capa DMZ para el servidor web / capa de presentación

Question

capa DMZ para el servidor web / capa de presentación

#1 de Paul Doom (1 votos)
#2 de munchguskin (0 votos)

2

Necesito ayuda para explicar a las personas no relacionadas con la seguridad por qué deseo requerir el servidor web / la capa de presentación en un dmz. He dado opciones para una arquitectura de nivel dos (presentación / lógica - > lógica / datos en zonas) y una arquitectura de tres niveles (presentación - > lógica - > zonas de datos).

Su argumento es que debería estar bien con el firewall - > F5 con ASM - > cortafuegos - > Presentación / Lógica / capa de datos, todo en una zona. Su argumento es que esta es una arquitectura de dos niveles, por lo que debe contar para cumplir con mis requisitos. Les pedí que me encontraran un documento estándar de la industria que explique el diseño de seguridad de esta manera y me han bloqueado, probablemente porque no hay ninguno.

Estoy teniendo dificultades para explicar que lo primero que un hacker de Internet toca debe tener un final sin fin y evitar el movimiento de norte a sur en la siguiente zona. Lo quieren en términos de capacidades arquitectónicas.

¿Una idea sobre cómo explicar una arquitectura de diseño de seguridad de aplicaciones de dos niveles en términos de capacidades arquitectónicas? Cualquier otra idea sería útil también.

network appsec web architecture dmz

pregunta Jim Beamer 06.08.2017 - 15:48

fuente

2 respuestas

Lea otras preguntas en las etiquetas network appsec web architecture dmz

Firma ciega RSA vs firmar un hash * aleatorio * ¿Existe una solución bien investigada y fácil de usar para el problema de la contraseña? [cerrado]

score 1 · Answer 1

ASM, y otros WAFs, son excelentes. Sin embargo, no son exactamente un "nivel". El punto de dividir las cosas en zonas de seguridad separadas por nivel es la defensa en profundidad. ¿Qué sucede si hay una vulnerabilidad de desbordamiento de búfer explotable de forma remota en el servicio utilizado para la capa de presentación? (* Lo sé. ¡Imposible! enlace ) Necesitas 100% de confianza que el WAF lo bloqueará, a pesar de cualquier técnica de ofuscación que se le lance. Eso es mucha confianza. Si el WAF no logra detectar el problema, estás tostado. El hacker posee TODO. Están dentro de la red y pueden hacer lo que quieran.

Al aplicar capas puede limitar el daño y aumentar la posibilidad de detectar una penetración. Cortafuegos - > WAF - > Presentación / Lógica - > Cortafuegos - > Datos, como mínimo.

Eso no es todo, por supuesto. Aún necesita cosas como procedimientos almacenados y un usuario fuertemente restringido para acceder desde las capas de Logic a Data. El WAF podría pasar por alto una inteligente inyección de SQL. Tal vez esa capa de datos también debería estar en una DMZ propia.

Ten en cuenta que esto es toda una separación lógica. Un clúster de firewall, un clúster F5, un clúster de hipervisor y un par de conmutadores VLAN admitirían cualquiera de sus diseños propuestos sin exagerar los costos de hardware. Estoy apostando a que están pensando en agregar zonas de seguridad significa mucho hardware y complejidad agregados. No tiene que hacerlo.

score 0 · Answer 2

Personalmente, encontré la arquitectura de 2 niveles principalmente una presentación de marketing para ayudar a los empresarios a comprender la compartimentación. En este caso, una comprensión de las consecuencias de una fuga en una capa y qué servicios / pasos se pueden tomar para mitigar esto. Es más fácil ver la arquitectura en términos de clústeres lógicos y tener defensas basadas en cada clúster. En este momento, con las redes virtualizadas, puede agrupar todos los nodos de riesgo similares y atacarlos de forma segura a todos si sospecha que se han comprometido y restablecerlos.