Quali sono le vulnerabilità attenuate da uno stack LAMP a livelli? A quanto ho capito, qualsiasi violazione consentirebbe l'accesso al database anche se era a livelli. Qual è il vantaggio?
È meglio concentrarsi sui WAF?
Quali sono le vulnerabilità attenuate da uno stack LAMP a livelli? A quanto ho capito, qualsiasi violazione consentirebbe l'accesso al database anche se era a livelli. Qual è il vantaggio?
È meglio concentrarsi sui WAF?
L'escalation dei privilegi sulla stessa macchina è facile. Su macchine bloccate separate è più difficile. Se hai un livello di presentazione in primo piano (apache) che viene compromesso ma ha un account sql con solo privilegi limitati e il server sql non ha servizi esposti ad esso (cioè nessun ssh raggiungibile) lo rende potenzialmente molto più difficile da fare quanto danno.
Come esempio, se un utente malintenzionato si radica sul computer del server Web, è possibile reimpostare la password root del server SQL ecc., accedere alle tabelle su disco l'account del server web potrebbe non essere in grado di vedere ecc; non possono farlo facilmente senza l'accesso locale alla macchina del database.
WAF è il modo in cui vedo che non è poi così bello - nella migliore delle ipotesi possono essere ragionevoli per bloccare i pattern spaziali quando si fa una regola per fermare un problema, ma non ci si può aspettare che li proteggano per te; sono solo buone come le loro regole, ed è in genere più facile / veloce fare il corretto sanzionamento dell'input nel tuo codice piuttosto che avere il sovraccarico extra di creare un mucchio di regole specifiche (e lente) nel tuo WAF ... che richiederebbe anche enormi quantità di lavoro da fare. L'eccezione è che quando si ha un codice non mantenuto, WAF potrebbe essere l'unico modo per fare le cose, ma, ancora una volta, non sottovalutare quanto sia difficile creare fule e verificarne il corretto funzionamento senza influire sul business.
Senza regole I WAF non proteggono nulla. In pratica nessuno ha delle regole molto buone. Il costo per correggere il codice è spesso inferiore al costo per fare in modo che le regole corrispondano completamente al codice, ma il costo per implementare una regola WAF per la correzione tattica quando si ha un problema specifico può essere più semplice della correzione del codice. (Il costo qui può significare qualsiasi denaro / tempo / complessità).
Se il server web e il database si trovano sullo stesso server e qualcuno si radica, ottiene anche l'intero database. Se sono su server separati, possono (idealmente) accedere solo a qualsiasi app web. (Inoltre, suddividere le cose può essere utile quando si aumenta la capacità.)