Security: wat kunt u verwachten?

11 maart (2015)

Vandaag de dag ontkom je niet meer aan de term “security”. Voortdurend worden websites gehacked, overspoeld met malafide requests, wachtwoorden achterhaald (brute force, SQL injectie), of beklad met duistere content (defaced). Wij krijgen regelmatig vragen omtrent onze beveiliging van data, procedures en technische maatregelen. Door een onderscheid tussen verschillende maatregelen te maken, schaffen wij een heldere inzage in onze werkwijze.

Naast de zaken die u van elke hostingprovider mag verwachten, zoals hoge uptime, solide datacenter en kwalitatieve support, hanteren wij strikte richtlijnen op het gebied van beveiliging. Daarnaast zijn wij als geen ander goed op de hoogte op het gebied van kwetsbaarheden en zorgen we dat uw systemen zo snel mogelijk worden gepatched.

Netwerk security

Voor de beveiliging van onze netwerken hebben wij een eigen firewall ontwikkeld. Hoewel het om veiligheidsredenen niet mogelijk is om de gehele werkwijze van onze firewall uit te stippelen, maken wij in elk geval gebruik van de volgende technieken:

Iptables
Valid package checks
SYN packet checks (SYNRSTSCAN & SYSFINANSCAN)
FINSCAN check
Fragments packets check
Malformed XMAS packets check
NULLSCAN packets check
ALLSCAN packets check

In onze firewall configuratie staan standaard alle poorten gesloten voor de buitenwereld. Per dienst type worden alleen de strikt noodzakelijke poorten opengezet. Bij webservers staan alleen poorten 80 en 443 open waarbij wij op zeer regelmatige basis security checks (Max connections per IP, slowloris) uitvoeren. Tevens ondersteunen wij met opzet geen FTP voor onze VPS klanten. Wij werken alleen met SFTP en SSH.

Daarnaast is onze firewall uitgerust met onze eigen ontwikkelde ‘’hack intrusion detection grid’’ (HIDG). Deze tool filtreert al het verkeer aan de hand van een zelf ontwikkelde blacklist module waarbij gekeken wordt naar het IP (afkomst, type Agent en request).

Segmentering

Ons netwerk is opgedeeld in verschillende werkgroepen. Zo zijn onze management tools niet extern benaderbaar. Onze mederwerkers verkrijgen extern alleen toegang middels Virtual Private Networks (VPN).

Elke VPS klant krijgt een eigen uniek IP toegewezen inclusief een eigen serverconfiguratie. Elke website gehost door Netaffairs op dit platform draait met afzonderlijke proces- en eigendomsrechten. Hierdoor is de veiligheid van de applicaties en bijbehorende data van onze klanten gewaarborgd. Mocht er, hoeveel vrijwel ondenkbaar, een inbraak op serverniveau plaatsvinden, dan zal de schade zich beperken tot de specifieke omgeving van de klant. Er is geen mogelijkheid tot verdere verspreiding en daarmee zal de inbraak geen veiligheidsrisico vormen voor andere klanten op het VPS platform.

Actieve monitoring

Het effectief monitoren van netwerkverkeer op afwijkingen en snel alarmeren is de basis van elke solide beveiligingsoplossing. De gehele omgeving van Netaffairs is opgenomen in meerdere monitor omgevingen. Hierin zijn elementen zoals CPU, geheugen, opslag, toegang en netwerk traffic verwerkt en worden continu in de gaten gehouden.
Netaffairs scant en controleert actief naar verdachte processen. Deze processen worden in veel gevallen direct uitgeschakeld door onze actieve monitoringsscripts. Indien wij een hack constateren bij één van onze klanten, schakelen wij in veel gevallen de website uit om verdere schade te beperken.

Bij calamiteiten worden de standby beheerders van Netaffairs direct gealameerd via verschillende kanalen (Push, E-mail, sms, voice).

Encryptie

Het versleutelen van gevoelige data is één van de beste methoden om hackers buiten de deur te houden. Dit bereiken wij onder andere door gebruik te maken van VPN tunnels, database-encryptie, SSL certificaten, geëncrypteerde root wachtwoorden en encryptie voor interne systemen (blowfish).

Hoewel onze eigen online applicaties (website, control panel, webmail) beveiligd zijn met SSL certificaten, raden wij ook aan om uw eigen website op deze manier te versleutelen.

Datacenter en Data toegang

Onze datacenters EvoSwitch en Telecity zijn, onder andere, ISO27001 gecertificeerd. Alle medewerkers van Netaffairs hebben een verklaring omtrent gedrag (VOG) van het Nederlandse ministerie van Justitie ontvangen.