Apenas LB ou também Servidores Web na Zona Desmilitarizada?

2

Em um ambiente de carga balanceada, é necessário ter todos os servidores da web na DMZ? Ou apenas o Load Balancer na DMZ alcançará a segurança desejada? Se for importante, o servidor da Web e o servidor de aplicativos são os mesmos - GF, Tomcat liderado pelo httpd no mesmo servidor, OAS, etc ...

LB - > WEB / APLICAÇÃO - > DB

Além disso, a configuração seria diferente se fosse

LB - > Servidor Web - > Servidor de aplicativos - > DB

Obrigado Bradford

    
por Bradford 16.03.2010 / 15:26

2 respostas

1

Minha primeira resposta seria que o servidor da Web deveria estar na DMZ.

O conceito de DMZ é uma zona em que, se um ataque for bem-sucedido, não afetará o resto da organização. Idealmente, não deveria ser possível ir de qualquer máquina na DMZ para a rede interna / segura.

A partir do combo servidor LB / Servidor Web / Servidor de Aplicação, o LB é provavelmente o menos propenso a ser atacado com sucesso. Como tal, eu diria que essas máquinas devem estar na DMZ.

Cumprimentos,
João Miguel Neves

    
por 28.04.2010 / 17:46
0

A segurança é toda sobre camadas. Confiar apenas na tecnologia DMZ (ou em qualquer tecnologia) para segurança será problemático. Não há duas redes iguais e existem requisitos de segurança?

Se você colocar o seu LB na DMZ, então o que estiver fornecendo sua DMZ também terá que suportar essa carga. Qual é o seu DMZ fazendo? filtragem de pacotes, inspeção de l7, IDS etc etc, ou todos esses?

O que você está tentando proteger? e do que você está tentando protegê-lo? O que você é cargas de tráfego? Se você estiver usando um link de gigabit, precisará de muita infraestrutura extra para lidar com esse tráfego. Essa infra-estrutura precisa ser tolerante a falhas.

Por que não proteger seu sistema operacional, aplicar as regras corretas de firewall baseadas em host e alguma filtragem básica em seu roteador de borda.

Os firewalls com monitoração de estado também têm limites e são outra peça de infraestrutura para balancear, monitorar e manter a carga. (e potencialmente tem problemas de segurança).

Segurança é um processo. Apenas implementar um dmz não consertará nada, a menos que você realmente saiba o que está tentando proteger e por quê.

Você pode continuar adicionando camadas, mas sua complexidade de adição, reduzindo a complexidade, é mais segura, por isso é um compromisso real.

Eu vi muitas redes com dispositivos e dispositivos de segurança de rede muito caros, e quando você pergunta se eles fazem backups regulares de bancos de dados off-line, eles ficam em branco.

Esta resposta provavelmente apresentou mais perguntas do que respostas, mas é uma pergunta curta com uma resposta muito longa.

Qualquer um que responda com 'apenas instale um firewall', provavelmente não deveria responder tudo!

    
por 18.03.2010 / 16:53