Alcune applicazioni aziendali sono più utili quando sono accessibili da Internet. Mi viene in mente Outlook Web Access.
Queste applicazioni di solito hanno una directory utente (solitamente LDAP) nell'ambiente aziendale che serve altri scopi, come l'autenticazione desktop o l'autenticazione per altri servizi interni come un portale HR.
Utilizzando l'applicazione esterna, è spesso possibile bloccare un account interno tentando di indovinare le password con la forza bruta. Funziona anche un attacco manuale mirato. I fattori attenuanti includono non la divulgazione dei nomi utente e lo sblocco degli account dopo alcuni minuti.
Vedendo quanto frequentemente vediamo questa combinazione, come posso valutare il rischio di bloccare un account interno utilizzando un'applicazione che si affaccia su Internet? Il rischio è abbastanza piccolo e il beneficio è abbastanza alto da consentire a tutti di accettare questo rischio?