Nossa Abordagem de Segurança Holística

Para reduzir os riscos de segurança ao mínimo, é necessária uma abordagem holística da segurança. Nossos processos de segurança nascem de uma definição clara das ameaças ao nosso sistema.
Metas de Segurança

Privacidade - A informação dentro da nossa infraestrutura e sistemas só será acessível por usuários autorizados.

Integridade - Os dados e informações dentro da nossa infraestrutura não podem ser adulterados por qualquer usuário não autorizado

Proteção de dados - Os dados dentro dos sistemas não podem ser prejudicados, excluídos ou destruídos

Identificação e Autenticação - Garante que qualquer usuário do sistema é quem ele afirma ser e elimina as chances de representação

Proteção de serviço de rede - Garante que o equipamento de rede esteja protegido de tentativas de invasão maliciosas ou ataques que ameaçam o tempo de atividade

Nosso modelo de segurança holística

Nossa plataforma de segurança e alavanca do processo em vários níveis de segurança - consistindo em Sistemas de Segurança e Equipamentos ¹ combinados com Procedimentos e Práticas de Segurança ² e Processos de Auditoria ³ , para garantir segurança sem paralelo para todos os serviços que fornecemos. A plataforma aborda a segurança em 7 níveis diferentes
Segurança do Datacenter - Nível 1

Nossas parcerias de datacenter globais são o resultado de um processo detalhado de Due diligence. Segurança e estabilidade são duas das variáveis ​​mais importantes em nosso processo de due diligence. Todos os datacenters estão equipados com câmeras de vigilância, bloqueios biométricos, políticas de acesso baseadas em autorização, acesso limitado ao datacenter, pessoal de segurança e equipamentos, processos e operações de segurança similares.

O que nos separa, no entanto, é o fato de que nosso processo de due diligence também incorpora uma medida de proatividade demonstrada pelo datacenter em direção à segurança. Isso é medido pela avaliação de práticas passadas, estudos de caso do cliente e a quantidade de tempo que o centro de dados dedica à pesquisa e estudo de segurança.

Segurança de Rede - Nível 2

Nossas implantações de infraestrutura global incorporam mitigadores DDOS, sistemas de detecção de intrusão e firewalls tanto na borda quanto no nível de rack. Nossas implantações sofreram ataques freqüentes e tentativas de DDOS (às vezes até 3 em um único dia) sem qualquer degradação.

Proteção contra firewall - Nosso sistema de proteção contra firewall 24 horas assegura o perímetro e entrega a melhor linha de defesa. Ele usa tecnologia de inspeção altamente adaptável e avançada para proteger seus dados, sites, e-mails e aplicativos da web, bloqueando o acesso não autorizado à rede. Ele garante uma conectividade controlada entre os servidores que armazenam seus dados e a Internet através da aplicação de políticas de segurança elaboradas por especialistas em assuntos.

Sistema de Detecção de Intrusão de Rede - Nosso sistema de gerenciamento de detecção, prevenção e vulnerabilidade de intrusão de rede oferece proteção rápida, precisa e abrangente contra ataques direcionados, anomalias de tráfego, worms "desconhecidos", spyware / adware, vírus de rede, aplicativos desonesto e outras explorações de dia zero. Ele usa processadores de rede de alto desempenho ultramodernos que realizam milhares de verificações em cada fluxo de pacotes simultaneamente sem aumento de latência perceptível. À medida que os pacotes passam por nossos sistemas, eles são totalmente examinados para determinar se eles são legítimos ou prejudiciais. Este método de proteção instantânea é o mecanismo mais eficaz para garantir que ataques prejudiciais não atinjam seus objetivos.

Proteção contra ataques distribuídos por negação de serviço (DDoS)- A negação de serviço é atualmente a principal fonte de perda financeira devido ao cibercrime. O objetivo de um ataque de negação de serviço é interromper suas atividades comerciais, interrompendo a operação de seu site, e-mail ou aplicativos da web. Isso é alcançado atacando os servidores ou a rede que hospedam esses serviços e sobrecarregando os recursos das chaves, como largura de banda, CPU e memória. Os motivos típicos por trás de tais ataques são a extorsão, os direitos de se gabar, as declarações políticas, a concorrência prejudicial, etc. Praticamente qualquer organização que se conecta à Internet é vulnerável a esses ataques. O impacto comercial de grandes ataques de DoS sustentados é colossal, pois levaria a perda de lucros, insatisfação do cliente, perda de produtividade, etc. devido à indisponibilidade ou deterioração do serviço.

Nosso sistema de proteção de negação de serviço distribuído oferece uma proteção incomparável contra ataques DoS e DDoS em suas infraestruturas voltadas para a internet, ou seja, seus sites, e-mail e aplicações web de missão crítica, usando tecnologia de ponta avançada que se desencadeia automaticamente como Logo que um ataque seja lançado. O sistema de filtragem do mitigador DDoS bloqueia quase todo o tráfego fraudulento e garante que o tráfego legítimo seja permitido na maior extensão possível. Esses sistemas protegem de forma perfeita vários sites de grandes cortes de serviços causados ​​por ataques simultâneos de até 300 Mbps no passado, permitindo assim que as organizações se concentrem em seus negócios.

Segurança do Host - Nível 3

Sistema de Detecção de Intrusão Baseado em Host - Com o advento de ferramentas que são capazes de contornar os sistemas de proteção de perímetro de bloqueio de portas, como firewalls, agora é essencial para as empresas implantarem o Sistema de Detecção de Intrusão Baseado em Host (HIDS) que se concentre em monitorar e analisar os internos de um sistema de computação. Nosso sistema de detecção de intrusão baseado em host auxilia na detecção e identificação de mudanças no sistema e nos arquivos de configuração - seja por acidente, de manipulação maliciosa ou intrusão externa - usando scanners heurísticos, informações de log host e monitorando a atividade do sistema. A rápida descoberta de mudanças diminui o risco de danos potenciais e também reduz a resolução de problemas e os tempos de recuperação, diminuindo assim o impacto geral e melhorando a segurança e a disponibilidade do sistema.

Padronização de hardware - Temos padronizado em fornecedores de hardware que possuem um registro de padrões de alta segurança e suporte de qualidade. A maioria de nossos parceiros de infraestrutura e datacenter usam equipamentos da Cisco, Juniper, HP, Dell etc.

Segurança do Software - Nível 4

Nossos aplicativos são executados em inúmeros sistemas com inúmeros programas de servidor. Os sistemas operacionais incluem vários sabores do Linux, BSD, Windows. O Software do Servidor inclui versões e sabores do Apache, IIS, Resin, Tomcat, Postgres, MySQL, MSSQL, Qmail, Sendmail, Proftpd etc etc. Nós asseguramos a segurança apesar do portfólio diversificado de produtos de software que utilizamos seguindo uma abordagem orientada a processos

Aplicação oportuna de atualizações, correções de erros e patches de segurança - Todos os servidores estão registrados para atualizações automáticas para garantir que eles sempre tenham o último patch de segurança instalado e que quaisquer novas vulnerabilidades sejam corrigidas o mais rápido possível. O maior número de intrusões resulta da exploração de vulnerabilidades conhecidas, erros de configuração ou ataques de vírus em que as contramedidas já estão disponíveis. De acordo com o CERT, os sistemas e as redes são afetados por esses eventos, uma vez que eles "não consistentemente" implantaram os patches que foram lançados.

Compreendemos completamente o requisito de processos robustos de gerenciamento de atualização e atualização. À medida que os sistemas operacionais e o software do servidor se tornam mais complexos, cada versão mais nova está cheia de furos de segurança. Informações e atualizações para novas ameaças de segurança são divulgadas quase que diariamente. Construímos processos consistentes e repetitivos e uma estrutura confiável de auditoria e relatórios que assegura que todos os nossos sistemas estejam sempre atualizados.

Verificações de segurança periódicas - Verificações freqüentes são executadas usando o software de segurança de classe empresarial para determinar se qualquer servidor possui vulnerabilidades conhecidas. Os servidores são digitalizados em relação aos bancos de dados mais abrangentes e atualizados de vulnerabilidades conhecidas. Isso nos permite proteger proativamente nossos servidores de ataques e garantir a continuidade do negócio identificando buracos de segurança ou vulnerabilidades antes de ocorrer um ataque.

Processos de teste pré-atualizados - As atualizações de software são lançadas com freqüência por vários fornecedores de software. enquanto cada fornecedor segue seus próprios procedimentos de teste antes da liberação de qualquer atualização, eles não podem testar problemas de interoperabilidade entre vários softwares. Por exemplo, uma nova versão de um banco de dados pode ser testada pelo fornecedor da base de dados. No entanto, o impacto da implantação desta versão em um sistema de produção executando vários outros programas de FTP, Mail, Web Server não pode ser determinado diretamente. Nossa equipe de administração do sistema documenta a análise de impacto de várias atualizações de software e, se algum deles é percebido como de alto risco, eles são primeiro testados em beta em nossos laboratórios antes da implantação ao vivo.

Segurança de Aplicativo - Nível 5

Todo o software de aplicação que é usado na plataforma é construído por nós. Nós não terceirizamos o desenvolvimento. Qualquer Produto ou Componente de terceiros passa por procedimentos abrangentes de treinamento e teste, onde todos os elementos de tais produtos são discriminados e o conhecimento sobre sua arquitetura e implementação é transferido para nossa equipe. Isso nos permite controlar completamente todas as variáveis ​​envolvidas em qualquer produto específico. Todos os aplicativos são projetados usando nosso processo de engenharia de produto proprietário, que segue uma abordagem proativa em direção à segurança.

Cada aplicação é dividida em vários componentes, como interface de usuário, núcleo API, Backend Database etc. Cada camada de abstração possui suas próprias verificações de segurança, apesar das verificações de segurança realizadas por uma camada de abstração mais alta. Todos os dados confidenciais são armazenados em um formato criptografado. Nossas práticas de engenharia e desenvolvimento garantem o mais alto nível de segurança em relação a todos os softwares de aplicativos

Fator Humano - Nível 6

O maior link na cadeia de segurança é sempre a pessoa em quem você confia. Pessoal, pessoal de desenvolvimento, fornecedores, essencialmente qualquer pessoa que tenha acesso privilegiado ao seu sistema. Nossa Abordagem de Segurança Holística tenta minimizar o risco de segurança provocado pelo "Fator Humano". As informações são divulgadas apenas em uma "necessidade de saber". A autorização expira após o termo do requisito. O pessoal é treinado especificamente em medidas de segurança e a criticidade de observá-los.

Todo funcionário que tem privilégios de administrador para qualquer um dos nossos servidores passa por uma verificação de antecedentes abrangente. As empresas que ignoram isso estão colocando em risco todos os dados sensíveis e importantes pertencentes aos seus clientes, já que não importa quanto dinheiro é investido em soluções de segurança high-end, um contrato incorreto - com a quantidade certa de acesso - pode causar maiores danos do que qualquer ataque externo.

Processos de Auditoria de Segurança - Nível 7

Em uma grande implantação de servidores distribuídos globalmente, os processos de auditoria são necessários para assegurar a replicação e a disciplina do processo. Todos os servidores estão sendo corrigidos regularmente? Os scripts de backup estão sendo executados o tempo todo? Os backups fora do site são girados conforme desejado? São realizadas verificações de referência apropriadas em todo o pessoal? O equipamento de segurança está enviando alertas oportunos?

Estas e muitas dessas questões são regularmente verificadas em um processo fora de banda que envolve investigação, pesquisas, tentativas de hacking éticas, entrevistas etc. Nossos mecanismos de auditoria nos alertam para uma torção em nossos processos de segurança antes de serem descobertos por usuários externos.