Sicurezza di instradare una rete verso un firewall

1

Sto studiando per la mia qualifica CompTIA Security + e ho trovato la seguente domanda.

Domanda:

Stai implementando un ambiente di test per un team di sviluppo. Usano diversi server virtuali per testare le loro applicazioni. Una di queste applicazioni richiede che i server comunichino tra loro. Tuttavia, per mantenere questa rete sicura e privata, non vuoi che sia instradabile al firewall. Qual è il miglior metodo per realizzare questo?

I miei pensieri:

Il mio problema riguarda la penultima frase della domanda.
Vale a dire, quale sarebbe la ragione per cui non si desidera che questa rete sia instradabile verso il firewall?

    
posta Caleb Owusu-Yianoma 07.07.2015 - 16:22
fonte

2 risposte

1

L'unica vera ragione per evitare che una rete sia instradabile attraverso un firewall è assicurarsi che sia isolata sia da accessi non autorizzati che interni. È impossibile per qualcuno infiltrarsi in un sistema se non esiste un percorso fisico per gli elettroni che viaggiano dalla loro posizione alla posizione del sistema di destinazione. Scollegando tutti i cavi che collegano il (i) sistema (i) di destinazione al resto del mondo, ciò garantisce che non ci sia un percorso fisico.

Ciò tuttavia riduce drasticamente le funzionalità e la facilità d'uso della rete poiché è necessario trovarsi in una posizione fisica specifica per interagire con uno qualsiasi dei computer di destinazione. Più è sicuro, più è difficile da usare e meno funzionalità ha.

Se l'ambiente di test non ha bisogno dell'accesso a Internet, la cosa migliore / più semplice da fare sarebbe semplicemente non collegarlo affatto al firewall. Basta creare una sottorete di test, inserire tutti i server e inserirli tutti in un interruttore. Tutti i server saranno in grado di comunicare tra loro e poiché non c'è alcuna connessione fisica al firewall è impossibile per chiunque non abbia accesso fisico allo switch o ai server per accedervi.

Se l'ambiente di test necessita di accesso a Internet, creerò comunque una zona di rete per loro (come sopra) ma nel firewall mi assicurerei che ci sia una regola di negazione per qualsiasi traffico destinato all'ambiente di test. Dal momento che qualsiasi firewall che ho visto fabbricato negli ultimi 5 anni ha un'ispezione statica attivata per impostazione predefinita e la maggior parte di loro non ha nemmeno un'opzione per disabilitarlo, questo consentirà ai server di raggiungere Internet e il traffico in arrivo su quella stessa porta sarà permesso.

A seconda di cosa significano esattamente "sicuri e privati", il secondo scenario è il più probabile da implementare nella pratica reale poiché quasi tutto deve raggiungere Internet per la gestione remota e le patch. Il primo scenario è il "più sicuro e più privato".

    
risposta data 07.07.2015 - 19:17
fonte
0

I requisiti variano a seconda dell'organizzazione (ad esempio Lockheed Martin probabilmente non vorrebbe che il loro codice per i jet da combattimento fosse accessibile dall'esterno dell'ambiente di sviluppo).

Sebbene il contesto CompTIA sia estremamente ampio, ricorda che i firewall non impediscono solo l'accesso tra le forze esterne e la rete interna. Vengono inoltre utilizzati internamente in organizzazioni di grandi dimensioni per controllare l'accesso in un approccio di sicurezza a livelli come quello di disporre di DMZ o di segregare un ambiente PCI dal resto della rete interna.

Tornando al mio esempio precedente (no non conosco il lavoro per LM), sarebbe del tutto ipotizzabile avere un FW sul posto come livello di sicurezza per proteggere le connessioni interne esterne da entrare in una rete di sviluppo o per impedire lo sviluppo connessioni da raggiungere al di fuori dell'ambiente. Il business case può essere centrato tra la possibilità che i dipendenti non autorizzati accedano alle informazioni piuttosto che un attore esterno.

    
risposta data 08.07.2015 - 18:57
fonte

Leggi altre domande sui tag