U serveru organizace nešlo spolehlivě ověřit integritu, takže se s ním zacházelo, jako by kompromitovaný byl: nic se z něj nekopírovalo naslepo a systém se nečistil – postavila se nová, důvěryhodná infrastruktura a služby se na ni přenesly kontrolovaně. Takhle to probíhalo.
možná zastaralé Od zveřejnění uplynuly víc než dva roky. Obsah nemusí platit.
Starý server
Jeden stroj, na kterém se roky nabalovaly služby:
- zastaralý operační systém;
- databáze MySQL;
- webové aplikace v PHP – část hotových, část customizovaných na míru;
- kompletní e-mail.
Integritu nešlo ověřit, takže se bral jako nedůvěryhodný. Cílem bylo dostat provoz na čistý základ s minimálními výpadky – stál na něm chod celé organizace.
Nová infrastruktura jako KVM host
- Jeden nový server jako KVM hostitel s aktuální linuxovou distribucí, na kterém služby běží jako oddělené virtuální stroje.
- Rozdělení podle účelu: samostatné virtuální stroje pro databázi, mailserver a webserver pro menší projekty; větší projekty zvlášť. Kompromitace jedné služby se tak neroznese na ostatní.
- Přenos jen dat, ne systému: obsah a konfigurace se přenášely vědomě a ověřeně, ne bitovou kopií podezřelého stroje.
Co dělalo potíže
- Zaseklé verze: staré PHP a MySQL a aplikace nad nimi nešlo přenést beze změn. Novější knihovny měnily chování a customizované aplikace se musely doladit kus po kuse, ne jen zkopírovat.
- Customizované provozní skripty: provoz starého serveru držela pohromadě sada skriptů nabalených léty. Musely se rozplést a nahradit čistším, udržovatelným řešením.
Zabezpečení
- Firewall – otevřené jen to, co je potřeba.
- Vzdálený přístup – oddělené účty, klíče místo hesel, minimální oprávnění.
- Odstínění jednotlivých virtuálních strojů a oddělení jejich sítí.
- Proxy před webovými službami.
- Zálohy ověřené obnovením a základní monitoring dostupnosti a vytížení.
- Později kontejnery místo virtuálních strojů pro menší projekty – lehčí a rychleji nasaditelné.
Výsledek
Provoz se přesunul na infrastrukturu s ověřitelnou integritou, izolací služeb a standardním zabezpečením. Podezřelý server se z běhu odstavil, ne vyčistil – u předpokládané kompromitace je čistý základ jediná spolehlivá cesta.