Informazioni su una DMZ con più server

Question

Informazioni su una DMZ con più server

#1 da (2 voti)
#2 da (0 voti)
#3 da (0 voti)

0

Ricevo il principio generale di una DMZ, cioè posizionare i server pubblici nella DMZ per isolare e proteggere la LAN aziendale. Ho un'applicazione web che deve essere rivolta al pubblico, questa web app ha bisogno di comunicare con un server di database, quindi un bel bisogno di base.

L'applicazione Web richiede solo di comunicare su una porta specifica del DB in modo da chiudere tutte le porte non essenziali. Sto cercando di proteggere il database il più possibile nel caso in cui l'app web sia compromessa.

La mia domanda riguarda la posizione del server database nel caso in cui questo sia nella DMZ o debba essere nella DMZ? Penso che se il database non si trova nella DMZ e si trova nella LAN aziendale, almeno una porta è aperta al database, il che significa che esiste una connessione alla rete aziendale e quindi vanifica il vantaggio di una DMZ, quindi sulla base della mia logica il Database deve essere nella DMZ?

network databases dmz

posta Darragh 18.07.2016 - 09:11

fonte

3 risposte

0

Un altro modo è di avere un proxy inverso noto anche come load Balancer per agire come punto di terminazione del traffico verso il traffico esterno e interno. Quando il traffico viene interrotto a un proxy, puoi controllare le intestazioni e il contenuto del traffico prima di consentirne il ripristino ai server che si nascondono dietro il proxy inverso.

Per combattere gli attacchi delle app Web, puoi prendere in considerazione un firewall WebApp oltre al firewall di rete e ai sistemi di rilevamento e prevenzione delle intrusioni.

risposta data 18.07.2016 - 12:35

fonte

0

Se l'applicazione non richiede l'accesso in scrittura al database, considera l'immissione di una replica di sola lettura del database nella DMZ, quindi utilizza una porta oscura per la replica del database con il database "reale".

risposta data 18.07.2016 - 19:42

fonte

Leggi altre domande sui tag network databases dmz

Ambito di PCI DSS riguardante CVV Guida all'implementazione di Identity and Access Management (IAM / IdAM)

score 2 · Accepted Answer

Lo scopo della DMZ è di non esporre il DB direttamente a Internet. Invece lo esponi alla tua applicazione web e alla tua applicazione web su Internet. Ma devi occuparti della sicurezza sia dell'app web che del DB.

Se la tua applicazione web viene compromessa, ciò non significa che sia anche il DB. Esistono diversi vettori, ad esempio, potresti avere una vulnerabilità di SQL injection nel tuo codice, quindi sarebbe irrilevante se il DB si trova in una DMZ, una sottorete privata o persino lo stesso host dell'applicazione Web, perché un utente malintenzionato potrebbe recuperare info comunque.

Un altro esempio, in qualche modo la tua applicazione potrebbe portare ad accedere al sistema operativo. Ma se il tuo sistema è accuratamente rafforzato, l'utente malintenzionato può accedere solo alle risorse a cui l'utente webapp può accedere. Il database non dovrebbe essere una di quelle risorse.