我有一个仅支持公司 Intr 的 Web 服务器Anet，而不是外部 In呃net。大约有 100 个不同的用户将连接到此服务器上的 Web 应用程序，他们都有自己的登录帐户。目前，Web 应用程序由于一些设计缺陷而不支持 HTTPS，需要时间来修复。所以我有两个选择：1) 推迟安装应用程序，直到它支持 HTTPS。2) 直接安装，因为它只在内部网络上运行，因此风险不大。随着时间的推移，它可以被修补并移动到安全的服务器。
该 Web 应用程序管理的数据具有隐私元素，因为它主要是客户信息。（但不包括信用卡或银行账户数据。）尽管如此，它仍被视为敏感信息。但还没有敏感到需要不惜一切代价加以保护的程度。尽管有一两个用户掌握一些计算机黑客技术知识，但大多数用户都不是 IS 专家，而只是普通用户。（所有用户都使用普通用户帐户，而不是管理员帐户。用户几乎不可能安装其他软件。）
那么，当我在安全性较低的连接上内部安装此应用程序时，是否存在很大的风险？
添加在：我们不支持 WLAN。访问者可以接入网络，但仍然无法访问 Intranet 环境。我不是这方面的专家，但据我所知，机器需要成为我们域的一部分，然后才能访问 Intranet 环境。（这已经过测试！）由于用户无法安装其他软件，因此他们很难安装其他黑客工具。每个系统还具有一个良好的病毒扫描程序，并保持最新状态。此外，所有传出的 Internet 连接都必须通过一个额外的代理服务器，该服务器会进行一些额外的检查。用户知道他们访问外部网站的 Internet 行为受到监控。尽管任何计算机都可能被黑客入侵，但系统不够敏感，无法进入恐慌模式并确保一切都是安全的。最坏的情况是黑客删除所有数据，这意味着我们必须恢复备份。或者他得到一份包含客户的蜗牛邮件地址、他们的工作和一些财务信息的列表，但没有银行账户或其他账户信息的参考。
附加组件2：我之所以问这个问题，是因为常规管理员现在不在。（他因为荷兰的恶劣天气而遭遇了事故。情况并不严重，但他需要一段时间才能恢复。）该应用程序是新的，安装后将没有数据。我被告知，他可能需要长达 2 个月的时间才能恢复到足以继续工作的状态，因此决定主要是在没有他的支持的情况下安装它，以便可以使用它，或者等到他回来，这可能会拖延事情，只要他不在，或者直到我们找到并培训出合格的替代者。
答案1
我们如何知道是否存在很大的风险？
我们不知道边界路由器的安全性如何，我们不知道是否有人可以走进来，把她的笔记本电脑直接插入中央交换机，我们不知道是否存在可用于嗅探密码的开放 WLAN，我们不知道那“两个具有一些技术知识的用户”是否有造成伤害的动机——总之：我们不知道任何事物以此作为评估的依据。
一些一般性建议：你必须始终假设你的服务和攻击者之间没有任何联系。如果涉及密码，如果涉及任何类型的敏感信息，则所有连接都应加密。
即使 HTTP 服务本身不支持加密，也有办法保护它。一种可能性是将其置于反向代理之后，该代理在前端使用 HTTPS，在后端使用 HTTP（当然必须在同一台机器上）。
另一种可能性是使用某种 VPN 甚至 SSH 通过安全通道传输更高级别的协议（在本例中为 HTTP）。
答案2
您可以使用反向代理。代理将拥有用于客户端连接的 SSL 证书，并使用非加密的 HTTP 连接连接到您的应用程序。
答案3
你还没有说你使用的是什么操作系统。如果这是在 Windows 域环境中，域和服务器隔离将加密流量并阻止非域机器看到系统。请参阅此解决方案加速器详情请参阅。在非 Windows 环境中，可以通过 IPsec 设置类似的功能，但实现起来更复杂。
答案4
这是
- 如果有人获得了其他人的凭证会发生什么？
- 如果数据丢失会发生什么？
无论是金钱、公司声誉、个人责任等。您可以通过添加日志系统来监控谁做了什么以及可能的 IP 地址，从而解决大部分问题。还可以监控成功的登录尝试，而不仅仅是拒绝。
是的，它可能很麻烦，但可以针对一些威胁提供一些保护。这不是 100% 安全的解决方案，但可以让您保持警惕，以便掌握系统并了解其使用方法。毕竟，如果要求用户想出一个包含 Unicode 汉字和标点符号的 16 个字符长的密码，他们可能会将其保存在便签上。或者在浏览器缓存中。或者在桌面上的 PASSWORD.TXT 文件中。
因此，请权衡利弊，不要忘记通知/告知您的主管。请获得他们的书面批准，以免受到指责。