Beveiligen webhosting omgeving

[Lawwie]

Beste Tweakers,

Ik ben momenteel voor een afstudeeropdracht bezig met het onderzoeken van mogelijkheden en het ontwerpen van een nieuwe omgeving.

Momenteel zijn de webservers gebouwd op centOS 7, DirectAdmin als web control panel en CSF als firewall.

In mijn beeldvorming (als student Infrastructuur Design) is het omslachtig om per server firewalling in te regelen en ben er dus over na aan het denken om een centrale firewall in te zetten hiervoor (pfSense, OPNsense), echter kan ik vrij weinig op internet vinden over het beveiligen van een webhosting omgeving d.m.v. een centrale firewall.

Wat is common practice voor het beveiligen van een aantal webservers? Zijn er mensen met ervaring die mij hier een licht op kunnen schijnen?

[DennusB]

Simpel : Alleen het broodnodige verkeer (poort 80 en 443 bijv) doorlaten vanaf je Firewall/LB naar je webservers en alle andere dingen (SSH, MySQL, etc) alleen via VPN/achterkant benaderbaar maken. Hoe minder poorten open hoe minder "gevaarlijk".

[Lawwie]

DennusB schreef op donderdag 13 juli 2017 @ 11:10:
Simpel : Alleen het broodnodige verkeer (poort 80 en 443 bijv) doorlaten vanaf je Firewall/LB naar je webservers en alle andere dingen (SSH, MySQL, etc) alleen via VPC/achterkant benaderbaar maken. Hoe minder poorten open hoe minder "gevaarlijk".

Dat begrijp ik, maar wat zijn de voor- en/of nadelen van het gebruik van een centrale firewall t.o.v. firewalling per server (bijv: firewalld, ufw, iptables, csf).

[DennusB]

Lawwie schreef op donderdag 13 juli 2017 @ 11:11:
[...]


Dat begrijp ik, maar wat zijn de voor- en/of nadelen van het gebruik van een centrale firewall t.o.v. firewalling per server (bijv: firewalld, ufw, iptables, csf).

Je zegt t zelf al : Centraal management. Je wilt je rules niet op elke server gaan doen, dat is fout gevoelig en haalt een heel stuk consistentie weg.

[Lawwie]

DennusB schreef op donderdag 13 juli 2017 @ 11:12:
[...]


Je zegt t zelf al : Centraal management. Je wilt je rules niet op elke server gaan doen, dat is fout gevoelig en haalt een heel stuk consistentie weg.

Klopt, maar een firewall dien je vervolgens wel redundant of als fail over in te regelen. Anders zit je weer te kijken met een SPOF.

[DennusB]

Lawwie schreef op donderdag 13 juli 2017 @ 11:13:
[...]


Klopt, maar een firewall dien je vervolgens wel redundant of als fail over in te regelen. Anders zit je weer te kijken met een SPOF.

Hangt geheel van je eisen af. Maar als jij losse webservers hebt is elke webserver ook een SPOF, tenzij die ook allemaal in clustered/HA setup draaien...
Firewalling is gelukkig prima (makkelijk) in HA te draaien tegenwoordig

[BliXem]

Je kunt de beveiliging altijd verbeteren met CloudLinux. Heb je dat al eens gezien? Zeker in een webhosting omgeving een must.

[Lawwie]

BliXem schreef op donderdag 13 juli 2017 @ 11:17:
Je kunt de beveiliging altijd verbeteren met CloudLinux. Heb je dat al eens gezien? Zeker in een webhosting omgeving een must.

Dat klopt, alleen is dat in mijn ogen een ander vraagstuk. Cloudlinux is geen firewalling, het is inderdaad wel een extra beveiligingsstap die ik (hoogstwaarschijnlijk) ook ga adviseren.

Daarbij is de topictitel in die zin misschien ook verkeerd, aangezien mijn OP over firewalling gaat en de topictitel beveiliging zegt.

[ Voor 14% gewijzigd door Lawwie op 13-07-2017 11:21 ]

[DennusB]

BliXem schreef op donderdag 13 juli 2017 @ 11:17:
Je kunt de beveiliging altijd verbeteren met CloudLinux. Heb je dat al eens gezien? Zeker in een webhosting omgeving een must.

Kan je eens onderbouwen waarom dat volgens jou een must is dan?

[Lawwie]

DennusB schreef op donderdag 13 juli 2017 @ 11:25:
[...]


Dat hoeft niet perse met CloudLinux hoor, dat zijn gewoon default maatregelen die je toe kan passen op vrijwel elke distro (alleen kost t dan iets meer moeite)

Klopt, alleen willen we niet allemaal gemak?

In mijn casus spreek ik over een webhosting bedrijf welke gerunt wordt door een enkele beheerder, het beheer dient hier vereenvoudigd te worden. Daarbij dus mijn gedachte aan een centrale firewall en andere zaken.

[ Voor 55% gewijzigd door Lawwie op 13-07-2017 11:28 ]

[DennusB]

Lawwie schreef op donderdag 13 juli 2017 @ 11:24:
[...]


De reden waarom ik Cloudlinux (hoogstwaarschijnlijk (er zijn nog andere)) ga adviseren is dat je je users in een shared webhosting omgeving toch kunt scheiden van elkaar. Ook is een harde resource limit in dit bedrijf een wens, gezien in het verleden de performance van gebruiker A te lijden had onder het gebruik van gebruiker B.

Dat hoeft niet perse met CloudLinux hoor, dat zijn gewoon default maatregelen die je toe kan passen op vrijwel elke distro (alleen kost t dan iets meer moeite)

[MAX3400]

Dan moet je op zoek naar "user based rules"; een goed voorbeeld daarvan kan je vinden bij Palo Alto maar waarschijnlijk ook bij een aantal andere vendors:

- je stelt eerst "profielen" in per groep; welke poorten, protocollen en routes mogen ze
- daarna kan je per profiel nog QoS, inspection etc. etc. instellen
- je koppelt users aan groepen (local users of LDAP ofzo)
- klaar

[MasterL]

Tja voor een afstudeeropdracht lijkt me dit nogal "matig" om eerlijk te zijn, wat DennusB eigenlijk ook zegt
2x router/firewall + load balancer in HA (dit kan met zoiets basics als PfSense zelfs al) en je bent klaar wat betreft central management van je firewall rules.
Als je een stapje verder wilt gaan kijk dan verder als "het sluiten van poorten", kijk bijvoorbeeld eens wat een dienst als Cloudflare aanbied. Lees je eens in in WAF, SNORT, Layer-7 inspection dat soort dingen.

[Question Mark]

DennusB schreef op donderdag 13 juli 2017 @ 11:12:
[...]


Je zegt t zelf al : Centraal management. Je wilt je rules niet op elke server gaan doen, dat is fout gevoelig en haalt een heel stuk consistentie weg.

Maar wel als nadeel dat één gehackte firewall toegang tot alle achterliggende systemen geeft. Daarom zie je ook nog wel eens double, of tripple hop DMZ's, die door middels van verschillende technieken van elkaar gescheiden zijn.

@TS: wat zijn je requirements? Waar moet de omgeving aan voldoen? Aangezien het om webhosting lijkt te gaan, zijn er standaarden waaraan voldaan moet worden ivm certificering?

Sowieso moet je beginnen met het boven water krijgen van de requirements. Zowel fucntioneel, als niet functioneel

[Lawwie]

MasterL schreef op donderdag 13 juli 2017 @ 11:27:
Tja voor een afstudeeropdracht lijkt me dit nogal "matig" om eerlijk te zijn, wat DennusB eigenlijk ook zegt
2x router/firewall + load balancer in HA (dit kan met zoiets basics als PfSense zelfs al) en je bent klaar wat betreft central management van je firewall rules.
Als je een stapje verder wilt gaan kijk dan verder als "het sluiten van poorten", kijk bijvoorbeeld eens wat een dienst als Cloudflare aanbied. Lees je eens in in WAF, SNORT, Layer-7 inspection dat soort dingen.

Ik heb ook even alleen het firewalling gedeelte op tweakers gegooid, de echte afstudeeropdracht behelst meer dan alleen beveiliging.

[DennusB]

Question Mark schreef op donderdag 13 juli 2017 @ 11:29:
[...]

Maar wel als nadeel dat één gehackte firewall toegang tot alle achterliggende systemen geeft. Daarom zie je ook nog wel eens double, of tripple hop DMZ's, die door middels van verschillende technieken van elkaar gescheiden zijn.

Sowieso moet je alles in losse netwerk lagen zetten natuurlijk, je firewalls hebben een pootje aan t internet, al je achterliggende infra niet.

Als je uit zou gaan van alle webservers in tzelfde netwerk segment en iemand "hackt" een firewall op 1 webserver, dan hopt ie zo door naar de andere webservers. Dan kan je t beter in losse segmenten gooien (trusted en semi-trusted bijv)

[BliXem]

DennusB schreef op donderdag 13 juli 2017 @ 11:21:
[...]


Kan je eens onderbouwen waarom dat volgens jou een must is dan?

https://www.cloudlinux.co...uct-overview/cloudlinuxos

Omdat het de beveiliging behoorlijk opschroeft, zo heb je bijvoorbeeld geen overload meer als er een WP site gehackt is oid. Vroeger kon de gehele server plat gaan. Zo heb je ook CageFS, hardenendPHP, etc etc. Een must dus

[DennusB]

BliXem schreef op donderdag 13 juli 2017 @ 11:33:
[...]


https://www.cloudlinux.co...uct-overview/cloudlinuxos

Omdat het de beveiliging behoorlijk opschroeft, zo heb je bijvoorbeeld geen overload meer als er een WP site gehackt is oid. Vroeger kon de gehele server plat gaan. Zo heb je ook CageFS, hardenendPHP, etc etc. Een must dus

Dat zijn standaard features van php-fpm en Linux. Ja, CloudLinux giet t standaard in een "lekker-makkelijk-blackbox" concept voor je, maar als je t echt goed wilt doen en wilt begrijpen WAT het doet doe je het zelf en trek je je hardening met bijvoorbeeld Puppet of Ansible in 1 klap over al je server = consistentie

[Lawwie]

Question Mark schreef op donderdag 13 juli 2017 @ 11:29:
[...]
@TS: wat zijn je requirements? Waar moet de omgeving aan voldoen? Aangezien het om webhosting lijkt te gaan, zijn er standaarden waaraan voldaan moet worden ivm certificering?

Ik schets voor het gemak even de casus:

Bedrijf is gespecialiseerd in klimaatbeheersing en doet veel installatie en montagewerk in de agrarische sector, daarnaast verlenen ze ook direct de IT aan "boer jan". Veel van de websites zijn simpele statische pagina's en vereisen niet veel.

Ze zijn nu in het bezit van +- 8 fysieke servers en willen naar een hosted IaaS oplossing. De omgeving is in het verleden (naar mijn mening) houtje touwtje opgezet en er dient dus een volledig redesign te komen. Aspecten waar naar gekeken moet worden zijn beveiliging en beschikbaarheid.

Requirements die gegeven zijn staan al op papier, maar het komt er eigenlijk op neer:

- Opensource heeft de voorkeur (kosten)
- Beheer vereenvoudigen
- Beschikbaarheid verhogen (veel downtime laatste jaar)
- Beveiliging verbeteren

Daarbij is het een enkele beheerder die niet al te veel wil bijleren en of doen. Conclusie: het gaat niet om een omgeving met 100en servers waarbij alles uit de kast wordt getrokken, het gaat meer om stabiliteit en kostenbesparing.

[ Voor 9% gewijzigd door Lawwie op 13-07-2017 11:41 ]

[DennusB]

Lawwie schreef op donderdag 13 juli 2017 @ 11:39:
[...]


Ik schets voor het gemak even de casus:

Bedrijf is gespecialiseerd in klimaatbeheersing en doet veel installatie en montagewerk in de agrarische sector, daarnaast verlenen ze ook direct de IT aan "boer jan". Veel van de websites zijn simpele statische pagina's en vereisen niet veel.

Ze zijn nu in het bezit van +- 8 fysieke servers en willen naar een hosted IaaS oplossing. De omgeving is in het verleden (naar mijn mening) houtje touwtje opgezet en er dient dus een volledig redesign te komen. Aspecten waar naar gekeken moet worden zijn beveiliging en beschikbaarheid.

Requirements die gegeven zijn staan al op papier, maar het komt er eigenlijk op neer:

- Opensource heeft de voorkeur (kosten)
- Beheer vereenvoudigen
- Beschikbaarheid verhogen (veel downtime laatste jaar)
- Beveiliging verbeteren

Oke. Dan ben ik stiekem ook wel benieuwd hoe je je webservers dan in gedachte had? Ga je die echt allemaal SPOF's maken? Of ga je shared storage met sessie sharing introduceren?

Misschien ook leuk om nog even te bekijken : Amazon Beanstalk. Doet volgens mij precies wat je zoekt, met als grote voordeel dat het managed is :-)

[Lawwie]

DennusB schreef op donderdag 13 juli 2017 @ 11:41:
[...]


Oke. Dan ben ik stiekem ook wel benieuwd hoe je je webservers dan in gedachte had? Ga je die echt allemaal SPOF's maken? Of ga je shared storage met sessie sharing introduceren?

Misschien ook leuk om nog even te bekijken : Amazon Beanstalk. Doet volgens mij precies wat je zoekt, met als grote voordeel dat het managed is :-)

De beheerder hier wil blijven bij DirectAdmin, vanwege eerder aangeschafte lifetime licenties, kennis, budget. Daarbij zou ik me ook niet blind moeten staren op oplossingen die bijvoorbeeld TransIP biedt, maar ik denk dat het verhuizen naar een hosted IaaS omgeving al heel wat voordelen oplevert t.o.v. de situatie nu waarbij geen fail over ingeregeld is en met regelmaat gebukt gaat onder downtime.

[ Voor 4% gewijzigd door Lawwie op 13-07-2017 11:51 ]

[DennusB]

Lawwie schreef op donderdag 13 juli 2017 @ 11:51:
[...]


De beheerder hier wil blijven bij DirectAdmin, vanwege eerder aangeschafte lifetime licenties, kennis, budget. Daarbij zou ik me ook niet blind moeten staren op oplossingen die bijvoorbeeld TransIP biedt, maar ik denk dat het verhuizen naar een hosted IaaS omgeving al heel wat voordelen oplevert t.o.v. de situatie nu waarbij geen fail over ingeregeld is en met regelmaat gebukt gaat onder downtime.

Je hebt het telkens over een fail over, maar nogmaals : Hoe werkt die volgens jou dan met losse webservers en zonder shared storage? Stel website www.abc.nl staat op webserver 1, en die fikt af, wat dan? Dan is die site toch gewoon plat net zolang tot jij m met t handje verhuist?

[Lawwie]

DennusB schreef op donderdag 13 juli 2017 @ 12:08:
[...]
Je hebt het telkens over een fail over, maar nogmaals : Hoe werkt die volgens jou dan met losse webservers en zonder shared storage? Stel website www.abc.nl staat op webserver 1, en die fikt af, wat dan? Dan is die site toch gewoon plat net zolang tot jij m met t handje verhuist?

Als je een VPS huurt bij provider X dan is achterliggende infrastructuur meer toereikend dan de huidige situatie op eigen fysieke servers. Een eigen infrastructuur met shared storage etc kost simpelweg teveel geld voor het "beetje" wat ze hebben.

[DennusB]

Lawwie schreef op donderdag 13 juli 2017 @ 12:13:
[...]


Als je een VPS huurt bij provider X dan is achterliggende infrastructuur meer toereikend dan de huidige situatie op eigen fysieke servers. Een eigen infrastructuur met shared storage etc kost simpelweg teveel geld voor het "beetje" wat ze hebben.

Shared storage kan ook prima op gehuurd spul natuurlijk. Daarnaast maakt de achterliggende infra in dit verhaal niets uit, want ik had het over het affikken van een server, maar hij kan ook gehackt worden, gepakt worden met ransomware of door een "oepsie" een rm -rf /* te verwerken krijgen..

[Question Mark]

Lawwie schreef op donderdag 13 juli 2017 @ 11:39:
[...]
Ze zijn nu in het bezit van +- 8 fysieke servers en willen naar een hosted IaaS oplossing.

Waarom geen SAAS? Dan hoeven ze nog maar de content van de pagina's te beheren... Infra, security, en zaken als backup is dan allemaal al geregeld en geborgd middels SLA's.

[ Voor 13% gewijzigd door Question Mark op 13-07-2017 12:58 ]

[Lawwie]

Question Mark schreef op donderdag 13 juli 2017 @ 12:56:
[...]

Waarom geen SAAS? Dan hoeven ze nog maar de content van de pagina's te beheren... Infra, security, en zaken als backup is dan allemaal al geregeld en geborgd middels SLA's.

Omdat ze wel nog het beheer in eigen handen willen houden, daarnaast verlenen ze meer diensten dan alleen webhosting.

[Question Mark]

Persoonlijk zou ik er even een businesscase van maken. Dat lijkt mij ook meteen een extra plus voor je afstudeeropdracht.

Je weet wat je straks nodig bent qua kosten om "jouw" oplossing te implementeren plus de kosten voor het operationeel houden, en dat is dan redelijk eenvoudig te vergelijken met een SAAS dienst.

Voor een bedrijf waarvan ICT geen core-business is, vind ik het overigens een vreemde keuze om zaken toch zelf te willen blijven doen. Let alleen al even op dit:

Lawwie schreef op donderdag 13 juli 2017 @ 11:39:
[...]Daarbij is het een enkele beheerder die niet al te veel wil bijleren en of doen.

Ben benieuwd wat er gebeurd tijdens een grote storing als die ene beheerder zes weken met vakantie is. Dit soort risico's moeten in mijn ogen dan ook gewoon aangestipt worden.

[Lawwie]

Question Mark schreef op donderdag 13 juli 2017 @ 13:12:
Persoonlijk zou ik er even een businesscase van maken. Dat lijkt mij ook meteen een extra plus voor je afstudeeropdracht.

Je weet wat je straks nodig bent qua kosten om "jouw" oplossing te implementeren plus de kosten voor het operationeel houden, en dat is dan redelijk eenvoudig te vergelijken met een SAAS dienst.

Voor een bedrijf waarvan ICT geen core-business is, vind ik het overigens een vreemde keuze om zaken toch zelf te willen blijven doen. Let alleen al even op dit:


[...]
Ben benieuwd wat er gebeurd tijdens een grote storing als die ene beheerder zes weken met vakantie is. Dit soort risico's moeten in mijn ogen dan ook gewoon aangestipt worden.

Plan van aanpak etc ligt er al, al bijna 10 weken bezig met mijn afstudeeropdracht.

Bedrijfje is een 2 mans zaak (2 broers) waarbij de een monteur is en de ander IT beheerder. IT in eigen beheer omdat ie anders zelf geen werk meer heeft

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Daarbij moet je toch ook denken aan diensten zoals e-mail, VPN, backup dienst, repository eigen product, ontwikkelomgeving eigen product, licensering eigen product, PBX voor voip etc.

Denk dat mijn advies ook deels gaat worden om een aantal diensten uit hand te geven (zoals eigen nameservers, registrar SIDN, PBX).

Lawwie schreef op donderdag 13 juli 2017 @ 11:39:
[...]Daarbij is het een enkele beheerder die niet al te veel wil bijleren en of doen.

Dit komt ook meer uit eigen observatie dan harde feiten.

[ Voor 13% gewijzigd door Lawwie op 13-07-2017 13:28 ]

[Brahiewahiewa]

Lawwie schreef op donderdag 13 juli 2017 @ 13:18:

... repository eigen product, ontwikkelomgeving eigen product...

Ze hebben/gaan dus een eigen product ontwikkelen, terwijl ze niet gehinderd worden door ook maar enig inzicht in security (want daarvoor hebben ze jou ingeschakeld).
Ik ben er niet zeker van of ik wel wil bijdragen aan het ont- c.q. bestaan van dit soort bedrijfjes

Verder lijk je te vragen of je een centrale firewall moet hebben of een per server firewall.
Hoezo "of"? En!

[Lawwie]

Brahiewahiewa schreef op donderdag 13 juli 2017 @ 17:47:
[...]

Ze hebben/gaan dus een eigen product ontwikkelen, terwijl ze niet gehinderd worden door ook maar enig inzicht in security (want daarvoor hebben ze jou ingeschakeld).
Ik ben er niet zeker van of ik wel wil bijdragen aan het ont- c.q. bestaan van dit soort bedrijfjes

Verder lijk je te vragen of je een centrale firewall moet hebben of een per server firewall.
Hoezo "of"? En!

Voor mij een mooie afstudeeropdracht toch?

Maar verder kan de webhosting omgeving ook los staan van de ontwikkelingomgeving etc, het redesign ligt in mijn handen.

Maar mijn vraag ligt niet zo zeer op het hebben van een firewall, maar wat de best practices zijn t.b.v. het beveiligen van een webhosting omgeving.

[Question Mark]

Lawwie schreef op donderdag 13 juli 2017 @ 18:47:
[...]
Maar mijn vraag ligt niet zo zeer op het hebben van een firewall, maar wat de best practices zijn t.b.v. het beveiligen van een webhosting omgeving.

Het hangt allemaal af van je requirements... En veel meer dan "beveiliging verbeteren" heb je nog niet genoemd.

Begin gewoon eens bij het begin, en stel allereerst eens vast wat onder "beveiliging" verstaan wordt:

• Is dit toegang tot de webservices
• Fysieke toegang tot de systemen
• Wachtwoordbeleid voor gebruikers- en beheerdersaccount
• Encryptie van opgeslagen data
• Encrypie van backupdata
• Encrypten van netwerkverkeer
• Patching en updating
• Auditing en monitoring/inzetten van IDS?
• Certificaat en PKI instellingen
• Etc.

Welke van bovenstaande punten valt nu onder je scope, en welke nog meer (die niet in het lijstje staan). Werk dan eens uit wat de requirements en/of wensen zijn op dit gebied.

[Verwijderd]

Waarom fiets je het geheel niet naar Azure?

[Lawwie]

Verwijderd schreef op vrijdag 14 juli 2017 @ 09:43:
Waarom fiets je het geheel niet naar Azure?

Het geheel gaat naar een nader te bepalen hosted IaaS omgeving, dat kan ook azure zijn, kan ook een andere provider zijn. Eigen fysieke servers worden volledig van de hand gedaan.