Descargo de responsabilidad: no soy un experto en seguridad, por lo que esta puede ser una pregunta tonta. Mi conocimiento de seguridad se centra estrictamente en el desarrollo. Cuando se trata de configuración y redes, sé lo suficiente para sobrevivir. Estoy tratando de cambiar eso.
Primero, ni siquiera estoy seguro de si es una buena idea o algo que valga la pena considerar. Si es una mala idea, dígalo en la respuesta (o en un comentario) y explique por qué.
Tenemos un sitio web de acceso público, y partes de él permiten a los clientes acceder a algunos datos confidenciales. Ya hemos seguido todas las pautas de OWASP en nuestras aplicaciones, tenemos un Firewall de aplicaciones web y ya estamos tomando todas las precauciones que podemos pensar para bloquearlo. Sin embargo, nuestro sitio está siendo escaneado constantemente desde sitios en el extranjero. China, Alemania, Corea del Norte, lo que sea.
Nuestro negocio está restringido a un área geográfica muy pequeña. Operamos en tres estados en los Estados Unidos. En nuestro carrito de compras, vendemos artículos que solo se pueden usar en nuestras tiendas, por ejemplo, tarjetas de regalo. Con muy pocas excepciones, no hay absolutamente ninguna razón para que alguien en otro país deba tener acceso a esta parte de nuestro sitio. (Puedo ver a un soldado que quiere comprar tarjetas de regalo para sus familias en casa, pero no mucho más.)
Solo tengo curiosidad acerca de si sería posible bloquear la parte del sitio web restringiendo las direcciones IP a direcciones IP que provienen de los Estados Unidos. Para aclarar, sé cómo establecer restricciones de IP en IIS, pero no sé si hay rangos conocidos que sean verificables de los Estados Unidos.
Sí, conozco la suplantación de IP y los anonimizadores, y me doy cuenta de que podemos bloquear a las personas que usan esas herramientas y que será posible que quienes se encuentren fuera de los EE. UU. utilicen dichas herramientas para evitar esto. No he pensado en lo que eso haría a la viabilidad.