Säkerhetscenter
Status
Utreda och implementera Sunet Frontend som DDoS-skydd.
Bakgrund och förutsättningar
Behovsbilden kretsar kring att det idag sker skyddsarbetet i huvudsak reaktivt; utöver de fasta filter som implementerats. Riktade attacker är svåra att upptäcka om de inte är volymetriska.
Projektleveranser
- Pilotmiljö installerad för SUNET frontend som DDoS-skydd internt samt hos minst ett lärosäte
- Definierat en tjänstemodell om tidigare punkter anses lyckade för SUNET DDoS-skydd med möjligtvis två tjänstenivåer. Första för stöd och analys, andra för skydd av exponerade system.
- Etablerat ett första tjänstekontrakt och genomfört handover till Sunet NOC
Leverabler etapp 1
- Projektplan
- Projektdeltagare rekryterade och projektet organiserat
- Kommunikationsinsatser
- Kravspecifikation-underlag till upphandling/ utveckling
Etapp 3
Test implemenetation SUNET Frontend interna system.
Pilot installation Sunet Frontend hos Sunetansluten organsiation
Beskrivning av aktiviteter etapp 3
Nr | Aktiviteter |
1 | Definiera tekniska förutsättningar och dokumentera skiss av arkitektur för nya användningsområdet. Definiera steg för steg hur implementationen av Sunet Frontend hanterar externt tillgängliga resurser. |
2 | Dokumentera risker och juridiska förutsättningar för etablering av tjänsten |
3 | Förankring och försäkring om nätkapacitet och tekniska resurser för tjänsten |
4 | Initial test av SUNET Frontend som DDoS-skydd för utpekade Sunet tjänster (definieras under projektet vilka som bör ingå www.sunet.se exempelvis) |
5 | Pilot-implementation hos Sunetansluten organisation (KTH?) |
6 | Initial rapport och delgivande till Styrgrupp, ITCF, Säkerhetcenter Öppet hus / alt Sunetdagarna |
7 | Beslutspunkt om arbetet har förutsättningar att fortsätta inför en tjänsteetablering och förvaltning |
8 | Definiera tjänstemodell och avtal i samverkan med deltagande pilot-organisationer och ref samt styrgrupp |
Leverabler etapp 3
- Lyckad installation internt
- Lyckad installation externt
- Etablerad utkast tjänsteavtal (innan tjänsteetablering beslutas)
Öppna frågeställningar:
Hur hanteras certifikat då en site är borta
Hantera vilken som är master kanske måste ske manuellt iniitalt (90 dagar mellan certen)
XTP för regler
Web över UDP hanteras inte idag.
Varnish hanterar inte TLS, gå via HAproxy?
Cilium. Begränsning att man bara kan köra en EBPF per NIC i XDP loader per system
Fristående fysiska interface för internet-exponerade portar. Hur mycket kan filtreras bort innan det når Varnish?
Silent drop i router för all annan skråptrafik.
Använda Caddy?
Bara GET som cachas(?)
--
bygga en konfiguration / varnish-instans per kund.