Il blocco dell'accesso a un sito è, in molti casi, una buona misura di difesa approfondita. Non dovrebbe sostituire cose come l'autenticazione dell'utente e le buone norme sulle password ma può essere un utile add-on.

In termini di problemi che causano problemi, hai ragione se gli indirizzi IP delle aziende cambiano essi causerebbero un problema, tuttavia la maggior parte delle aziende avrà indirizzi IP statici assegnati (tende ad essere una caratteristica di accesso Internet di livello aziendale pacchetti)

In termini di interruzione di ciò, ti consiglio di parlare con il tuo gestore di rete e / o con il tuo ISP per assicurarti di essere informato in anticipo se cambieranno l'indirizzo IP. se è integrato nel processo di gestione delle modifiche, si spera che la possibilità di interruzione sia minima.

Aha. Ho dato una risposta al tuo posto di lavoro, ora ecco il lato dell'implementazione delle cose.

Sembra che il tuo capo voglia assicurarsi che la tua applicazione sia disponibile solo sulla intranet aziendale (rete interna)

Questo in realtà è meno preoccupante per lo sviluppatore di quanto non lo sia per il team dell'infrastruttura della tua azienda (chiunque installi la rete e i tuoi server web)

Ci sono due approcci. Se il tuo server web si trova sull'intranet aziendale, non è altro che una questione esplicita nella sua configurazione che solo gli intervalli di indirizzi a.b.c.d - e.f.g.h sono consentiti. Potresti condividere questo server con siti web che consentono visitatori esterni, ma se lo dichiari esplicitamente, dovrebbe essere sufficiente.

Il secondo approccio è un web server che NON si trova nella intranet aziendale. In questo scenario, dovrai limitare la configurazione del server web per consentire solo il traffico dagli indirizzi IP esterni della tua azienda. Nota che se utilizzi la condivisione dell'hosting, questa non sarà sempre un'opzione disponibile. Se si inserisce il contenuto su un server virtuale privato (VPS), è possibile farlo tramite un firewall sulla macchina, la configurazione del server Web o entrambi. Hosting VPS è economico - $ 5 / mese su un digitalocean.com, per esempio.

Questo è qualcosa che eviterei di fare nel codice a livello di utente per utente se puoi evitarlo. Gli approcci di networking saranno molto più facili da mantenere perché probabilmente ci si può aspettare che lo scenario di rete cambi meno spesso di utenti che vanno e vengono.

È prassi comune bloccare l'utilizzo di alcuni servizi agli indirizzi IP dei visitatori. Il modo in cui una soluzione sta gestendo questo, è di avere un utente superutente / di supporto che è autorizzato a richiedere l'accesso a specifici indirizzi IP per la società. Questo superutente è un dipendente di un'azienda diversa. È quindi possibile creare una routine per concedere / rifiutare tali richieste. Cioè whois informazioni sull'indirizzo ip, parlare con il superutente, ecc.

Se un utente che dovrebbe avere accesso al sito ha l'indirizzo IP "sbagliato", puoi avere una pagina di informazioni che spiega il motivo per cui gli viene negato l'accesso e che devono contattare il superutente per richiedere l'accesso al tuo sito.

Alla fine, devi avere fiducia nel superutente che in realtà chiedono gli indirizzi IP che dovrebbero essere autorizzati a connettersi al tuo sito, e non gli indirizzi IP alle mogli dei loro amici.

Le aziende in genere hanno indirizzi IP statici piuttosto che dinamici. Il motivo principale per cui i consumatori dispongono di IP dinamici è in realtà specificamente in modo che siano più protetti dagli attacchi basati sul loro IP (e anche per impedire loro di fare cose che l'ISP non piace, come l'esecuzione di un server web da casa. )

Se l'azienda ha un IP statico, non cambierà e l'uso di un indirizzo IP bloccato non costituirà un problema.

L'idea del blocco dell'IP è in realtà abbastanza comunemente usata per questo tipo di cose ed è ideale come un passo in un sistema di sicurezza più grande. Non dovrebbe essere considerato come l'unico meccanismo, ma è un metodo ben consolidato. Inoltre, anche se qualcosa è cambiato, a meno che non siano anche gli aggiornamenti del blocco IP al software di sistema stesso, è sempre possibile modificare gli elenchi IP a cui è consentito l'accesso sotto il cofano del sito.

Non aggiunge alcuna profondità di difesa se la tua azienda ha una VPN per il personale di vendita itinerante o per i dipendenti da lavoro da casa.

Abbiamo avuto una situazione simile con un'applicazione che mi occupo di informazioni sanitarie protette in un ambiente ospedaliero. A causa di HIPAA, le potenziali conseguenze dell'accesso non autorizzato potrebbero essere molto costose, quindi queste decisioni non sono state prese alla leggera.

Ecco l'opzione di sicurezza principale che offriamo per limitare l'accesso al sito:

1. Gli amministratori del sito per ciascun sito possono aggiungere l'indirizzo IP del computer in cui si trovano nell'elenco IP limitato della propria organizzazione. Questo funziona nella maggior parte dei casi poiché ogni ospedale ha normalmente un singolo IP, quindi un amministratore deve trovarsi sul posto su qualsiasi computer presente per eseguire la configurazione. Protegge anche accidentalmente l'aggiunta di un indirizzo IP errato.
2. Gli amministratori del sito per ciascun sito possono rimuovere qualsiasi indirizzo IP dall'elenco IP limitato della propria organizzazione. Ciò consentirà loro di rimuovere un vecchio IP anche se non hanno accesso a una macchina che utilizza quell'IP.
3. Gli utenti regolari devono accedere da un IP autorizzato per la loro organizzazione per visualizzare PHI.
4. Gli utenti normali possono solo visualizzare PHI dalla loro organizzazione.
5. Gli amministratori possono aggiungere qualsiasi indirizzo IP o intervallo in una pagina di configurazione nascosta. Questo è solo per uso interno e viene utilizzato solo nei rari casi in cui un amministratore locale non è disponibile per l'installazione o è necessario aggiungere un intervallo IP per l'ospedale.
6. Ogni modifica IP viene registrata. Pertanto, se un amministratore ha aggiunto il suo computer di casa, visualizzato alcuni PHI e quindi rimosso il suo indirizzo IP, possiamo tenerne traccia.

È interessante notare che un problema con questo è che alcuni ospedali indipendenti avevano lo stesso IP di altri ospedali della zona. Ciò è accaduto perché il loro ISP condiviso utilizzava lo stesso indirizzo IP esterno per instradarli entrambi. Per fortuna, non c'era alcuna violazione HIPAA a causa del n. 4.

Sarei diffidente nello spoofing degli indirizzi IP poiché ciò consentirebbe agli utenti di impersonare altri indirizzi IP. Inoltre, l'utilizzo di un token RSA (o dispositivo simile) presente solo sul posto di lavoro in un'area sicura può contribuire ad aumentare la sicurezza.