Insights, technology, people and more

Altijd up-to-date met onze laatste artikelen.

@
Security by design in de praktijk

Security by design in de praktijk

20 July 2018 door in Hosting Security

Alle deuren wel helemaal beveiligd met drie dikke sloten erop, maar vergeten dat de ramen gewoon opengeschoven kunnen worden? Een hele dikke kluis voor waardevolle bezittingen, maar geen goede inventaris van alle sleutels? Het zijn goedbedoelde beveiligingsmaatregelen, maar situaties waar helaas niet goed genoeg over het totaalplaatje is nagedacht.

In de IT heet dat totaalplaatje security by design. Wat betekent dat nu in de praktijk? Het is al jaren een begrip dat iedere provider en ontwikkelaar zou moeten gebruiken bij het ontwerpen van applicaties en platformen. Het zijn eveneens woorden die passen bij en gebruikt worden door partijen met een ISO 27001 certificering of een andere vorm van securitybewustzijn in de dagelijkse bedrijfsvoering. Het klinkt daarnaast volstrekt logisch en voor de hand liggend. Maar hoe doe je dat precies?

Wat houdt security by design in?

Security by design houdt in dat bij het ontwerp van de grond af aan is nagedacht over veiligheid. Pogingen tot misbruik worden als vanzelfsprekend beschouwd en er wordt voor gezorgd dat de gevolgen minimaal zijn als er kwetsbaarheden in de beveiliging worden ontdekt of er op malafide wijze van de dienst gebruik wordt geprobeerd te maken. Databeveiliging wordt traditioneel gedefinieerd door drie pilaren die de veiligheid bepalen: vertrouwelijkheid, integriteit en beschikbaarheid. Alle maatregelen die komen kijken bij security by design zijn terug te vertalen naar deze drie concepten. Security by design betekent dat er niet verschillende losse maatregelen worden genomen, maar een geheel aan design principes die samen de veiligheid verhogen.

Deze security design principes zijn onder meer door het Open Web Application Security Project (OWASP) op een rij gezet en dienen ter inspiratie bij het ontwerpen en inrichten van platformen, systemen en applicaties. Wij hanteren dezelfde concepten en vullen dit aan met eigen aandachtspunten en richtlijnen. Hieronder volgt een bloemlezing van door ons veel genomen maatregelen. Ieder platform en applicatie is echter uniek en vraagt om een aanpak op maat.

Verkleinen van de attack surface

Een van de design principes die vaak als eerste wordt genoemd en vooral dient ter preventie van security incidenten is het verkleinen van de attack surface van het platform en de applicatie. Hoe minder contactoppervlak er met het internet is, hoe minder er aangevallen kan worden en hoe kleiner de kans op misbruik. Cyso brengt dit ook in de praktijk door het nemen van verschillende maatregelen. Denk hierbij aan diensten en (beheer)interfaces die geen publieke toegang vereisen achter een (SSL) VPN te zetten of in een niet-publiek VLAN te plaatsen.

Firewalls dienen ook voor het verkleinen van de attack surface en zetten we zowel globaal als lokaal in om alleen noodzakelijke communicatiekanalen open te zetten. Een andere keuze die vaak gemaakt wordt is om een load balancer als reverse proxy in te zetten en daarmee een extra scheiding te creëren tussen de applicatie en het publieke internet.

Access management

Een streng toegangsbeleid behoort eveneens tot de preventieve maatregelen die wij nemen. Hoe minder personen toegang hebben tot applicaties en systemen, hoe kleiner de kans dat via één van die gebruikers beveiligingsincidenten ontstaan; ofwel door menselijke fouten ofwel door misbruik door derden. Voor de eerdergenoemde VPN-verbindingen gebruiken we strenge access lists om alleen de noodzakelijke gebruikers en personen toegang te verlenen; het liefst met two-factor authentication. Niet iedereen mag uiteraard wijzigingen in die lijst gebruikers en hun rechten aanvragen; daar gelden nóg strengere criteria voor.

Wachtwoorden zetten wij nooit direct in een e-mailtje. Wij hebben intern een tool ontwikkeld om logingegevens eenmalig veilig te kunnen verstrekken aan onze klanten. Zelfs als een e-mailtje op een verkeerde plek terecht zou komen, is de informatie die erin staat ongevaarlijk.

Als een gebruiker eenmaal toegang heeft gekregen, werken we ook met een zo klein mogelijke lijst met rechten. Dit betreft het concept van ‘least privilege’; de basisrechten zijn nul en op verzoek worden specifieke rechten verleend. Zowel voor de protocollen en applicaties die gebruikt worden voor de toegang als de specifieke functionaliteit die beschikbaar wordt gemaakt, is dit van toepassing. Indien mogelijk, worden gebruikers ook per applicatie of dienst aangemaakt; mocht iemand zich toch ongeautoriseerd toegang tot het account verschaffen, kan deze alleen kwaad doen op die ene plaats.

Alleen veilige software

Goede afscherming is natuurlijk een belangrijke vereiste voor de beveiliging, maar als de software zelf onveilig is, heeft dat allemaal bar weinig zin. Beveiligingslekken in de software zelf kunnen ervoor zorgen dat alle andere maatregelen direct omzeild kunnen worden. Wij letten daarom extra streng op welke software er gebruikt wordt.

  • Wij werken alleen met operating systems en packages met langdurige ondersteuning en waarvoor actief bugfixes en beveiligingsupdates beschikbaar worden gemaakt;
  • Door ons gebruikte server images worden uitvoerig getest en van een zo veilig mogelijke basisinstallatie en -configuratie voorzien;
  • Software en services die niet noodzakelijk zijn voor de rol en het functioneren van servers worden verwijderd of uitgezet;
  • Voor software die niet via het operating of distributie wordt geleverd, zijn we extra kritisch op robuustheid, veiligheid en ondersteuning van de leverancier. Als een klant specifieke wensen of eisen heeft op dit gebied, bespreken we dit met elkaar.

Geen security by obscurity

Hier kunnen we kort over zijn. Ga ervan uit dat aanvallers volledige kennis hebben. Het verstoppen van zwakke plekken in de beveiliging is geen goede oplossing omdat ze op een gegeven moment toch wel gevonden worden. Dicht het gat gewoon en los het probleem echt op.

Fail securely

Hoe goed je de preventieve maatregelen ook zijn, je zal er evengoed rekening mee moeten houden dat er iemand een gaatje vindt. Soms zal direct duidelijk zijn wanneer dat het geval is geweest, maar soms wordt dit pas later (of helemaal niet duidelijk). Maar je wilt het wel weten. We zorgen daarom voor goede, veilige en liefst centrale logging zodat verdachte activiteiten gedetecteerd kunnen worden en erop kan worden ingegrepen.

Security monitoring

Het monitoren van systemen en services is niet alleen een manier om de beschikbaarheid en performance te controleren, maar kan ook breder ingezet worden. Zo controleren wij onder meer de status van SSL-certificaten en doen wij inhoudelijke checks op de inhoud van een website om zo bijvoorbeeld eventuele defacements of andere hacks automatisch te kunnen detecteren. Bij het ontwerp en implementatie van een platform bespreken onze architecten de mogelijkheden om specifieke security monitoring voor uw dienstverlening in te richten.

Welke set beveiligingsmaatregelen past bij u?

Zoals gezegd: dit is slechts een selectie uit de manieren waarop wij kijken naar security by design. Zeker naarmate platformen en applicaties groter worden, wordt de set maatregelen uitgebreid. Bij iedere case die wij onder ogen kijken, zoeken wij de juiste oplossing. Wilt u weten hoe wij naar de veiligheid van uw applicatie en platform zouden kijken, neem dan gerust contact met ons op zodat één van onze solutions architecten onze ideeën voor u uiteen kan zetten.

Ook op onze website vindt u nog meer informatie over informatiebeveiliging bij Cyso, zoals:


Altijd up-to-date met onze laatste artikelen.

@

Kwaliteit. Betrouwbaar. Betrokken.
  • 24/7 service support
  • Nederlandse datacenters
  • ISO 27001 gecertificeerd
vmware enterprise service provider