Livello DMZ per server Web / livello presentazione

Question

Livello DMZ per server Web / livello presentazione

#1 da (1 voti)
#2 da (0 voti)

2

Ho bisogno di aiuto per spiegare ai non addetti alla sicurezza perché voglio richiedere il livello server / presentazione in un dmz. Ho fornito opzioni per un'architettura di livello due (presentazione / logica - > logica / dati in zone) e un'architettura a tre livelli (presentazione - > logica - > zone dati).

Il loro argomento è che dovrei stare bene con il firewall - > F5 con ASM - > firewall - > Presentazione / Logica / strato dati tutto in una zona. La loro argomentazione è che questa è un'architettura a due livelli, quindi dovrebbe contare per soddisfare il mio requisito. Ho chiesto loro di trovarmi un documento standard del settore che spiegasse in questo modo il design della sicurezza e che sia stato messo a nudo - probabilmente perché non ce n'è.

Ho difficoltà a spiegare che la prima cosa che un hacker da tocchi di internet dovrebbe essere senza via d'uscita e impedire il movimento nord-sud nella zona successiva. Lo vogliono in termini di capacità architettoniche.

Un'idea su come spiegare un'architettura di progettazione della sicurezza delle applicazioni a due livelli in termini di capacità architettoniche? Qualsiasi altra idea sarebbe utile anche.

architecture web network appsec dmz

posta Jim Beamer 06.08.2017 - 15:48

fonte

2 risposte

Leggi altre domande sui tag architecture web network appsec dmz

Caratteristiche distintive di TPM da soluzioni software SMBRelay Attack - Mount Share invece di Code Execution

score 1 · Answer 1

ASM e altri WAF sono eccellenti. Non sono esattamente un "tier", però. Il punto di rottura delle cose in zone di sicurezza separate per livello è la difesa in profondità. Cosa succede se esiste una vulnerabilità di overflow del buffer sfruttabile da remoto nel servizio utilizzato per il livello di presentazione? (* Lo so. Impossibile! link ) Hai bisogno di fiducia al 100% che il WAF lo bloccherà, nonostante qualsiasi tecnica di offuscamento venga lanciata contro di esso. Questa è molta fiducia. Se il WAF non riesce a cogliere il problema, sei brindisi. L'hacker possiede TUTTO. Sono all'interno della rete e sono in grado di fare tutto ciò che vogliono.

Con la stratificazione puoi limitare i danni e aumentare la possibilità di rilevare una penetrazione. Firewall - > WAF - > Presentazione / Logica - > Firewall - > Dati, come minimo.

Questo non è tutto, ovviamente. Hai ancora bisogno di cose come le stored procedure e un utente strongmente limitato per l'accesso dai livelli Logica a Dati. Il WAF potrebbe perdere un'ingegnosa iniezione SQL. Forse quel livello dati dovrebbe anche essere in un DMZ a sé stante.

Ricorda che questa è una separazione logica. Un cluster di firewall, un cluster F5, un cluster di hypervisor e una coppia di switch VLAN supportano tutti i layout proposti senza ridurre i costi hardware in modo sproporzionato. Sto scommettendo che stanno pensando di aggiungere zone di sicurezza significa un sacco di hardware aggiunto e complessità. Non deve.

score 0 · Answer 2

Personalmente ho trovato l'architettura a due livelli principalmente una presentazione di marketing per aiutare gli uomini d'affari a comprendere la compartimentalizzazione. In questo caso una comprensione delle conseguenze di una perdita su un livello e quali servizi / passaggi che è possibile adottare per attenuarlo. È più semplice visualizzare l'architettura in termini di cluster logici e disporre di difese basate su ciascun cluster. In questo momento con le reti virtualizzate, è possibile raggruppare tutti i nodi di rischio simili e azzannarli tutti in sicurezza se si sospetta che siano stati compromessi e reintegrati.