将Web服务器与数据库分离的好处

在包含 Web 服务器的服务器以外的服务器上安装 Web 应用程序数据库有哪些安全优势?

第一个明显的优势是,如果有人打破了放置web的服务器,就无法保证访问存放数据库的同一台服务器。分离此功能还可以更轻松地将代码更改对 IT(软件开发人员、管理员等)/策略更新对环境各个方面的影响降至最低。这不能解决糟糕的编码或不安全性(SQL 注入、默认用户名/密码)。然而,它促进了一个更好的安全系统作为一个整体。

将Web服务器与数据库分离的好处

  • 面向 Internet 的 Web 服务器没有理由访问您的 LAN/域,应该完全禁止。理想情况下,它应该在 DMZ 上。
    • 这可以防止“拥有”面向 Internet 的 Web 服务器的攻击者攻击网络的其余部分。
    • 当然,出于 HA(高可用性)、DR(灾难恢复)和性能原因,您可以根据需要使用任意数量。
    • 中:WAN/DMZ 边界的严格规则和严格禁止“To LAN”DMZ/LAN 流量,以及“To DMZ”DMZ/LAN 流量的严格规则。
    • 详细信息:对“外部”DMZ WAN / 外部 DMZ 和外部 DMZ / 内部 DMZ 或类似的边界的严格规则。
  • 内部 Web 服务主机可能需要限制访问 LAN/域(主要是数据库)
    • 不需要在域上,即使您没有对数据库使用域类型身份验证
    • 当然,出于 HA(高可用性)、DR(灾难恢复)和性能原因,您可以根据需要使用任意数量。如果你想使用一个非常好的密码哈希(PBKDF2、bcrypt、scrypt)和很多迭代,你需要在这里做更多或RAM。
    • 它是一个比面向互联网的Web服务器更好的攻击局域网的平台(除非它是同一个盒子,或者更糟的是同一个站点),但是通过数据库端口访问数据库盒子是非常高的。应该仅限于。能够拉取防病毒更新和推送防病毒警报等。
    • 基本:这是托管面向 Internet 等的 Web 服务器的相同操作系统实例。
    • 中:这也在 DMZ 中,它为来自 WAM 的入站流量提供完整保护,并对出站到 WAN WAN / DMZ 边界有严格的规则。DMZ/LAN 边界等严格规则。
    • 高级:这是“内部”DMZ = 外部 DMZ / 内部 DMZ 和内部 DMZ / LAN 边界都有严格的规则或相似。
  • 数据库服务器很可能位于 LAN 上,这使其成为攻击者更有价值的目标。也许您需要备份它,从除 Web 之外的各种程序访问它,等等。
    • 与往常一样,SQL 注入直接从 Internet 访问数据库。参数化你的 SQL!
    • 该服务器在局域网和Internet以及其他服务器之间有多个定义良好的最小权限层,如果设计和实现得当,攻击数据库服务器的工作量会增加,攻击的成功率会大大降低。

从根本上说:

  • Internet-> 网站 + 服务 + DB 意味着对操作系统的一次妥协使攻击者可以控制一切,包括直接检索或销毁数据库(或备份)中的所有数据。.. 您不必通过 Web 界面来执行此操作。..
  • Internet-> 网站 + 服务-> DB 意味着攻击者可以通过 Web 服务锁孔破坏数据库或仅通过几个共享安全漏洞破坏多台机器。
  • Internet-> 网站-> Web 服务-> DB Better-Attackers 需要从网站锁孔中看到通过 Web 服务锁孔破坏数据库或多个(或两个)!!) 有一些共享安全漏洞的机器,但不是全部。

不用说,在各个层面,包括最新补丁和杀毒、参数化SQL防止SQL注入、入口白名单、长加密随机密码、加密数据、加密连接等等,都需要尽可能安全。散列密码(PBKDF2、bcrypt、scrypt),选择合适的加密和散列算法,层间只开放最小的端口,攻击痕迹,IDS/IPS软件/应用程序的日志等。确认等。

它需要一些计划和一些播放(或两者)设置。

0.00 平均评分 (0% 分数) – 0
声明:本站所有文章,如无特殊说明或标注,均为本站原创发布。任何个人或组织,在未征得本站同意时,禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益,可联系我们进行处理。

如需转载,请注明文章出处和来源网址:https://www.shluqu.cn/4362.html

点赞

发表评论

您的电子邮箱地址不会被公开。 必填项已用*标注