Security architectuur template (DMZ)

Inleiding

Verschillende geo / GIS applicaties welke gebruik maken van externe toegang en die gebaseerd zijn op de bouwsteen ArcGIS Enterprise lijken op elkaar qua security architectuur. Voor het aanvragen van een security review kan vervolgens verwezen worden naar deze template om het proces te standaardiseren en te vereenvoudigen, en om ook de review door de security architectuur te ondersteunen.

Uitleg van de template

Vanuit de onvertrouwde zone bereikt een gebruiker de GIS services. Hij/zij komt binnen op de externe Netscaler en gaat dan door naar de Web Adaptor onder IIS (rws-epvw-agw250) in de DMZ in tier 1. De functie van de web adaptor is die van reverse proxy en het filteren van het webverkeer, zorgen dat interne poorten niet naar buiten toe open staan, alleen poort 443 voor https. De web adaptor staat zowel voor de portal machine als de ArcGIS Server machine. Omdat het een gefedereerde omgeving is, gaat de gebruiker voor authentication altijd via de ArcGIS Portal omgeving (rws-epvw-agp250), en daarna door naar de ArcGIS Server machine (rws-epvw-ags250).

Voor raster bestanden kan er optioneel gebruik gemaakt worden van een fileshare, die gesynced wordt vanuit een fileshare in de vertrouwde zone (van binnen naar buiten).

Voor vector data wordt een TCP verbinding over poort 5444 gelegd tussen de ArcGIS Server in de semi-vertrouwde zone en een PostgreSQL database in de vertrouwde zone (tier 3). Het database account wat gebruikt wordt heeft de rechten zoals gespecificeerd in de template variable $DB_account. Omdat er kopie databases zijn is de data opgeefbaar.

In het geval van beveiligde services is er een extra knop toegevoegd aan de Portal login die via SAML verbinding legt met Forgerock AM voor (onder andere) e-herkenning. Dit betekent dat als je een beveiligde service probeert te benaderen zonder dat je al geauthenticeerd bent, dat je naar de Portal login pagina verwezen wordt om eerst in te loggen. Toegang vanuit ArcGIS Online (SaaS/cloud dienst, ook SBB) wordt geregeld door midddel van system-to-system communicatie via een token-based trust.

Variabelen in deze template

SAK Content Security Management – Toepassing

De architectuur borgt Content Security Management door het toepassen van classificatie, toegangscontrole, netwerksegmentatie en gecontroleerde datastromen.
Binnen de template is expliciet ruimte opgenomen voor data_classificatie en AVG-indicatie, waarmee invulling wordt gegeven aan het identificeren en labelen van content conform RWS-beleid. Verdere concretisering van classificatie en bijbehorende maatregelen ligt bij projecten die de template toepassen.
Toegang tot niet-openbare data wordt afgedwongen via Role-Based Access Control (RBAC). Hierbij is gevoelige informatie uitsluitend toegankelijk via beveiligde applicatieservices en niet direct benaderbaar vanuit externe of ongecontroleerde omgevingen. De verbinding tussen applicatie en database (user-context) is ingericht volgens het least privilege principe, waarbij alleen minimale benodigde rechten worden toegestaan.
De applicatieserver (ArcGIS Server) maakt gebruik van een service-account richting de database. Deze verbinding is functioneel afgeschermd door netwerksegmentatie (NSX), waardoor het risico op ongeautoriseerde toegang wordt beperkt. Hoewel deze verbinding niet versleuteld is middels SSL/TLS, wordt dit risico gemitigeerd door de positionering binnen een gecontroleerde en gesegmenteerde vertrouwde zone.
Contentstromen tussen zones worden gecontroleerd afgehandeld. De inzet van een Netscaler als extern toegangspunt draagt bij aan het beschermen van content door het afdwingen van gecontroleerde toegang, TLS-terminatie en het beperken van directe blootstelling van backend-systemen.
Beschikbaarheid en integriteit van content worden geborgd door het gebruik van een kopie van de database en ingerichte backup- en restoreprocessen, conform de vereisten voor gegevensherstel.
Aanvullende maatregelen zoals anonimisatie van AVG-gegevens, DLP, IRM en lifecycle management (inclusief veilige verwijdering) zijn niet generiek in de template uitgewerkt en dienen projectspecifiek te worden geïmplementeerd afhankelijk van de aard en classificatie van de data.

SAK Cryptografie Management – Toepassing

De architectuur borgt cryptografie management door het toepassen van versleuteling, certificaatgebruik en gecontroleerde inzet van cryptografische voorzieningen, in lijn met de RWS ESA-principes.
Externe communicatie verloopt via een Netscaler, waarbij gebruik wordt gemaakt van TLS/HTTPS (poort 443) met certificaten afkomstig uit de RWS PKI. Hiermee wordt vertrouwelijkheid, integriteit en authenticiteit van gegevensstromen geborgd en wordt invulling gegeven aan het veilige gebruik van certificaten (SAK CR B). De Netscaler speelt daarnaast een rol in het afdwingen van toegestane cryptografische protocollen en certificaatgebruik.
Communicatie tussen zones, zoals de synchronisatie van fileshares tussen de DMZ en de vertrouwde zone, vindt plaats via versleutelde verbindingen (TLS/SSL). Voor koppelingen met externe systemen (zoals ArcGIS Online) wordt gebruik gemaakt van token-based authenticatie, waarmee veilig gebruik van cryptografie bij derde partijen wordt ondersteund (SAK CR C).
De communicatie tussen de applicatieserver (ArcGIS Server in de semi-vertrouwde zone / DMZ) en de database (vertrouwde zone) is niet versleuteld met TLS. Dit wijkt af van het uitgangspunt om data-in-transit te versleutelen, maar wordt gemitigeerd door de toepassing van netwerksegmentatie (NSX) en de positionering van deze verbinding binnen een gecontroleerd en afgeschermd netwerkpad. Nadere afweging op basis van de dataclassificatie is hierbij noodzakelijk.
Het beheer van certificaten en sleutelmateriaal vindt plaats via centrale RWS-voorzieningen (RWS PKI en key management diensten) conform de gestelde eisen voor lifecycle management (SAK CR A en CR B). De template maakt gebruik van deze voorzieningen en implementeert geen eigen cryptografisch beheer.
Encryptie van data-at-rest (bijvoorbeeld op database- of storage-niveau) is niet generiek afgedwongen binnen de template en dient projectspecifiek te worden bepaald op basis van de data_classificatie en AVG-indicatie.

SAK Disaster Recovery - Toepassing

De architectuur ondersteunt Disaster Recovery door het veiligstellen van data en het faciliteren van herstel van IT-diensten, in lijn met de RWS DR-principes.
De basis voor Disaster Recovery wordt gevormd door datareplicatie en back-upvoorzieningen. Binnen de architectuur is sprake van een kopie van de database, waarmee gegevensverlies bij verstoringen wordt beperkt en wordt bijgedragen aan het realiseren van de gestelde RPO-doelstellingen (SAK DR C – data replicatie). Daarnaast zijn backup- en restoreprocessen ingericht, waarmee herstel van systemen en data mogelijk is conform het RWS back-upbeleid (SAK DR C – back-up en restore).
Disaster Recovery-eisen zoals RTO en RPO worden vastgesteld tijdens de Customer Requirements fase bij de intake van een nieuwe database aanvraag. Hiermee wordt geborgd dat hersteldoelstellingen aansluiten op het belang van de betreffende data en processen.
Aangezien de oplossing niet missie-kritiek is, zijn uitwijkscenario’s en volledig redundante recovery-omgevingen geen onderdeel van deze architectuur. Disaster Recovery richt zich in dit geval primair op herstel van data en systemen binnen acceptabele hersteltijden, en niet op directe continuïteit via fail-over naar een alternatieve locatie.
De architectuur maakt gebruik van gescheiden zones (DMZ en vertrouwde zone) en gecontroleerde datastromen, wat bijdraagt aan het beperken van verstoringen en het gericht herstellen van componenten.

SAK Endpoint Security – Toepassing

De architectuur adresseert Endpoint Security voor servers binnen de oplossing (zoals ArcGIS Server en databases) door het toepassen van centrale beveiligingsmaatregelen en platformdiensten.
Endpoints worden continu gemonitord op afwijkend gedrag doordat ze onder toezicht staan van het RWS SOC, waarbij security events en alerts worden geanalyseerd en opgevolgd (SAK EPS A, B en C). Daarnaast worden logbestanden vanuit de omgeving doorgestuurd naar Splunk (SIEM), waarmee centrale monitoring en correlatie van security events wordt gefaciliteerd.
Op de Windows-gebaseerde servers binnen de architectuur draait antivirussoftware, waarmee invulling wordt gegeven aan het detecteren en mitigeren van malware en andere dreigingen op endpoints.
Het beheer van endpoints, waaronder lifecycle management, patching en het uitvoeren van security updates, wordt uitgevoerd door de afdeling IVP Platformen. Hiermee wordt geborgd dat systemen tijdig worden voorzien van updates en kwetsbaarheden worden gemitigeerd (SAK EPS D).
De scope van deze architectuur beperkt zich tot server-endpoints; werkplekken vallen buiten de scope van deze template en worden afgedekt door de RWS Werkplek Architectuur.
De architectuur maakt gebruik van deze centrale voorzieningen en gaat ervan uit dat onderliggende platformdiensten voldoen aan de gestelde eisen rondom endpoint security. 

SAK Identity & Access Management

De architectuur borgt Identity & Access Management door gebruik te maken van centrale RWS IAM-voorzieningen voor identificatie, authenticatie en autorisatie.

Identiteitenbeheer (IAM A)
Lifecycle management van gebruikers (instroom, doorstroom, uitstroom) wordt centraal uitgevoerd via RWS IAM-systemen, gevoed door HR-bronnen. Active Directory fungeert als directory service voor het beheren van identiteiten en groepen.

Authenticatie (IAM B)
Authenticatie verloopt via ForgeRock AM en Active Directory, met ondersteuning voor:

• Single Sign-On (SSO)
• Federatieve toegang (eHerkenning / SSO Rijk)
• Standaarden zoals SAML en OIDC

Systeemkoppelingen (bijv. ArcGIS Online) maken gebruik van token-based authenticatie.

Autorisatie (IAM C & D)
Toegang wordt afgedwongen via RBAC:

• Alleen toegang op basis van rol
• Niet-openbare data uitsluitend via applicatieservices
• Geen directe toegang tot databases

Backend toegang verloopt via service accounts ($DB_account) met least privilege.

Logging en controle (IAM E)
Authenticatie- en toegangslogs worden:

• verstuurd naar Splunk (SIEM)
• gemonitord door het SOC

SAK Isolatie – Toepassing

De architectuur borgt isolatie door duidelijke zonering, segmentatie en gecontroleerde datastromen conform het RWS zoneringsmodel.
De oplossing is opgebouwd volgens:

Internet (onvertrouwd)
DMZ / semi-vertrouwd (o.a. ArcGIS Server)
Vertrouwde zone (database)

Hiermee wordt directe toegang tot interne systemen voorkomen en wordt toegang gebaseerd op het need-to-access principe.
Netwerkverkeer tussen zones is strikt beperkt tot noodzakelijke verbindingen en poorten en wordt afgedwongen via firewalls en segmentatie. De Netscaler fungeert als gecontroleerd toegangspunt voor extern verkeer. Binnen de omgeving wordt aanvullende segmentatie toegepast via NSX (microsegmentatie).
Alle netwerk- en security-events worden gelogd naar Splunk en gemonitord door het SOC, waarmee inzicht in datastromen en detectie van afwijkingen wordt geborgd.
Wijzigingen in connectiviteit verlopen via gecontroleerde changeprocessen en worden zo specifiek mogelijk ingericht (bron, doel, poort).

SAK Patch Management – Toepassing

De architectuur adresseert Patch Management door gebruik te maken van centrale RWS-processen en platformdiensten voor het beheren en uitrollen van beveiligingsupdates.
Het patchen van servers en onderliggende systemen binnen de oplossing wordt uitgevoerd door de afdeling IVP Platformen, die verantwoordelijk is voor lifecycle management, security patches en onderhoud. Hiermee wordt geborgd dat kwetsbaarheden tijdig worden gemitigeerd (SAK PM C).
Voor de applicatielaag geldt dat het patchen van standaardsoftware, zoals ArcGIS, via dezelfde beheerorganisatie verloopt en onderdeel is van regulier beheer en change management.
Beschikbare patches en kwetsbaarheden worden geïdentificeerd via meerdere bronnen:

• monitoring via CheckMK, waarin controles zijn ingericht op nieuwe (security) patches
• informatie van leveranciers, die in sommige gevallen voorafgaand aan publieke bekendmaking wordt ontvangen
• aanvullende security- en vulnerability management processen

Het patchproces omvat:

• identificatie en prioritering van patches
• testen en gecontroleerde uitrol
• afstemming via change management
• verificatie en rapportage van patchstatus

De architectuur maakt gebruik van een centraal patch management platform voor distributie en monitoring van patches (SAK PM D).

SAK Remote Access Management - Toepassing

De architectuur ondersteunt Remote Access Management door het faciliteren van gecontroleerde toegang op afstand via centrale toegangspunten en beheerpaden.
Externe toegang tot de applicatie verloopt via de Netscaler, waarbij geen directe toegang tot interne systemen (zoals databases) mogelijk is. Toegang vindt uitsluitend plaats via applicatieservices in de DMZ.
Beheertoegang tot de omgeving wordt uitgevoerd via stepping stones / jump hosts, waarmee directe toegang vanuit externe netwerken wordt voorkomen en beheeractiviteiten gecontroleerd en gemonitord plaatsvinden.
Authenticatie en autorisatie worden verzorgd via de centrale IAM-voorzieningen (ForgeRock en Active Directory), inclusief RBAC en het least privilege principe.
Specifieke remote access oplossingen (zoals VPN) worden als centrale RWS-dienst geleverd en vallen buiten de scope van deze template.

SAK Secure Software & System Lifecycle – Toepassing

De architectuur maakt primair gebruik van standaardsoftware (zoals ArcGIS) en platformdiensten en implementeert geen eigen softwareontwikkeling binnen de template.
Het veilig ontwikkelen van systemen en software, inclusief het toepassen van een secure software lifecycle, valt daarom buiten de scope van deze architectuur en ligt bij projecten die maatwerksoftware ontwikkelen (SAK SSSL A).

SAK Security Monitoring – Toepassing

De architectuur ondersteunt Security Monitoring door het genereren en aanleveren van loggegevens en security events vanuit de verschillende componenten binnen de oplossing.

Loggegevens afkomstig van onder andere:

• applicaties (ArcGIS)
• servers (Windows VM’s)
• IAM-componenten
• netwerkcomponenten

worden doorgestuurd naar Splunk (SIEM), waar centrale analyse, correlatie en detectie plaatsvindt.

De daadwerkelijke monitoring, use case ontwikkeling, detectie en incidentopvolging worden uitgevoerd door het RWS SOC, conform de centrale Security Monitoring capability.

De architectuur gaat ervan uit dat:

• relevante logging beschikbaar en ontsloten is
• events worden aangesloten op het centrale SIEM-platform
• monitoring en response centraal worden uitgevoerd

SAK Technical Compliance Management – Toepassing

De architectuur sluit aan op centrale RWS-processen voor Technical Compliance Management, waarbij systemen worden ingericht en beheerd conform vastgestelde technische baselines en hardeningrichtlijnen.
Configuratie, patching en lifecycle management van systemen en software worden uitgevoerd door IVP Platformen, conform geldende baselines.
Monitoring op naleving vindt plaats via:

• CheckMK (configuratie- en patchchecks)
• Splunk (RWS_CSM dashboard) voor inzicht in patchstatus van OS en randsoftware

Afwijkingen van de baseline worden gesignaleerd via deze monitoring en opgepakt via reguliere beheer- en changeprocessen. Logging en compliance-informatie zijn beschikbaar voor SOC-monitoring.
Afdwingen van netwerkbeleid en verdere orkestratie van compliance vindt plaats via centrale RWS-platformen en valt buiten de scope van deze template.

SAK Threat Intelligence – Toepassing

De architectuur maakt gebruik van centrale Threat Intelligence-capabilities van RWS, waarbij dreigingsinformatie wordt verzameld, geanalyseerd en toegepast door het SOC en gerelateerde security teams.
Threat intelligence (zoals kwetsbaarheidsinformatie en dreigingsindicatoren) wordt indirect toegepast binnen de oplossing via:

• patch management (prioritering van updates)
• security monitoring (detectieregels en use cases)
• technical compliance management (baselines en mitigaties)

De architectuur zelf verwerkt of verrijkt geen threat intelligence, maar gaat ervan uit dat relevante dreigingsinformatie centraal wordt vertaald naar maatregelen binnen de onderliggende platformen en processen.
Verdere uitwerking van:

• verzamelen en analyseren van dreigingsinformatie
• gebruik van TIP-platformen
• vertaling naar detectie en response

valt buiten de scope van deze template.

SAK Vulnerability Management – Toepassing

De architectuur sluit aan op de centrale RWS-processen voor Vulnerability Management, gericht op het identificeren, prioriteren en mitigeren van kwetsbaarheden in systemen en software.

Kwetsbaarheden worden geïdentificeerd via:

• centrale scanning en vulnerability management platformen binnen RWS
• monitoring via CheckMK
• leveranciersinformatie en aanvullende security feeds

Inzicht in kwetsbaarheden en patchstatus wordt ondersteund door:

• Splunk (RWS_CSM dashboard) voor monitoring van kwetsbaarheden en patchniveau

De opvolging van kwetsbaarheden vindt plaats via:

• patch management processen (IVP Platformen)
• reguliere beheer- en changeprocessen

De architectuur gaat ervan uit dat:

• assets worden opgenomen in centrale vulnerability scanning
• kwetsbaarheden worden geprioriteerd op basis van risico en classificatie
• mitigatie tijdig wordt uitgevoerd via patching of aanvullende maatregelen

De inrichting van vulnerability scanning, centrale dashboards en prioritering valt onder de centrale RWS-capability en buiten de scope van deze template.