Service Continuity

RECHENZENTREN
Proserver1.at betreibt die Hauptinfrastruktur in einem Rechenzentrum der IT & TEL in Oberösterreich, Wels
in dezidierten Serverschränken. Das Rechenzentrum ist ISO/IEC 2700 zertifiziert
Die Stromversorgung wird duch die SLA „Strom Premium“, bestehend aus 2 Stromkreisen redundanten USV-
Versorgungen und redundanten Notstromversorgungen, mit 99,9% Verfügbarkeit gedeckt.
Es besteht eine redundante Klimaanlage, it & tel garantiert, Temperatur und Luftfeuchtigkeit in allen
klimatisierten Bereichen konstant zu halten. Die Temperatur wird zwischen 18°C und 25°C gehalten. Die
relative Luftfeuchtigkeit wird zwischen 40% und 60% gehalten.
Alle RZ sind mit Branderkennungs- und auf Gas basierenden Brandlöschsystemen für die Erstbekämpfung
von Feuer ausgestattet. In unseren Gebäuden wird Stickstoff, Trigon oder Vergleichbares eingesetzt. Diese
Systeme funktionieren automatisch und werden fortlaufend überwacht (24×7). Alle Einrichtungen sind
gemäß den lokalen Brandschutzbestimmungen mit CO2 Handfeuerlöschgeräten ausgestattet.
Für zusätzlichen Brandschutz verwendet it & tel ein Raucherkennungs-Frühwarnsystem.
Die Gebäude sind als „Gebäude im Gebäude“ konzipiert und 24 Stunden am Tag durch elektronische
Einbruchsschutzsysteme geschützt. Identitätsnachweis ist Pflicht für Besucher und wird an Hand einer durch
den Kunden festgelegten Zutrittsliste überprüft. Alle Besuche werden registriert, Video-berwachungskameras
beobachten alle Aktivitäten in den Sicherheitszonen.
Auf Kundenwunsch und mit individuell gestaltbaren SLA betreibt proserver1.at auch hochverfügbare und
georedundat ausgeführte Systeme u.a. in Rechenzentrum von OVH in Frankreich und Deutschland sowie
projektbezogen zB auch in Raiffeisen-Rechenzentren. Alle Partner & Rechenzentren sind ausschliesslich mit
Sitz und Rechenzentrumsstandort innerhalb der EU.

Desasterfall Rechenzentrum:

Im Katastrophenfall / Komplettausfall des Rechenzentrum ohne absehbare Wiederinbetriebnhame zB. Durch
Erdbeben oder großflächige Brand- oder Wasserschäden können nur Systeme die schon georedundant
ausgelegt sind, weiterhin ausfallsfrei betrieben werden.
Alle anderen Systeme werden nach folgendem Notfallsplan reaktiviert:

) Schadensmeldung /Aktivierung Versicherungen
) Aktivierung / Buchung von Cloud-Infrastruktur bei bestehendne Partnern / innerhalb bestehender Verträge
) automatisierte Rekonstruktion der Core-Infrastruktur aus Out-Of-House Backups
) automatisierte Rekunstruktion der Kundeserver in der Reihenfolge der vereinbarten SLA (OOH)
) automatisierte Rekunstruktion der Kundendaten (OOH)

 

CONNECTIVITY

proserver1.at nutzt PI (provider independent) IP-Ranges die von RIPE vergeben werden. Das Routing erfolgt
daher via BGP announcments. Die Anbindung erfolgt mehrfach redundant über die IT & Tel die auch das
BGP auf redundanten Routern übernimmt. Das BGP routing erfolgt u.a. über Peerings in Frankfurt (DECIX) und Wien (VIX).
Die physiche Anbindung der Rechenzentren erfolgt aus mehreren Himmelsrichtungen über unabhängige
LWL Leitungen.
Inhouse im Rechenzentrum sind sowohl seitens der IT & Tel als auch von proserver1.at die Switches
redundant (und/oder als „Stacks“) ausgeführt, so dass ein Ausfall mehrere Komponenten auftreten muss im
eine Downtime zu verursachen. Die Firewalls und Router von proserver1.at sind redundant und
hochverfügbar ausgelegt.

 

 

IT & Tel schützt die eigene Infrastruktur gegen DdoS Attacken durch einen externen Service (Details dazu
wurden angefragt, liegen im Moment noch nicht vor). Dieser Service ist in den Standard SLA inkludiert. Es
werden zur Zeit auch Angebote für einen erweiterten DdoS Service für die proserver1.at eigene Infrastrutkur
eingeholt. Für Kunden die ein georedundantes, hochverfügbares System buchen, bieten wir optional in Kooperation mit
unseren Rechenzetrumspartnern ein weiteres sehr leistungsstarkes DdoS Produkt an.

Desasterfall Connectivity:

) Von einem Komplettausfall DECIX und VIX wird nicht ausgegangen. Wäre dies der Fall, wären große Teile
von Europa betroffen und somit auch unsere Rechenzentrumspartner im Ausland.
) Bei einem Totalausfall der Switch- oder Router-Infrastruktur steht Reserve-Hardware (cold standby) zur
Verfügung. Konfigurationen können aus dem Backup rekonstruiert werden.
) Im Fall einer DdoS Attacke liegen dem Bereitschaftsdienst alle notwendigen Kontakte vor um in
Kooperation mit entspechenden NOCs und den DdoS Dienstleistern Gegenmaßnahmen einzuleiten.

 

CLOUD INFRASTRUKTUR

Proserver1.at betreibt im o.g. Rechenzentrum eine private Cloud in der alle Infrastruktur- und Kundensystem
virtualisiert werden. Alle Komponenten sind prinzipiell redundant ausgelegt, bei diversen Storagesystemen,
entsprechenden SLA und auf Kundenwunsch auch mehrfach redundant (zb Ceph-Storage Cloud 3fach
redundant++).
Serversystem mit Standard-SLA werden nicht hochverfügbar ausgeführt, dh bei Ausfall eines Host-Servers
werden die Gast-Systeme (Kunden-Systeme) in der Downtime innerhalb der Cloud verschoben und können
erst danach wieder gestartet werden. Die reale Downtime hängt v.a. mit der größe der virtuellen Storages
zusammen.
Die Verfügbarkeit der Standard-SLA Server kann jederzeit auf Kundenwunsch erweitert werden.
Proserver1.at bietet hier mehrere Produkte und Schritte an. Beginnend mit „Shared Storage“, über
Hochverfügbare Server mit automatischer Umschaltung bis zu georedundaten Infrastrukturen und AnyCast
DNS-Services

Desasterfall Cloud-Infrastruktur:

) Im Katastrophenfall / Komplettausfall der privaten Cloud proserver1.at kommen die Schritte „Desaserfall
Rechenzentrum“ zum Einsatz, da hier die Auswirkungen quasi ident sind. Es ist auch sehr wahrscheinlich,
dass ein Ausfall der kompletten Cloud-Infrastruktur mit einem Gebrechen im Rechenzentrum
zusammenhängt.

TECHNIKER/IN

Proserver1.at betreibt mit seinem Team aus Techniker/innen einen 24/7/365 Bereitschaftsdienst. Diverse Monitoringsysteme notifizieren automatisiert immer den Bereitschaftsdienst. Die Verfügbarkeit von Diensten,
Connectivity und diversen anderen Parametern wird in den Systemen auch für Langzeitanalysen und
Prognosen erfasst. Der Bereitschaftsdienst bietet auch eine 24/7/365 erreichbare Störungshotline.
Mit allen Partnern (Rechenzentrum, Connectivity) bestehen ebenfalls entsprechende Verträge, die die mit
proserver1.at vereinbarten SLA niemals unterschreiten.

Ausfall Techniker/in:

) Bei Krankheit oder anderweitiger Nichterrechbarkeit einer/s Techniker/in ist immer ein „2nd Level Standby“
genannt. Diese/r ist ebenfalls erreichbar und wird den Dienst übernehmen.

Generelle Security Richtlinien proserver1.at

# Rechenzentren

Wir betreiben zur Zeit alle Server bei der ITandTel in Wels.
Diese Rechenzentren sind ISO/IEC 27001 zertifiziert:

24x7x365 Erreichbarkeit und Zutritt
Redundante High-Speed Glasfaseranbindung
providerunabhängig
Hochverfügbare Stromanbindung (99,9%)
Redundante USV Anlage mit Batterie und Generator
Energieeffizientes, redundantes Klimakonzept
Brandfrühesterkennung und Brandlöschanlage
Überwachung durch Netzwerk-Management und Building-Management-System
Protokolliertes Zutritts-System
Zertifizierung nach ISO/IEC 27001
Green IT: umweltschonend und sparsam

 

# Büro Infrastruktur + Mitarbeiter/innen

Die Kommunikation zwischen unseren Büroinfrastrukturen und Rechenzentren erfolgt ausschließlich über VPN-Verbindungen.
Mitarbeiter/innen “on the road” nutzen ebenfalls ausschließlich VPN-Verbindungen, Laptops von Techniker/innen sind voll verschlüsselt.
Es gilt eine strenge Passwort-Policy wobei alle relevanten Systeme nicht mit Passwort-Schutz sondern ausschließlich über valide Keys/Zertifikate erreichbar sind. Die CA wird von uns selbst, im RZ gesichert, verwaltet.

Es werden generell keine unverschlüsselten Medien außerhalb der Rechenzentren verwendet. Unverschlüsselte Datenverbindungen sind nicht möglich (es kommt vor allem SSH im VPN zum Einsatz).

Es gibt Out-Of-House Backupserver die nicht im Rechenzentrum und geografisch getrennt betrieben werden. Diese Server haben ebenfalls verschlüsselte Dateisysteme (luks/crypt), die Datensicherung erfolgt via VPN/SSH. Das Selbe gilt für externe Monitoring-Server.

Alle Mitarbeiter/innen haben ein NDA unterzeichnet und sind zu Stillschweigen verpflichtet. Es finden regelmäßig Teambesprechungen zum Thema Security statt, aktuelle Sicherheitslücken, Social-Engineering und Vorfälle der Vergangenheit aber auch absehbare Bedrohungen der Zukunft sind dabei immer ein Thema. Fachliteratur zum Thema und Besuch von einschlägigen Veranstaltungen sind Pflicht.

 

# Technische Infrastruktur

Alle unsere Server werden mit GNU/Linux in aktueller, gewarteter Version betrieben.

Das Netzwerk ist stark segmentiert und in unterschiedliche Sicherheits-Zonen unterteilt. So werden diverse LAN-Segmente, Backup-,
Monitoring, Konfigurations-, Kunden-Server und Managed-Services unterschieden und entsprechend physisch getrennt geführt.

 

Wir verfügen über ein Patch-Management, Updates werden mindestens täglich eingespielt. Bei schweren Sicherheitslücken reagieren wir
prompt. Alle Server sind außerdem durch IPS, Integrity Checker und das Monitoring überwacht.

Das Monitoring meldet hierbei auch “verdächtige” Aktivitäten (zb geografisch verteilte Logins auf den selben Account innerhalb kurz Zeit,
öffnen von Netzwerkverbindungen die auf C&C hinweisen, usw usf..).

Server Daten werden statistisch erfasst und heuristisch ausgewertet um Trends oder Auffälligkeiten frühzeitig erkennen zu können.

Unsere Technik ist 24/7 erreichbar und greift bei Vorfällen prompt ein. Diese werden auch im Abuse-/und Incident Management erfasst und nach vorgefertigten Workflows abgehandelt.

Bei Incidents jeglicher Art (Spam, Einbruch in Systeme etc..)  werden Accounts oder Server sofort gesperrt und bei nicht angemessener Reaktion des Kunden auch gekündigt. Wir betreiben eine offene Informationspolitik, dh. Kunden werden immer von sicherheitsrelevanten Ereignissen informiert.