IP-whitelisting per l'accesso DB, la soluzione si adatta alle best practice?

Question

IP-whitelisting per l'accesso DB, la soluzione si adatta alle best practice?

#1 da (0 voti)

1

Tutti i dati che abbiamo sui nostri clienti si trovano nel nostro data-lake, che è ospitato da uno dei nostri fornitori. Attualmente la sicurezza è tale che un numero limitato di utenti ha (limitato) accesso al database ciascuno con il proprio nome utente e password. Inoltre, esiste una whitelist IP, quindi gli utenti autorizzati possono accedere al db solo se provengono da uno dei due indirizzi IP che hanno origine nel nostro ufficio.

La nostra azienda non utilizza più VPN. Di conseguenza, accediamo a questo DB dall'ufficio solo quando si lavora da casa o da uno dei nostri fornitori.

Il modo più semplice / economico per consentire di lavorare al di fuori dell'ufficio è chiedere al fornitore di autorizzare la gamma di indirizzi IP utilizzati da Symantec (= prodotto di sicurezza software che indirizza il traffico attraverso i suoi proxy), perché quando eseguiamo il login la nostra rete dall'esterno otteniamo uno di questi indirizzi. Ma il risultato sarebbe che ogni cliente Symantec potrebbe potenzialmente accedere al nostro DB, a condizione che in qualche modo si impossessassero di una combinazione di password nome utente. Qualcuno intento a penetrare dovrebbe solo:

Indovina i nomi utente (una combinazione di nome e cognome)
Ottieni Symantec o chiedi a qualcuno la nostra password WiFi ospite e siediti sul nostro prato usando il nostro wifi
In qualche modo ottieni la password

Il solo passaggio 3 è davvero difficile.

Se avessimo un server extra con un indirizzo IP statico (pubblico) e avessimo accesso solo al DB per gli utenti provenienti da questo server, avremmo un ulteriore livello di sicurezza. Ho ragione nel ritenere che questo sarebbe un buon modo per proteggere i nostri dati mentre è possibile lavorare fuori dall'ufficio?

Come posso convincere il management che la whitelist dell'intera gamma IP di Symantec è pericolosa, perché è pericolosa, giusto? Vi sono state violazioni di questo tipo?

Mi piacerebbe davvero sapere quali sono le migliori pratiche per questi casi e perché.

Domanda correlata: Perché DB con accesso URL è meno sicuro che senza tale accesso?

url proxy vpn databases whitelist

posta Ivana 09.10.2018 - 15:42

fonte

1 risposta

Leggi altre domande sui tag url proxy vpn databases whitelist

Come funziona l'autenticazione falsa con nessun altro client connesso all'AP? (Aireplay-ng) Dove esattamente nel modello OSI appartiene TLS / SSL [duplicato]

score 0 · Answer 1

1. Whitelist IP
Ho visto la whitelist IP in uso ma solo per specifici indirizzi IP, dall'interno dell'ufficio o dagli uffici dei clienti, senza mai consentire un'intera gamma. Quella semplice soluzione che hai suggerito è ancora meglio di niente, ma ogni volta che un'altra persona si avvicina ai tuoi sistemi, puoi considerare quella persona una possibile minaccia per il tuo sistema senza essere paranoica, specialmente se non conosci affatto quella persona.
2. Nomi utente Dati i dati social che puoi trovare online, dai profili personali ai profili professionali (indovinerai a entrambi che sto pensando, o più), non dovrebbe essere difficile venire con un elenco di dipendenti (non solo uno) e prova diverse combinazioni del loro nome e cognome. Un modo semplice che mi viene in mente è quello di inviare e-mail a quei nomi utente e vedere quali sono consegnati. In questo modo puoi avere un'idea di come vengono creati i nomi utente.

3. Le password
Una volta che hai i nomi utente, non devi indovinare in qualche modo le password. Se si hanno altre vulnerabilità di sicurezza, forse non è così difficile ottenere un elenco di hash delle password e iniziare a craccarle utilizzando uno strumento dedicato. Un altro metodo potrebbe essere una volta che hai una lista di nomi utente, puoi provare le password più comuni che le persone usano per tutti loro.
4. Guest Wifi
Immagino che anche la password wifi non sia qualcosa di veramente casuale e potrebbe essere abbastanza facile da indovinare. In caso contrario, molte persone sono intrinsecamente buone e si offrono di aiutare con questo tipo di dati senza sapere che stanno facendo qualcosa di sbagliato. La formazione dei dipendenti è sempre importante.

5. Suggerimenti per convincerli
Alla gestione solitamente piacciono fatti e dati, non argomenti. Se si ha il tempo, è possibile prendere l'elenco di tutti i nomi utente dei dipendenti e eseguire uno strumento di violazione delle password contro di loro. Molto probabilmente, qualcuno (o più) ha una password debole. Se riesci a compromettere il sistema, qualcuno più avanzato o dedicato per qualsiasi motivo può farlo anche tu. Inoltre aiuta se puoi dire loro qualcosa di simile - questo è un rischio dal mio punto di vista che ci costerà tanto (non necessariamente numeri, puoi usare termini come la reputazione, la fiducia dei clienti, il business, ecc.). Ma se non lo faranno a modo tuo, non essere deluso. C'è sempre un compromesso tra sicurezza e ciò che porta soldi.