ASP4all ontwikkelde en realiseerde samen met SecureLink een ‘state-of-the-art’ Managed Security Cloud-referentiearchitectuur voor onder meer een departement van de Rijksoverheid. Jeroen van der Meer – CTO van ASP4all – en Marc Guardiola – Lead Architect & Manager Innovation bij ASP4all vertelden op het event over het concept en ontwerp van een ‘digitale wasstraat’. Zo’n ‘digitale wasstraat’ inspecteert en ontdoet al het dataverkeer van en naar de klant van bedreigingen. Zij lieten tot op het technische detail zien hoe je met top-of-the-line securityoplossingen van bijvoorbeeld Palo Alto Networks, Bluecoat Web gateways en packet shaper, Verisign anti-Ddos, F5 Big-IP, Cisco Ironport en Cisco Flexpod-technologie, de ‘foutkans’ op bedreigingen maximaal kunt verminderen. En de zichtbare en minder zichtbare ICT-beveiligingskosten drastisch kunt verlagen.

1. Hoe ontwerp en realiseer je een
‘digitale wasstraat’?
Basis
Browsing
Introductie
Conclusie & Contact
Context
Hosting

2. Wie zijn wij
Jeroen van der Meer
 In IT sinds 1984
 CTO
 Systems programming
 Datacenter design & Automated
operations
 Outsourcing achtergrond
Marc Guardiola
 In IT sinds 1997
 Lead Engineer & Manager Innovation
 Engineering & architecture met Linux,
Networking & Security
 CISSP-ISSAP, CEH

3. Bitbrains is
gespecialiseerd in
high performance
computing en
ultrasnelle levering van
PoC’s
ASP4all is
gespecialiseerd in
migratie, hosting
en beheer van
bedrijfskritische
applicaties.
ASP4all Bitbrains
Top 3
175+
Personeel
3000+
Servers

4. Marktontwikkelingen
 Werkveld is veranderd van Managed Hosting
naar “Reputation Hosting”
 Security technologie “versnipperd”
 Patriot Act en NSA
 DDoS

5. Context
REPUTATIONSecured
zones
Secured
mail
Secured
web
Secured
systems
Content
scanning
Reverse
proxy
Encryption
Disaster
recovery
Infra
scaling
Bandwidth
mgmt
DDoS
Intrusion
prevention

6. Klant

7. Basis infra
Public
Internet
Trusted
partners
Internal
WAN
Zonering
Public
Internet
Trusted
partners
Internal
WAN
Zonering
DC1 DC2
Encryption
Encryption
Encryption
Encryption
External
Internal
A
A
A
A
A

8. Zonering en componenten
Zonefirewall
Diensten
11
12
13
VLAN TL2: Besloten
31
32
33
21
22
23
34
35
36
37
Mail
Forward Proxy
Resolving DNS
Authoritative
DNS
VLAN TL1: PubliekVLAN AL1: Beperkt
File
24
25
Mail
Forward Proxy
26
Forward Proxy AV
NTP
10G 10G
27
Authoritative
DNS
Zonefirewall
Diensten
11
12
13
VLAN TL2: Besloten
31
32
33
21
22
23
34
35
36
37
Mail
Forward Proxy
Resolving DNS
Authoritative
DNS
VLAN TL1: PubliekVLAN AL1: Beperkt
File
24
25
Mail
Forward Proxy
26
Forward Proxy AV
NTP
10G 10G
27
Authoritative
DNS
Zonefirewall
Diensten
11
12
13
VLAN TL2: Besloten
31
32
33
21
22
23
34
35
36
37
Mail
Forward Proxy
Resolving DNS
Authoritative
DNS
VLAN TL1: PubliekVLAN AL1: Beperkt
File
24
25
Mail
Forward Proxy
26
Forward Proxy AV
NTP
10G 10G
27
Authoritative
DNS
Zone firewall
Diensten
10G 10G
AL1: Beperkt

9. Scheiding
Fysieke versus logische scheiding
 Snijverliezen, investering
End-to-end logische scheiding
 Zone firewall
 Switch
 Compute
 Virtualization

10. Scheiding
FEX A
FIA FIB
FEX B
Besloten Beperkt Publiek
A1 A2 B1 B2
1 2 3 456 7 8 9
Portchannel Portchannel
Secondary path
Primary path
256 vNICs
OS / Hypervisor
Visibility
4
3
2
1
4
3
2
1
1240 VIC
VN-TAG Trunk
802.1Q Trunk
1
16 Host ports 16 Host ports
2 1 2
1 2Zone firewall
1 2 3 4 5 6

11. Scheiding
FEX A
FIA FIB
FEX B
21
22
23
11
12
13
1
2
3
VLAN
Publiek
VLAN
Beperkt
VLAN
BeslotenVmware server 1
A1 A2 B1 B2
1 2 3 456 7 8 9
Portchannel Portchannel
Secondary path
Primary path
256 vNICs
FC1 FC2
vSwitch
TL2
vSwitch
TL1
vSwitch
AL1
NFS
OS / Hypervisor
Visibility
4
3
2
1
4
3
2
1
1240 VIC
VN-TAG Trunk
802.1Q Trunk
1
16 Host ports 16 Host ports
2 1 2
VMware server 1
1 2 3 4 5 6

12. Design for failure

13. Webbrowsing
Customer Wasstraat Internet
Anti-Virus
App check
CONNECT
www.google.nl:443
ACL
Blacklisting
Categorize App check
App check Anti-Virus
Anti-Malware
App check
Anti-Virus
Anti-Malware

14. Mail
Customer Wasstraat Internet
App check
DKIM
SPF
DMARC App check
App check DKIM
SPF
DMARC
Anti-Virus
Anti-Malware
Blacklisting
Quarantaine
App check
Anti-DDoS
Anti-Virus
Anti-Malware

15. Hosting
Webserver Wasstraat Internet
Anti-Virus
Anti-Malware
Anti-Vulnerability
Loadbalancing
WAF
Caching
SSL Offloading
App check
DDoS check
Anti-Virus
Anti-Malware
App check Caching App check

16. Conclusie: Defence in-depth!
Policies, Procedures,
Awareness
Physical
Perimeter
Internal network
Host
Application
Data
ISO27001, ISAE3402 type II
Tier3+ Datacenters
Anti-DDoS, L7 Firewall / IDP
WAF, Zoning/IDP, Web&Mail
security
Hardened OS & Middleware
Standard frameworks, patched &
audited
Enterprise storage

17. “Een ontwerp kan
sterven in schoonheid…”
Conclusie

18. Conclusie
Maar… ASP4all & Securelink
hebben dit daadwerkelijk
gerealiseerd!
 >36000 end users
 400 servers
 75 koppelingen met externe
netwerken
 70 TB raw storage
Binnen budget, binnen tijd

19. Meer weten ?
 Jeroen van der Meer: jmeer@asp4all.nl
 Marc Guardiola: mguardiola@asp4all.nl
Voorbeeld klantcase:
http://www.asp4all.nl/over-asp4all/klantervaringen/
ministerie-van-veiligheid-en-justitie

20. Bedankt voor uw aandacht!