Estoy configurando algunos servicios de acceso externo para una pequeña empresa y evaluando algunas de las diferentes opciones que tengo. Todo esto es nuevo para mí. He encontrado la pregunta, "es esto seguro?" ser muy vago y engañoso. Por lo tanto, para sopesar los pros y los contras de estas opciones en términos de seguridad, estoy tratando de dividir esa pregunta en categorías más razonables.
Pensando en ello, he dividido el tema de "seguridad" en las siguientes cuatro categorías:
Seguridad de inicio de sesión: ¿Es vulnerable el sistema a inicios de sesión apropiados pero no autorizados, por ejemplo? ¿Son las contraseñas demasiado fáciles de adivinar? ¿Es vulnerable a los ataques de diccionario? ¿Está configurado correctamente para no permitir el acceso anónimo? ¿El sistema obliga a un usuario a usar las mismas credenciales para muchos servicios? ¿Se comparten las credenciales a través de otros medios? correos electrónicos de recordatorio de contraseña), es el lado del cliente propenso a problemas (por ejemplo, un servicio basado en la web deja las contraseñas en las solicitudes de obtención de http en el historial del navegador), etc.
Rastreando / interceptando / modificando el tráfico: ¿Es el sistema vulnerable a un atacante motivado (o un atacante casual que solo busca causar problemas aleatorios, por ejemplo, monitorear el tráfico wifi en una ubicación pública) que puede obtener credenciales u otra información al observar el tráfico de la red (por ejemplo, ¿se transmiten las credenciales y / o los datos con un cifrado deficiente o nulo) o se pueden interceptar y modificar (por ejemplo, ataques mitm)?
Exploits / holes: ¿El sistema es vulnerable a fallas en las aplicaciones de servicio o en los protocolos subyacentes (cosas que generalmente terminan descubriéndose y parchándose, pero están fuera de mi control)? Esta categoría no incluye las vulnerabilidades logradas por los ataques basados en mitm † , sino más bien, cosas que pueden explotarse sin interceptar el tráfico existente (por ejemplo, el código de explotación rojo se aprovechó ).
Acceso "interno": (No estoy seguro de cómo llamar a esto) Si un atacante obtiene acceso a un servicio, ¿puede obtener fácilmente otra información sobre ese servicio u otros ( por ejemplo, un servicio con vulnerabilidades de inyección SQL, obtener acceso de root a otras máquinas en una LAN después de un inicio de sesión VPN no autorizado, etc.)
Luego, he estado intentando analizar los pros y los contras de varias opciones de servicio en términos de las categorías anteriores. Creo que las categorías anteriores tienen distintos niveles de riesgo asociados.
Mi pregunta es: ¿mi clasificación es correcta o, al menos, razonable? De lo contrario, teniendo en cuenta que se trata de una pequeña empresa que probablemente no sea un objetivo explícito para los atacantes ( explícito , por supuesto, todavía parece haber una avalancha de direcciones IP extranjeras aleatorias que parecen intentar constantemente e inexplicablemente obtener inicios de sesión SSH y solicitar páginas web extrañas y aleatorias), ¿cómo se divide y analiza la cuestión de la "seguridad" cuando se evalúa la adición de un nuevo servicio?
Me frustran constantemente las declaraciones como "X no es seguro" sin más explicaciones. He descubierto que ciertas cosas son lo suficientemente seguras como para ciertos usos; y mis objetivos principales son: 1) encontrar una manera de evaluar objetivamente si un servicio o protocolo es lo suficientemente bueno para una situación dada: sopesar sus riesgos en comparación con los beneficios, y 2) poder responder de manera clara y adecuada a los usuarios Preguntas sobre la seguridad de las opciones que elijo.
† La razón es que estoy tratando de clasificar estas cosas según el entorno en el que tendría que estar un atacante, las herramientas y habilidades requeridas, y la probabilidad estimada de que alguien realmente lo intente.