Търся тестери за нов проект свързан с Микротик бекъпи и мониторинг

[Kodius]

Здравейте,

както пише в заглавието - търся тестери за нов проект свързан с бекъп и мониторинг на MikroTik рутери, вече пуснат публично и тестван от екипа ни. За всички, които се включат активно и дадат обратна връзка - предложения, открити бъгове или евентуални уязвимости в сигурността – ще осигуря безплатен абонамент за услугата.

За да не се счита за реклама, ще помоля желаещите да ми пишат лично съобщение или тук, че желаят - аз ще се свържа с тях!

Малко за проекта:

Основната идея е да обедини няколко задачи, които обикновено се решават с отделни инструменти и скриптове:

• Автоматично архивиране на конфигурациите.
• История на архивите и сравнение между версиите.
• Мониторинг на достъпността на устройствата и регистриране на прекъсвания.
• Визуализация на мрежовата топология.

Поздрави,
И.Илиев

[msboy]

Преди 2 часа, Kodius написа:

Здравейте,

както пише в заглавието - търся тестери за нов проект свързан с бекъп и мониторинг на MikroTik рутери, вече пуснат публично и тестван от екипа ни. За всички, които се включат активно и дадат обратна връзка - предложения, открити бъгове или евентуални уязвимости в сигурността – ще осигуря безплатен абонамент за услугата.

За да не се счита за реклама, ще помоля желаещите да ми пишат лично съобщение или тук, че желаят - аз ще се свържа с тях!

Малко за проекта:

Основната идея е да обедини няколко задачи, които обикновено се решават с отделни инструменти и скриптове:

• Автоматично архивиране на конфигурациите.
• История на архивите и сравнение между версиите.
• Мониторинг на достъпността на устройствата и регистриране на прекъсвания.
• Визуализация на мрежовата топология.

Поздрави,
И.Илиев

Идеята е добра но имам няколко въпроса :

1. Къде се съхранват архивите – на собствен сървър, в облак или на инфраструктура на трета страна?

2. Има ли достъп разработчикът до конфигурациите и паролите на регистрираните устройства?

3. Как се криптират архивите и как се управляват ключовете?

4. Как се осигурява изолацията межу отделните организации?

5. Какъв механизъм за комуникация се използва с MikroTik – API, SSH, SNMP или комбинация?

6. Необходимо ли е устройствата да бъдат достъпни от публичен IP адрес

7. Как се процедира при изтичане или компрометиране на достъп до платформата?

8. Има ли независим тест за сигурност или извършен penetration test?

9. Какви са условията за изтриване на данните и архивите при прератяване на абонамента?

[Kodius]

Благодаря за въпросите, отговарям на тях по ред на номерата:

1. На този етап на наши собствени сървъри колокирани в Telepoint с failover в Бургас (2x10G свързаност). Всеки архив се пази на повече от 1 сървър (огледално). Сайтът и приложението минават през CloudFlare (САМО DNS и HTTPS PROXY). 
2. Архивите се криптират на сървъра, който ги извлича. Той има само публичния ключ на организацията и не може да ги прочете. Частният ключ (Private key) е в отделен сейф (vault), който не е достъпен нито от интернет, нито от архивиращите сървъри, нито от админ панела. Поддръжката работи през въпросния панел, така че не вижда съдържанието на архивите. Всяко декриптиране се записва от самия vault в лог, който приложението не може да трие (няма необходимите права), и е ограничено по брой на час. Също така ако има повече отваряния от нормалното, получаваме известие. При сравняване на версии паролите и ключовете се скриват още на сървъра и никога не стигат до браузъра. НО честно казано: който има root достъп до основния сървър, технически може да стигне до ключовете при определени условия. Затова мерките са: запис на всяко отваряне и лимити.
3. Всеки файл се криптира чрез XChaCha20-Poly1305, libsodium (собствен ключ). Въпросния ключ се заключва с публичния на организацията (X25519). Всяка организация има своя двойка ключове. Частния ключ се пази във vault-а, криптиран с мастър ключ. Всеки файл се проверява веднага след запис, а всеки ден се прави реално възстановяване на архив от всеки сървър (тест за изправност). Извличването от рутера се прави чрез SSH в WireGuard тунел.
4. Извличането на архивите, а и цялата функционалност се прави след идентификация на организацията. След това с този идентификатор организацията има достъп до различните модули в приложението, а до архивите освен с въпросния идентификатор (както писах по-горе) и със собствен ключ. Т.е. дори и някак да се доберете до архив на рутер, който не принадлежи към тази организация - няма как да се декриптира без ключа на организацията, към която принадлежи.
5. SSH, през WG тунел, който рутерът отваря към нас (чрез готов скрипт за инсталиране с описание ред по ред кое какво е, защо е там и какво прави).
6. Не, но е необходимо да имат интернет достъп (дори и зад NAT).
7. Имаме писмена процедура по вид на пробива: архивиращ сървър, приложение, vault или акаунт. Тя включва незабавно спиране на декриптирането, преглед в дневника кои архиви са отваряни, смяна на ключовете и паролите и уведомяване на засегнатите клиенти без излишно забавяне (по DPA). При лични данни се уведомява и КЗЛД в срок до 72 часа.
От страна на клиента: 2FA вход (собственика на организацията може да задължи членовете да го ползват с настройка в app-a), списък на активните сесии с изход от всички, дневник на действията (кой, кога, откъде) и скрипт за премахване от рутера.
8. За сега само с автоматизиран тест за сигурност от Pentest-Tools с резултат: Overall risk level: Low.
9. След края на всеки абонаментен план има 7 дни, в които всичко работи. След това организацията минава в режим само за четене: архивирането спира, но данните остават достъпни за изтегляне. След 90 дни в този режим организацията се закрива автоматично, а собственика получава имейли 30 и 7 дни преди това.
Собственикът може и сам да закрие организацията по всяко време. 7 дни след това (срок, в който собственика може да промени мнението си и да възстанови организацията) устройствата и всички архиви се изтриват от всички сървъри, а ключът на организацията във vault-а се изтрива, така че дори останал файл вече не може да се отвори.
На основния сървър пазим snapshots (за бекъпи), които се изтриват до 14 дни. Фактурите се пазят 10 години по закон. 

Надявам се, че съм бил достатъчно подробен в отговорите. С удоволствие ще отговоря на още въпроси!