Có cách nào an toàn để cho phép IIS 7 trong DMZ truy cập máy chủ DB phía sau tường lửa không?

Quản trị viên mạng của chúng tôi kiên quyết rằng không an toàn cho các máy chủ web của chúng tôi, được lưu trữ trong DMZ, để truy cập máy chủ DB phía sau tường lửa của chúng tôi. Để giải quyết vấn đề, chúng tôi truy cập dữ liệu qua các dịch vụ web hoặc WCF. Tôi cảm thấy rằng đây là một gánh nặng hiệu suất không cần thiết có thể được loại bỏ nếu máy chủ web có thể truy cập trực tiếp vào DB.

Những lý do tôi đã được đưa ra là do một hacker đã có thể đăng nhập vào máy chủ web để họ có thể truy cập DB. Có thể mở các cổng chỉ cho IIS hoặc không thể cụ thể như vậy? Nếu chúng ta có thể khóa nó xuống chỉ IIS, điều này có thể dễ dàng bao gồm tin tặc không?

Tôi đã đọc nhiều bài viết trên internet nhưng dường như tôi không thể tìm thấy câu trả lời chắc chắn.

Al

Tôi đã thiết lập nền tảng cho các doanh nghiệp quy mô lớn và thực tế thông thường là đảm bảo cơ sở dữ liệu của bạn nằm trên một Vlan khác với các máy chủ web của bạn với tường lửa nằm giữa các lưu lượng định tuyến này đến cổng máy chủ cơ sở dữ liệu cũng như tường lửa trước web của bạn may chủ. Thông thường, tường lửa phía trước của bạn sẽ chuyển tiếp cổng 80 (HTTP) và cổng 443 (HTTPS) đến các máy chủ web của bạn. Tường lửa nằm giữa máy chủ web và máy chủ cơ sở dữ liệu sẽ chuyển tiếp lưu lượng truy cập từ máy chủ web đến cổng được sử dụng bởi cơ sở dữ liệu của bạn (thường là cổng 1433 nếu sử dụng Microsoft SQL Server).

Để tăng tính bảo mật:

• Đảm bảo bạn sử dụng tài khoản ít đặc quyền nhất để truy cập các máy chủ cơ sở dữ liệu
• Nếu bạn đang sử dụng ASP.NET, bạn có thể mã hóa chuỗi kết nối cơ sở dữ liệu của mình trong web.config
• Thuê một công ty bên thứ ba để thực hiện một bài kiểm tra thâm nhập để tư vấn về bất kỳ lỗ hổng nào
• Đảm bảo Cập nhật và Gói dịch vụ được cài đặt theo lịch trình thường xuyên.

Nếu cơ sở dữ liệu của bạn là cơ sở dữ liệu MI6 hoặc CIA thì quản trị viên mạng của bạn có thể đúng, nhưng với tôi thì có vẻ như họ đang phản ứng thái quá.

Nếu cơ sở dữ liệu chứa dữ liệu hoàn toàn không thể tiếp xúc với mạng công cộng nhưng dữ liệu mà cơ sở dữ liệu của bạn cần không nhạy cảm, bạn có thể xem xét sao chép các bảng mà trang web của bạn yêu cầu vào cơ sở dữ liệu trong môi trường lưu trữ của bạn không?

Tôi hỏi họ câu hỏi:

• Nếu một hacker có quyền truy cập vào máy chủ web, họ có thể gọi các dịch vụ web của bạn không?
• Nếu lỗ hổng được phát hiện trong IIS cho phép họ truy cập máy chủ web của bạn thì chắc chắn họ chỉ khai thác lỗ hổng tương tự trên máy chủ web lưu trữ dịch vụ web của bạn?
• Họ có thể cài đặt phần mềm theo dõi đầu vào của người dùng để đánh hơi mật khẩu trong bộ nhớ không?

Máy chủ web của bạn cũng có thể đứng sau tường lửa, họ chỉ cần chuyển cổng 80 đến đúng máy chủ. Tất cả các cổng khác mà máy chủ web của bạn không cần phải được đóng trên tường lửa bên ngoài đó. Sau đó, nên có một tường lửa giữa các máy chủ web và máy chủ dữ liệu của bạn. Trong tường lửa đó, bạn sẽ chỉ cho phép các cổng mà cơ sở dữ liệu nói chuyện được mở.

Đây là một sơ đồ

Internet -> Tường lửa -> Máy chủ web -> Tường lửa -> Cơ sở dữ liệu

FYI, tôi là một nhà phát triển mặc dù tôi thường xuyên làm việc với nhân viên CNTT của chúng tôi tại công ty của mình vì chúng tôi là một cửa hàng nhỏ.