Implicaciones de seguridad de WAF que revelan direcciones IP internas

  

¿Cuáles son las implicaciones de seguridad de un firewall de aplicaciones web / equilibrador de carga?   revelando direcciones IP internas de los sitios web que están detrás de ella hacia el exterior   mundo?

Si cuando dices "IP internas" te refieres a la dirección LAN del servidor web (es decir, el mismo centro de datos, redes privadas, etc.), tienes un escenario similar a WebRTC que revela la dirección IP privada de su computadora .

El mayor riesgo es si cuando dice "IP internas", se refiere a direcciones IP de acceso remoto (es decir, públicas) de las que simplemente no hablamos ni confiamos en la seguridad por oscuridad para ocultarlas y protegerlas. En este caso, la superficie de ataque aquí es su servidor web completo, ya que se puede acceder directamente desde él a Internet, y el simple hecho de saber su dirección IP le permitiría a un atacante omitir completamente el firewall de su aplicación web y cualquier bloqueo y amp; el registro podría tener.

Para la defensa en profundidad, puede considerar los siguientes controles de acceso :

• La creación de reglas de firewall en el servidor web para permitir solo el tráfico entrante DESDE su equilibrador de carga, lo que impide el acceso directo desde cualquier otra red / IP, incluso si se filtró.
• Eliminando la IP pública del servidor, y solo use redes privadas

Por supuesto, esto implica un equilibrio entre seguridad y capacidad de mantenimiento. Me imagino que todavía necesitará una forma de acceso remoto (es decir, VPN, SSH, o posiblemente a través de software de administración de infraestructura como Chef, Puppet, proceso de integración continua, etc.) pero el punto es que lo haría bajo un control de acceso más estricto eso haría que el conocimiento de la IP de su servidor sea casi inútil.

Si un atacante encuentra un método para ejecutar código en uno de sus hosts, es más fácil atacar a otros hosts detrás de su firewall o equilibrador de carga, incluso con un canal trasero limitado (por ejemplo, si se trata de una inyección de código oculto o para mantener la huella de el ataque lo más pequeño posible).

Las divulgaciones internas de IP generalmente se consideran vulnerabilidades de divulgación de información. Si bien esto ayudaría a un proceso de huella de la red del atacante, no es intrínsecamente peor que otras revelaciones de información.

Sopesar los riesgos de no tener el WAF frente a darle a un atacante una información adicional, me parece una decisión simple.

Con toda probabilidad (la mayoría de las veces) un atacante ingresará a través de la ingeniería social a uno de sus empleados para descargar un troyano. En ese momento, es casi trivial comenzar a escanear la red desde adentro.