Arquitectura de red DMZ pública
On enero 2, 2021 by adminHace años, cuando era estudiante, un profesor de seguridad de redes me enseñó en una clase lo que es DMZ. La arquitectura que usó en sus diapositivas era similar a esta:
Ahora que conseguí un empleo, mi jefe , un ingeniero de seguridad con más de 10 años de experiencia tiene un punto de vista diferente. Para él, una DMZ no debe colocarse en un «sándwich» entre la LAN e Internet. En su lugar, debería ser como el que se ilustra a continuación:
Al buscar con Google arquitecturas de red con una DMZ , Encontré diferentes representaciones y me confundí aún más. Entonces, mi pregunta es, ¿cómo se debe colocar una DMZ en una arquitectura de red altamente segura? ¿Está bien la primera representación desde el punto de vista de la seguridad?
Comentarios
- Una de las razones por las que es confuso es por el cambio en la arquitectura de los firewalls durante los últimos 15 años y porque en la parte superior diagrama, ‘ no está claro si la conexión al firewall interno fluye a través de la máquina DMZ o no. Los firewalls modernos pueden implementar lógicamente tanto el firewall interno como el externo que se muestra en el diagrama superior, por lo que ‘ s la cuestión de lo físico frente a lo lógico. Además, en general, la máquina DMZ no debería poder iniciar conexiones en la LAN, por lo que el diagrama superior debería mostrar 2 líneas desde el firewall externo, 1 a la DMZ y 1 al interno.
- csrc.nist.gov/publications/nistpubs/800-44-ver2/SP800-44v2.pdf [Sección 8] muestra cómo podemos mejorar aún más la seguridad general para servidores web.
Respuesta
Los dos son funcionalmente equivalentes: la DMZ está efectivamente en un sándwich, ya que tiene que tener conexiones del mundo exterior con cortafuegos, pero también tener cortafuegos que restrinjan el acceso a la red interna.
Si bien el último diagrama es a menudo lo que sucede (por razones de costo, necesita menos cortafuegos) el primero uno se considera más seguro, ya que puede utilizar dos marcas diferentes de cortafuegos, lo que ayuda a evitar un ataque al cortafuegos que infrinja ambos. Cuando usa un cortafuegos, usa conjuntos de reglas para cada dirección y cada conexión, y funcionalmente, esto es lo mismo que los conjuntos de reglas del segundo ejemplo.
Esto es solo una pequeña mejora en la seguridad, ya que generalmente no ataca los firewalls: usa los puertos abiertos para ir directamente y atacar el servidor web, el servidor de correo o incluso pasar directamente para atacar la base de datos, pero las capas de seguridad ayudan.
Comentarios
- Spot on. Tenga en cuenta también que muchos » asistentes de configuración de firewall » generalmente ofrecen ambos como plantillas para configurar … También tenga en cuenta que el enrutamiento entre las zonas puede ser un problema y puede ser más complicado de implementar y hacer cumplir de una manera que de la otra.
- Sí, pero como equipo rojo siempre es divertido atacar el sistema de seguridad central y tener un pwnage total de esa manera;)
- No estoy de acuerdo con que los dos sean funcionalmente equivalentes. En el diagrama inferior, todos lo que debe hacer es comprometer el firewall para obtener acceso completo a la LAN interna. Como han señalado otros, esto no es tan difícil de hacer en muchos casos debido a un error en la configuración del firewall. En el diagrama superior, debe atravesar 2 firewalls para acceder a los sistemas internos. El segundo firewall generalmente puede tener una configuración mucho más cerrada y, por lo tanto, ser más difícil de configurar incorrectamente o comprometer.
Respuesta
¿Cómo se debe colocar una DMZ en una arquitectura de red altamente segura?
La clave es la defensa en profundidad entre dominios de seguridad. El alcance de la arquitectura implementada dependerá de los recursos disponibles, incluidas las limitaciones financieras y las capacidades técnicas.
Defensa en profundidad
La defensa en profundidad es un concepto de aseguramiento de la información (IA) en el que se colocan múltiples capas de controles de seguridad (defensa) en todo un sistema de tecnología de la información (TI). Es una táctica de capas para mitigar las consecuencias de una falla en el control de seguridad. Wikipedia
Dominios de seguridad
Un dominio de seguridad es el factor determinante en la clasificación de un enclave de servidores / ordenadores. Una red con un dominio de seguridad diferente se mantiene separada de otras redes. Wikipedia
Implementación
Con el fin de determinar los controles entre los dominios de seguridad, puede definir; Internet como no confiable, DMZ como semi-confiable y redes internas como confiables.
Por lo tanto, debería emplear múltiples capas de controles de seguridad entre Internet y su DMZ, que podrían incluir: firewalls L3, IPS , AV, proxy inverso / equilibrio de carga, filtrado L7.
Desde el host DMZ hasta su red interna, debe emplear capas adicionales de: firewalls L3, filtrado L7 (por ejemplo, RPC) , IPS / AV.
El acceso con privilegios mínimos entre dominios de seguridad también es clave para maximizar la efectividad de los controles de seguridad.
¿Está bien la primera representación desde un punto de seguridad de ver?
Aconsejaría que no, debido a la falta de defensa en profundidad. Existe un único control de acceso entre Internet-DMZ y DMZ-LAN. Por lo general, una arquitectura de alta seguridad tendría separación de proveedores y capas de controles de acceso (L3 FW, WAF, IPS, AV, etc.).
Respuesta
No hay absolutamente ningún absoluto en seguridad.
Desde una perspectiva de capacitación, diría que la primera es más clara. Muestra el concepto de que el mundo exterior pasa por estas diversas capas y que es más fácil llegar a la DMZ y presumiblemente lo que está estacionado allí tiene un riesgo menor.
También es mejor desde el punto de vista de la defensa en capas, como se señaló muy bien en otras respuestas.
Pero es menos práctico desde el punto de vista del costo. Y he visto muchas, muchas variantes en el diagrama inferior, todas segmentando redes por diversas razones, tratando de hacer más con menos por varios costos o otras razones prácticas.
Honestamente, no creo que haya una «forma correcta» o un «diagrama correcto». Los factores incluyen:
-
compensación entre costo y riesgo – múltiple capas de firewalls con diversos proveedores es definitivamente más seguro, también es más caro. Imprescindible para una operación de alto valor / alto riesgo. Excesivo para una operación de bajo valor / bajo riesgo, ya que no solo es costoso de comprar, sino también de mantener, y debe sopesar el factor de que los humanos mantengan estas cosas y el riesgo de brechas y configuraciones incorrectas. Un firewall bien configurado va a ser mejor que dos cortafuegos que están abiertos de par en par porque la persona que los configuró no sabía lo suficiente para hacer bien el trabajo.
-
clarity – ¿Cómo es realmente la red? Si sólo hay un cortafuegos, dibuje el diagrama en consecuencia, no deje que la gente busque un segundo cortafuegos. A menos que esté hablando de una capa lógica y no una capa física, en cuyo caso ambas «paredes» pueden estar en el mismo dispositivo. El objetivo de un diagrama es ayudar a los humanos a hacer cosas … un diagrama es «correcto» o «incorrecto» solo en términos de su capacidad para satisfacer esta necesidad.
Yo diría que si su jefe está afirmando que su dibujo es la «forma correcta» absoluta, está loco … hay muchos ejemplos públicos para contrarrestar eso.
Si es la forma más clara de describir lo que está trabajando, entonces él tiene razón.
Responder
I » Repetiré algunas cosas que otros han dicho, pero aquí va.
En primer lugar, pensaría en cuánta seguridad se desea , el costo de lograrla y el problemas que surgirán si algo falla y se pierde la comunicación entre la zona segura e Internet.
Su cenario parece un poco más sofisticado, porque hay más capas del mundo oscuro hasta que sus datos secretos Pero también agrega más costos, existen más puntos de falla.
El segundo cenario es tan seguro como el firewall. la DMZ comprometida no facilitará el ataque, ya que tiene que atravesar el cortafuegos, y el cortafuegos es la pieza de resistencia en todo el concepto.
Y lo siento, pero si la pregunta fuera solo sobre «¿cuál es el correcto: dos cortafuegos o uno solo?», no pude encontrar ninguna referencia para decidirlo.
Respuesta
No tengo claro qué quiere decir con una «arquitectura de red altamente segura». Debería considerar con más detalle cuáles son sus objetivos de seguridad, requisitos de seguridad de la información y el panorama de amenazas en el que está evolucionando para diseñar e implementar controles de seguridad adecuados.
Sin embargo, intentaré responder su pregunta en un alto nivel.
Sí, la primera arquitectura de seguridad está bien desde el punto de vista de la seguridad en general. Hay variaciones de esta arquitectura (por ejemplo, ¿adjunta la DMZ a los cortafuegos externos y / o internos y / o intermedios) pero no creo que sea relevante para su pregunta en esta etapa?
Tengo entendido que esta arquitectura solía ser más popular en un momento en que los firewalls tenían múltiples vulnerabilidades públicas conocidas en su implementación que permitirían eludir o incluso explotar los firewalls mismos y en ausencia de otros mitigantes controles.
Al usar una implementación diferente para sus firewalls externos e internos, solo está aplicando el principio de selección natural a su arquitectura y generalmente es algo bueno: si una implementación es vulnerable a un ataque específico , es posible que el mismo ataque no funcione en una implementación diferente si sus características respectivas son lo suficientemente diferentes. Es de esperar que esté eliminando un solo punto de falla (desde una perspectiva de implementación) de la «función de seguridad del firewall».
Por supuesto, dependiendo de sus requisitos de disponibilidad de información, es posible que deba considerar agrupar sus archivos externos e internos. cortafuegos entre otras cosas.
La segunda arquitectura también es válida desde una perspectiva de seguridad y creo que ahora es más popular que la primera (ayuda en costos). Tiene un punto único potencial de falla de la función de seguridad del firewall. Sin embargo, la mayoría de las organizaciones ya se habrían dado cuenta (con suerte) de que no puede confiar en su firewall solo para proporcionar servicios de seguridad. Enrutadores / conmutadores / cortafuegos de host / etc. Todos pueden contribuir a la postura de seguridad de una organización, mitigando así algunos o todos los daños causados por el compromiso de una (única) implementación de firewall. También parece que los cortafuegos son un poco más sólidos hoy en día y que los ataques se han desplazado a capas OSI más altas pero más suaves, p. aplicaciones.
Consideraría la segunda arquitectura para la mayoría de las implementaciones. Puedo considerar la primera arquitectura en algunas circunstancias específicas que incluyen, entre otros, los objetivos y requisitos de seguridad, las motivaciones de los atacantes potenciales y, lo que es más importante, los recursos.
Respuesta
El riesgo es mucho peor en el primer diagrama. Da un paso atrás y lee sobre DMZ militares. Básicamente, son lugares donde colocas cosas que no te preocupas por proteger. Es una mala terminología para empezar y una idea obsoleta en TI. Ahora digamos que tiene un entorno mucho más grande con diferentes niveles de seguridad, no puede tirar todos los datos en una zona (y mucho menos permitir que el ladrón de tráfico de LAN infectado con malware lo piense). Necesitará varias zonas de seguridad (varias DMZ si está vinculado a ese término, las llamo segmentos seguros). ¿Cómo agregaría, digamos, 20 zonas de seguridad diferentes a cada uno de los diagramas anteriores? Continúe agregándolos en serie según su nivel de seguridad? ¿O agregarlos en paralelo según sea necesario? La razón por la que la mayoría de los firewalls modernos tienen múltiples interfaces (algunos grandes tienen hasta 100 interfaces) es porque agregamos subredes seguras en paralelo. En un entorno de alta seguridad, es posible que tenga zonas de seguridad para servidores web frente a servidores dns frente a servidores de correo, etc. De esa forma, si sus servidores web son propiedad, el atacante no habrá ganado terreno adicional para comprometer su servidor de correo o cualquier otra cosa. Del mismo modo, si su proveedor de servicios aloja Una docena de clientes colocados puede poner cada uno detrás de una interfaz diferente para que no puedan atacarse entre sí (o propagar gusanos) de manera diferente a atacarse a través de Internet. Explore los sitios web de algunos de los grandes proveedores (Cisco & Juniper) y observe la documentación sobre sus firewalls más grandes y cuántas interfaces admiten. Aún querrá firewalls internos y firewalls de aplicaciones web (WAF) como Imperva (o proxies mod_security), pero incluso estas áreas internas deberán estar segmentadas y compartimentadas. El antiguo diagrama sándwich (arquitectura de TI de 70 «s – 80») es un FALLO importante en cuanto a seguridad y debe desaparecer.
Comentarios
- De ninguna manera el primer diagrama con dos firewalls es mucho peor que el segundo diagrama con solo uno. Incluso dijiste » que seguirás queriendo firewalls internos. » La mejor práctica es tomar tu firewall moderno con seguridad subredes en paralelo y aún coloca otro firewall entre él y los sistemas que no deberían ser accesibles desde fuera de la LAN.
Respuesta
Sí, además de la respuesta anterior, podría agregar un IPS para bloquear ataques que el firewall no detectaría, ya que esos ataques estarían dirigidos a los puertos abiertos.
Respuesta er
Tu jefe tiene razón.
La primera representación tiene muchos problemas o debilidades.
- HA (alto disponibilidad): necesitará 4 FW (2 externos y 2 internos) = $$$
- Administración: «se considera más seguro ya que puede usar dos marcas diferentes de firewall» … mucha sobrecarga de administración ( actualización, reglas, registro, licencias).Si no puede confiar en su FW y necesita otro de un fabricante diferente, ¡¡¡tiene un problema !!!
- IP: este diseño puede ser una pesadilla con natting, enrutamiento, etc.
- Riesgo: en este diseño, un host DMZ comprometido está en un buen lugar para rastrear y atacar a los usuarios en la zona LAN.
En real vida, el segundo diseño es más seguro y simple que el primero.
- HA (alta disponibilidad): solo necesita otro FW.
- Administración: solo una caja para administrar
- IP: punto único para administrar el tráfico para enrutamiento o nating
- Riesgo: si un host en la DMZ está comprometido, esta amenaza está contenida en la DMZ
Comentarios
- Desafortunadamente, en la práctica, en entornos de alta sensibilidad (piense en la banca, etc.) el primer diseño es mucho más simple: sus puntos no son ‘ t necesariamente correcto. para 1 – solo compra otros 2 firewalls, 2 – dos sistemas de administración no son un problema, 3 – no es relevante ya que generalmente tiene múltiples balanceadores de carga, fallas de HA, puntos finales SSL, etc. y 4 – el riesgo es menor para el escenario 1: es más fácil contener el riesgo.
- Eche un vistazo a esta arquitectura de red DMZ: Design Zone for Security, Enterprise Internet Edge Design Guide en el sitio web de Cisco. Verá el modelo de 3 interfaces (figura 3 del documento de Cisco) para la DMZ. Este modelo tiene los atributos clave que se esperan en el diseño de DMZ: • Disponibilidad y resistencia del servicio; • Cumplimiento normativo; • Seguridad: evite intrusiones, fugas de datos y fraudes, y garantice la confidencialidad del usuario y la integridad de los datos.
- El uso de firewalls de dos proveedores diferentes también es un «diseño de la vieja escuela». Este artículo de Gartner «Q & A: ¿Es más seguro usar firewalls de dos proveedores diferentes?» (Publicado: 4 de noviembre de 2010) es muy informativo sobre este punto. Un extracto de este documento: «Más del 95% de las brechas de firewall son causadas por configuraciones incorrectas del firewall, no por fallas del firewall» … «Dos plataformas de firewall no son mejores que una. Creemos que existe un mayor riesgo asociado con la configuración y administración de firewalls de múltiples proveedores que de un solo proveedor. Saludos
- @tactika +1 para referencias
- Ese documento de Cisco, mientras bastante completo, es quizás demasiado sofisticado para esta pregunta, ya que hace distinciones entre conmutadores, enrutadores y cortafuegos administrados localmente. En los diagramas simplificados del OP, un firewall combina las características de los 3 dispositivos.
Responder
It depende del tipo de arquitectura de red de su edificio.
El primer ejemplo es ideal para situaciones como alojar una gran aplicación web, usted crea la seguridad en sus capas, por lo tanto, nivel de balanceador, nivel de aplicación, nivel de datos , cada uno protegido por diferentes medidas de seguridad, pero funciona en sus propias redes de confianza.
En el segundo ejemplo exactamente como se describe, con una LAN colgando de él. Además, esta opción es ideal para situaciones en las que necesita poder dar forma al tráfico para garantizar QoS.
Entonces, para responder a su pregunta, ambos son válidos y ambos tienen sus propias ventajas, no hay una fórmula mágica. .
Respuesta
La mayoría de los ingenieros de cortafuegos han implementado el segundo modelo de diagrama ya que un conjunto de cortafuegos es menos costoso y más fácil de configurar & administrar. Puede utilizar cada puerto en el firewall para la conexión física con el exterior, el interior y cada DMZ o usar contexto múltiple (como una máquina virtual) para segregar entornos virtualmente. Usamos el segundo modelo en nuestros centros de datos más pequeños y usamos el primer modelo con múltiples FW en nuestros centros de datos empresariales. A los auditores les encanta el primer modelo para ubicaciones empresariales, ya que una regla mal configurada en el segundo modelo puede hacer que un atacante que haya tomado el control de su servidor DMZ, tal vez obtenga el control dentro de su red. Esto es mucho más difícil en el primer modelo, ya que un atacante debe pasar por dos conjuntos de cortafuegos para entrar. Un administrador de firewall puede cometer un error quizás al probar en un firewall pero no en dos (generalmente). Implementamos múltiples firewalls la semana pasada. Con firewalls en el extremo de Internet que se conectan a múltiples DMZ y Load Balancers … y dentro de firewalls, se conectan a los mismos DMZ / Load Balancers. Además, el segundo cortafuegos interno tiene contexto múltiple en el interior. Lo que proporciona cortafuegos entre entornos WAN, de producción y no productivos … donde los servidores de producción pueden acceder a cualquier cosa, pero WAN puede acceder a los servidores de producción en www y https (etc.) o permitir el acceso RDP a los administradores para acceder a los servidores de producción y DEV / QA. dentro del Firewall.
Respuesta
La respuesta a la pregunta sobre cuál de los dos diseños es «correcto» solo puede basarse sobre los requisitos impuestos a la solución que se está diseñando.Como tal, ambos modelos tienen ventajas y desventajas, pero realmente se reduce a DOS PRINCIPALES IMPULSORES EMPRESARIALES DIFERENTES:
Si la empresa está imponiendo requisitos con declaraciones como:
«Necesitamos una Internet / Diseño de seguridad DMZ que es …
* rentable, de menor costo, básico, diseño simple, fácil de administrar, barato & sucio, protección adecuada. .. * etc. «
Entonces el FW de 3 PATAS (ejemplo # 2) será el modelo que debe usar como base para su diseño. Y en un mundo donde «AHORRE $$$» «Reducir costos» son a menudo los impulsores n. ° 1, es el factor principal por el que el diseño de FW de 3 patas es, con mucho, la implementación más popular, incluso para organizaciones más grandes.
Si la empresa establece requisitos con declaraciones como:
«Necesitamos un diseño de seguridad de Internet / DMZ que sea …
altamente / extremadamente seguro, brinda la mejor protección de Internet sin importar el costo, la protección de nuestros sistemas corporativos internos es IMPRESCINDIBLE … etc. El modelo FW-Sandwich / 2-Teir FW / Layered DMZ (ejemplo n. ° 1) es el que debe usar como base para su diseño. La razón es extremadamente simple … La seguridad DMZ en capas agrega barreras únicas adicionales a la entrada para el pirata informático de Internet. Si pasa por el primer FW, aterriza en la siguiente capa, y la siguiente, y luego en el FW interno de backend antes de que finalmente haya llegado a las joyas de la corona de los datos corporativos. El modelo de FW de 3 LEGGED es una capa de protección por la cual, si se compromete un FW mal configurado o mal configurado, tiene acceso directo a la red interna. ¡MALO!
Mis diseños anteriores son más complejos que un FW delantero y trasero. En un diseño ISP / DMZ extremadamente seguro, diseñé FW, IPS, red VIP frontal, balanceadores de carga VIP DMZ, redes de granjas privadas y luego los FW internos de back-end. Cada una de estas capas agrega una barrera de entrada adicional única para que el hacker la atraviese. También establecemos fuertes reglas de diseño que establecen que «una capa en el diseño solo debe comunicarse con la siguiente capa y no omitir esa capa como un atajo»
Este diseño es seguramente más costoso, pero para empresas a gran escala por lo que bancarias, financieras, grandes bases de datos de información de clientes, etc. DEBEN ESTAR PROTEGIDAS, sería una tontería utilizar un FW de 3 patas que lo convierte en la única barrera entre los piratas informáticos y estas joyas de la corona.
Respuesta
La primera opción es incorrecta porque convertirá el firewall en un enrutador y los firewalls no deberían ser enrutadores. La segunda opción es buena, pero puede agregar ese segundo firewall a Internet, pero mantenga la DMZ en el firewall interno.
DC
Deja una respuesta