Magazin online .md scanat zilnic
Panoul de administrare era public și primea încercări de autentificare la fiecare câteva minute. După mutarea lui în spatele VPN-ului și refuzul implicit pe restul porturilor, zgomotul a dispărut din jurnale.
Firewall și segmentarea rețelei în Moldova
Servicii DevOps · Perimetru · Moldova
Default-deny la intrare, ieșire filtrată
Segmentarea rețelei și firewall pentru serverele firmelor din Moldova, cu o regulă simplă: închidem tot spre exterior și lăsăm public doar ce trebuie să fie public. Rămân deschise 80 și 443, restul trece pe rețeaua privată sau prin VPN. Verificăm rezultatul cu o scanare din afară, periodic, și îți trimitem raportul. Munca intră în orele incluse.
- Doar 80 și 443 publice, restul închis
- Audit periodic de porturi, scanat din exterior
- cPanel 1 h de la Advanced · VPS 1–8 hOre incluse lunar
- L3/L4, inclusăProtecție DDoS
- Frankfurt (UE)Datacentere
- română și rusăSuport
Închidem porturile spre exterior
Pornim de la refuz implicit: nimic nu intră dacă nu există o regulă care îl permite. Rămân publice porturile 80 și 443, plus ce mai are nevoie site-ul tău să servească. SSH-ul se mută pe rețeaua privată sau în spatele VPN-ului, iar bazele de date, cache-ul și panourile de administrare nu mai ascultă deloc pe adresa publică. Filtrăm și traficul de ieșire, pentru că un server compromis are nevoie de o cale spre afară ca să descarce unelte sau să exfiltreze date.
- Refuz implicit la intrare, cu listă scurtă de excepții justificate
- Ieșire filtrată, ca un server compromis să nu poată descărca unelte
- SSH și panourile de administrare scoase de pe adresa publică
Segmentare pe niveluri: margine, aplicație, date
Un singur perimetru nu ajunge. Împărțim infrastructura pe trei niveluri și permitem traficul doar între vecini direcți. Nivelul de margine primește cererile din internet și le trimite mai departe. Nivelul de aplicație rulează codul și poate vorbi cu nivelul de date. Nivelul de date, adică bazele de date, cache-ul și cozile, nu vorbește niciodată direct cu internetul și nici nu acceptă conexiuni de la margine. Astfel o breșă la margine nu devine automat acces la baza de date.
- Trei niveluri: margine, aplicație și date, cu reguli între vecini
- Nivelul de date izolat complet de internet și de margine
- Reguli scrise pe roluri, nu pe adrese memorate manual
Bune practici pe care le aplicăm pe perimetru
Cel mai periculos moment nu este instalarea, ci luna a treia, când cineva deschide un port pentru o depanare rapidă și uită să îl închidă. Din experiența noastră aici se pierd majoritatea configurațiilor bune. De aceea nu ne bazăm pe documentație, ci pe verificare automată din exterior, care compară porturile deschise cu lista aprobată și alertează la orice diferență. Practicile de mai jos se aplică la fiecare intervenție din orele incluse, cu raport care ajunge la tine.
- Refuz implicit la intrare și ieșire filtrată, nu doar reguli de blocare
- Segmentare pe niveluri, cu trafic permis doar între vecini direcți
- Nicio bază de date, Redis sau MongoDB pe adresă publică
- Audit automat de porturi din exterior, cu alertă la orice derivă
- Jurnalizare centralizată și reguli pe geografie sau operator unde se justifică
DDoS la margine, blocare automată și ore incluse
Protecția DDoS de nivel de rețea și de transport este inclusă în infrastructură,, deci nu ai nevoie de un serviciu separat pentru inundările clasice. Pentru abuzurile de nivel de aplicație punem CrowdSec sau Fail2ban, care blochează adresele care insistă pe autentificare sau pe formulare. Cererile se deschid din panoul de client, la secțiunea Servicii DevOps. Un cPanel include o oră lunar începând cu planul Advanced, un VPS între una și opt ore, iar serverele dedicate între cinci și zece ore, în funcție de plan.
Orele de DevOps, CyberSecurity și Programare sunt incluse în abonament, lună de lună: 1 h de la planul cPanel Advanced în sus, 1–8 h pe VPS și 5–10 h pe serverele dedicate, în funcție de plan, și 10 h pe GPU. Le ceri din panoul de client și propui termenul; cota expiră la sfârșitul lunii calendaristice, iar lucrul de peste cotă se acceptă și se facturează separat, în euro, cu TVA 20 % și factură SFS. Cu abonamentele care includ minimum 2 ore lunare îți construim un site de prezentare, iar cu cele care includ minimum 5 ore, un magazin online — din orele deja plătite în abonament.
Cazuri de utilizare
Clinică privată cu date de pacienți
Baza de date a fișelor a fost mutată pe nivelul de date, fără nicio cale directă din internet. Documentația segmentării intră în dosarul cerut de Legea nr. 195/2024 în relația cu CNPDCP.
Operator de transport cu telemetrie GPS
Dispozitivele din camioane trimit date pe un singur punct de intrare, filtrat pe operator și pe protocol. Serverul de flotă nu acceptă conexiuni de nicăieri altundeva, iar auditul lunar confirmă că nimic nu s-a deschis între timp.
Cum lucrăm
Scanăm ce e deschis acum
Din panou, la Servicii DevOps, ceri auditul. Scanăm serverele din exterior, comparăm cu ce ar trebui să fie public și îți arătăm diferențele.
Stabilim lista de excepții
Decidem împreună ce rămâne public, ce trece pe rețeaua privată și ce se mută în spatele VPN-ului, apoi confirmăm termenul intervenției.
Aplicăm regulile pe niveluri
Scriem regulile de firewall pe cele trei niveluri, mutăm serviciile interne pe interfața privată și activăm blocarea automată a abuzurilor.
Predăm cu raport din exterior
Primești regulile documentate, schema segmentării, configurația de blocare automată și raportul scanării finale făcute din afara infrastructurii.
Tehnologii
- nftables
- UFW
- CrowdSec
- Fail2ban
- nmap
- WireGuard
- Suricata
- Cloudflare
Întrebări frecvente
Cum securizez un VPS Linux?
Ordinea care contează: actualizări automate de securitate, autentificare SSH doar cu chei, firewall pe refuz implicit, servicii interne legate pe interfața privată, blocare automată a abuzurilor și backup verificat. Restul recomandărilor sunt utile, dar aceste șase acoperă majoritatea incidentelor pe care le reparăm.
Cum găsesc porturile deschise pe serverul meu?
O comandă locală îți arată ce ascultă pe mașină, dar imaginea reală se obține doar scanând din exterior, din altă rețea. De acolo vezi ce vede un atacator, inclusiv porturile lăsate deschise de un furnizor sau de o regulă temporară uitată. Rulăm această scanare periodic și îți trimitem raportul.
Ce este segmentarea rețelei și de ce contează?
Este împărțirea infrastructurii în zone care comunică între ele doar prin reguli explicite. Contează pentru că limitează pagubele: dacă atacatorul intră printr-o componentă de margine, nu ajunge automat la baza de date. Fără segmentare, o breșă mică devine acces complet la tot ce e în aceeași rețea.
Trebuie baza de date sau Redis să fie pe IP public?
Aproape niciodată. Aplicația ajunge la ele prin rețeaua privată, iar administratorii prin VPN. Un port public de bază de date este descoperit de scanere automate foarte repede și este cauza clasică a datelor șterse cu cerere de răscumpărare. Prima măsură pe care o luăm este mutarea ascultării pe interfața privată.
UFW sau nftables?
UFW este un strat simplu peste motorul de filtrare, bun pentru un server cu câteva reguli. nftables îți dă control fin, seturi de adrese, contorizare și reguli lizibile la scară, deci îl preferăm când ai mai multe mașini și niveluri. Ce contează mai mult este politica: refuz implicit și excepții justificate.
Cât de des faceți auditul de porturi din exterior?
Rulăm scanarea periodic și automat, nu doar la instalare, tocmai pentru că derivele apar între intervenții. Rezultatul se compară cu lista aprobată, iar orice diferență generează alertă. Raportul îți ajunge în scris, iar remedierea se face din orele incluse ale planului tău.
Îți închidem serverul din exterior
Cere un audit de porturi. Îți arătăm ce vede un atacator din afară, stabilim lista de excepții justificate și aplicăm segmentarea pe niveluri.