct korte metten mee ;P)
@ systemdeveloper, er zijn tientallen partijen die dat stukkie nog 10 keer beter voor elkaar hebben (Ddos bestrijding). En ja, volgens mij heeft een hoster gedurende dergelijke aanvallen altijd assistentie nodig van het betreffende DC.
Je andere punten:
- Het is heel makkelijk om zelf te screenen, het is puur een gedachtegang, een instelling en even slim nadenken. Waar de meeste al de fout in gaan (zeker met vertrouwensfuncties) is werken met open sollicitaties. Selecteer gewoon zelf de kandidaten. Bij een open sollicitatie weet je nooit met welke intenties iemand voor je zit. Een VOG is geen klap waard, niet als het gaat om loyaliteit, betrouwbaarheid en integriteit.
- Er zijn enkele tientallen datacenters in Nederland die de veiligheid op-en-top in orde hebben en daar hoeft geen 'bladiebla verhaal van iemand die uit zijn nek lult' aan te pas te komen, en weet je waarom niet? Partijen die dat zoeken overtuigen zichzelf wel, dat komt mede door eisen, reguleringen, nieuwe wetgeving en normen.
- 'Het stomste wat je kunt doen is van de daken blaten welke beveiligingen je wel (of niet) hebt' is werkelijk de meest onzinnige zin van deze hele discussie. Dat bepaalde details niet bekend zijn is wat anders. het feit dat je meer dan 50 cam's hebt hangen in plaats van 1 bij de voordeur zegt heel veel. dat je tegelijkertijd niet een tekening geeft met alle cameraposities is hetgeen het 'safe' maakt. Dat houd je geheim. Tis kwestie van prijsgeven wat kan en zinvol is (voor klant of om 'af te schrikken') en geheimhouden wat cruciaal is. Need-to-know is in dit geval weer prima op z'n plaats.
systemdeveloper
18/10/13, 01:26
@ systemdeveloper, er zijn tientallen partijen die dat stukkie nog 10 keer beter voor elkaar hebben (Ddos bestrijding). En ja, volgens mij heeft een hoster gedurende dergelijke aanvallen altijd assistentie nodig van het betreffende DC.
Je andere punten:
- Het is heel makkelijk om zelf te screenen, het is puur een gedachtegang, een instelling en even slim nadenken. Waar de meeste al de fout in gaan (zeker met vertrouwensfuncties) is werken met open sollicitaties. Selecteer gewoon zelf de kandidaten. Bij een open sollicitatie weet je nooit met welke intenties iemand voor je zit. Een VOG is geen klap waard, niet als het gaat om loyaliteit, betrouwbaarheid en integriteit.
- Er zijn enkele tientallen datacenters in Nederland die de veiligheid op-en-top in orde hebben en daar hoeft geen 'bladiebla verhaal van iemand die uit zijn nek lult' aan te pas te komen, en weet je waarom niet? Partijen die dat zoeken overtuigen zichzelf wel, dat komt mede door eisen, reguleringen, nieuwe wetgeving en normen.
- 'Het stomste wat je kunt doen is van de daken blaten welke beveiligingen je wel (of niet) hebt' is werkelijk de meest onzinnige zin van deze hele discussie. Dat bepaalde details niet bekend zijn is wat anders. het feit dat je meer dan 50 cam's hebt hangen in plaats van 1 bij de voordeur zegt heel veel. dat je tegelijkertijd niet een tekening geeft met alle cameraposities is hetgeen het 'safe' maakt. Dat houd je geheim. Tis kwestie van prijsgeven wat kan en zinvol is (voor klant of om 'af te schrikken') en geheimhouden wat cruciaal is. Need-to-know is in dit geval weer prima op z'n plaats.
Nou, ik zie nog wel meer onzinnige dingen, hoor ;)
Maar als je denkt door zelf kandidaten uit te zoeken, opeens veilig te zitten... dan ga je er vanuit dat je zelf met 'slim nadenken' niet fout kunt zitten. Als je een kundig en in jouw ogen goed maatje hebt die je al 10 jaar kent en vertrouwt, weet je nog steeds niet of die 15 jaar geleden niet ergens een misstap heeft gemaakt. Een (vog)screening op het juiste nivo kan je dan altijd extra informatie geven, ook al is een screening an sich nooit voldoende, maar puur op onderbuikgevoel af gaan is het ook echt niet.
Maar dat heeft puur betrekking op medewerkers/procedures. Je hebt ook nog klanten die websites knutselen en misschien helemaal niet zo bewust zijn van beveiliging. En dan? Sta je toch mooi met je superveilig dc en 50 camera's. Het feit dat niemand zomaar bij een server kan om hem mee naar buiten te sleuren of er een usbsticky in te rammen, is maar een klein deel van een veilige hostingomgeving.
Kun je daarmee voorkomen dat een beheerder met privileges opeens geen gewetensbezwaren krijgt of 'nee' zegt tegen een 7 cijferig bedrag in euro's? Nee hoor.
Voorkom je er een gat mee in een online applicatie? Nee.
Nu weet ik ook wel dat jullie met je bunkers goed bezig zijn op dat gebied en dat je waarschijnlijk ook wel eens door een db3/bva/nctv/etc traject bent gehuppeld, maar dan weet je ook dat er nog steeds een kloof is tussen 'hoe het moet volgens de expert' en 'hoe het is'. Ik geloof best dat partijen die het zoeken zichzelf overtuigen, maar ze doen dat niet uit de blauwe lucht, maar op basis van de verhaaltjes die ze krijgen.
Iedereen zoekt een veilige omgeving, maar veel zijn te snel overtuigd. (Waarbij ik nadrukkelijk NIET zeg dat die betonblok van je niet veilig is, alleen dat het maar 1 aspect is).
Het zijn zo gigantisch veel factoren... Echter, ik spreek continu over 'reguliere DC's' in plaats van 'bunkers'.
Met zo'n bunker kun je onderdeeltjes wellicht aantonen en bepaalde fysieke zaken uitsluiten, maar dat is niks in het gehele plaatje natuurlijk.
Daarnaast is dat niet 'gebruikelijk' en tracht ik juist de zaken aan te halen die men vanuit een regulier DC ook gewoon kan uitvoeren om net weer een stapje hoger te gaan qua veiligheid.
Screening, de wijze van aanname/werving etc. zijn ook slechts (minimale) onderdeeltjes van een uitgebreid SOP (Security Operation Plan).
Geen enkele van die maatregelen heeft op zichzelf nut, maar de combinatie (inclusief uitsluiten dat men uberhaupt die gevonden USB oppakt).
Als je slechts 1 ding doet en de rest nalaat, is dat de fout van de verantwoordelijke. Of je doet het goed (en zo volledig mogelijk) of je doet het niet.
Als je gaat verkopen op basis van 'verhaaltjes die ze krijgen' dan klopt er iets niet.
Ik ken geen relatie/klant die op basis van 'verhaaltjes' een contract gaat tekenen.
Alles wat je roept, inclusief een beheerder met privileges die een bedrag met 7 nullen krijgt aangeboden, zelfs dan kun je nog zaken uitsluiten en voorkomen... maar dat gaat veel te diep om hier op in te gaan. Omdat jij er niet aan denkt, of nu pas voor het eerst, betekend niet dat op al die vlakken maatregelen zijn te nemen. En nee,100% secure bestaat niet, maar je kunt 300 zaken uitvoeren die het vele malen moeilijker maken, of simpelweg volledig uitsluiten.
Dat mensen te snel overtuigd zijn van iets, en je dat veroordeeld, zegt wellicht iets over jou/hun beoordelingskracht?
Beetje kort door de bocht om zo te redeneren, ik schat de meeste hoger in (heb ik het niet over Pietje die voor 1 euro korting zijn domeinnaam voor 1,50 koopt bij A in plaats van 2,50 bij B.).
Toevallig vandaag gepubliceerd: http://nos.nl/l/563870
systemdeveloper
18/10/13, 11:01
Alles wat je roept, inclusief een beheerder met privileges die een bedrag met 7 nullen krijgt aangeboden, zelfs dan kun je nog zaken uitsluiten en voorkomen... maar dat gaat veel te diep om hier op in te gaan. Omdat jij er niet aan denkt, of nu pas voor het eerst, betekend niet dat op al die vlakken maatregelen zijn te nemen. En nee,100% secure bestaat niet, maar je kunt 300 zaken uitvoeren die het vele malen moeilijker maken, of simpelweg volledig uitsluiten.
Dat mensen te snel overtuigd zijn van iets, en je dat veroordeeld, zegt wellicht iets over jou/hun beoordelingskracht?
Je hoeft niet zo subtiel op de man spelen, ik ben niet van glas hoor :)
Maar er zijn gevallen genoeg bekend waarin het tegendeel bewezen wordt en er opeens dingen op straat liggen die niet op straat thuishoren.
Had dat voorkomen kunnen worden... wellicht in sommige gevallen wel, maar dat is dan achterafpraat.
Zolang je met mensen te maken hebt, worden er nu eenmaal fouten gemaakt, je kunt iemand voor de kop kijken, maar niet erin (nou ja... volgens sciencedump duurt dat ook niet meer lang, hehe)
Maar het heeft verder eigenlijk nog weinig met TS zijn vraag te maken :)
Als ik nog even in mag breken op de discussie ;)
Deze link wil ik jullie ook niet onthouden... het begint een serieuze kwestie te worden: http://thehackernews.com/2013/10/ddos-attacks-serious-unstoppable-menace.html
systemdeveloper
18/10/13, 21:25
Als ik nog even in mag breken op de discussie ;)
Deze link wil ik jullie ook niet onthouden... het begint een serieuze kwestie te worden: http://thehackernews.com/2013/10/ddos-attacks-serious-unstoppable-menace.html
Haha, ik zeg niks meer. Het IS jouw discussie ;)
Je hoeft niet zo subtiel op de man spelen, ik ben niet van glas hoor :)
Maar er zijn gevallen genoeg bekend waarin het tegendeel bewezen wordt en er opeens dingen op straat liggen die niet op straat thuishoren.
Had dat voorkomen kunnen worden... wellicht in sommige gevallen wel, maar dat is dan achterafpraat.
Zolang je met mensen te maken hebt, worden er nu eenmaal fouten gemaakt, je kunt iemand voor de kop kijken, maar niet erin (nou ja... volgens sciencedump duurt dat ook niet meer lang, hehe)
Maar het heeft verder eigenlijk nog weinig met TS zijn vraag te maken :)
Mijn excuus, was niet persoonlijk bedoeld o.i.d.
Een goede en serieuze discussie is altijd goed.
Zeker gezien veel partijen met slechts enkele simpele veranderingen of toepassingen een graadje veiliger kunnen zijn...
Absoluut gelijk dat de menselijke factor het zwakste punt is, daar ontkom je niet aan.
En zoals ik al aangaf heeft het zeker met zijn vraag te maken (staat er gewoon tussen), en indien je over 'veilige hosting' spreekt heb je het altijd ook over een stuk fysieke beveiliging, anders is het (wederom) een beetje gebakken lucht...
Goed weekend.
systemdeveloper
19/10/13, 13:12
Mijn excuus, was niet persoonlijk bedoeld o.i.d.
Een goede en serieuze discussie is altijd goed.
Zeker gezien veel partijen met slechts enkele simpele veranderingen of toepassingen een graadje veiliger kunnen zijn...
Absoluut gelijk dat de menselijke factor het zwakste punt is, daar ontkom je niet aan.
En zoals ik al aangaf heeft het zeker met zijn vraag te maken (staat er gewoon tussen), en indien je over 'veilige hosting' spreekt heb je het altijd ook over een stuk fysieke beveiliging, anders is het (wederom) een beetje gebakken lucht...
Goed weekend.
Dat puntje van fysieke beveiliging is zeker belangrijk. Was ik het ook al ruim mee eens.
Maar beveiliging van de servers zelf (websites, apps, access, protcollen en regels, whatever) is minstens zo belangrijk. Kijk naar dat geval van snowden... de middelen zijn er er maar worden niet ingezet voor een flutreden zoals te weinig bandbreedte. Typisch geval van iemand die, tegen de regels in, besluit dat 'vertrouwen' belangrijker is dan 'controle'.
Jij (en de rest) ook een goed weekend!
Patrick_st
25/10/13, 09:37
Zijn er hosters die gebruik maken van de Spamhaus drop list?
Zo ja, blokkeer je dan al het verkeer van die IP adressen of alleen bepaalde poorten als FTP of email?
Zijn er hosters die gebruik maken van de Spamhaus drop list?
Zo ja, blokkeer je dan al het verkeer van die IP adressen of alleen bepaalde poorten als FTP of email?
Er zijn partijen die het gebruiken en als je de lijst gebruikt zoals bedoeld dan blokkeer je al het verkeer van de IP adressen op de lijst.