¿Se niega a 'abrir' la red corporativa?

1

Estoy trabajando en un proyecto que requiere acceso a un servicio que se ejecuta en un servidor remoto, a través de un único puerto TCP (> 1024). Este servicio se ejecuta en una máquina ubicada dentro de una red existente, y el proyecto en el que estoy trabajando está ubicado en un nuevo servidor (web), externo a esta red.

Se acordó por adelantado que para que este proyecto funcione, el puerto debe abrirse al nuevo servidor, sin embargo, el equipo de TI ahora ha decidido que el riesgo de seguridad es demasiado grande para "abrir" su red interna.

Ellos me justificaron esto diciendo que si el nuevo servidor está comprometido podría permitir que un atacante entrara a la red interna. Pero, ¿esto no se mitigará permitiendo solo el acceso en un solo puerto a una sola máquina en la red? Esto se haría a través de un sistema de firewall / NAT fuera del control de cualquiera de los servidores.

Entiendo que el servicio interno se convierte en el vector de ataque, pero diría que está diseñado para ser público, de modo que en este punto su justificación cae.

No soy un experto en seguridad de ninguna manera, así que, ¿cuáles podrían ser los problemas aquí que me faltan? (y no están explicando)

    
pregunta James 24.07.2018 - 17:57
fuente

1 respuesta

3

Básicamente, está solicitando permitir el acceso desde el exterior a algún sistema interno, es decir, un sistema que se encuentre en la misma red interna con otras máquinas donde no se debe permitir el acceso a estas máquinas desde el exterior.

Si un atacante logra salir de su aplicación debido a algún problema de seguridad, significa que ahora el atacante puede acceder y atacar a todas las otras máquinas en la red local. Debido a esto, es bastante comprensible que el equipo de TI no quiera permitir este tipo de acceso.

  

Pero, ¿esto no se mitigará permitiendo solo el acceso en un solo puerto a una sola máquina en la red?

El acceso a este puerto específico es suficiente para salir de su aplicación si la aplicación es insegura. No protege contra ataques al resto de la red interna desde la máquina comprometida.

  

... pero yo diría que está diseñado para ser público, de todos modos, por lo que en este punto su justificación cae.

Los servicios públicos deben colocarse en una zona de red separada ( DMZ ) donde sean accesibles desde el Fuera pero no tienen acceso a la red interna. De esta manera, el impacto de un compromiso se reduce a esta zona separada pero no puede afectar a la red interna.

    
respondido por el Steffen Ullrich 24.07.2018 - 18:46
fuente

Lea otras preguntas en las etiquetas