Cargar datos de Internet a DMZ a una intranet

Question

Cargar datos de Internet a DMZ a una intranet

#1 de Tony (2 votos)

2

Tengo la siguiente situación: un servidor web ubicado en una DMZ recibe cargas de archivos desde navegadores web. Los archivos cargados se almacenan en el sistema de archivos del servidor web. En el siguiente paso, estos archivos deben reenviarse a otro servidor (llamemos a esto el servidor interno) en la red interna. Para el último paso, el servidor interno necesita un acceso a archivos tradicional. Me gustaría discutir algunas soluciones:

El servidor web accede a un sistema de archivos compartido en la red interna Pros: Simple, los archivos se almacenan y se accede desde ambas máquinas con SMB / CIFS Contras: Es bastante peligroso permitir un acceso SMB / CIFS (recuerdo todos los errores de Windows en el pasado) en la red interna.
Instale algún tipo de servicio personalizado en el servidor interno, el servidor web obtiene un cliente para enviar los datos. Podría ser FTP o alguna implementación personalizada. Contras: el servicio instalado puede no ser más seguro que la carpeta compartida.
Carpeta compartida en la DMZ, solo accesible desde el servidor interno. Pros: a partir del 1. Contras:?

¿Ves puntos que olvidé u otra solución completamente diferente?

Nota: existe un "canal de control" desde el servidor web al servidor interno, por lo tanto, el servidor web puede enviar un comando "cargar nuevos datos de este directorio" al servidor interno.

Gracias.

firewalls dmz

pregunta Peter Clause 03.11.2014 - 23:35

fuente

1 respuesta

Lea otras preguntas en las etiquetas firewalls dmz

Escribir errores en el archivo de registro de Apache desde PHP, ¿hay alguna trampa? Protección de un disquete antiguo

score 2 · Accepted Answer

Debes considerar la conversión del documento desde su formato nativo. Convierta JPG a PNG, por ejemplo, y Word a PDF. Es un intento generalizado de intentar y eliminar cualquier malware específico del documento. La ventaja es que puede proteger contra amenazas desconocidas y futuras. La desventaja es que puede alterar el formato o perder contenido. El nivel de esfuerzo al que se dirige aquí está determinado por los riesgos.

Promoviendo la idea, puede mantener una copia nativa para que, en el caso de que se dañe en el proceso de conversión, pueda recuperar el original y tomar la decisión basada en el riesgo de usarlo. Para los verdaderamente paranoicos, encripte el archivo nativo con la clave pública de un par de claves, donde la clave privada solo está disponible en una máquina independiente persistente endurecida específica. Utilice esa máquina solo para ver los documentos nativos.

Más aún: el proceso de conversión de documentos debe estar en una máquina "confiable". Lo ideal es no hacerlo en el servidor web de Internet, ni en el servidor interno; por lo que debe hacerse en la DMZ.

Sus datos deben ser extraídos de Internet a la DMZ por la DMZ, y luego extraídos de la DMZ a la red interna, por la red interna. Es solo un buen principio y, de lo contrario, podría requerir más reglas de firewall de las que usted necesita.

Consideraría rsync-over-ssh como un método de sincronización unidireccional probado en la batalla con autenticación mutua. Ejecútelo con regularidad, y no tiene que preocuparse por indicar a la DMZ que venga y recopile archivos (aunque podría no ser suficiente si tiene que procesar estos archivos rápidamente)

Por supuesto, esto puede ser demasiado esfuerzo para administrar su riesgo.