Limitar efectivamente el tráfico saliente del firewall a las IP que cambian con frecuencia

¿Es posible sortear un escenario de este tipo restringiendo las direcciones IP a un "rango", normalmente un bloque de subred (ya que la compañía externa tenía un bloque contiguo y así, aunque había un TTL bajo, las reglas aún estar bien)? ¿Sus proveedores de servicios externos tienen un bloque contiguo o un rango conocido de direcciones IP? En mi experiencia, la mayoría lo hace.

Desde mi comprensión de los requisitos de PCI (disco: estoy un poco oxidado, ha pasado un tiempo), la solución mencionada anteriormente sería suficiente porque el destino está restringido y su base de reglas seguirá teniendo un rechazo explícito.

Otra solución potencial es tener un servidor proxy, ya sea internamente en la LAN o en una zona casi DMZ a través de la cual el servidor DMZ puede comunicarse con los servicios externos. La política puede estar realmente bloqueada en el servidor proxy, de modo que el acceso externo desde el servidor DMZ puede restringirse al sitio, protocolo, tiempo, etc. El servidor proxy está diseñado para tratar con FQDN (mientras que el firewall normalmente no lo es y puede sufrirlo) la degradación del rendimiento como lo describe @JeffFerland), por lo que podría tener una política más estricta, ya que se basaría en los FQDN como destinos, no en rangos de IP.

Supongo que mucho depende del QSA que aparece el día :)

Además, estoy seguro de que lo sabe, pero todas las "mejores prácticas de seguridad" (afaik) insisten en evitar las llamadas salientes desde el DMZ (período), de modo que si el cuadro de la DMZ se abre, el atacante no puede cargar fácilmente Más recursos en el servidor o una pieza de malware pueden ser mucho más fáciles de llamar a casa.

Suena como un dolor justo. El problema con el direccionamiento "FQDN" es que se requiere una búsqueda de DNS, y confiar en los tiempos de espera puede provocar un retraso en la reacción del firewall. Sugeriría mirar esto de otra manera.

¿Se puede manejar esto con una VPN? ¿Existe un cierto bloque de espacio de direcciones que puede esperar poseer para sus servidores?

Puedes permitir explícitamente una conexión a un puerto en cualquier host y aún estar en la especificación (por ejemplo, *: 80). También puede utilizar SSL para autenticar sus conexiones (aunque será difícil si no son persistentes).

Al leer tu publicación, pensaba en usar tu proxy antes de llegar tan lejos:

  

Otra solución es configurar un entorno de alojamiento externo completamente separado (completo con su propia redundancia y autenticación) que se utiliza simplemente para representar todo el tráfico saliente que no es de tarjeta de crédito

Realmente no veo que esto sea tan oneroso: debería poder hacer proxy del tráfico cifrado (evitando así la fuga de datos de sus servidores de procesamiento, sin problemas de confidencialidad / integridad en el proxy). El único problema entonces es que el tráfico de terceros se enrute a través de su proxy y se acepte como si proviniera de sus servidores. Me gustaría pensar que sus proveedores ascendentes usan más que solo una dirección IP para identificar sus transacciones legítimas, pero usted podría restringir aún más el acceso al permitir solo las conexiones TCP entrantes en el proxy a través de ipsec / vpn.

Por lo tanto, un dispositivo proxy, con un firewall de smple, solicitudes salientes de DNS, solicitudes salientes de HTTPS, solicitudes entrantes de HTTPS (a través de un canal restringido) y ssh para el acceso remoto, no me suena demasiado complejo.