Onderwerp: Veilige hosting

Oorspronkelijk geplaatst door systemdeveloper

@Rik, TS had het over een hostingomgeving, niet over de omliggende infra.

Iets beter kijken....
- Fysieke beveiliging van de servers (afgesloten racks of databunker?)
- Redundancy, uitsluiten spof's

Oorspronkelijk geplaatst door systemdeveloper

Ik denk dat veel hosters weinig invloed hebben hoe hun DC dingen regelt en vaak is dat voor hun maar een kwestie van aannemen dat het zo is (denk aan hosters met een paar U in een shared rack).
Zodra je wat meer hebt is dat een ander verhaal natuurlijk.

Je bepaald als hoster toch zelf in welk DC je gaat staan en wat je eisen zijn?

Oorspronkelijk geplaatst door systemdeveloper

Verder vind ik dat meer beveiliging wel degelijk de boel duurder maakt. Misschien niet voor de eindklant, maar als je een firewall gebruikt en je moet 1 keer een klant eruit vissen omdat is zijn password op 1 van devices vergeten is aan te passen, kost het je tijd. Strikte rechten gebruiken en je krijgt geheid een mail/telefoontje van een klant over hoe en wat.. kost je tijd.
En dat zijn dan alleen nog maar de basic dingen die iedereen wel heeft.
Daarnaast moet je natuurlijk ook wel iets van beveiliging weten. Ook dat kost tijd en geld.

Dat jij vindt dat het het duurder maakt betekend niet dat dit ook altijd zo is... Als je een beetje normale bedrijfsvoering hebt dan zijn die kosten voor je maatregelen, firewall of wat anders, gewoon doorberekend in je kostprijzen (anders doe je iets niet goed).

Oorspronkelijk geplaatst door systemdeveloper

En wanneer je alles hebt gedaan (exclusief point-to-point encryption) heb je nog altijd het feit dat er ergens een rogue beheerder kan zitten die de boel meekijkt, eventueel logt en misschien zelfs de logs kwijtraakt of laat rondslingeren.

Kwestie van beter selecteren en/of screenen. Zorgen dat je zaken niet uitbesteed als er klanten op draaien die eisen dat er geen externe partijen op meekijken etc. Overal zijn oplossingen voor, het is alleen de vraag of je als provider de moeite wilt nemen om al die zaken te doen en of jouw doelgroep daar wel op zit te wachten...

Oorspronkelijk geplaatst door systemdeveloper

Ik vind overigens wel dat je er toch wel het nodige aan moet doen om niks uit te lokken. Aan de ene kant kun je dat schijnveiligheid noemen, maar midden op de markt gaan staan en roepen dat je de sterkste bent, levert gewoon klappen op.

Als je die klappen niet daadwerkelijk op kunt vangen, moet je ook niets roepen over je veiligheid
Anders is het dus blijkbaar niet zo veilig als voorgesteld wordt...

Zou je er niets over zeggen, je verbergen en zwijgen over je maatregelen, dan kan dat er ook op duiden dat het blijkbaar niet op orde is...

Rik, ik ga me niet eens de moeite nemen om je verhaal allemaal te quoten, maar als het in de praktijk allemaal zo gebeurde als jij zei, had niemand problemen

- De meeste DC's en personen hebben niet eens de mogelijkheid om iemand goed te screenen maar kunnen hooguit een VOG vragen wat alsnog een redelijk beperkt screening is. Bon, het is beter dan gewoon iemand aannemen vanwege kwalificaties en zijn vlotte babbel, maar dat kan snel veranderen als ie eenmaal aangenomen is.
- Niet elke hoster zit in een op en top soeperdoeper beveiligt dc/lokatie, of misschien hebben ze zich laten overtuigen door een bladiebla verhaal van iemand die uit zijn nek lult.
- Uiteraard worden de kosten die een bedrijf maakt doorberekent aan zijn klanten. Maar wat heeft dat te maken met wat ik zei? Zijn doorberekende kosten dan geen kosten?
- En klappen kunnen opvangen heeft bijster weinig te maken met klappen opzoeken. Een klap op je oog kun je ook opvangen, als je persé een week met een blauw oog wilt lopen. Het stomste wat je kunt doen is van de daken blaten welke beveiligingen je wel (of niet) hebt.

Edit: Ok, dat eerste puntje gun ik je
Maar feit is... de meeste hosters hebben niet eens het geld/kennis om firewalls van xxk of meer aan te schaffen en de jaarlijkse licenties te voldoen. Dus willen en kunnen is gewoon niet voor iedereen weggelegd. Misschien wel voor mensen die ruzie maken over beveiliging, maar er zijn duizenden die hoster spelen natuurlijk.

Oorspronkelijk geplaatst door systemdeveloper

Dan is je klant wel direct down.

Je beperkt wel de impact voor andere klanten. Bij shared IP hosting gaat alles down

Oorspronkelijk geplaatst door mgielissen

Je beperkt wel de impact voor andere klanten. Bij shared IP hosting gaat alles down

Ja, ok, dat is wel zo. Afhankelijk van de ddos heb je misschien geen keuze, maar punt blijft dat de ddos dan linksom of rechtsom gelukt is.

Edit: Nou ja.. het ligt aan het soort ddos. Ken genoeg mensen die via een linkje op geenstijl al 'ddos' riepen en daarvoor hoef je echt niet veel te doen om het op te lossen. Een ddos op je infra los je daar niet mee op iig.

Oorspronkelijk geplaatst door systemdeveloper

Ja, ok, dat is wel zo. Afhankelijk van de ddos heb je misschien geen keuze, maar punt blijft dat de ddos dan linksom of rechtsom gelukt is.

Dit is weer afhankelijk van het soort DDOS. Als er veel traffic binnenkomt, dan hou je deze niet tegen met iptables op de hwnode. Het blijft toch binnenkomen op de switch. Dan moet je 'm afvangen op de router.

Oorspronkelijk geplaatst door mgielissen

Dit is weer afhankelijk van het soort DDOS. Als er veel traffic binnenkomt, dan hou je deze niet tegen met iptables op de hwnode. Het blijft toch binnenkomen op de switch. Dan moet je 'm afvangen op de router.

Met iptables op een bakkie zelf loop je al erg snel tegen een muur aan. En met een router in je eigen setup van een paar rackjes misschien ook nog wel. Vaak ben je dat toch wel aangewezen op wat assistentie van het DC en die moeten de betreffende bandbreedte dan ook nog maar hebben en de mensen die iets meer kunnen dan alleen een ip uit de lucht knallen.
(Dus dan moet je bij Rik zitten, die maakt er direct korte metten mee ;P)

@ systemdeveloper, er zijn tientallen partijen die dat stukkie nog 10 keer beter voor elkaar hebben (Ddos bestrijding). En ja, volgens mij heeft een hoster gedurende dergelijke aanvallen altijd assistentie nodig van het betreffende DC.

Je andere punten:

- Het is heel makkelijk om zelf te screenen, het is puur een gedachtegang, een instelling en even slim nadenken. Waar de meeste al de fout in gaan (zeker met vertrouwensfuncties) is werken met open sollicitaties. Selecteer gewoon zelf de kandidaten. Bij een open sollicitatie weet je nooit met welke intenties iemand voor je zit. Een VOG is geen klap waard, niet als het gaat om loyaliteit, betrouwbaarheid en integriteit.

- Er zijn enkele tientallen datacenters in Nederland die de veiligheid op-en-top in orde hebben en daar hoeft geen 'bladiebla verhaal van iemand die uit zijn nek lult' aan te pas te komen, en weet je waarom niet? Partijen die dat zoeken overtuigen zichzelf wel, dat komt mede door eisen, reguleringen, nieuwe wetgeving en normen.

- 'Het stomste wat je kunt doen is van de daken blaten welke beveiligingen je wel (of niet) hebt' is werkelijk de meest onzinnige zin van deze hele discussie. Dat bepaalde details niet bekend zijn is wat anders. het feit dat je meer dan 50 cam's hebt hangen in plaats van 1 bij de voordeur zegt heel veel. dat je tegelijkertijd niet een tekening geeft met alle cameraposities is hetgeen het 'safe' maakt. Dat houd je geheim. Tis kwestie van prijsgeven wat kan en zinvol is (voor klant of om 'af te schrikken') en geheimhouden wat cruciaal is. Need-to-know is in dit geval weer prima op z'n plaats.

Oorspronkelijk geplaatst door Rik

@ systemdeveloper, er zijn tientallen partijen die dat stukkie nog 10 keer beter voor elkaar hebben (Ddos bestrijding). En ja, volgens mij heeft een hoster gedurende dergelijke aanvallen altijd assistentie nodig van het betreffende DC.

Je andere punten:

- Het is heel makkelijk om zelf te screenen, het is puur een gedachtegang, een instelling en even slim nadenken. Waar de meeste al de fout in gaan (zeker met vertrouwensfuncties) is werken met open sollicitaties. Selecteer gewoon zelf de kandidaten. Bij een open sollicitatie weet je nooit met welke intenties iemand voor je zit. Een VOG is geen klap waard, niet als het gaat om loyaliteit, betrouwbaarheid en integriteit.

- Er zijn enkele tientallen datacenters in Nederland die de veiligheid op-en-top in orde hebben en daar hoeft geen 'bladiebla verhaal van iemand die uit zijn nek lult' aan te pas te komen, en weet je waarom niet? Partijen die dat zoeken overtuigen zichzelf wel, dat komt mede door eisen, reguleringen, nieuwe wetgeving en normen.

- 'Het stomste wat je kunt doen is van de daken blaten welke beveiligingen je wel (of niet) hebt' is werkelijk de meest onzinnige zin van deze hele discussie. Dat bepaalde details niet bekend zijn is wat anders. het feit dat je meer dan 50 cam's hebt hangen in plaats van 1 bij de voordeur zegt heel veel. dat je tegelijkertijd niet een tekening geeft met alle cameraposities is hetgeen het 'safe' maakt. Dat houd je geheim. Tis kwestie van prijsgeven wat kan en zinvol is (voor klant of om 'af te schrikken') en geheimhouden wat cruciaal is. Need-to-know is in dit geval weer prima op z'n plaats.

Nou, ik zie nog wel meer onzinnige dingen, hoor

Maar als je denkt door zelf kandidaten uit te zoeken, opeens veilig te zitten... dan ga je er vanuit dat je zelf met 'slim nadenken' niet fout kunt zitten. Als je een kundig en in jouw ogen goed maatje hebt die je al 10 jaar kent en vertrouwt, weet je nog steeds niet of die 15 jaar geleden niet ergens een misstap heeft gemaakt. Een (vog)screening op het juiste nivo kan je dan altijd extra informatie geven, ook al is een screening an sich nooit voldoende, maar puur op onderbuikgevoel af gaan is het ook echt niet.
Maar dat heeft puur betrekking op medewerkers/procedures. Je hebt ook nog klanten die websites knutselen en misschien helemaal niet zo bewust zijn van beveiliging. En dan? Sta je toch mooi met je superveilig dc en 50 camera's. Het feit dat niemand zomaar bij een server kan om hem mee naar buiten te sleuren of er een usbsticky in te rammen, is maar een klein deel van een veilige hostingomgeving.
Kun je daarmee voorkomen dat een beheerder met privileges opeens geen gewetensbezwaren krijgt of 'nee' zegt tegen een 7 cijferig bedrag in euro's? Nee hoor.
Voorkom je er een gat mee in een online applicatie? Nee.

Nu weet ik ook wel dat jullie met je bunkers goed bezig zijn op dat gebied en dat je waarschijnlijk ook wel eens door een db3/bva/nctv/etc traject bent gehuppeld, maar dan weet je ook dat er nog steeds een kloof is tussen 'hoe het moet volgens de expert' en 'hoe het is'. Ik geloof best dat partijen die het zoeken zichzelf overtuigen, maar ze doen dat niet uit de blauwe lucht, maar op basis van de verhaaltjes die ze krijgen.
Iedereen zoekt een veilige omgeving, maar veel zijn te snel overtuigd. (Waarbij ik nadrukkelijk NIET zeg dat die betonblok van je niet veilig is, alleen dat het maar 1 aspect is).

Het zijn zo gigantisch veel factoren... Echter, ik spreek continu over 'reguliere DC's' in plaats van 'bunkers'.
Met zo'n bunker kun je onderdeeltjes wellicht aantonen en bepaalde fysieke zaken uitsluiten, maar dat is niks in het gehele plaatje natuurlijk.

Daarnaast is dat niet 'gebruikelijk' en tracht ik juist de zaken aan te halen die men vanuit een regulier DC ook gewoon kan uitvoeren om net weer een stapje hoger te gaan qua veiligheid.

Screening, de wijze van aanname/werving etc. zijn ook slechts (minimale) onderdeeltjes van een uitgebreid SOP (Security Operation Plan).

Geen enkele van die maatregelen heeft op zichzelf nut, maar de combinatie (inclusief uitsluiten dat men uberhaupt die gevonden USB oppakt).
Als je slechts 1 ding doet en de rest nalaat, is dat de fout van de verantwoordelijke. Of je doet het goed (en zo volledig mogelijk) of je doet het niet.

Als je gaat verkopen op basis van 'verhaaltjes die ze krijgen' dan klopt er iets niet.
Ik ken geen relatie/klant die op basis van 'verhaaltjes' een contract gaat tekenen.

Alles wat je roept, inclusief een beheerder met privileges die een bedrag met 7 nullen krijgt aangeboden, zelfs dan kun je nog zaken uitsluiten en voorkomen... maar dat gaat veel te diep om hier op in te gaan. Omdat jij er niet aan denkt, of nu pas voor het eerst, betekend niet dat op al die vlakken maatregelen zijn te nemen. En nee,100% secure bestaat niet, maar je kunt 300 zaken uitvoeren die het vele malen moeilijker maken, of simpelweg volledig uitsluiten.

Dat mensen te snel overtuigd zijn van iets, en je dat veroordeeld, zegt wellicht iets over jou/hun beoordelingskracht?
Beetje kort door de bocht om zo te redeneren, ik schat de meeste hoger in (heb ik het niet over Pietje die voor 1 euro korting zijn domeinnaam voor 1,50 koopt bij A in plaats van 2,50 bij B.).

Toevallig vandaag gepubliceerd: http://nos.nl/l/563870

Oorspronkelijk geplaatst door Rik

Alles wat je roept, inclusief een beheerder met privileges die een bedrag met 7 nullen krijgt aangeboden, zelfs dan kun je nog zaken uitsluiten en voorkomen... maar dat gaat veel te diep om hier op in te gaan. Omdat jij er niet aan denkt, of nu pas voor het eerst, betekend niet dat op al die vlakken maatregelen zijn te nemen. En nee,100% secure bestaat niet, maar je kunt 300 zaken uitvoeren die het vele malen moeilijker maken, of simpelweg volledig uitsluiten.

Dat mensen te snel overtuigd zijn van iets, en je dat veroordeeld, zegt wellicht iets over jou/hun beoordelingskracht?

Je hoeft niet zo subtiel op de man spelen, ik ben niet van glas hoor
Maar er zijn gevallen genoeg bekend waarin het tegendeel bewezen wordt en er opeens dingen op straat liggen die niet op straat thuishoren.
Had dat voorkomen kunnen worden... wellicht in sommige gevallen wel, maar dat is dan achterafpraat.
Zolang je met mensen te maken hebt, worden er nu eenmaal fouten gemaakt, je kunt iemand voor de kop kijken, maar niet erin (nou ja... volgens sciencedump duurt dat ook niet meer lang, hehe)

Maar het heeft verder eigenlijk nog weinig met TS zijn vraag te maken

Als ik nog even in mag breken op de discussie

Deze link wil ik jullie ook niet onthouden... het begint een serieuze kwestie te worden: http://thehackernews.com/2013/10/ddo...le-menace.html

Oorspronkelijk geplaatst door cfmweb

Als ik nog even in mag breken op de discussie

Deze link wil ik jullie ook niet onthouden... het begint een serieuze kwestie te worden: http://thehackernews.com/2013/10/ddo...le-menace.html

Haha, ik zeg niks meer. Het IS jouw discussie

Oorspronkelijk geplaatst door systemdeveloper

Je hoeft niet zo subtiel op de man spelen, ik ben niet van glas hoor
Maar er zijn gevallen genoeg bekend waarin het tegendeel bewezen wordt en er opeens dingen op straat liggen die niet op straat thuishoren.
Had dat voorkomen kunnen worden... wellicht in sommige gevallen wel, maar dat is dan achterafpraat.
Zolang je met mensen te maken hebt, worden er nu eenmaal fouten gemaakt, je kunt iemand voor de kop kijken, maar niet erin (nou ja... volgens sciencedump duurt dat ook niet meer lang, hehe)

Maar het heeft verder eigenlijk nog weinig met TS zijn vraag te maken

Mijn excuus, was niet persoonlijk bedoeld o.i.d.
Een goede en serieuze discussie is altijd goed.

Zeker gezien veel partijen met slechts enkele simpele veranderingen of toepassingen een graadje veiliger kunnen zijn...

Absoluut gelijk dat de menselijke factor het zwakste punt is, daar ontkom je niet aan.

En zoals ik al aangaf heeft het zeker met zijn vraag te maken (staat er gewoon tussen), en indien je over 'veilige hosting' spreekt heb je het altijd ook over een stuk fysieke beveiliging, anders is het (wederom) een beetje gebakken lucht...

Goed weekend.

Oorspronkelijk geplaatst door Rik

Mijn excuus, was niet persoonlijk bedoeld o.i.d.
Een goede en serieuze discussie is altijd goed.

Zeker gezien veel partijen met slechts enkele simpele veranderingen of toepassingen een graadje veiliger kunnen zijn...

Absoluut gelijk dat de menselijke factor het zwakste punt is, daar ontkom je niet aan.

En zoals ik al aangaf heeft het zeker met zijn vraag te maken (staat er gewoon tussen), en indien je over 'veilige hosting' spreekt heb je het altijd ook over een stuk fysieke beveiliging, anders is het (wederom) een beetje gebakken lucht...

Goed weekend.

Dat puntje van fysieke beveiliging is zeker belangrijk. Was ik het ook al ruim mee eens.
Maar beveiliging van de servers zelf (websites, apps, access, protcollen en regels, whatever) is minstens zo belangrijk. Kijk naar dat geval van snowden... de middelen zijn er er maar worden niet ingezet voor een flutreden zoals te weinig bandbreedte. Typisch geval van iemand die, tegen de regels in, besluit dat 'vertrouwen' belangrijker is dan 'controle'.

Jij (en de rest) ook een goed weekend!