Protezione dei dati all'interno della intranet da internet

Question

Protezione dei dati all'interno della intranet da internet

#1 da (0 voti)
#2 da (0 voti)

0

Voglio costruire un sito internet che interagisca con risorse interne come i dati referenziali.

Abbiamo una zona DMZ e una zona intranet. Quando gli utenti accedono al sito Web, il server Web http in dmz effettua una connessione con la zona Intranet tramite un servizio di messaggistica, il server dell'applicazione di logica aziendale nella zona Intranet risponde alla richiesta.

Tuttavia abbiamo un team interno che si preoccupa che la connessione tra DMZ e intranet sia rischiosa, invece hanno suggerito che lo facciamo in questo modo. Inserire un servizio di richiesta in DMZ, quando l'utente effettua l'accesso, il servizio inserisce una riga di richiesta in questo negozio di servizi, nell'area Intranet, crea un servizio poling che monitora qualsiasi richiesta inserita nel DmZ, se trovata, invia solo le informazioni relative a l'utente di accesso al Dmz tramite un file rsync dalla intranet. In questo modo, nessuna connessione diretta può essere avviata direttamente dall'esterno e più sicura. Tuttavia, dato che la copia dei file è lenta, ciò produrrà delle prestazioni nella pagina web, l'imaging dei client accederà e attenderà che il file venga generato, crittografato e copiato, quindi decrittografato, letto e presentato! Ciò aggiunge tanta complessità al server front-end per leggere i file invece della chiamata di servizio JMS.

Cosa ne pensi della soluzione proposta? e c'è un'alternativa alla copia del file ma non compromette la sicurezza?

dmz

posta Yonggang 06.03.2017 - 18:15

fonte

2 risposte

0

Tendo ad essere d'accordo con le preoccupazioni sollevate dal tuo team interno.

Tuttavia, perché usare rsync? L'importante è che un host intranet, piuttosto che un host DMZ, avvii la connessione, ad esempio che non c'è modo di avviare una connessione DMZ - > Intranet, ma puoi anche mettere un database o qualsiasi altro servizio nel tuo dmz e poll e aggiornarlo dalla intranet.

risposta data 06.03.2017 - 22:27

fonte

Leggi altre domande sui tag dmz

In che modo WPA2-PSK impedisce la doppia password di phishing? Va bene disattivare P3P in IE11 su Windows 7?

score 0 · Accepted Answer

La tua domanda non è ben spiegata. Penso che vogliate sostituire un servizio di messaggistica (si tratta di una coda di messaggi, di una connessione http o qualcos'altro?) Con una tabella di database nella DMZ che viene interrogata dal server nella sottorete privata, per soddisfare una richiesta web in tempo reale. Quando c'è una risposta, rsync è tornato al server web.

Probabilmente ciò comporterà un notevole aumento del tempo richiesto per soddisfare una richiesta. Anche il polling del database ogni secondo si tradurrà in latenza e rsync e polling un file system introdurranno più latenza e complessità. Questo non è pratico, è complesso e non è necessario.

Una coda di messaggi potrebbe essere più pratica, ma ancora una volta non sono pensati per le comunicazioni in tempo reale. Dovrai fare in modo che il tuo server web sia seduto a interrogare una coda per aspettare una risposta, prendendo risorse.

È probabile che un modello migliore sia sicuro di avere:

Un firewall correttamente configurato nel punto di ingresso della DMZ e della sottorete privata / intranet
Un livello che controlla le richieste in entrata, come un WAF. Questo può essere un pezzo di hardware o un servizio. I fornitori di CDN offrono un servizio WAF ( AWS WAF , CloudFlare e Incapsula sono alcuni di quelli che conosco). Puoi anche utilizzare mod_security con Set di regole OWASP , ma è complicato da regolare.
Sistemi IDS / IPS installati
Monitoraggio per sapere cosa è "normale" per la tua rete
Verifica che l'applicazione interna sia stata sottoposta a revisione del codice e verificata la sicurezza, ad esempio per combattere attacchi comuni come SQL Injection. La copertura di OWASP primi dieci è un minimo.