Securitate construită în straturi, nu adăugată la final.
Proiectăm, implementăm și documentăm infrastructuri de servere în care fiecare barieră funcționează independent. Dacă un atacator trece de una, următoarea îl oprește, îl detectează sau îl izolează.
- Proxmox VE
- ZFS
- OPNsense
- Suricata
- CrowdSec
- Caddy
- OpenVPN
- FreeRADIUS
- Debian
- Git
Trei reguli pe care nu le negociem.
Fiecare decizie tehnică din infrastructură pornește de la ele.
Apărare în adâncime
Nicio componentă nu e singura barieră. Filtrul de la margine, firewall-ul, detecția, segmentarea și serverele întărite lucrează independent.
Privilegiu minim
Fiecare server vede doar ce îi trebuie. Între rețele trece doar traficul permis explicit, iar administrarea nu e niciodată publică.
Totul documentat și reproductibil
Configurațiile sunt versionate, procedurile sunt testate și scrise. Infrastructura nu depinde de memoria unui singur om.
Straturile, de la margine la date.
Ce face fiecare componentă și de ce e acolo.
Filtru geografic și capcane
OPNsense · GeoIP · liste dinamiceTraficul web e acceptat doar din regiunile în care se află utilizatorii. Orice încercare pe porturi nefolosite trimite automat adresa sursă pe lista de blocare.
- reduce drastic zgomotul scanărilor automate
- atacatorul e blocat înainte să ajungă la un serviciu real
Firewall pe trei niveluri
OPNsense · firewall Proxmox · nftablesReguli independente la nivel de centru de date, de gazdă de virtualizare și de mașină virtuală, cu OPNsense ca singur punct de intrare.
- o greșeală de configurare într-un nivel nu deschide totul
- accesul administrativ e limitat la adrese aprobate
Detecție de intruziuni și blocare automată
Suricata · CrowdSecSuricata inspectează traficul de intrare cu 8 seturi de reguli actualizate. CrowdSec citește logurile de pe firewall și de pe fiecare server și blochează în câteva secunde adresele care atacă, folosind și reputația din comunitate.
- exploatări cunoscute, scanări, forțarea parolelor
- decizii centralizate, aplicate pe toată infrastructura
Reverse proxy cu HTTPS automat
Caddy · Let's EncryptDoar aplicațiile care trebuie să fie publice sunt publicate. Certificatele se emit și se reînnoiesc automat, iar fiecare domeniu ajunge doar la serverul lui.
Rețele izolate și ieșire controlată
VLAN · SDN Proxmox · SquidServerele publice, serviciile interne și administrarea stau în rețele separate. Serverele web nu pot accesa liber internetul: actualizările trec printr-un proxy cu listă de destinații aprobate.
- un server compromis nu poate ajunge la celelalte
- un cod malițios nu are unde să trimită date
Sisteme întărite după CIS
Debian · auditd · AppArmorInstalare automată, identică de fiecare dată: partiții separate cu restricții, jurnalizare de audit, profiluri AppArmor, bootloader protejat și doar serviciile strict necesare.
Administrare cu trei factori
OpenVPN · FreeRADIUS · TOTPZona de administrare e accesibilă doar prin VPN, cu certificat personal, parolă și cod TOTP generat pe telefon. Sesiunile expiră automat.
Backup, redundanță și configurație versionată
ZFS · Proxmox Backup Server · GitDiscuri în oglindă cu procedură testată de înlocuire, backup incremental și deduplicat programat zilnic, iar configurația firewall-ului și a virtualizării se salvează automat în Git, cu istoric complet.
Un server obișnuit, față de o infrastructură în straturi.
| Aspect | Server configurat tipic | Arhitectura Cymmunity |
|---|---|---|
| Expunere | Toate serviciile accesibile direct de pe internet | Un singur punct de intrare, filtrat geografic |
| Administrare | SSH și panouri publice, protejate de o parolă | Doar prin VPN, cu certificat, parolă și cod TOTP |
| Rețea | Toate aplicațiile în aceeași rețea | Rețele izolate, trafic permis explicit |
| Detecție | Logurile nu sunt analizate | IDS și blocare automată în câteva secunde |
| Ieșire spre internet | Nerestricționată | Doar spre destinații aprobate |
| Backup | Lipsă sau pe același disc | Backup dedicat, incremental, verificat |
| Configurație | Știută de cel care a instalat-o | Versionată în Git, documentată, reproductibilă |
Platformă web găzduită, construită de la zero.
Arhitectura descrisă pe această pagină, implementată în producție în 2026.
Contextul
Mai multe aplicații web trebuiau găzduite pe un singur server dedicat, cu cerințe stricte: nicio interfață de administrare expusă public, detecție a atacurilor, izolare între aplicații și posibilitatea de a reface totul rapid pe alt hardware.
Soluția
Am virtualizat serverul cu Proxmox și am pus în fața aplicațiilor un firewall OPNsense ca unic punct de intrare, cu detecție de intruziuni, blocare automată și reverse proxy. Aplicațiile rulează pe servere Debian întărite după CIS, în rețele izolate, fără acces liber la internet.
Rezultatul
Administrarea e accesibilă doar prin VPN cu trei factori. Configurația e salvată automat în Git, iar rețeaua se poate reface pe altă gazdă cu scripturi testate. Totul e acoperit de peste 460 de pagini de documentație: arhitectură, proceduri de recuperare și rețete de diagnostic.
Detaliile care ar putea identifica clientul sau infrastructura (adrese, nume de sisteme, configurații) au fost omise intenționat.
Măsuri tehnice care țin în fața unui audit.
Cum se leagă straturile de cerințele pe care le întâlniți în practică.
Măsuri de gestionare a riscurilor
- Securitatea rețelelorFirewall pe trei niveluri, segmentare pe VLAN
- Gestionarea incidentelorDetecție IDS, blocare automată, jurnale centralizate
- Continuitatea activitățiiBackup dedicat, proceduri de recuperare testate
- Autentificare multifactorVPN cu certificat, parolă și TOTP
Securitatea prelucrării
- ConfidențialitateAcces restricționat, rețele izolate, criptare TLS
- IntegritateServere întărite, jurnalizare de audit
- Disponibilitate și restaurareDiscuri redundante, backup zilnic
- Testare periodicăProceduri documentate și verificate
Configurare securizată
- Configurare de bazăDebian instalat după recomandările CIS
- Jurnale de auditauditd și jurnalizare centralizată
- Apărarea rețeleiFiltrare la intrare și la ieșire
- Gestionarea accesuluiConturi personale, privilegiu minim
Măsurile tehnice acoperă o parte importantă din cerințe, iar documentația servește ca dovadă. Conformitatea completă presupune și măsuri organizatorice: politici, instruirea personalului, gestionarea furnizorilor. Pentru instruire, vedeți simulările de phishing Cymmunity.
Livrabile clare, nu doar „un server care merge”.
Arhitectura
Schema rețelei, rolul fiecărui sistem, regulile de acces și motivarea fiecărei decizii.
Infrastructura implementată
Toate straturile configurate, testate din exterior și puse în producție.
Proceduri de recuperare
Înlocuirea unui disc, restaurarea din backup, refacerea rețelei pe altă gazdă — pas cu pas.
Manual de operare
Comenzi de diagnostic pentru verificările de zi cu zi: blocări, alerte, backup, certificate.
Cum lucrăm.
Evaluare
Ce servere și aplicații aveți, ce e expus, ce date contează și cine are nevoie de acces.
Proiectare
Arhitectura propusă și oferta scrisă, înainte de orice intervenție.
Implementare
Construim în paralel și migrăm serviciile cu întreruperi minime, planificate.
Validare
Testăm din exterior expunerea, blocările, accesul VPN și restaurarea din backup.
Predare și suport
Documentația completă și, opțional, administrare continuă.
Ce ne întreabă clienții.
Avem deja servere. Trebuie refăcut totul?
Nu neapărat. Pornim de la o evaluare a ce există și adăugăm straturile care lipsesc. Multe se pot pune în fața serverelor actuale, fără reinstalare.
Se potrivește și pentru servere la sediu?
Da. Aceeași arhitectură se aplică unui server dedicat într-un centru de date, unui server la sediu sau unei combinații între ele.
Ce licențe trebuie să plătim?
Arhitectura se bazează pe soluții open-source mature: Proxmox, OPNsense, Suricata, CrowdSec, Caddy, Debian. Costul principal este munca de proiectare, implementare și administrare, nu licențe per utilizator. Abonamentele de suport comercial sunt opționale.
Documentația rămâne la noi?
Da. Primiți arhitectura, configurațiile, procedurile de recuperare și comenzile de diagnostic, astfel încât orice specialist să poată prelua infrastructura.
Ne ajută la conformitatea NIS2 sau GDPR?
Măsurile tehnice implementate acoperă o parte importantă din cerințele de securitate ale NIS2 și ale art. 32 GDPR, iar documentația servește ca dovadă. Conformitatea completă presupune și măsuri organizatorice: politici, instruire, gestionarea furnizorilor.
Câte straturi are infrastructura voastră?
O discuție scurtă și o privire din exterior asupra a ce e expus. Vă spunem clar ce e în regulă și ce lipsește.