Interfaccia sporca e pulita sui gateway DMZ

3

Abbiamo un gateway per i confini del servizio web in DMZ che gestisce le richieste di servizi web in entrata e in uscita in termini di autenticazione e sicurezza.

Abbiamo due interfacce di rete sul posto, su si chiama 'sporco' e viene utilizzato per il traffico da e verso Internet. L'altro è chiamato 'pulito' e viene utilizzato per il traffico da e verso l'intranet. Tuttavia, l'interfaccia sporca ha ancora un indirizzo IP interno. C'è un indirizzo IP pubblico configurato sul firewall che esegue NAT per inoltrare le richieste all'interfaccia dirty.

Mi chiedo ora quale sia il vantaggio di una tale architettura. C'è davvero un vantaggio nell'avere un'interfaccia sporca e pulita? Potrei vedere il vantaggio in sicurezza se l'interfaccia sporca ha direttamente un indirizzo IP pubblico, ma nel nostro scenario non ho il vantaggio di dividere il traffico pulito e sporco ...

    
posta pfust75 08.10.2012 - 09:40
fonte

2 risposte

2

Dato che il tuo host DMZ è fondamentalmente un firewall, il design che hai descritto non ha senso, hai perfettamente ragione. Questo non è migliore del firewall a interfaccia singola (che è l'architettura più debole possibile).

Quando si utilizza un firewall a 2 interfacce, le due interfacce si trovano su reti diverse, ad es. "Internet" e la DMZ o la DMZ e l'intranet.

Allo stesso tempo, questo design confuso non fa davvero alcun danno, forse questo è un incidente storico di qualche tipo.

    
risposta data 09.10.2012 - 09:25
fonte
1

L'architettura a due interfacce (ovvero a due livelli del firewall) è interamente dedicata alla difesa in profondità per la tua rete interna. Lo scenario sporco e pulito fa sì che il traffico attraversi 2 diversi set di firewall. I firewall rivolti su Internet proteggono la DMZ dalle minacce esterne, mentre i firewall interni proteggono la rete interna da sistemi DMZ potenzialmente compromessi.

Il pensiero alla base di due gruppi di firewall è che se i firewall che affrontano Internet vengono compromessi, o se qualcuno accidentalmente apre troppi accessi, il set interno di firewall proteggerà ancora la rete principale. Molto spesso i 2 set di firewall saranno di produttori diversi in modo che nessun singolo exploit possa compromettere entrambe le serie di firewall. Con un set di firewall stai mettendo tutte le uova in un cestino.

Non è necessario disporre di interfacce, ma ci sono dei vantaggi:

  1. Misurazioni: tenere separato il traffico sporco e pulito significa poter misurare la quantità dei due tipi di traffico
  2. Semplicità della rete: è più facile mantenere l'instradamento diretto con due interfacce.
  3. Riduci al minimo il mix di traffico sporco e pulito: l'obiettivo è ridurre il traffico che transita direttamente tra i firewall interni ed esterni. L'obiettivo è forzare il traffico tutto attraverso un dispositivo per il transito tra i livelli. Idealmente, nessun traffico viaggerà direttamente tra i firewall interni ed esterni. Ad esempio, il traffico Web passerà attraverso un proxy. Attraverso di essa, più dispositivi devono attraversare il traffico e maggiori possibilità di bloccare il traffico dannoso

Il rovescio della medaglia è la maggiore complessità e il sovraccarico di gestione. Inoltre, raramente fa la differenza per la sicurezza IT di un'azienda, quindi spesso sembra che sia molto lavoro senza alcun beneficio.

Tuttavia, fa spesso la differenza, in genere vale la pena farlo. Rende anche gli auditor felici; avresti bisogno di molte giustificazioni per dimostrare che avere un singolo livello è sufficiente per la tua organizzazione, soprattutto perché qualcuno ha pensato che la tua organizzazione avesse bisogno di due set di firewall per cominciare.

    
risposta data 08.10.2012 - 10:46
fonte

Leggi altre domande sui tag