Fintech με απαιτήσεις audit
Μια πλατφόρμα πληρωμών χρειάζεται να αποδείξει σε auditors ότι καμία βάση δεδομένων δεν είναι προσβάσιμη δημόσια· ο περιοδικός έλεγχος θυρών με τεκμηριωμένο αποτέλεσμα γίνεται μέρος του φακέλου συμμόρφωσης.
Firewall και απομόνωση δικτύου servers
Υπηρεσίες DevOps · Ασφάλεια δικτύου · Ελλάδα
Μόνο 80/443 δημόσια, όλα τα υπόλοιπα κλειστά ή σε VPN
Firewall και απομόνωση δικτύου στην Ελλάδα, χτισμένα στη λογική default-deny: μόνο οι θύρες 80 και 443 μένουν δημόσιες, κάθε άλλη θύρα κλείνει ή περιορίζεται σε ιδιωτικό δίκτυο ή VPN. Τμηματοποιούμε το δίκτυο σε επίπεδα edge, εφαρμογής και δεδομένων, προσθέτουμε Fail2ban ή CrowdSec για αυτόματο μπλοκάρισμα, και ελέγχουμε περιοδικά τις εκτεθειμένες θύρες από έξω, όχι μόνο από μέσα.
- Καμία βάση δεδομένων σε public IP
- Τακτικός έλεγχος θυρών από εξωτερική σκοπιά
- VPS 1–8 ώρες/μήνα· dedicated 5–10 ώρες/μήνα ανάλογα με το πλάνο· GPU 10 ώρες/μήναΏρες που περιλαμβάνονται
- προστασία DDoS L3/L4 inclusiveΔίκτυο
- Φρανκφούρτη, στην ΕΕDatacenters
- σε EUR, με ΦΠΑ 24% διαχωρισμένο στο τιμολόγιοΧρέωση
Default-deny ως αφετηρία, όχι εξαίρεση
Η λογική μας ξεκινά από το αντίθετο του συνηθισμένου: όλα κλειστά, και ανοίγουμε μόνο ό,τι χρειάζεται. Στην πράξη αυτό σημαίνει ότι μόνο οι θύρες 80 και 443 είναι δημόσια προσβάσιμες σε ένα web server, το SSH περιορίζεται σε συγκεκριμένα IP ή σε VPN, και κάθε βάση δεδομένων, cache ή admin panel δένεται αποκλειστικά στο ιδιωτικό δίκτυο. Χρησιμοποιούμε nftables ή UFW στο επίπεδο του λειτουργικού, μαζί με το firewall του πάροχου ως δεύτερο επίπεδο.
- Μόνο 80/443 δημόσια σε web-facing servers, όλα τα υπόλοιπα κλειστά
- SSH περιορισμένο σε συγκεκριμένα IP ή αποκλειστικά μέσω VPN
- Καμία βάση δεδομένων, Redis ή Mongo σε public IP, ποτέ
- nftables ή UFW στο OS, μαζί με το firewall του πάροχου
Βέλτιστες πρακτικές που εφαρμόζουμε
Η ασφάλεια δικτύου δεν είναι μια ρύθμιση που γίνεται μία φορά, είναι ένας κύκλος που επαναλαμβάνεται. Εφαρμόζουμε τη λίστα που ακολουθεί σε κάθε server που παραδίδουμε και την καταγράφουμε στη δική σας τεκμηρίωση, μαζί με το πρόγραμμα των περιοδικών ελέγχων. Το πιο συχνό λάθος που βρίσκουμε σε νέους πελάτες είναι μια βάση δεδομένων που «έμεινε» ανοιχτή σε public IP από μια δοκιμή, χωρίς κανείς να το θυμάται.
- Default deny εισερχόμενα, περιορισμένα εξερχόμενα
- Τμηματοποίηση ανά επίπεδο: edge, εφαρμογή, δεδομένα
- Καμία βάση δεδομένων, Redis ή Mongo σε public IP
- Αυτοματοποιημένος έλεγχος θυρών με ειδοποίηση σε κάθε απόκλιση
- Καταγραφή και κανόνες geo/ASN όπου δικαιολογείται από την κίνηση
Fail2ban, CrowdSec και προστασία στο edge
Το firewall εμποδίζει την πρόσβαση σε κλειστές θύρες, αλλά δεν σταματά από μόνο του επαναλαμβανόμενες προσπάθειες σύνδεσης στις ανοιχτές. Προσθέτουμε Fail2ban ή CrowdSec, που παρακολουθούν τα logs και μπλοκάρουν αυτόματα IP με ύποπτη συμπεριφορά, όπως επαναλαμβανόμενα λάθος logins SSH. Η προστασία DDoS L3/L4 είναι ήδη ενεργοποιημένη στο δίκτυό μας, οπότε το edge σας καλύπτεται πριν καν φτάσει η κίνηση στον server.
Οι ώρες που περιλαμβάνονται
Η ρύθμιση firewall, τμηματοποίησης και ελέγχου θυρών μπαίνει στις μηνιαίες ώρες: 1–8 ώρες σε VPS, 5–10 ώρες σε dedicated servers ανάλογα με το πλάνο και 10 ώρες σε GPU servers. Ζητάτε το έργο από τον πίνακα πελάτη, στις Υπηρεσίες DevOps, με προθεσμία που προτείνετε. Η αρχική ρύθμιση συνήθως χωράει σε λίγες ώρες, ενώ οι περιοδικοί έλεγχοι θυρών τους προγραμματίζουμε μαζί σας. Ό,τι ξεπερνά την ποσόστωση τιμολογείται ξεχωριστά, με πλήρη αναφορά ευρημάτων πριν προχωρήσουμε στη χρέωση.
Κάθε συνδρομή περιλαμβάνει μηνιαίες ώρες DevOps, Κυβερνοασφάλειας και Προγραμματισμού: 1 ώρα από το πακέτο cPanel Advanced και πάνω, 1–8 ώρες σε VPS και 5–10 ώρες σε αποκλειστικούς διακομιστές ανάλογα με το πλάνο και 10 ώρες σε GPU. Οι ώρες ζητούνται από τον πίνακα πελάτη, δεν μεταφέρονται στον επόμενο μήνα, και ό,τι ξεπερνά το όριο γίνεται δεκτό και χρεώνεται ξεχωριστά.
Περιπτώσεις χρήσης
E-shop με ιστορικό επίθεσης
Ένα κατάστημα που δέχτηκε προσπάθειες brute-force στο SSH περιορίζει την πρόσβαση σε VPN και συγκεκριμένα IP, και προσθέτει CrowdSec για αυτόματο μπλοκάρισμα επαναλαμβανόμενων προσπαθειών.
Δημόσιος φορέας με σύνδεση σε gov.gr
Ένας φορέας που ανταλλάσσει δεδομένα με κρατικά συστήματα τμηματοποιεί το δίκτυο σε επίπεδα, ώστε η υπηρεσία που επικοινωνεί με το gov.gr να μην έχει πρόσβαση στην εσωτερική βάση δεδομένων.
Πώς δουλεύουμε
Ζητάτε το έργο από τον πίνακα
Μας λέτε ποιες υπηρεσίες τρέχετε και ποιες θύρες νομίζετε ότι είναι ανοιχτές, και προτείνετε προθεσμία από τις Υπηρεσίες DevOps.
Ορίζουμε πεδίο και προθεσμία
Κάνουμε πρώτα εξωτερικό έλεγχο θυρών με nmap, καταγράφουμε τι είναι πραγματικά εκτεθειμένο, και σχεδιάζουμε την τμηματοποίηση.
Παραδίδουμε και επαληθεύουμε από έξω
Εφαρμόζουμε default-deny, κλείνουμε τις περιττές θύρες, στήνουμε Fail2ban ή CrowdSec, και επιβεβαιώνουμε με νέο εξωτερικό έλεγχο ότι μόνο τα σωστά είναι ανοιχτά.
Παραδίδουμε με τεκμηρίωση
Παίρνετε τους κανόνες firewall, το πρόγραμμα περιοδικού ελέγχου θυρών, και τη λίστα υπηρεσιών με το επίπεδο δικτύου στο οποίο ανήκουν.
Τεχνολογίες
- nftables
- UFW
- Fail2ban
- CrowdSec
- WireGuard
- Prometheus
- Grafana
- nmap
Συχνές ερωτήσεις
Τι σημαίνει default-deny σε ένα firewall;
Σημαίνει ότι η προεπιλογή είναι να μπλοκάρεται όλη η εισερχόμενη κίνηση, και ανοίγετε ρητά μόνο τις θύρες που χρειάζεστε, συνήθως 80 και 443. Είναι το αντίθετο από το να αφήνετε τα πάντα ανοιχτά και να κλείνετε επιλεκτικά, προσέγγιση που ξεχνά εύκολα κάτι.
Γιατί δεν πρέπει η βάση δεδομένων μου να έχει public IP;
Γιατί αυτόματα scanners εντοπίζουν ανοιχτές θύρες βάσεων δεδομένων μέσα σε ώρες από την εμφάνισή τους στο internet. Μια βάση χωρίς σωστό authentication σε public IP είναι από τις πιο συχνές αιτίες διαρροής δεδομένων, και είναι εντελώς αποφεύξιμη.
Τι είναι το nftables και διαφέρει από το UFW;
Το nftables είναι το σύγχρονο firewall framework του Linux kernel, με πλήρη έλεγχο κανόνων. Το UFW είναι ένα απλούστερο εργαλείο πάνω από αυτό, ευκολότερο στη χρήση για βασικές ανάγκες. Επιλέγουμε ανάλογα με την πολυπλοκότητα που χρειάζεστε.
Πόσο συχνά πρέπει να ελέγχω τις ανοιχτές θύρες μου;
Προτείνουμε τακτικό έλεγχο, όχι μόνο μία φορά κατά την εγκατάσταση, γιατί μια νέα υπηρεσία ή ένα δοκιμαστικό deployment μπορεί να ανοίξει κατά λάθος μια θύρα. Ο αυτοματοποιημένος έλεγχος με ειδοποίηση σε κάθε απόκλιση είναι πιο αξιόπιστος από περιστασιακό χειροκίνητο έλεγχο.
Τι είναι το CrowdSec και πώς βοηθά έναντι επιθέσεων;
Είναι ένα εργαλείο που παρακολουθεί logs για ύποπτη συμπεριφορά, όπως επαναλαμβανόμενα λάθος logins ή σαρώσεις θυρών, και μπλοκάρει αυτόματα το IP που την προκαλεί. Μοιράζεται επίσης πληροφορία απειλών με άλλους χρήστες του, ώστε να αναγνωρίζει γνωστά κακόβουλα IP γρηγορότερα.
Ξέρετε ποιες θύρες είναι πραγματικά ανοιχτές στους servers σας;
Κάνουμε εξωτερικό έλεγχο θυρών, εφαρμόζουμε default-deny και τμηματοποίηση, μέσα στις ώρες που περιλαμβάνει η συνδρομή σας.