Haruskah server sistem inti dapat terhubung ke internet untuk pemeliharaan / dukungan?

Beberapa server kami memiliki lisensi pemeliharaan Oracle. Vendor perangkat keras kami meminta ada koneksi internet di ruang server. Kebijakan kami adalah semua mesin di ruangan itu diisolasi dari internet untuk alasan keamanan. Tetapi petugas pemeliharaan bertanya "lalu bagaimana kita bisa melakukan pekerjaan pemeliharaan di server Anda?"

Pertanyaan saya adalah, apakah server kami memerlukan koneksi internet agar pemeliharaan dapat dilakukan seperti sistem verifikasi lisensi. Atau bisakah dia melakukannya secara offline? Bukankah itu risiko tersendiri jika ada koneksi internet ke server produksi kami?

Anda biasanya perlu mengunduh tambalan dari internet lalu menerapkannya ke server. Namun masuk akal untuk memiliki langkah menengah menyalin tambalan ke lokasi perantara (bahkan DVD) untuk pergi antara internet dan server database.

Jika mereka hanya ingin mesin terpisah di ruang server yang dapat terhubung ke internet (misalnya untuk membaca catatan tempel), itu pilihan lain.

Akhirnya, ada perbedaan antara memiliki browser yang berjalan di server yang dapat terhubung ke internet dan memiliki server yang sebenarnya dapat diakses sebagai server dari internet.

Itu semua tergantung pada seberapa aman yang Anda inginkan / butuhkan.

Server Anda terhubung ke jaringan yang memiliki perangkat lain dengan akses Internet. Benar? Saya yakin orang lain akan tidak setuju tetapi saya percaya keamanan yang diberikan dengan tidak mengizinkan server-server itu akses internet langsung lebih ilusi daripada yang lain.

Kami melakukan banyak pemeliharaan pada server pelanggan yang tidak memiliki akses ke internet. Kami harus mengambil semua pembaruan / tambalan / perangkat lunak yang kami butuhkan untuk kunjungan itu pada CD / USB Stick. (Mengizinkan pihak ketiga untuk membawa stik / CD USB adalah risiko keamanan sendiri)

Anda selalu dapat menggunakan iptables untuk mengonfigurasi IP sumber / tujuan yang tepat: Pasangan port yang ingin Anda buka.

Dengan begitu, bahkan ketika server dieksplorasi melalui WAN, Anda dapat memastikan bahwa hanya IP tepercaya + kredensial yang benar yang akan mendapatkan akses ke sana.

Selain itu Anda juga dapat menggunakan pasangan kunci ssh publik-publik , yang hanya dapat dibagikan di antara Anda berdua.

Semua server Anda harus berada dalam DMZ atau setidaknya di belakang firewall. Hampir semua firewall dapat dikonfigurasi untuk memungkinkan koneksi keluar dari salah satu dari server ini (sehingga mereka dapat memeriksa dan mengunduh patch keamanan dan pembaruan lainnya sendiri). Dan kemudian terserah admin sistem Anda untuk mengkonfigurasi firewall sedemikian sehingga beberapa koneksi ingoing yang sangat spesifik diizinkan. Jika hanya diperlukan untuk pemeliharaan sesekali, mereka dapat dinonaktifkan setelah pemeliharaan selesai.

Kami menggunakan gateway linux untuk pekerjaan ini, dengan iptables untuk firewall. Namun, firewall perangkat keras standar Anda akan melakukan hal yang persis sama.

Pertanyaannya adalah - Apakah ada risiko dalam mengizinkan server produksi untuk memiliki koneksi HTTP / S keluar ke Internet. Jawaban singkatnya adalah TIDAK. Jawaban yang lebih panjang bahwa risiko keamanan sangat kecil sehingga melebihi biaya (dalam hal waktu) untuk mengelola server tersebut.

Pertimbangkan risiko mengizinkan akses:

1. Administrator mengunduh perangkat lunak berbahaya dari Internet ke server
2. Server yang dikompromikan mengunduh kode virus tambahan atau mengunggah informasi rahasia ke Internet

Poin pertama dimitigasi dengan membatasi akses Internet ke situs-situs yang diketahui, dan idealnya tidak mengizinkan penjelajahan web sama sekali. Selain itu, ada kepercayaan tertentu pada administrator Anda untuk tidak bertindak jahat.

Pada poin kedua, mengingat server sudah dikompromikan dalam beberapa cara, apakah akses Internet tersedia atau tidak adalah titik diperdebatkan. Penyerang telah menemukan cara untuk mendapatkan kode ke sistem Anda yang berarti mereka bisa mendapatkan kode tambahan ke sistem itu atau mengambil data dari itu.

Jelas, ini semua tergantung pada keadaan tertentu (seperti memenuhi persyaratan pelanggan atau peraturan tertentu).

Jenis koneksi apa yang dibutuhkan server-server itu?

Jika itu hanya koneksi HTTP ke situs web Oracle, mengapa Anda tidak membuatnya menggunakan proxy web?

Akses VPN adalah pilihan terbaik Anda!

jawaban # 1 adalah yang terbaik secara teori - tingkat keamanan jaringan sama dengan tingkat keamanan komputer terlemah yang terhubung ke jaringan itu

menurut saya, pendekatan langsung adalah:

• perpecahan jaringan internal dalam subnet dot1q
• gateway linux -> semua lalu lintas antar subnet melewatinya dan dapat dikontrol dengan mudah (dan sebenarnya, dengan akses ke server inti hanya untuk port aplikasi dan klien yang diperlukan)
• koneksi luar dilakukan hanya melalui vpn terenkripsi (pptp dengan mschap atau openvpn)
• server inti memiliki akses ke internet hanya atas dasar "kebutuhan" (maintenante, peningkatan unduhan, dll.) - juga akses ke server tersebut dibuat melalui gateway - dengan kebijakan DROP

Bahkan jika Anda mengizinkan koneksi internet untuk beberapa server biarkan mereka menggunakan OpenDNS sebagai server DNS mereka.