-
לשרת אינטרנט הפונה לאינטרנט אין שום סיבה לקבל גישה לרשת LAN / תחום בכלל, ועל כן יש לאסור לחלוטין על כך. באופן אידיאלי, זה צריך להיות ב- DMZ.
- זה נותן הגנות משמעותיות כנגד תוקף ש'בעלים 'את האינטרנט מול שרת האינטרנט שתוקף את שאר הרשת שלך.
- אתה יכול לקבל כמה שיותר מאלה שאתה צריך, כמובן, מסיבות HA (זמינות גבוהה), DR (התאוששות מאסון) ומסיבות ביצוע.
- בינוני: עם כללים מחמירים לגבול WAN / DMZ ו- איסור מוחלט על תעבורת DMZ / LAN "אל LAN", וכללים מחמירים לתעבורת DMZ / LAN של "To DMZ, או דומה.
- מתקדם: DMZ" חיצוני "עם כללים מחמירים הן עבור ה- WAN / גבולות OuterDMZ ו- OuterDMZ / InnerDMZ, או דומים.
-
מארח שירותי אינטרנט פנימי כנראה זקוק לגישה מוגבלת ל- LAN / תחום (בעיקר למסד הנתונים שלך )
- אם הוא לא משתמש באימות סוג דומיין למסד הנתונים, הוא עדיין לא צריך להיות בדומיין
- אתה יכול לקבל כמה שיותר כאלה שאתה צריך , כמובן, עבור HA (זמינות גבוהה), DR (התאוששות מאסון), וביצועי ביצועים בנים. אם אתה משתמש בחשיפת סיסמאות טובה באמת (PBKDF2, bcrypt, scrypt) עם ספירת איטרציה גבוהה, תצטרך לעבד יותר ו / או זיכרון RAM כאן.
- זו אמנם פלטפורמה טובה יותר לתקוף את ה- LAN שלך מ- שרת האינטרנט הפונה לאינטרנט (אלא אם כן מדובר באותה תיבה, או גרוע מכך, באותו אתר), היא עדיין צריכה להיות מוגבלת מאוד - לתיבת מסד הנתונים דרך יציאת מסד נתונים בלבד, היכולת למשוך עדכוני אנטי-וירוס ולדחוף אזהרות אנטי-וירוס וכו '.
- בסיסי: זהו אותו מופע מערכת הפעלה שמארח את שרת האינטרנט הפונה לאינטרנט, או דומה.
- בינוני: זה נמצא גם ב- DMZ עם הגנה מלאה על תעבורה נכנסת מה- WAM, וכללים נוקשים הן לגבול היוצא ל- WAN WAN / DMZ והן לכללים נוקשים לגבולות DMZ / LAN, או דומים.
- מתקדם: זהו DMZ "פנימי" עם כללים מחמירים הן לגבולות OuterDMZ / InnerDMZ והן ל- InnerDMZ / LAN, או דומים.
-
A סביר להניח ששרת מסדי נתונים נמצא ב- LAN שלך, מה שהופך אותו ליעד יקר הרבה יותר עבור התוקף; כנראה שצריך לגבות את זה, צריך לגשת אליו על ידי מגוון תוכניות בנוסף לאינטרנט, וכן הלאה וכן הלאה.
- כמו תמיד, הזרקת SQL מתחילה ישירות מהאינטרנט למסד הנתונים שלך; פרמטרים את ה- SQL שלכם! שרת, הרבה פחות מצליחים בהתקפה.
בעיקרו של דבר:
-
אינטרנט -> שירותי אתר + אתר + DB פירושו שעם פשרה אחת של מערכת ההפעלה, התוקף יכול לשלוט על הכל, כולל סינון או השמדת כל הנתונים שלך במסד הנתונים (או הגיבויים) ישירות - אין צורך לעבור דרך ממשק האינטרנט כדי לעשות זאת.
-
אינטרנט -> שירותי אתר + אתר -> DB פירושו שהתוקף צריך להתפשר על מסד הנתונים שלך דרך חור המפתח של שירותי האינטרנט שלך, או צריך להתפשר על יותר ממכונה אחת שיש בה רק כמה חורי אבטחה משותפים.
-
אינטרנט -> אתר אינטרנט -> שירותי אינטרנט -> DB עדיף - התוקף צריך להתפשר על מסד הנתונים שלך דרך חור המפתח של שירותי האינטרנט שלך, כפי שניתן לראות n דרך חור המפתח של אתר האינטרנט שלך, או צריך להתפשר על יותר ממכונה אחת (או שתיים!) שיש בהן חורי אבטחה משותפים אך לא כולם.
מובן מאליו שבכל רמה אתה צריך להיות מאובטח כמו שמותר לך - תיקונים ואנטי-וירוס מעודכנים, פרמטרים של SQL למניעת הזרקת SQL, ערכי רישום לבן, סיסמאות אקראיות ארוכות קריפטוגרפיות, נתונים מוצפנים, מוצפנים חיבורים, סיסמאות חזקות מאוד (PBKDF2, bcrypt, scrypt), אפשרויות אלגוריתם טובות להצפנה ו hashing, רק היציאות המינימליות נפתחות בין כל שכבה, בדיקת יומני עקבות של התקפות, תוכנות / יישומי IDS / IPS, וכן הלאה וכן הלאה .
נדרש תכנון כלשהו או הגדרת משחק (או שניהם).