NOSSA ABORDAGEM DE SEGURANÇAPara reduzir os riscos de segurança ao mínimo, é necessária uma abordagem holística da segurança. Nossos processos de segurança nascem de uma definição clara das ameaças ao nosso sistema.

Metas de Segurança

Privacidade – As informações dentro da nossa infraestrutura e sistemas só serão acessíveis por usuários autorizados

Integridade – Dados e informações dentro de nossa infraestrutura não podem ser adulterados por nenhum usuário não autorizado

Protecção de dados – os dados dentro dos sistemas não podem ser prejudicados, excluídos ou destruídos

Identificação e Autenticação – Garante que qualquer usuário do sistema seja quem ele diz ser e elimine as chances de roubo de identidade

Protecção de Serviço de Rede – Garante que o equipamento de rede seja protegido contra tentativas de ataque mal-intencionado ou ataques que ameacem o tempo de actividade

Nosso modelo de segurança holística

Nossa plataforma de segurança processa em vários níveis de segurança – consistindo em sistemas de segurança e equipamentos combinados com procedimentos e práticas de segurança e processos de auditoria, para garantir segurança inigualável para todos os serviços que fornecemos. A plataforma aborda a segurança em 7 níveis diferentes.

Nível 1 – Segurança de Datacenter

Nossas parcerias globais de datacenter são resultado de um processo abrangente de due diligence. Segurança e estabilidade são duas das variáveis ​​mais importantes em nosso processo de due diligence. Todos os datacenters são equipados com câmeras de vigilância, bloqueios biométricos, políticas de acesso baseadas em autorização, acesso limitado a datacenters, pessoal de segurança e equipamentos, processos e operações de segurança padrão semelhantes.

 

O que nos separa, no entanto, é o fato de que nosso processo de due diligence também incorpora uma medida de proatividade demonstrada pelo datacenter em relação à segurança. Isso é medido pela avaliação de práticas passadas, estudos de caso de clientes e a quantidade de tempo que o datacenter dedica à pesquisa e ao estudo de segurança

Nível 2 – Segurança de Rede

Nossas implantações de infraestrutura global incorporam mitigadores DDOS, sistemas de Detecção de Intrusão e Firewalls tanto na borda quanto no nível do Rack. Nossas implantações resistiram às frequentes tentativas de hacking e DDOS (às vezes até 3 em um único dia) sem qualquer degradação.

Proteção de Firewall – Nosso sistema de proteção de firewall 24 horas por dia protege o perímetro e oferece a melhor primeira linha de defesa. Ele usa tecnologia de inspeção altamente adaptável e avançada para proteger seus dados, sites, e-mails e aplicativos da Web, bloqueando o acesso não autorizado à rede. Garante conectividade controlada entre os servidores que armazenam seus dados e a Internet através da aplicação de políticas de segurança criadas por especialistas no assunto.

Sistema de Detecção de Intrusão de Rede – Nosso sistema de detecção de intrusão de rede, prevenção e vulnerabilidade fornece proteção rápida, precisa e abrangente contra ataques direcionados, anomalias de tráfego, worms “desconhecidos”, spyware / adware, vírus de rede, aplicativos nocivos e outras explorações de dia zero. Ele usa processadores de rede ultramodernos de alto desempenho que realizam milhares de verificações em cada fluxo de pacotes simultaneamente, sem aumento perceptível na latência. À medida que os pacotes passam pelos nossos sistemas, eles são totalmente examinados para determinar se são legítimos ou prejudiciais. Esse método de proteção instantânea é o mecanismo mais eficaz para garantir que os ataques prejudiciais não atinjam seus alvos.

 

Proteção contra ataques distribuídos de negação de serviço (DDoS)– A negação de serviço é atualmente a principal fonte de perdas financeiras devido ao cibercrime. O objetivo de um ataque de negação de serviço é interromper suas atividades comerciais interrompendo a operação de seu site, e-mail ou aplicativos da web. Isso é conseguido atacando os servidores ou a rede que hospedam esses serviços e sobrecarregando os principais recursos, como largura de banda, CPU e memória. Os motivos típicos por trás desses ataques são extorsão, direito de se gabar, declarações políticas, competição danosa, etc. Praticamente qualquer organização que se conecta à Internet é vulnerável a esses ataques. O impacto comercial de grandes ataques sustentados de DoS é colossal, pois levaria a perda de lucros, insatisfação do cliente, perda de produtividade, etc. devido à indisponibilidade ou deterioração do serviço.

Nosso sistema de proteção de negação de serviço distribuído fornece proteção incomparável contra ataques DoS e DDoS em suas infraestruturas voltadas para a Internet, ou seja, seus sites, e-mails e aplicativos da web de missão crítica, usando tecnologia de ponta sofisticada que automaticamente se aciona como Assim que um ataque é lançado. O sistema de filtragem do mitigator DDoS bloqueia quase todo o tráfego fraudulento e garante que o tráfego legítimo seja permitido na maior extensão possível. Esses sistemas protegeram vários sites contra grandes interrupções de serviços causados ​​por ataques simultâneos de até 300 Mbps, permitindo que as organizações se concentrassem em seus negócios.

Nível 3 – Segurança do Host

Sistema de Detecção de Intrusão Baseada em Host – Com o advento das ferramentas capazes de contornar os sistemas de defesa perimetral de bloqueio de portas, como firewalls, agora é essencial que as empresas implantem Sistema de Detecção de Intrusão (HIDS) baseado em Host, que se concentre em monitorar e analisar os internos de um sistema de computação. Nosso Sistema de Detecção de Intrusos Baseado em Host auxilia na detecção e localização de alterações nos arquivos de sistema e configuração – seja acidentalmente, de adulteração ou intrusão externa – usando scanners heurísticos, informações de log do host e monitorando a atividade do sistema. A rápida descoberta de alterações diminui o risco de possíveis danos e também reduz os tempos de solução de problemas e recuperação, diminuindo assim o impacto geral e melhorando a segurança e a disponibilidade do sistema.

 

Padronização de hardware – Padronizamos fornecedores de hardware que têm um histórico de altos padrões de segurança e suporte de qualidade. A maioria de nossos parceiros de infraestrutura e datacenter usa equipamentos da Cisco, Juniper, HP, Dell etc.

Nível 4 – Segurança de Software

Nossos aplicativos são executados em vários sistemas com vários softwares de servidor. Sistemas operacionais incluem vários tipos de Linux, BSD, Windows. O Server Software inclui versões e versões do Apache, IIS, Resina, Tomcat, Postgres, MySQL, MSmail, Qmail, Sendmail, Proftpd etc. Garantimos a segurança apesar do portfólio diversificado de produtos de software que utilizamos seguindo uma abordagem orientada a processos

Aplicativo oportuno de atualizações, correções de erros e patches de segurança – Todos os servidores são registrados para atualizações automáticas para garantir que eles sempre tenham o patch de segurança mais recente instalado e que quaisquer novas vulnerabilidades sejam corrigidas o mais rápido possível. O maior número de intrusões resulta da exploração de vulnerabilidades conhecidas, erros de configuração ou ataques de vírus, onde já existem contramedidas. De acordo com a CERT, sistemas e redes são afetados por esses eventos, pois eles “não” implementaram consistentemente os patches que foram lançados.

Entendemos completamente o requisito de processos de gerenciamento de actualização e actualização fortes. À medida que os sistemas operacionais e o software para servidores se tornam mais complexos, cada versão mais recente está repleta de falhas de segurança. Informações e actualizações para novas ameaças de segurança são liberadas quase diariamente. Criamos processos consistentes e repetíveis e uma estrutura confiável de auditoria e relatório que garante que todos os nossos sistemas estejam sempre actualizados.

 

Verificações periódicas de segurança – Verificações frequentes são executadas usando um software de segurança de nível empresarial para determinar se algum servidor tem alguma vulnerabilidade conhecida. Os servidores são verificados em relação aos bancos de dados mais abrangentes e actualizados de vulnerabilidades conhecidas. Isso nos permite proteger proativamente nossos servidores contra ataques e garantir a continuidade dos negócios, identificando brechas de segurança ou vulnerabilidades antes que um ataque ocorra.

Processos de teste de pré-actualização – As actualizações de software são lançadas com frequência por vários fornecedores de software. enquanto cada fornecedor segue seus próprios procedimentos de teste antes de liberar qualquer actualização, eles não podem testar problemas de interoperabilidade entre vários softwares. Por exemplo, uma nova versão de um banco de dados pode ser testada pelo fornecedor do banco de dados. No entanto, o impacto da implantação desta versão em um sistema de produção que executa vários outros softwares FTP, Mail, Web Server não pode ser determinado directamente. Nossa equipe de administração de sistemas documenta a análise de impacto de várias actualizações de software e, se alguma delas for considerada de alto risco, elas serão testadas pela primeira vez em nossos laboratórios antes da implantação ao vivo.

Nível 5 – Segurança de Aplicativos

Todos os aplicativos usados em nossas plataformas passam por procedimentos abrangentes de treinamento e teste, em que todos os elementos de tais produtos são divididos e o conhecimento sobre sua arquitectura e implementação é transferido dos nossos fornecedores para nossa equipe. Isso nos permite controlar completamente todas as variáveis ​​envolvidas em qualquer produto em particular. Todas as aplicações são projectadas usando nosso processo de engenharia de produto proprietário, que segue uma abordagem proativa em relação à segurança.

 

Cada aplicativo é dividido em vários componentes, como Interface do Usuário, API Principal, Banco de Dados de Backend, etc. Cada camada de abstracção possui suas próprias verificações de segurança, apesar das verificações de segurança realizadas por uma camada de abstração mais alta. Todos os dados confidenciais são armazenados em um formato criptografado. Nossas práticas de engenharia e desenvolvimento garantem o mais alto nível de segurança em relação a todos os aplicativos

Nível 6 – Segurança Pessoal

O elo mais fraco na cadeia de segurança é sempre as pessoas em quem você confia. Pessoal, equipe de desenvolvimento, fornecedores, essencialmente qualquer pessoa que tenha acesso privilegiado ao seu sistema. Nossa Abordagem de Segurança Holística tenta minimizar o risco de segurança trazido pelo “Factor Humano”. A informação é divulgada apenas em uma base de “necessidade de conhecimento”. A autorização expira após o término do requisito. O pessoal é treinado especificamente em medidas de segurança e na criticidade de observá-las.

 

Todos os funcionários que possuem privilégios de administrador em qualquer um de nossos servidores passam por uma verificação abrangente de antecedentes. As empresas que ignoram isso estão colocando em risco todos os dados confidenciais e importantes pertencentes a seus clientes, pois não importa quanto dinheiro seja investido em soluções de segurança high-end, uma contratação errada – ter a quantidade certa de acesso – pode causar maiores danos do que qualquer ataque externo.

Nível 7 – Segurança com Processos de Auditoria

Em uma ampla implantação de servidores distribuídos globalmente, os processos de auditoria são necessários para garantir a replicação e a disciplina do processo. Todos os servidores estão sendo actualizados regularmente? Os scripts de backup estão em execução o tempo todo? Os backups externos estão sendo rotacionados conforme desejado? As verificações de referência apropriadas estão sendo realizadas em todo o pessoal? O equipamento de segurança está enviando alertas oportunos?

 

Essas e muitas outras perguntas são verificadas regularmente em um processo fora de banda que envolve investigações, pesquisas, tentativas de hacking ético, entrevistas, etc. Nossos mecanismos de auditoria nos alertam para uma distorção em nossos processos de segurança antes que sejam descobertos por usuários externos.