Proteger los datos dentro de la intranet desde internet

Question

Proteger los datos dentro de la intranet desde internet

#1 de Tim (0 votos)
#2 de Pascal (0 votos)

0

Quiero crear un sitio web orientado a Internet que interactúe con recursos internos, como datos de referencia.

Tenemos una zona DMZ y una zona de intranet. Cuando los usuarios inician sesión en el sitio web, el servidor web http en dmz realiza una conexión con la zona de intranet a través de un servicio de mensajería, el servidor de aplicaciones de lógica de negocios en la zona de intranet responde a la solicitud.

Sin embargo, tenemos un equipo interno que expresa su preocupación de que la conexión entre DMZ y la intranet es arriesgada, en lugar de eso sugirieron que lo hagamos de esta manera. Coloque un servicio de solicitud en DMZ, cuando el usuario inicie sesión, el servicio coloca una fila de solicitud en este almacén de servicios, en la zona de intranet, crea un servicio de control que controla la solicitud de DmZ, si se encuentra, solo empuja la información relacionada con el usuario que inicia sesión en el Dmz a través de un archivo rsync desde la intranet. De esta manera, no se permite que la conexión directa se inicie directamente desde el exterior, y de manera más segura. Sin embargo, como la copia de archivos es lenta, esto afectará el rendimiento de la página web, al iniciar la sesión de los clientes de imágenes y esperar a que el archivo se genere, se cifre y se copie, luego se descifre, se lea y se presente. Eso agrega mucha complejidad al servidor de front-end para leer archivos en lugar de la llamada de servicio JMS.

¿Qué opinas de la solución propuesta? ¿Y hay una alternativa a la copia del archivo pero que no comprometa la seguridad?

dmz

pregunta Yonggang 06.03.2017 - 18:15

fuente

2 respuestas

0

Tiendo a estar de acuerdo con las inquietudes planteadas por su equipo interno.

Sin embargo, ¿por qué usar rsync? Lo importante es que un host de intranet, en lugar de un host de DMZ, inicia la conexión, por ejemplo, que no hay manera de iniciar una conexión de DMZ - > Intranet, pero también puede poner una base de datos o cualquier otro servicio en su dmz y sondear y actualizar desde la intranet.

respondido por el Pascal 06.03.2017 - 22:27

fuente

Lea otras preguntas en las etiquetas dmz

¿Está bien desactivar P3P en IE11 en Windows 7? Wgar es el proceso en segundo plano DDOS-SKYNET-HACKINGTEAM?

score 0 · Accepted Answer

Tu pregunta no está bien explicada. Creo que desea reemplazar un servicio de mensajería (¿es esto una cola de mensajes y una conexión http u otra cosa?) Con una tabla de base de datos en la DMZ que el servidor en la subred privada sondea, para atender una solicitud web en tiempo real. Cuando hay una respuesta, se vuelve a sincronizar con el servidor web.

Eso probablemente resultará en un gran aumento del tiempo requerido para atender una solicitud. Incluso el sondeo de la base de datos cada segundo resultará en latencia, y la sincronización y el sondeo de un sistema de archivos introducirán más latencia y complejidad. Esto no es práctico, es complejo e innecesario.

Una cola de mensajes puede ser más práctica, pero, de nuevo, no son realmente para comunicaciones en tiempo real. Tendrá que hacer que su servidor web se siente haciendo una cola para esperar una respuesta, tomando recursos.

Es probable que un mejor modelo garantice que usted tiene:

Un firewall configurado correctamente en el punto de entrada a la DMZ y la subred / intranet privada
Una capa que verifica solicitudes en el camino, como un WAF. Esto puede ser una pieza de hardware o un servicio. Los proveedores de CDN ofrecen un servicio WAF ( AWS WAF , CloudFlare y Incapsula son algunas que conozco). También puede usar mod_security con Conjunto de reglas OWASP , pero es difícil de ajustar.
sistemas IDS / IPS en su lugar
Monitoreo para que sepa qué es "normal" para su red
Asegúrese de que su aplicación interna haya sido revisada correctamente y revisada la seguridad, por ejemplo, para combatir ataques comunes como la inyección SQL. La cobertura de los OWASP top ten es un mínimo.