¿Insertar solo db access ofrece seguridad adicional?

Navega tus respuestas
10

Existe la preocupación de que si nuestros nodos web públicos están comprometidos, un atacante obtendrá acceso a todos nuestros datos. Sucede que los usuarios internos solo deben acceder a los datos ingresados desde usuarios externos.

¿Ofrece alguna seguridad adicional, si solo damos acceso de inserción a nodos web, y solo permitimos acceso de lectura / escritura desde nodos internos?

Una idea relacionada sería utilizar la mensajería para pasar el mensaje de escritura desde el nodo web al nodo interno que manejaría toda la modificación de la base de datos.

Mi instinto me dice que esto mitigaría la fuga de datos en una violación de nodo web. ¿Hay algo que estoy pasando por alto?

    
pregunta user3282193 05.10.2016 - 13:16
fuente

2 respuestas

15

La respuesta corta es "Sí", ofrece cierta seguridad adicional a medida que hace que sea más difícil para un atacante obtener la información que están ingresando estos usuarios externos.

La respuesta larga es que un atacante enfocado podría:

  1. utilice los nodos web comprometidos para secuestrar a sus usuarios externos en su servidor o inyectar malware, probablemente con poca diferencia en la interfaz web, ya que tiene acceso a las fuentes de su página
  2. utilice los nodos web comprometidos para capturar datos futuros ingresados por usuarios externos y reenviarlos a sus servidores para que los capture, con el tiempo replicando partes de su base de datos
  3. pasar del nodo web a la red interna a través del tiempo, por ejemplo, a través de nuevos agujeros de seguridad encontrados en la interfaz de la base de datos o cualquier otra interfaz que exponga a los nodos web
respondido por el calloc_org 05.10.2016 - 13:28
fuente
7

¡Absolutamente! Sin embargo, la terminología sería un usuario de inserción solo . Aún utilizarías la misma base de datos.

La mayoría de los servidores de bases de datos tienen un concepto de control de acceso interno, que es independiente del control de acceso del sistema operativo.

Básicamente, el usuario que solo se inserta solo tendrá el privilegio INSERT , y luego solo para las tablas particulares en las que se debe insertar.

Esto limitaría bastante el alcance de los ataques SQLi.

Consulte: ¿Cuáles son los beneficios de seguridad? ¿A una base de datos de usuarios separada?

    
respondido por el George Bailey 05.10.2016 - 15:15
fuente

Lea otras preguntas en las etiquetas

Múltiples clientes VPN en paralelo ¿Cómo almacenar datos privados de forma segura y de acceso público?