Estamos prestes a lançar um aplicativo da Web para nossos usuários e estamos tentando descobrir se os outros colocam seus servidores em um DMZ ou apenas mantê-lo fora do domínio por trás do firewall e restringir muito o acesso por meio de regras de firewall? Alguém aqui encontrou algum contras apenas para restringir o acesso através de regras de firewall e O / S perms?
Observe que este site é um front-end ASP.NET MVC com back-end do SQL Server.
Também - este é um aplicativo de RH / Finanças e o back-end do banco de dados contém nossos dados mais valiosos. Do ponto de vista da segurança, prefiro dar ao mundo acesso root à intranet que permita acesso ao servidor de banco de dados. Como resultado, meu plano original era pular usando um DMZ e apenas abrir a porta 443 no firewall para o servidor web ... isso não parecia pior do que colocar o servidor db no DMZ com o servidor web.
Normalmente, a configuração é assim:
Internet facing servers connected to Firewall's DMZ Port
Trusted servers (SQL, AD, etc) connected to Firewall's Trusted/LAN Port
Internet connected to Firewall's WAN port
Em seguida, o Firewall é configurado para rotear entre essas sub-redes e permitir o acesso de acordo com as ACLs definidas por você.
Eu geralmente não uso um DMZ, mas apenas um firewall. A conta na qual o pool de aplicativos do IIS está sendo executado já está restrita.
O que você está perguntando é qual é a melhor prática?
Não importa onde as coisas são colocadas, tudo se resume a uma coisa. Ou seja, como você garantiu isso.
Uma regra de firewall pode abrir tudo ou fechar tudo. Talvez você precise olhar para isso de uma perspectiva diferente.
Você confia em seus funcionários o suficiente para ter acesso direto a esses servidores sem que um firewall restrinja o acesso entre eles. O mesmo vale para a internet. Se for esse o caso, coloque os dois em uma DMZ.
Pessoalmente, gosto deles na mesma sub-rede sem um firewall entre eles, porque garante o máximo desempenho. Mas, se o servidor da Web foi comprometido, deixe o servidor de banco de dados mais aberto do que se estivesse no lado seguro da LAN. Seus outros serviços precisam estar disponíveis no servidor de banco de dados do lado da LAN, como o RDP? dependendo de onde ele está, você pode ter que abrir portas de lan para DMZ para permitir o acesso, etc.
Regra de Ouro: Se ela puder ser acessada pela Internet e não houver nenhuma razão prática para não fazê-lo - coloque-a na DMZ. A ideia é que, se a máquina estiver comprometida, não deve ser possível alcançar a rede interna. Na verdade, é como um firewall duplo.
Tags security sql-server asp.net-mvc dmz