保护大型恶意互联网上网站访问的内部数据

Question

的近亲Stack Overflow 上的这个问题：

当您的 DMZ 中有一个网站需要访问存储在内部数据库中的生产数据时，您建议使用什么策略来降低访问实时数据带来的风险？

从 DMZ 发起的连接进入您的网络是否可以接受？

关于该网站性质的一个额外细节，可能会给整个系统带来麻烦，那就是使用该网站的人将按照先到先得的原则与使用内部软件的人争夺“位置”。因此，两个应用程序之间的延迟时间尽可能接近零是理想的。

Answer 1

由于这个问题的一般性，我只能提及可以采取的众多措施中的几种来降低风险。

如果您的网站面向外部，您应该在它和数据源之间设置专用防火墙，该防火墙配置为仅允许两台服务器之间的流量，用于访问所需的特定端口。即使您在 Web 服务器和 Internet 之间有防火墙，您也需要此防火墙。配置 802.1x 和/或机器 PKI 也是一个好主意。此外，所有流量都应在 Web 服务器上进行身份验证，并且 Web 服务器应有自己的帐户来访问数据。这可确保如果用户帐户受到威胁，他们将无法访问您的数据源。

理想情况下，您的数据源应该与其他内部数据源分开（即在单独的数据库服务器/VM 上运行，或者至少在单独的实例上运行）。

对于您的内部用户，要么在您的内部网内提供另一个 Web 服务器，要么让他们像其他人一样到外部进行访问。

当然，您需要确保在服务器配置上遵循最佳安全做法，以便最大限度地减少风险。迪萨斯蒂格斯和微软为该领域提供良好指导。