Мне нужно защитить выделенный сервер для использования в интрасети, сервер управляется, поэтому он будет иметь программную безопасность, но какие еще меры безопасности следует рассмотреть для обеспечения безопасности на уровне предприятия?
Интранет является хостом для ECM (Alfresco), управляющего и хранящего конфиденциальные документы. Поскольку информация является конфиденциальной, мы стараемся сделать ее максимально безопасной (требование законодательства Великобритании). Мы планируем зашифровать данные в базе. Он будет подключен через шифрование SSL. Следует ли рассматривать аппаратный брандмауэр, частную сеть между сервером приложений и сервером базы данных?
Предполагая, что частная локальная сеть безопасна (большое предположение, которое я знаю, но оставим это на некоторое время), то ваша самая большая угроза здесь, по-видимому, - "внешний интерфейс" интрасети. Независимо от того, что вы делаете, он всегда должен быть виден людям, которых вы предположительно считаете угрозой, и, поскольку ему нужен законный доступ к базе данных, он всегда будет каналом для злонамеренного доступа.
Я понимаю, что вы это уже знаете, но если я атаковал вашу систему, чтобы украсть данные в этой БД, то все, что мне нужно сделать, чтобы обойти вашу защиту, - это взломать систему интрасети и сидеть там, делая явно законные запросы, которые с радостью разрешит вся ваша безопасность. через. Поэтому вам необходимо сбалансировать время, потраченное на усиление защиты обоих серверов.
Итак, да, вы можете рассмотреть физически изолированную сеть между двумя машинами - если это буквально сеть из двух машин между БД и клиентской частью, тогда я не вижу смысла добавлять аппаратный брандмауэр в это сочетание на данном этапе. когда программное обеспечение подходит, как только вы объедините его со всеми "очевидными" обычными вещами, такими как блокировка / отключение неиспользуемых служб, используя шаблоны безопасности для создания надежной, надежно зафиксированной базовой линии и т. д.
мне бы определенно подумайте о чем-то вроде IPSEC для дальнейшей защиты этой ссылки от физических атак (например, кто-то просто подключил анализатор пакетов к коммутатору и получил старое доброе «прослушивание»), и я, вероятно, скопировал бы журналы с обеих машин на сервер системного журнала, чтобы я мог просмотреть подозрительные события между двумя машинами скоординировано - вы, конечно, можете добавить автоматический мониторинг и оповещения с этого момента. В зависимости от бюджета и потребностей я могу добавить IDS, например растяжка в смесь тоже.
Но, как я уже сказал, предполагая разумную физическую безопасность самих серверов, ваша самая большая угроза, вероятно, будет заключаться в компрометации самого окна, обращенного к интрасети, и в этот момент умный злоумышленник просто манипулирует этим ящиком, чтобы получить данные через запросы, которые кажутся законными, так что тебе нужно потратить по крайней мере столько же усилий и мыслей закрепить и эту сторону вещей.