Veiligheid bij Basecone, een doorlopend project
Bram Reichwein avatar
Geschreven door Bram Reichwein
Meer dan een week geleden bijgewerkt

Dit is een artikel van ons Basecone blog. Gepubliceerd op 20 maart 2017 en geschreven door Daniel Ortega.

Welkom terug bij mijn blog! Het is even stil geweest na mijn laatste bijdrage, de introductie van “Improvement Fridays“.

En net als toen, zou ik graag een paar minuten van jullie tijd willen stelen om te vertellen over iets wat van belang is voor Basecone – en voor onze gebruikers: veiligheid. Hoe gaan we daarmee om en wat doen we eraan de veiligheid van jullie en onze data te waarborgen?

Laat me jullie om te beginnen op het hart drukken dat we veiligheid zeer serieus nemen bij Basecone. Echter, het gaat dan niet alleen om het bouwen van ondoordringbare muren rondom onze servers en opslag-faciliteiten, of om het optrekken van een driedubbele firewall bij ieder mogelijk toegangspunt van onze omgeving. Nee, het gaat verder.

Het beste kan dit worden uitgelegd aan de hand van een (gefingeerd) telefoongesprek tussen een van onze gebruikers en mijzelf…

Goeiemorgen Daniel, je spreekt met de heer G. Bruiker, ICT-manager bij bedrijf XXX. Ik heb een paar vragen omtrent het veiligheidsbeleid van Basecone.

Dag meneer Bruiker, dat is prima! Wel wil ik vooropstellen dat veiligheid bij jezelf en je organisatie begint. Zo laten diverse studies bijvoorbeeld zien dat het niet goed op orde hebben van wachtwoord-management voor het grootste risico zorgen, als het gaat om inbreuken op de veiligheid. Zorg er dus voor dat je je gebruikersnaam en wachtwoord voor jezelf houdt en niet met collega’s deelt. Wanneer je meer accounts nodig hebt, kan je dit in Basecone aanmaken. En laat nooit een post-it achter op je computer met daarop je login-gegevens. Je zou toch ook nooit je thuisadres op je sleutelhanger zetten?

Dank je, goed om te weten! We zullen contact opnemen met jullie Support Team om te vragen hoe we meer logins kunnen aanmaken.

Top. Zeker als iedereen vanaf nu inlogt met zijn of haar eigen gebruikersnaam en wachtwoord. En deze geheim houdt! Ook als je daar hulp bij nodig hebt, laat het ons weten. We kunnen helpen bij het selecteren van diverse software tools en applicaties, en tips geven over het behoud van de (digitale) veiligheid binnen een organisatie. Maar jullie eigen IT-afdeling kan daar ook bij helpen. Ik weet zeker dat ze blij zijn wanneer je ernaar vraagt! Zij zullen namelijk net zo waakzaam willen zijn als wij.

(stilte)…

OK, je bent nu in ieder geval klaar om in te loggen in Basecone.

Momentje – wat voor rol speelt veiligheid daarbij?

 

Goeie vraag. Ik zal het uitleggen: laten we eerst een blik werpen op de Basecone inlog-pagina: https://identity.basecone.com

Kijk eerst even naar de URL: https://identity.basecone.com. We noemen het “identity”, maar dat is alleen maar een naam. Het belangrijkste hier is de “s” achter het http-protocol: https. Die s staat voor “secure” en betekent daadwerkelijk dat de pagina veilig is. Zodra de pagina met de invulvelden wordt geladen, wordt alle gevoelige info die daar ingevuld wordt, versleuteld opgeslagen. Voer een karakter in van het wachtwoord, en het wordt gemaskeerd afgebeeld. En klik je op “Login”, wordt alle informatie eerst versleuteld en daarna pas naar onze servers gestuurd. De zogenaamde “inspector tool”, die iedere browser heeft (in ons voorbeeld: Google Chrome), vertelt je welk veiligheidsniveau de website heeft, waarop je je op dat moment bevindt. Kijk er gerust even naar.

Aha…

OK, dus nu ben je veilig verbonden met Basecone. Alle gegevens die tussen jouw computer en onze servers worden uitgewisseld, stromen door een compleet beveiligde ‘tunnel’ (https).

Super! Maar… hoe zit het daarna met de veiligheid?

Wederom een goeie vraag. Onze ‘ingang’ https://identity.basecone.com bevindt zich op een AWS “Elastic Load Balancer” (ELB).

AWS?

Ja, Basecone is een “cloud company” en AWS, ofwel Amazon Web Services, is onze could provider.

Wauw, dat wist ik niet! Maar… is AWS dan wel veilig? Hoe is de veiligheid geregeld bij Amazon?

Ik waardeer je nieuwsgierigheid! Het zit zo: in het begin van de Grote Data Centers was ieder data center gecertificeerd, waardoor je als klant gerust kon aannemen dat alles rondom en in jouw specifieke data center goed beveiligd was. Tegenwoordig, nu we midden in de “Cloud Computing Era” zitten, zijn data centers niet meer zichtbaar en/of dichtbij voor klanten, en doen de beheerders er op lokatie alles – maar dan ook alles – aan deze enorme parken veilig te houden. De ontelbare certificaten die ze daarvoor ontvangen kun je allemaal terugvinden op hun websites. zo vind je bijvoorbeeld hier de lijst van AWS. Wellicht is het makkelijker als ik het even in een illustratie zet, gebaseerd op een plaatje die op AWS’ website staat:

Aha, helder. Goed om te weten! En wat is een “Elastic Load Balancer”…?

Laten we de term even in tweeën splitsen: 1) Elastic, ofwel “elastisch” in het Nederlands. Dit heeft te maken met de mogelijkheid flexibel te reageren op hoeveelheden data-verkeer. Afhankelijk van de druk op https://identity.basecone.com past het ingangspunt zijn formaat aan. Vergelijking: hoe meer mensen er bij een gebouw naar binnen moeten, hoe groter de voordeur zou moeten zijn.

2) Load Balancer, ofwel “gewichtsverdeler” in het Nederlands. De ELB verdeelt de bij https://identity.basecone.com binnenkomende verzoeken gelijk over onze front-end servers. Dat zijn de servers waar onze websites en API’s op draaien. Dit wordt overigens gerepresenteerd door de “Networking” box in het plaatje hierboven. Dit geeft ons de out-of-the-box veiligheidsinstellingen, zoals DDoS beveiliging, SSL veiligheidsprotocollen, Cyphers & Options, maar… niet alleen dat! Ze worden ook automatisch bijgewerkt en up-to-date gehouden door AWS, dus we lopen nooit achter de feiten aan. Waarvoor trouwens dank, AWS Security Engineers!

OK, samenvattend: Alle data van mijn kantoor naar jullie servers stroomt door een compleet gepantserde tunnel, met een bewaker bij de ingang. 

Klopt als een bus!

Maar goed, ik heb wel eens bewakers gezien die in slaap waren gevallen tijdens hun dienst, of die niet zo goed aan het opletten waren wie of wat er binnenkwam of naar buiten ging. Hebben jullie zo’n bewaker ingehuurd…?

Haha, nee hoor. Gelukkig is het een proces en geen persoon, dus van onoplettendheid zal geen sprake zijn.

Hmm… En moet ik me zorgen maken over het andere eind van de tunnel, of andere toegangspunten? Staan daar ook bewakers?

Ik snap wat je bedoelt. We hebben zeker ook een bewaker aan het andere uiteinde van de tunnel, ook wel het “management entry point” genoemd. Het is voor Basecone een must een VPN-beveiligde verbindingstunnel te creëren (tussen een bekende plek en onze achteringang), om zo toegang te krijgen tot het slot van de achterdeur. Toch moet je dan altijd nog een sleutel hebben. Alles bij elkaar zijn er dus drie beveiligingselementen die onze achterdeur beschermen: een goed werkende VPN-verbinding, de positie van het slot en het slot zelf.

OK, ik ben overtuigd: niemand onbekend kan toegang krijgen tot jullie achterdeur. Maar… wat is er nog meer?

Wat je zegt: in theorie kan niemand onbekend toegang krijgen tot onze achterdeur. En omdat we 100% ‘in de cloud’ zitten, ofwel op de servers van AWS in Frankfurt (zie ook ons blog van onze verhuizing, omdat hierin whitepaper van ICT recht staat, alleen in het NL), kunnen we ervan uitgaan dat alles binnen de veilige omgeving van AWS gebeurt. Dus niets kan er zomaar in, en niets kan er zomaar uit.

OK, maar de data zelf dan? Jullie hebben – neem ik aan – een database achter de schermen. En waar worden alle bestanden opgeslagen? Hoe is daar de veiligheid geregeld?

 Ja, we hebben zeker een database achter de schermen. Sterker nog, we hebben er meedere. Alleen een klein aantal mensen heeft toegang tot deze databases, tijdelijke toegang kan alleen verleent worden met toestemming van onze directeur. Als die toegangsperiode verstreken is, gaan ze weer potdicht. Daarnaast wordt er maar één toegangsweg opengesteld. Het werkt net zoals een firewall: alleen server A kan praten met server B, en als de communicatie ergens anders vandaan komt, wordt het simpelweg genegeerd.

OK, dus ook de toegang tot de database is goed beveiligd. En hoe zit het met de opslag en de back-ups?

We zijn zeer strikt als het daarom gaat. Zo maken we elke dag een volledige back-up en draaien we elke dag een volledige ‘system restore’. Hiermee zorgen we ervoor dat de systemen fris en fruitig blijven. Deze repetitieve processen worden dagelijks gecontroleerd en getest, en tot dusver zijn we nog geen problemen tegengekomen. Ik kan zonder twijfel zeggen dat het een zeer robuust geheel is en daar mogen we best trots op zijn!

Goed, over de data-integriteit dus geen zorgen. Maar… wat als de database server crasht of vastloopt? Hoe krijgen jullie de data er dan af?

Voor de opslag van de databases hebben we een nog striktere procedure ingericht. Met behulp van AWS’ API, zorgen we ervoor dat iedere vier uur een ‘snaphot’ wordt gemaakt van de opslag. Dit is een volledig geautomatiseerd proces en AWS garandeert ons dat deze snapshots zonder problemen kunnen worden overgezet naar andere machines, databases en servers. En trouwens, ook dit wordt verzorgd door AWS, dus zijn we volledig gedekt door al hun certificaten (zie het begin van deze blog). Wij vertrouwen het!

Je noemde net al even een file server. Vertel eens iets meer over de beveiliging daarvan.

De veiligheid van onze file server wordt gewaarborgd door dezelfde Service Level Agreement die we hebben voor onze database. Toegang kan alleen worden verleend door onze directeur en ook hier is eventuele toegang weer tijdelijk, nooit permanent. Ook hier worden iedere vier uur snapshots gemaakt van de opslag, en zijn we volledig gedekt door alle certificaten van AWS. Wij vertrouwen het!

Nou, het ziet ernaar uit dat jullie alles onder controle hebben qua veiligheid. Goed om te weten. Denk wel dat ik alles even moet laten bezinken… veel informatie! Mocht ik nog vragen hebben, mag ik dan weer bellen?

Maar natuurlijk. Helpen doen we graag. Het is allemaal niet zo makkelijk en bovendien begrijp ik de gevoeligheid van het veiligheidsvraagstuk. Het gaat tenslotte om je data! Dus graag, bel of mail ons gerust.

Hartelijk dank!

Met plezier!

Mochten jullie ooit interesse hebben in een dergelijk gesprek met mij of met één van mijn collega’s, laat het gerust weten door op dit blog te reageren. Ik neem dan snel contact met je op.

Was dit een antwoord op uw vraag?