Rifiuto di "aprire" la rete aziendale?

Question

Rifiuto di "aprire" la rete aziendale?

#1 da (3 voti)

1

Sto lavorando a un progetto che richiede l'accesso a un servizio in esecuzione su un server remoto, su una singola porta TCP (> 1024). Questo servizio viene eseguito su una macchina situata all'interno di una rete esistente e il progetto su cui sto lavorando si trova su un nuovo server (web) esterno a questa rete.

È stato concordato in anticipo che affinché questo progetto funzioni, la porta deve essere aperta al nuovo server, tuttavia il team IT ha ora deciso che il rischio per la sicurezza è troppo grande per "aprire" la propria rete interna.

Mi hanno giustificato dicendo che se il nuovo server è stato compromesso potrebbe consentire a un utente malintenzionato di entrare nella rete interna. Ma questo non sarebbe mitigato consentendo solo l'accesso su una singola porta, a una singola macchina nella rete? Questo sarebbe fatto attraverso un sistema firewall / NAT al di fuori del controllo di entrambi i server.

Capisco che il servizio interno diventi il vettore di attacco, ma direi che è progettato per essere pubblico in ogni caso, quindi a questo punto la loro giustificazione cade.

Non sono un esperto di sicurezza in alcun modo, quindi quali potrebbero essere i problemi qui che mi mancano? (e non stanno spiegando)

network firewalls ports

posta James 24.07.2018 - 17:57

fonte

1 risposta

Leggi altre domande sui tag network firewalls ports

Progettazione TLS / SSL e modello OSI Best practice sui domini Windows: per avere un account amministratore separato o no?

score 3 · Answer 1

Stai essenzialmente chiedendo di consentire l'accesso dall'esterno a qualche sistema interno, ovvero un sistema che si trova nella stessa rete interna con altre macchine in cui l'accesso a queste macchine non dovrebbe essere consentito dall'esterno.

Se un utente malintenzionato riesce a uscire dall'applicazione a causa di un problema di sicurezza, significa che l'utente malintenzionato può ora accedere e attaccare tutte le altre macchine nella rete locale. Per questo motivo è abbastanza comprensibile che il team IT non voglia consentire questo tipo di accesso.

But would this not be mitigated by only allowing access on a single port, to a single machine in the network?

L'accesso a questa porta specifica è sufficiente per uscire dall'applicazione se l'applicazione non è sicura. Non protegge dall'attaccare il resto della rete interna dalla macchina compromessa.

... but I would argue that it's designed to be public facing anyway, so at this point their justification falls down.

I servizi rivolti al pubblico dovrebbero essere inseriti in una zona di rete separata ( DMZ ) dove sono raggiungibili dal all'esterno ma non ha accesso alla rete interna. In questo modo l'impatto di un compromesso si riduce a questa zona separata ma non può influire sulla rete interna.