Seguridad de enrutar una red a un firewall

1

Estoy estudiando para mi calificación CompTIA Security + y he encontrado la siguiente pregunta.

Pregunta:

Está implementando un entorno de prueba para un equipo de desarrollo. Utilizan varios servidores virtuales para probar sus aplicaciones. Una de estas aplicaciones requiere que los servidores se comuniquen entre sí. Sin embargo, para mantener esta red segura y privada, no desea que sea enrutable al firewall. ¿Cuál es el mejor método para lograr esto?

Mis pensamientos:

Mi problema es con la penúltima oración de la pregunta.
A saber, ¿cuál sería la razón para no querer que esta red sea enrutable al firewall?

    
pregunta Caleb Owusu-Yianoma 07.07.2015 - 16:22
fuente

2 respuestas

1

La única razón real para evitar que una red sea enrutable a través de un firewall es asegurarse de que esté aislada del acceso no autorizado externo e interno. Es imposible para alguien hackear un sistema si no hay una ruta física para que los electrones viajen desde su posición hasta la posición del sistema objetivo. Al desconectar los cables que conectan los sistemas de destino con el resto del mundo, esto garantiza que no haya una ruta física.

Sin embargo, esto reduce drásticamente la funcionalidad de la red y la facilidad de uso, ya que tendría que estar en una ubicación física específica para interactuar con cualquiera de las máquinas de destino. Cuanto más seguro es algo, más difícil es usarlo y menos funcionalidad tiene.

Si el entorno de prueba no necesita acceso a Internet, lo mejor / lo más fácil sería simplemente no conectarlo al firewall. Simplemente cree una subred de prueba, ponga todos los servidores en ella y conéctelos a todos en un conmutador. Todos los servidores podrán comunicarse entre sí y, como no hay conexión física al firewall, es imposible que alguien que no tenga acceso físico al conmutador o los servidores acceda a ellos.

Si el entorno de prueba necesita acceso a Internet, yo todavía crearía una zona de red para ellos (igual que arriba) pero en el firewall me aseguraré de que haya una regla de denegación para cualquier tráfico destinado al entorno de prueba. Dado que cualquier firewall que he visto fabricado en los últimos 5 años tiene la inspección de estado activada de forma predeterminada y la mayoría de ellos ni siquiera tienen una opción para desactivarla, esto permitirá a los servidores acceder a Internet y el tráfico que regresa en ese mismo puerto se permitirá.

Dependiendo de lo que significan exactamente "seguro y privado", el segundo escenario es el que tiene más probabilidades de implementarse en la práctica real, ya que casi todo necesita llegar a Internet para la administración remota y los parches. Sin embargo, el primer escenario es el "más seguro y privado".

    
respondido por el JekwA 07.07.2015 - 19:17
fuente
0

Los requisitos varían según la organización (EX. Lockheed Martin probablemente no querría que se acceda a su código para aviones de combate desde fuera del entorno de desarrollo).

Si bien el contexto de CompTIA es extremadamente amplio, recuerde que los cortafuegos no solo impiden el acceso entre fuerzas externas y su red interna. También se utilizan internamente en organizaciones más grandes para controlar el acceso en un enfoque de seguridad de capa, como tener DMZ o segregar un entorno PCI del resto de la red interna.

Volviendo a mi ejemplo anterior (no, no conozco el trabajo para LM), sería completamente concebible tener un FW como capa de seguridad para evitar que las conexiones internas externas entren en una red de desarrollo o para evitar el desarrollo. Conexiones de alcance fuera del entorno. El caso de negocios puede estar centrado entre evitar que empleados no autorizados accedan a la información en lugar de un actor externo.

    
respondido por el Shane Andrie 08.07.2015 - 18:57
fuente

Lea otras preguntas en las etiquetas