Sécurité et durcissement de la plateforme

< !--- ce document n'est pas spécifique au ne et pourrait être généralisable à la plupart des autres produits. Ce n'est pas non plus au niveau de l'utilisateur comment-to docs, beaucoup plus "à propos de Equinix". Il est très sur-détaillé, et n'est plus publié dans cette version des docs. Trouver d'autres endroits pour ce contenu--->

Cet article présente les politiques et procédures suivies par Equinix pour protéger votre matériel et vos données.

Les équipes et programmes suivants examinent, évaluent et améliorent les pratiques d'Equinix en matière de sécurité :

1. Audits et conformité – nous nous conformons formellement à diverses normes industrielles, telles que ISO 27001, SSAE16 et PCI DSS. Les attestations et certificats d'audit sont fournis par des vérificateurs tiers qualifiés. Ces auditeurs coordonnent les activités avec diverses équipes commerciales et technologiques, comme les services d'assurance commerciale, la vérification interne et les opérations.
2. Équipe de sécurité des informations – en étroite collaboration avec l'organisation juridique, cette équipe est chargée de suivre les directives mondiales et des unités commerciales afin de garantir la conformité aux lois et réglementations locales et fédérales.
3. Politiques de sécurité de l'information – L'équipe de sécurité de l'information administre et applique un ensemble complet d'informations internes confidentielles qui sont examinées et approuvées par la haute direction. Cette équipe s'assure que les politiques internes ont une portée mondiale, en mettant l'accent sur les lois, réglementations et exigences commerciales spécifiques à chaque pays et région.

Les domaines couverts par ces politiques de sécurité interne sont les suivants

* Utilisation acceptable de la technologie
* Anti-virus et logiciels malveillants
* Sauvegarde et conservation des données
* Classification, étiquetage et manipulation des données
* Accès logique
* Mots de passe
* Gestion des correctifs
* Appareils mobiles
* Ordinateurs personnels
* Accès à distance et VPN
* Médias sociaux

note

Ces politiques internes sont rigoureusement appliquées. Ils sont examinés annuellement pour établir leur pertinence et leur exactitude. De nouvelles politiques sont introduites au besoin.

Sécurité des services de la Fabric Fabric d'Equinix

Séparation du trafic

Fabric utilise une technologie éprouvée pour assurer la séparation du trafic entre les clients. MPLS L3VPN (VRF) et instances L2 EVPN par client ou connexion client. Le tout est provisionné à l'aide d'une configuration automatisée et, sans modification de configuration, aucune donnée n'est disponible en dehors des connexions Fabric du client. Toutes les modifications de configuration (automatisées ou manuelles en cas de diagnostic de panne) sont consignées et surveillées pour détecter les anomalies. La configuration active de tous les périphériques réseau est constamment comparée à la configuration enregistrée et toute anomalie est signalée et corrigée.

Propriété et cryptage du trafic

Toutes les données transportées sur la plate-forme Fabric appartiennent au client et, comme Equinix n'a aucun moyen de savoir quelles données sont transportées et à quels cadres réglementaires ces données sont soumises Equinix ne fournit pas de conseils sur la façon de chiffrer les données transportées. Il est de la responsabilité du client de traiter les données en transit conformément à ses exigences réglementaires. Equinix ne dispose d'aucun mécanisme déployé pour surveiller ou intervenir sur le trafic transporté sur les connexions Fabric

Interfaces de gestion

Toutes les interfaces de gestion des dispositifs de réseau qui font partie de la plateforme Fabric sont connectées à notre infrastructure de gestion interne et aucune interface de gestion n'est exposée ou connectée à Internet.

Sécurité informatique des entreprises

• Pare-feu Internet – Equinix déploie des pare-feu de nouvelle génération qui fournissent un antivirus, la détection et la prévention des intrusions, le filtrage des URL et le contrôle des applications. Les événements détectés par les pare-feu sont transmis à un système global de gestion des incidents et événements de sécurité (SIEM).
• Courrier électronique - Une passerelle antivirus et antispam assure la défense contre les menaces provenant du courrier électronique.

Ordinateurs de bureau et portables du personnel d'Equinix

• Durcissement – les ordinateurs de bureau et portables Equinix sont renforcés. Les directives et normes de durcissement Equinix sont documentées et appliquées lors de la construction du système.
• Antivirus et programmes malveillants : les ordinateurs de bureau et portables Windows et Mac doivent exécuter des logiciels antivirus et anti-malware dotés d'une protection en temps réel pour les fichiers et les applications. Les fichiers infectés sont mis en quarantaine.
• Contrôle à distance - Une technologie de contrôle à distance sécurisée est utilisée pour aider le personnel en cas de problèmes techniques.
• VPN d'accès à distance : les membres du personnel qui accèdent à distance aux réseaux ou systèmes d'entreprise Equinix doivent utiliser les solutions d'accès à distance et VPN fournies par l'entreprise à l'aide d'une authentification à deux facteurs. Les systèmes clients se connectant à des serveurs de bureau distants doivent être attribués et contrôlés par le SERVICE INFORMATIQUE de l'entreprise.
• WiFi : les réseaux WiFi sont séparés des réseaux d'entreprise Equinix. Un utilisateur connecté au WiFi peut accéder au réseau de l'entreprise via un VPN d'accès à distance.

Serveurs d'entreprise Equinix

• Durcissement - Les directives et les normes de durcissement d'Equinix sont documentées et appliquées lors de la construction des systèmes.
• Antivirus et malware – les serveurs Windows doivent exécuter des logiciels antivirus et anti-malware offrant une protection en temps réel pour les fichiers et les applications. Les fichiers infectés sont mis en quarantaine.
• Analyses – les analyses de vulnérabilité sont effectuées en interne sur une base hebdomadaire et à la demande. Les applications doivent passer des analyses de vulnérabilité et de sécurité complètes avant d'être rendues publiques.
• Journalisation – les accès réussis et infructueux aux systèmes sont consignés pour analyse. L'utilitaire standard SUDO est utilisé sur les systèmes UNIX. Les journaux sont introduits dans un SIEM et conservés pendant au moins 90 jours.

Sécurité physique du centre de données IBX

La sécurité physique de chaque centre de données IBX est une priorité opérationnelle élevée. Chaque centre de données utilise un ensemble d'équipements, de techniques et de procédures de sécurité pour surveiller l'installation et pour contrôler et enregistrer l'accès.

• Accès – le sous-système de contrôle d'accès permet aux utilisateurs autorisés à l'intérieur du bâtiment et à l'intérieur de l'installation. Les lecteurs biométriques de géométrie des mains ou d'empreintes digitales, les cartes de proximité et d'autres technologies permettent aux utilisateurs de s'identifier au système et, après authentification, d'accéder à des zones spécifiques à l'intérieur des locaux de l'installation.

• Surveillance des alarmes et détection des intrusions – le sous-système de surveillance des alarmes et de détection des intrusions surveille l'état des divers dispositifs associés au système de sécurité. Il s'agit notamment de contacts d'alarme, de détecteurs de bris de vitre, de détecteurs de mouvement et d'interrupteurs d'autosurveillance. Si l'état de l'un de ces dispositifs change de son état sécurisé, une alarme est activée, l'événement est enregistré et les mesures appropriées sont prises.

• CCTV – le sous-système de télévision en circuit fermé permet l'affichage, le contrôle, l'enregistrement et la lecture de vidéos en direct à partir de caméras dans l'ensemble de l'établissement, ainsi qu'à l'extérieur de l'établissement lorsque la loi l'autorise. Ce système est intégré au sous-système de surveillance des alarmes et de détection des intrusions, de sorte qu'en cas d'alarme, des caméras peuvent être activées pour enregistrer l'événement.

  note

  La vidéosurveillance fonctionne 24 heures sur 24, tous les jours.

• Interphone audio et sous-système radio bidirectionnel – le sous-système d'interphone audio assure des communications bidirectionnelles entre les visiteurs de l'établissement et l'agent de sécurité. Le sous-système radio bidirectionnel assure également la communication entre le garde du hall avant et le garde de patrouille.

• Tests d'intrusion - Des tests d'intrusion sont effectués périodiquement sans que le personnel du site en soit averti à l'avance.

• Personnel de sécurité — recrutement et formation – Equinix s'appuie sur des fournisseurs et partenaires leaders du secteur pour gérer l'infrastructure physique de chaque datacenter IBX. Le personnel de sécurité est soumis à des vérifications de ses antécédents et de ses antécédents judiciaires et est tenu de suivre une formation en matière de sécurité lorsqu'il est embauché et périodiquement par la suite.

• Protocoles d'urgence pour les clients et les visiteurs : en cas d'urgence, les membres du personnel du datacenter IBX fournissent des directives. Les clients et autres visiteurs sur les lieux sont tenus de suivre toutes les instructions données.

• Enregistrement vidéo et photographie ‑ afin de protéger les installations et de préserver l'anonymat de tous les clients des centres de données IBX, aucune photographie ou vidéographie n'est autorisée dans le centre de données IBX. Les clients dans les cages autorisées peuvent demander des photographies de leurs cages et de leur équipement lorsqu'ils planifient une visite.

  note

  Toute photographie nécessite la présence d'un technicien d'Equinix.

• Suivi des actifs : les clients et leurs fournisseurs, sous-traitants et sous-traitants livrent et retirent souvent des équipements d'un datacenter IBX par le biais du hall d'entrée. Les règles suivantes s'appliquent au suivi des actifs :

  • Les sacs et objets portés à la main peuvent faire l'objet d'une fouille dans la mesure où la loi le permet.
  • Les équipements retirés d'un centre de données IBX qui n'ont pas été apportés ce jour-là doivent être répertoriés sur le ticket de service comme équipements pouvant être retirés. La description des éléments doit être claire pour une identification précise de l'équipement.
  • L'équipement expédié à destination et en provenance de l'installation est géré par le service d'expédition et de réception, qui est séparé de la zone de co-implantation. Les clients doivent ouvrir un ticket de demande de service d'expédition pour recevoir l'équipement.

• Signalisation de la cage – la politique de Equinix est de ne pas divulguer l'emplacement physique de la cage du client. Cependant, les clients peuvent afficher la signalisation de cage après approbation par Equinix.

  note

  Les panneaux de cage sont limités aux cages privées et ne peuvent pas être utilisés dans les cages partagées ou les espaces revendeurs.

Opérations

Équipe de gouvernance de la sécurité du centre de données IBX

L'équipe Cloud Exchange Security Governance est chargée de promouvoir la connaissance et le respect des politiques, procédures et normes de sécurité internes applicables aux déploiements Equinix Fabric tels que Network Edge.

Maintenance contrôlée

Les modifications de routine, d'urgence et de configuration apportées à l'infrastructure du réseau de services Equinix sont autorisées, enregistrées, testées, approuvées et documentées.

Demandes de modification

Les demandes de modification sont des documents officiels archivés qui décrivent les modifications apportées à tout aspect d'Equinix Fabric ou Network Edge ayant un impact sur le client.

Commission d'examen des modifications

Le comité de révision des changements convoque une révision hebdomadaire des documents de demande de changement. Le conseil d'administration comprend les parties prenantes appropriées, y compris des experts des équipes techniques, de publication et de gestion de projet. Le tableau hiérarchise les demandes de changement et attribue des fenêtres temporelles spécifiques pour les changements.

Annulation des modifications

Les demandes de changement doivent inclure des plans de retour en arrière, au cas où le changement aurait un impact négatif sur l'environnement de production.

Gestion des problèmes

Les problèmes sont gérés et suivis de manière formelle, de la détection à la résolution, à l'aide d'un système de tickets.

Escalades

Des politiques et des processus opérationnels publiés sont en place pour les procédures d'escalade en contact avec les clients.

Equinix Fabric et Network Edge Service Network Security

Network Edge utilise le réseau et la plate-forme Equinix Fabric pour son interconnexion. Sauf indication contraire ci-dessous, les mêmes règles s'appliquent aux deux gammes de produits.

Bastion

L'accès administratif au réseau de service Equinix Fabric n'est possible que par l'intermédiaire d'un hôte bastion.

Authentification, autorisation et comptabilité (AAA)

Les périphériques du réseau de service Equinix Fabric utilisent TACACS+ pour les services AAA. Les membres du personnel impliqués dans l’administration du réseau de services Equinix Fabric bénéficient d’un accès basé sur le modèle du « privilège minimal », leurs droits d’accès étant proportionnels à leur fonction. Les tentatives réussies et infructueuses d'accès aux périphériques réseau sont consignées à des fins d'analyse et d'alarme.

Ce même modèle est suivi pour l'infrastructure Network Edge, y compris les ressources de calcul et d'hyperviseur.  L'accès TACACS et LDAP est limité au niveau de la commande sur toutes les infrastructures et périphériques virtuels dans lesquels l'accès à l'orchestration administrative est nécessaire.

Outils de gestion

Les outils de gestion des services sont soumis aux contrôles AAA. Les configurations qu'ils régissent sont contrôlées par révision, horodatées et consignées.

Seules les sessions qui proviennent du périphérique virtuel seront autorisées à accéder aux outils externes ; seul le trafic de retour pour la même session sera autorisé à revenir.  Avec les outils d'orchestration et de gestion internes, seules les sessions provenant de l'OSS Equinix seront autorisées à accéder au périphérique virtuel.  Le réseau de gestion du service Equinix utilise uniquement l'espace d'adressage RFC 1918 privé.

Pour valider les licences, le périphérique virtuel peut avoir besoin d'appeler en dehors du réseau privé.  Seules les sessions de sortie avec état provenant du périphérique seront autorisées vers des adresses autorisées spécifiques approuvées par le fournisseur de ce périphérique.

Plan de gestion des équipements de réseau

Les contrôles du plan de gestion incluent l'utilisation des services AAA. Les sessions d'administration à distance sont chiffrées (c'est-à-dire à l'aide de SSH) et expirent après une période d'inactivité appropriée. L'accès administrateur et les modifications de configuration sont consignés. Les listes de contrôle d'accès (ACL) limitent le trafic vers/depuis uniquement les adresses IP source et de destination requises. Les configurations par défaut des fournisseurs sont modifiées conformément aux recommandations de sécurité du fabricant.

L'accès à la racine n'est pas autorisé.

Accessibilité des dispositifs virtuels en Network Edge

L'accès des utilisateurs ou des clients aux périphériques se fait via SSH ou un logiciel authentifié par le fournisseur (tel qu'un portail SaaS pour SD-WAN), et est géré jusqu'au niveau de la commande pour tous les périphériques.  L'accès à l'appareil et les informations d'identification sont à la seule discrétion de l'utilisateur/propriétaire de cet appareil.  Les informations d'identification SSH sont gérées par l'utilisateur à partir du portail ou de API.  À aucun moment, le personnel de Equinix n'a l'autorité ou la capacité d'ajouter, de supprimer ou de modifier les informations d'identification établies par le propriétaire du périphérique virtuel.

L'accès à l'appareil via SSH doit se faire via l'interface Internet publique fournie par Equinix ou l'interface réseau fournie par le client.  Les utilisateurs doivent autoriser la liste de toutes les adresses IP et sous-réseaux nécessitant un accès, sinon la plate-forme Network Edge refusera la demande de connexion.

Le nombre de sessions SSH est limité à 5 et un délai d'inactivité de 5 minutes s'applique.

Plan de contrôle des dispositifs du réseau

Les contrôles du plan de contrôle incluent la limitation du débit sur le trafic destiné au périphérique lui-même (ICMP, ARP, BGP, SSH, SNMP) et les protocoles applicatifs de base tels que DNS afin de se défendre contre les attaques par déni de service. Le trafic à destination et en provenance de réseaux non autorisés et non valides est bloqué. L'authentification MD5 est utilisée pour les échanges de messages de protocole et les mises à jour (IGP/ LDP/ BGP).

Dispositif de réseau Plan de transfert

Les plans de transfert des clients sont isolés de leurs propres tables de routage et de transfert virtuel (VRF) et VPN de couche 2 et/ou de couche 3. Les limites maximales de préfixe BGP ainsi que les limites sur le nombre maximal d'adresses physiques (MAC) sont utilisées pour protéger les ressources et se défendre contre les attaques par déni de service.

Equinix n'effectue aucune compression ou déduplication des paquets de données.  Equinix n'utilise pas FEC sur le Equinix Fabric et utilise uniquement l'équilibrage de charge de flux, de sorte qu'il n'y a jamais de réordonnancement de paquets qui nécessiterait une inspection de paquets.

Infrastructure Network Edge

Tous les services liés au service Network Edge disposent de ports ouverts limités, et l'hyperviseur et l'orchestration sont basés sur des conteneurs.

Network Edge Internet Access

Tout le trafic Internet passe par la passerelle Internet et l'infrastructure du service Equinix Internet Access. Ce service comprend une protection DDoS avancée et des protections de trou noir à déclenchement à distance.

Seul l'appareil virtuel peut ouvrir une session avec le monde extérieur par l'intermédiaire de l'interface internet fournie, y compris les tunnels VPN entre l'appareil virtuel et n'importe quel autre endroit.

Portail client et interfaces de programmation d'applications (API)

Gestion des identités et des accès

Equinix fournit aux clients des fonctionnalités de gestion des identités limitées à la portée de l'ECP et du portail Cloud Exchange. Dans le cadre du processus de provisionnement, Equinix crée un compte administrateur principal pour le client. L'administrateur principal peut ensuite créer, modifier, désactiver et supprimer des comptes utilisateur client, y compris d'autres administrateurs principaux. Les administrateurs principaux attribuent des rôles et des privilèges aux comptes d'utilisateur client en fonction des besoins du client. Bien que les fournisseurs de services cloud puissent fournir leurs propres systèmes de gestion des identités et des accès, ils sont distincts de ceux proposés par ECP.

Interfaces de programmation d'applications (API)

Equinix propose un Network Edge API dont la fonctionnalité inclut la récupération d'informations sur les ports Equinix Fabric et les connexions virtuelles et l'exécution d'opérations sur ces ports. L'authentification et l'autorisation sont effectuées à l'aide de la norme OAuth 2,0. Bien que les fournisseurs de services cloud puissent fournir leurs propres API, elles sont distinctes de celles proposées par Equinix.

Accès aux données des clients

Equinix n'accède pas et ne doit pas accéder aux données de transit des clients Network Edge ou Equinix Fabric, que ce soit en mouvement ou au repos. Comme décrit dans ce document, des contrôles physiques et logiques sont en place pour empêcher, surveiller et détecter toute partie non autorisée accédant ou tentant d'accéder aux données de transit des clients.

Sécurité des données, cycle de vie de l'information, cryptage et gestion des clés

Equinix Fabric and Network Edge fournit une connectivité réseau directe entre les clients cloud et les fournisseurs de services cloud sans accéder aux données, les inspecter, les manipuler ou les copier. Les clients sont responsables de la sécurisation de tous les aspects des données transitant par Equinix Fabric conformément à leurs besoins de sécurité, à leurs politiques et à toutes les exigences réglementaires ou légales applicables.

Données de configuration de la périphérie du réseau

Equinix conserve une version actuelle et un historique de l'ensemble de la configuration de chaque périphérique virtuel mis en service. Cela inclut le système d'exploitation et les paramètres du périphérique, l'adressage de l'interface et d'autres détails.

Données d'événement Network Edge

Equinix conserve un enregistrement continu de tous les événements administratifs et de gestion des modifications consignés avec chaque périphérique. Cela inclut les réussites et les échecs de connexion et de déconnexion de l'appareil, du portail et des API, les modifications apportées à la configuration par les utilisateurs ou administrativement par orchestration Equinix, les modifications de l'état des interfaces et d'autres événements courants. Les utilisateurs peuvent y accéder directement à partir de l'appareil ou le demander au personnel Equinix. A aucun moment, ces données ne sont associées à des données de privilège d'accès utilisateur (telles qu'un nom d'utilisateur complet et un mot de passe).