Nossa Abordagem Holística de Segurança

A fim de reduzir os riscos de segurança para o mínimo, é necessária uma abordagem holística para a segurança. Nossos processos de segurança são nascidos fora de uma definição clara das ameaças ao nosso sistema.

Metas de Segurança

Privacidade – Informação em nossa infra-estrutura e sistemas só será acessível por usuários autorizados

Integridade – Dados e informações dentro da nossa infra-estrutura não pode ser adulterado por qualquer usuário não autorizado

Proteção de Dados – Os dados dentro dos sistemas não podem ser prejudicados, apagados ou destruídos

Identificação e Autenticação – garante que qualquer usuário do sistema é quem ele diz ser e elimina chances de representação

Proteção de Serviço de Rede – Garante que o equipamento de rede é protegida contra ataques de hackers mal-intencionados ou ataques que ameaçam uptime

Nosso Modelo de Segurança Holística

Nossa plataforma de segurança e alavancagem de processos em vários níveis de segurança – consistindo em sistemas e equipamentos de segurança¹ combinados com procedimentos e práticas de segurança² e processos de auditoria³, para garantir segurança incomparável para todos os serviços que oferecemos. A plataforma aborda a segurança em 7 níveis diferentes

Nivel-1 Segurança do Datacenter

Nossas parcerias globais de datacenter são resultado de um amplo processo de due diligence. Segurança e estabilidade são duas das variáveis ​​mais importantes em nosso processo de due diligence. Todos os datacenters são equipados com câmeras de vigilância, bloqueios biométricos, políticas de acesso baseadas em autorização, acesso limitado ao datacenter, pessoal de segurança e equipamentos, processos e operações de segurança padrão semelhantes.

O que nos separa, entretanto, é o fato de que nosso processo de due diligence também incorpora uma medida de proatividade demonstrada pelo datacenter em relação à segurança. Isso é medido avaliando práticas anteriores, estudos de caso de clientes e a quantidade de tempo que o datacenter dedica à pesquisa e estudo de segurança.

Nivel-2 Segurança de rede

Nossas implantações de infraestrutura global incorporam mitigadores DDOS, sistemas de detecção de intrusão e firewalls tanto no nível de borda quanto de rack. Nossas implantações resistiram a tentativas frequentes de hackers e DDOS (às vezes até 3 em um único dia) sem qualquer degradação.

Proteção Firewall – Nosso sistema de proteção por firewall ininterrupto protege o perímetro e oferece a melhor primeira linha de defesa. Ele usa tecnologia de inspeção avançada e altamente adaptável para proteger seus dados, site, e-mail e aplicativos da web, bloqueando o acesso não autorizado à rede. Ele garante conectividade controlada entre os servidores que armazenam seus dados e a Internet por meio da aplicação de políticas de segurança elaboradas por especialistas no assunto.

Sistema de detecção de intrusão de rede – Nosso sistema de detecção de intrusão de rede, prevenção e gerenciamento de vulnerabilidade oferece proteção rápida, precisa e abrangente contra ataques direcionados, anomalias de tráfego, worms “desconhecidos”, spyware / adware, vírus de rede, aplicativos nocivos e outras explorações de dia zero. Ele usa processadores de rede ultramodernos de alto desempenho que realizam milhares de verificações em cada fluxo de pacote simultaneamente, sem aumento perceptível na latência. Conforme os pacotes passam por nossos sistemas, eles são totalmente examinados para determinar se são legítimos ou prejudiciais. Esse método de proteção instantânea é o mecanismo mais eficaz para garantir que ataques prejudiciais não atinjam seus alvos.

Proteção contra ataques distribuídos de negação de serviço (DDoS) – A negação de serviço é atualmente a principal fonte de perda financeira devido ao crime cibernético. O objetivo de um ataque de negação de serviço é interromper suas atividades comerciais, interrompendo a operação de seu site, e-mail ou aplicativos da web. Isso é conseguido atacando os servidores ou a rede que hospeda esses serviços e sobrecarregando os principais recursos, como largura de banda, CPU e memória. Os motivos típicos por trás de tais ataques são extorsão, direito de se gabar, declarações políticas, concorrência prejudicial, etc. Praticamente qualquer organização que se conecta à Internet é vulnerável a esses ataques. O impacto comercial de grandes ataques DoS sustentados é colossal, pois levaria à perda de lucros, insatisfação do cliente, perda de produtividade, etc. devido à indisponibilidade ou deterioração do serviço. Na maioria dos casos, um ataque DoS poderia até mesmo levar você à maior fatura de excesso de largura de banda que você já viu.

Nosso sistema de proteção de negação de serviço distribuído oferece proteção incomparável contra ataques DoS e DDoS em suas infraestruturas voltadas para a Internet, ou seja, seus sites, e-mail e aplicativos da web de missão crítica, usando tecnologia sofisticada de última geração que se ativa automaticamente como assim que um ataque é lançado. O sistema de filtragem do mitigador DDoS bloqueia quase todo o tráfego fraudulento e garante que o tráfego legítimo seja permitido na maior extensão possível. Esses sistemas protegeram perfeitamente vários sites da Web de grandes interrupções de serviço causadas por ataques simultâneos de até 300 Mbps no passado, permitindo que as organizações se concentrem em seus negócios.

Nivel-3 Segurança de Host

Sistema de detecção de intrusão baseado em host – Com o advento de ferramentas que são capazes de contornar os sistemas de defesa de perímetro de bloqueio de portas, como firewalls, agora é essencial para as empresas implantar o Sistema de Detecção de Intrusão baseado em Host (HIDS), que se concentra no monitoramento e análise dos componentes internos de um sistema de computação. Nosso sistema de detecção de intrusão baseado em host auxilia na detecção e localização de alterações no sistema e nos arquivos de configuração – seja por acidente, de adulteração maliciosa ou intrusão externa – usando scanners heurísticos, informações de log do host e monitorando a atividade do sistema. A descoberta rápida de alterações diminui o risco de dano potencial e também reduz os tempos de solução de problemas e recuperação, diminuindo assim o impacto geral e melhorando a segurança e a disponibilidade do sistema.

Padronização de Hardware- Padronizamos os fornecedores de hardware que possuem um histórico de altos padrões de segurança e suporte de qualidade. A maioria de nossos parceiros de infraestrutura e datacenter usa equipamentos Cisco, Juniper, HP, Dell etc.

Nivel-4 Segurança de software

Nossos aplicativos são executados em inúmeros sistemas com inúmeros softwares de servidor. Os sistemas operacionais incluem vários sabores de Linux, BSD, Windows. O software de servidor inclui versões e sabores de Apache, IIS, Resin, Tomcat, Postgres, MySQL, MSSQL, Qmail, Sendmail, Proftpd etc. etc. Garantimos a segurança apesar do portfólio diversificado de produtos de software que utilizamos seguindo uma abordagem orientada a processos

Aplicação oportuna de atualizações, correções de bugs e patches de segurança – Todos os servidores são registrados para atualizações automáticas para garantir que eles sempre tenham o patch de segurança mais recente instalado e que quaisquer novas vulnerabilidades sejam corrigidas o mais rápido possível. O maior número de invasões resulta da exploração de vulnerabilidades conhecidas, erros de configuração ou ataques de vírus onde as contra-medidas já ESTÃO disponíveis. De acordo com o CERT, os sistemas e as redes são afetados por esses eventos, pois “não consistentemente” implantaram os patches que foram lançados.

Compreendemos totalmente a necessidade de processos robustos de gerenciamento de patches e atualizações. À medida que os sistemas operacionais e software de servidor ficam mais complexos, cada nova versão é repleta de brechas de segurança. Informações e atualizações para novas ameaças à segurança são lançadas quase diariamente. Construímos processos consistentes e repetíveis e uma estrutura confiável de auditoria e relatório que garante que todos os nossos sistemas estejam sempre atualizados.

Varreduras de segurança periódicas – As verificações frequentes são executadas usando software de segurança de nível empresarial para determinar se algum servidor tem alguma vulnerabilidade conhecida. Os servidores são verificados em relação aos bancos de dados mais abrangentes e atualizados de vulnerabilidades conhecidas. Isso nos permite proteger proativamente nossos servidores de ataques e garantir a continuidade dos negócios, identificando brechas de segurança ou vulnerabilidades antes que ocorra um ataque.

Processos de teste de pré-atualização – As atualizações de software são lançadas com frequência por vários fornecedores de software. Embora cada fornecedor siga seus próprios procedimentos de teste antes do lançamento de qualquer atualização, eles não podem testar problemas de interoperabilidade entre vários softwares. Por exemplo, uma nova versão de um banco de dados pode ser testada pelo fornecedor do banco de dados. No entanto, o impacto da implantação desta versão em um sistema de produção que executa vários outros softwares de FTP, Correio e Servidor Web não pode ser determinado diretamente. Nossa equipe de administração de sistema documenta a análise de impacto de várias atualizações de software e, se qualquer uma delas for considerada de alto risco, ela é testada pela primeira vez em nossos laboratórios antes da implantação ao vivo.

Nivel-5 Segurança do aplicativo

Todos os softwares de aplicativos usados ​​na plataforma são desenvolvidos por nós. Não terceirizamos o desenvolvimento. Quaisquer produtos ou componentes de terceiros passam por procedimentos abrangentes de treinamento e teste, nos quais todos os elementos de tais produtos são divididos e o conhecimento sobre sua arquitetura e implementação é transferido para nossa equipe. Isso nos permite controlar completamente todas as variáveis ​​envolvidas em qualquer produto específico. Todos os aplicativos são projetados usando nosso Processo de Engenharia de Produto proprietário, que segue uma abordagem proativa em relação à segurança.

Cada aplicativo é dividido em vários componentes, como interface de usuário, API principal, banco de dados de back-end, etc. Cada camada de abstração tem suas próprias verificações de segurança, apesar das verificações de segurança realizadas por uma camada de abstração superior. Todos os dados confidenciais são armazenados em um formato criptografado. Nossas práticas de engenharia e desenvolvimento garantem o mais alto nível de segurança em relação a todos os softwares de aplicação

Nivel-6 Segurança de Pessoal

O elo mais fraco da cadeia de segurança são sempre as pessoas em quem você confia. Pessoal, equipe de desenvolvimento, fornecedores, essencialmente qualquer pessoa que tenha acesso privilegiado ao seu sistema. Nossa abordagem de segurança holística tenta minimizar o risco de segurança causado pelo “fator humano”. As informações são divulgadas apenas com base na “necessidade de saber”. A autorização expira na expiração do requisito. O pessoal é treinado especificamente nas medidas de segurança e na importância de observá-las.

Cada funcionário com privilégios de administrador em qualquer um de nossos servidores passa por uma verificação abrangente de antecedentes. As empresas que ignoram isso estão colocando em risco todos os dados confidenciais e importantes pertencentes aos seus clientes, pois não importa quanto dinheiro seja investido em soluções de segurança de ponta, uma contratação errada – ter a quantidade certa de acesso – pode causar maiores danos do que qualquer ataque externo.

Nivel-7 Processos de auditoria de segurança

Em uma ampla implantação de servidores distribuídos globalmente, os processos de auditoria são necessários para garantir a replicação e disciplina do processo. Todos os servidores estão sendo corrigidos regularmente? Os scripts de backup estão em execução o tempo todo? Os backups externos estão sendo alternados conforme desejado? As verificações de referência adequadas estão sendo realizadas em todo o pessoal? O equipamento de segurança está enviando alertas oportunos?

Essas e muitas outras questões são verificadas regularmente em um processo fora da banda que envolve investigação, pesquisas, tentativas de hacking ético, entrevistas etc. Nossos mecanismos de auditoria nos alertam sobre uma falha em nossos processos de segurança antes que ela seja descoberta por usuários externos.

Menu