![将IntrAnet与HTTPS结合起来,有用吗?](https://linux22.com/image/502475/%E5%B0%86IntrAnet%E4%B8%8EHTTPS%E7%BB%93%E5%90%88%E8%B5%B7%E6%9D%A5%EF%BC%8C%E6%9C%89%E7%94%A8%E5%90%97%EF%BC%9F.png)
我有一个仅支持公司 Intr 的 Web 服务器Anet,而不是外部 In呃net。大约有 100 个不同的用户将连接到此服务器上的 Web 应用程序,他们都有自己的登录帐户。目前,Web 应用程序由于一些设计缺陷而不支持 HTTPS,需要时间来修复。所以我有两个选择:1) 推迟安装应用程序,直到它支持 HTTPS。2) 直接安装,因为它只在内部网络上运行,因此风险不大。随着时间的推移,它可以被修补并移动到安全的服务器。
该 Web 应用程序管理的数据具有隐私元素,因为它主要是客户信息。(但不包括信用卡或银行账户数据。)尽管如此,它仍被视为敏感信息。但还没有敏感到需要不惜一切代价加以保护的程度。尽管有一两个用户掌握一些计算机黑客技术知识,但大多数用户都不是 IS 专家,而只是普通用户。(所有用户都使用普通用户帐户,而不是管理员帐户。用户几乎不可能安装其他软件。)
那么,当我在安全性较低的连接上内部安装此应用程序时,是否存在很大的风险?
添加在:我们不支持 WLAN。访问者可以接入网络,但仍然无法访问 Intranet 环境。我不是这方面的专家,但据我所知,机器需要成为我们域的一部分,然后才能访问 Intranet 环境。(这已经过测试!)由于用户无法安装其他软件,因此他们很难安装其他黑客工具。每个系统还具有一个良好的病毒扫描程序,并保持最新状态。此外,所有传出的 Internet 连接都必须通过一个额外的代理服务器,该服务器会进行一些额外的检查。用户知道他们访问外部网站的 Internet 行为受到监控。尽管任何计算机都可能被黑客入侵,但系统不够敏感,无法进入恐慌模式并确保一切都是安全的。最坏的情况是黑客删除所有数据,这意味着我们必须恢复备份。或者他得到一份包含客户的蜗牛邮件地址、他们的工作和一些财务信息的列表,但没有银行账户或其他账户信息的参考。
附加组件2:我之所以问这个问题,是因为常规管理员现在不在。(他因为荷兰的恶劣天气而遭遇了事故。情况并不严重,但他需要一段时间才能恢复。)该应用程序是新的,安装后将没有数据。我被告知,他可能需要长达 2 个月的时间才能恢复到足以继续工作的状态,因此决定主要是在没有他的支持的情况下安装它,以便可以使用它,或者等到他回来,这可能会拖延事情,只要他不在,或者直到我们找到并培训出合格的替代者。
答案1
我们如何知道是否存在很大的风险?
我们不知道边界路由器的安全性如何,我们不知道是否有人可以走进来,把她的笔记本电脑直接插入中央交换机,我们不知道是否存在可用于嗅探密码的开放 WLAN,我们不知道那“两个具有一些技术知识的用户”是否有造成伤害的动机——总之:我们不知道任何事物以此作为评估的依据。
一些一般性建议:你必须始终假设你的服务和攻击者之间没有任何联系。如果涉及密码,如果涉及任何类型的敏感信息,则所有连接都应加密。
即使 HTTP 服务本身不支持加密,也有办法保护它。一种可能性是将其置于反向代理之后,该代理在前端使用 HTTPS,在后端使用 HTTP(当然必须在同一台机器上)。
另一种可能性是使用某种 VPN 甚至 SSH 通过安全通道传输更高级别的协议(在本例中为 HTTP)。
答案2
您可以使用反向代理。代理将拥有用于客户端连接的 SSL 证书,并使用非加密的 HTTP 连接连接到您的应用程序。
答案3
你还没有说你使用的是什么操作系统。如果这是在 Windows 域环境中,域和服务器隔离将加密流量并阻止非域机器看到系统。请参阅此解决方案加速器详情请参阅。在非 Windows 环境中,可以通过 IPsec 设置类似的功能,但实现起来更复杂。
答案4
这是
- 如果有人获得了其他人的凭证会发生什么?
- 如果数据丢失会发生什么?
无论是金钱、公司声誉、个人责任等。您可以通过添加日志系统来监控谁做了什么以及可能的 IP 地址,从而解决大部分问题。还可以监控成功的登录尝试,而不仅仅是拒绝。
是的,它可能很麻烦,但可以针对一些威胁提供一些保护。这不是 100% 安全的解决方案,但可以让您保持警惕,以便掌握系统并了解其使用方法。毕竟,如果要求用户想出一个包含 Unicode 汉字和标点符号的 16 个字符长的密码,他们可能会将其保存在便签上。或者在浏览器缓存中。或者在桌面上的 PASSWORD.TXT 文件中。
因此,请权衡利弊,不要忘记通知/告知您的主管。请获得他们的书面批准,以免受到指责。