Sicher im Betrieb
Grundsätze statt Bauplan. Hier steht, dass und warum ich etwas tue, nicht womit und wie genau.
##Grundsätze
Geringste Rechte
Jeder Dienst bekommt nur, was er braucht. Die Netze sind getrennt, Verwaltung geht nur über ein VPN.
Zwei Faktoren
Die zentrale Anmeldung verlangt nach dem Passwort einen zweiten Faktor.
Zeitnahe Updates
Sicherheitsupdates laufen automatisch. Die Container werden regelmässig auf bekannte Schwachstellen geprüft.
Selbst angreifen
Vor dem Betrieb greife ich die eigenen Anwendungen gezielt an. Was dabei auffällt, wird zuerst behoben.
##Missbrauchserkennung
CrowdSec erkennt Missbrauch am Verhalten. Es liest die Protokolle der Dienste, erkennt Angriffsmuster wie wiederholte Anmeldeversuche und sperrt den Absender. Eine Gemeinschaft liefert zusätzlich bekannte Angreifer-Adressen, und auch eigene Funde gehen an sie zurück.
Wo der Standardschutz Lücken liess, habe ich die Protokolle selbst ausgewertet und eigene Erkennungsregeln für weitere Angriffsmuster geschrieben. Sie stehen der CrowdSec-Gemeinschaft frei zur Verfügung.
12:04:11Anmeldung fehlgeschlagen203.0.113.24
12:04:13Anmeldung fehlgeschlagen203.0.113.24
12:04:14Anmeldung erfolgreich198.51.100.7
12:04:16Anmeldung fehlgeschlagen203.0.113.24
12:04:16Muster erkannt: wiederholte Fehlversuche203.0.113.24
12:04:16gesperrt203.0.113.24
Beispiel mit Adressen aus dem Dokumentationsbereich, keine echten Daten.
##Backup und Wiederherstellung
Sicherungen liegen in drei Stufen. Die letzte ist verschlüsselt und ausser Haus. Ein Brand im Haus kostet damit keine Daten, nur Zeit.
Eine Sicherung ist erst etwas wert, wenn sie sich zurückspielen lässt. Deshalb wird das regelmässig geprüft. Gesichert wird automatisch, und auch die meisten dieser Proben laufen von selbst. Bei einem Fehler kommt sofort eine Meldung. Wie oft, steht unten.
##Überwachung
- Erreichbarkeit und Zertifikate werden laufend geprüft.
- Ungewöhnliches Verhalten auf den Servern löst eine Meldung aus.
- Störungen kommen als Push-Meldung aufs Telefon, nach Dringlichkeit gestuft.
- Tägliche Berichte melden auch, wenn nichts passiert ist. Ein stiller Wächter sieht sonst aus wie ein toter.
##So prüfe ich das
Grundsätze sind nur so gut wie ihre Kontrolle. Diese Prüfungen sind fest eingeplant, die meisten laufen automatisch. Was vor jedem Commit geprüft wird, steht unter Development.
täglichBerichte zu Sperren, Angriffen und Sperrlisten, auch an ruhigen Tagen
jede WocheSicherungen zentraler Dienste zurückspielen und prüfen
jede WocheContainer auf bekannte Schwachstellen prüfen
jedes Quartaleinen zufällig gewählten Server aus dem Backup wiederherstellen
jedes halbe Jahrden Mailserver auf einer leeren Maschine neu aufbauen
vor dem Betriebdie eigene Anwendung gezielt angreifen
Was dabei herauskommt, steht mit Datum im Logbuch.