Gestão de infraestrutura Proxmox com LoboGuard-DC

Alejandro Pasquín · Diretor Consultoría y Gestión Sociolaboral

Na Consultoría y Gestión Sociolaboral, trabalhamos com uma infraestrutura baseada em Proxmox que é atualmente constituída por quatro clusters, dois dos quais estão instalados on-premise e outros dois alojados na OVH.

Estes clusters alojam as máquinas dos nossos clientes. Normalmente, cada cliente tem a sua própria máquina e acede-lhe através de uma VPN para utilizar o software de que necessita.

Até agora, a infraestrutura tem funcionado corretamente, mas, à medida que foi crescendo, também nos deparámos com a necessidade de gerir muitas coisas de forma independente. Como não dispúnhamos de uma ferramenta que nos permitisse ter uma visão mais global, para determinadas tarefas tínhamos de aceder aos diferentes clusters e verificar tudo separadamente.

Um dos melhores exemplos era a verificação dos backups. Para nós, sempre foi importante não nos limitarmos a saber que um backup tinha sido concluído com sucesso, mas também garantir que, quando chegasse o momento, conseguiríamos efetivamente recuperar a máquina. O problema é que fazer esta verificação de forma adequada requer tempo. As nossas máquinas têm, em média, aproximadamente 500 GB de dados, e uma recuperação completa, juntamente com as verificações posteriores e a documentação das evidências, exige bastante tempo por máquina.

Anteriormente, conseguíamos realizar estas verificações, no máximo, aproximadamente uma vez a cada três meses, porque era difícil encontrar as horas necessárias para repetir o processo para todos os nossos clientes. Como esta é uma questão que considero muito importante, ter tanto tempo entre uma verificação e outra deixava-me sempre com alguma preocupação.

Agora já não dependemos de encontrar um momento adequado para o fazer. Agendamos a tarefa, ela é executada e, quando termina, recebemos o resultado diretamente por e-mail.

Até o próprio assunto do e-mail é muito prático, porque indica que ação foi realizada, em que máquina foi realizada e se o resultado foi bem-sucedido ou se ocorreu uma falha. Se estiver tudo bem, basta olhar para o assunto para sabermos que a tarefa foi concluída corretamente. E, se houver algum problema, entramos no sistema e verificamos o que aconteceu.

O relatório também nos fornece muito mais informação do que um simples «está tudo OK», que é precisamente aquilo de que precisamos. Podemos consultar as evidências da recuperação, os serviços que estavam em execução na máquina recuperada e até uma captura de ecrã da consola. Estas evidências são também assinadas através de uma autoridade de carimbo temporal de confiança, uma funcionalidade que considerámos realmente interessante. Se, em algum momento, precisarmos de apresentar esta informação a um auditor, temos a documentação correspondente sem termos de dedicar as horas de trabalho que anteriormente eram necessárias.

Outra funcionalidade que incorporámos foi o scanner de vulnerabilidades, aproveitando o facto de este módulo estar incluído na licença que adquirimos. Neste caso, a análise é realizada ao nível do cluster, o que nos permite ter uma visão global do ambiente. Podemos definir diferentes agendamentos em função da criticidade e da exposição de cada ambiente.

Estamos também a utilizar a proteção anti-ransomware, que é outro dos pontos que consideramos interessantes, apesar de já dispormos de outras ferramentas de segurança, como o Bitdefender GravityZone. Não se baseia numa única camada de proteção, mas em diferentes mecanismos que funcionam em paralelo. Por um lado, existe a proteção ao nível da máquina virtual, caso optemos por ativá-la, com isolamento automático e snapshots forenses; por outro, temos o bloqueio do tráfego Tor de saída e o bloqueio de ameaças ao nível do cluster, utilizando a lista de reputação FireHOL Level 1.

Ter estas camadas a trabalhar em conjunto proporciona-nos uma proteção adicional que consideramos muito útil. Quanto mais proteção, melhor.

No final, aquilo que mais notámos com o LoboGuard-DC foi uma mudança na nossa forma de trabalhar. Antes, muitas destas tarefas dependiam diretamente de nós e de conseguirmos encontrar o momento certo para as realizar. Agora podemos definir como queremos que sejam executadas e com que frequência, deixá-las agendadas e receber posteriormente o resultado.