Seguridad del servidor de aplicaciones dedicado

Question

Seguridad del servidor de aplicaciones dedicado

#1 de Julian Knight (2 votos)

1

Me gustaría exponer una máquina que ejecuta Windows Server 2012 a Internet. Planeo ejecutar una sola aplicación que use un puerto específico (por ejemplo, 12345) y luego usar RDP a través de 3389 para iniciar sesión y administrarlo. Yo usaría el firewall para bloquear el acceso a todos menos a estos dos puertos.

Suponiendo que la única aplicación sea segura, me gustaría saber si hay aspectos de seguridad que debo considerar y, de ser así, cuáles son.

Actualización 9/26/16 Lo siento, no respondí antes; Uno de mis filtros de correo electrónico marcó su respuesta como leída. Gracias por responder.

Planeo alquilar un servidor o servidor virtual de alguien como 1 & 1. Según su respuesta, supongo que alquilaría dos y utilizaría uno como enrutador. Tal vez todos sus servidores se sientan detrás de un enrutador, tendré que preguntar.

He notado sus sugerencias con viñetas y todas tienen sentido. Investigaré los servicios de CDN inteligentes.

Creo que entiendo el tema de tratar con ataques DDOS en los puertos abiertos, pero no tengo muy claro cómo la máquina es vulnerable si he bloqueado todos los puertos excepto la aplicación y el RDP. ¿Podría ampliar esto un poco?

firewalls internet rdp

pregunta Will 24.09.2016 - 04:01

fuente

1 respuesta

Lea otras preguntas en las etiquetas firewalls internet rdp

¿Cómo validar la integridad de una biblioteca en tiempo de ejecución? ¿Es la metodología KDD CUP suficiente para describir todos los posibles ataques en IPv6?

score 2 · Accepted Answer

No recomendaría conectar ninguna máquina directamente a Internet si puede evitarlo. Hay demasiados vectores de ataque a los que te estás exponiendo, muchos de los cuales serán desconocidos.

En cualquier caso, hacerlo sería muy inusual. En casi todos los casos, conectaría el servidor a través de un enrutador que tendría al menos algunas protecciones básicas integradas. Cosas como los paquetes no válidos y la protección básica contra ataques de denegación de servicio son comunes. También lo usaría para limitar los puertos abiertos entrantes y reenviar el tráfico entrante a la dirección IP interna correcta (NAT).

Además, debe asegurarse de que:

El servidor & Su software está constantemente parcheado. Idealmente, los parches deberían enviarse desde un servidor de confianza más profundo dentro de una red interna protegida.
Está ejecutando protección antimalware. Al menos Windows Defender.
Debe desactivar todos los procesos que no sean necesarios y desinstalar todo el software y los servicios innecesarios.
Debe mover la conexión RDP a un puerto no estándar. Puede hacer esto en el enrutador / firewall usando el reenvío de puertos o en el propio servidor.
También puede configurar el servidor RDP para usar TLS, que brindará protección adicional sobre el tráfico RDP estándar.
Debe asegurarse de que no haya nombres de usuario predeterminados en el servidor y de que cualquier ID de usuario tenga códigos de acceso muy fuertes, especialmente los usuarios administradores.
Debería usar otra máquina, preferiblemente más dentro de una red protegida, para obtener registros del servidor y esos registros deben ser monitoreados para detectar actividades inusuales. Esto debe hacerse automáticamente utilizando un sistema de monitoreo.

También es posible que desee pensar en los ataques de denegación de servicio. Si la aplicación que se sirve es un servicio web, puede considerar usar un servicio CDN inteligente como Cloudflare para proporcionar almacenamiento en caché inteligente y protección DDOS. En ese caso, puede restringir las conexiones entrantes al puerto de la aplicación para que solo sean de la CDN.

Por supuesto, la cantidad de esfuerzo que pones en esto depende en parte del valor de la información que el servidor está manejando. Pero también tiene cierta responsabilidad con el resto de Internet para garantizar que su servidor no termine como parte de una red de bots.