¿Es posible evitar ataques como conectar un dispositivo de red de hardware a la PC directamente por cable para imitar una puerta de enlace falsa? De esa manera, el usuario puede evitar todas las restricciones de red en toda la oficina y copiar algo directamente en este dispositivo.
En mi respuesta, asumo que el usuario no tiene acceso de root al sistema, no puede iniciar ningún otro sistema o simplemente quitar el disco duro y acceder a él directamente, porque de lo contrario podría eludir las protecciones existentes.
Dado que un usuario experto podría simular un enrutador completo, incluida la dirección MAC del enrutador original, podría agregar un enrutador falso. En este caso, su única opción sería asegurarse de que el sistema se conecte solo a los enrutadores correctamente identificados, es decir, utilice una VPN al enrutador o similar. Lo mismo ocurre cuando el usuario adjunta algún almacenamiento conectado a la red, etc., es decir, debe asegurarse de que la computadora solo pueda comunicarse con un número limitado de sistemas completamente identificados.
... para que nadie pueda hacer solicitudes POST a través de HTTP. ... Objetivo final: evitar la fuga de datos por parte de algunos de nuestros empleados.
Es posible transferir datos dentro de la URL o dentro de los encabezados HTTP de una solicitud GET, por lo que restringir la POST no es suficiente siempre que el usuario pueda comunicarse con un sitio web bajo su propio control.
Aparte de eso, el usuario puede simplemente tomar fotos de la información, escribirla o simplemente recordar la información y escribirla en casa. Si no confía tanto en los usuarios, es probable que no tengan acceso a la información.
La restricción de solicitudes POST solo protege contra fugas accidentales de información o contra usuarios no técnicos. Pero estos usuarios probablemente no intentarán agregar un enrutador alternativo para filtrar datos.
Si le preocupa la transferencia de grandes cantidades de información que no puede ser simplemente recordada o fotografiada, podría ser lo mejor que estos datos no estén disponibles en el entorno de Internet al tener sistemas dedicados (hardware o VM) para acceder a Internet y estos sistemas no deberían tener acceso a los datos relevantes.