참고 : 나는 이것을 화염 전쟁으로 만드는 데 관심이 없다! 나는 많은 사람들이 방화벽 솔루션에 많은 노력을 기울 였고 또한 그들의 필요성을 믿도록 교리를 받았기 때문에이 주제에 대한 신념을 아주 잘 알고 있음을 이해합니다.

그러나 보안 전문가 인 사람들의 답변을 찾고 있습니다. 나는 이것이 중요한 질문이라고 생각하며, 그 대답은 나 자신과 내가 일하는 회사 이상으로 이익을 얻을 것이다. 방화벽없이 전혀 타협하지 않고 몇 년 동안 서버 네트워크를 운영해 왔습니다. 우리 가 가진 보안 타협 은 방화벽으로 막을 수 없었습니다.

“서버”라고 할 때 항상 “비밀 내부 청구 데이터베이스”가 아니라 “공개적으로 제공되는 서비스”를 의미하기 때문에 여기서 너무 오래 일한 것 같습니다. 따라서, 우리가 어떤 규칙 것이 어떤 방화벽에있는 전체 인터넷 액세스를 허용해야합니다. 또한 공용 액세스 서버는 모두 사무실과 별개의 전용 데이터 센터에 있습니다.

다른 사람 이 비슷한 질문을했고 내 대답은 음수로 투표되었습니다. 이로 인해 투표에 참여한 사람들이 실제로 내 대답을 이해하지 못했거나 현재하고있는 일을 수행 할만큼 충분한 보안을 이해하지 못한다고 믿게되었습니다.

이것은 서버 보안에 대한 나의 접근 방식입니다.

1. 서버를 인터넷에 연결 하기 전에 운영 체제의 보안 지침을 따르십시오 .

2. TCP 래퍼를 사용하여 SSH (및 기타 관리 서비스)에 대한 액세스를 적은 수의 IP 주소로 제한하십시오.

3. Munin 으로이 서버의 상태를 모니터하십시오 . 그리고 기본 구성에서 Munin-node 고유의 심각한 보안 문제를 수정하십시오.

4. 새 서버를 Nmap하십시오 (또한 서버를 인터넷에 연결하기 전에). 이 서버를 방화벽으로 사용하려면 들어오는 연결로 제한되는 정확한 포트 집합이어야합니다.

5. 서버 룸에 서버를 설치하고 공용 IP 주소를 제공하십시오.

6. 운영 체제의 보안 업데이트 기능을 사용하여 시스템을 안전하게 유지하십시오.

저의 철학 (및 문제의 기초)은 강력한 호스트 기반 보안이 방화벽의 필요성을 제거한다는 것입니다. 전반적인 보안 철학에 따르면 방화벽이 있어도 강력한 호스트 기반 보안이 여전히 필요합니다 ( 보안 지침 참조 ). 그 이유는 퍼블릭 서비스를 서버로 전달하는 방화벽이 침입자가 방화벽을 전혀 사용하지 않는 것만 큼 가능하기 때문입니다. 취약한 서비스 자체이며 전체 인터넷에 해당 서비스를 제공하는 것이 운영의 요구 사항이므로 액세스를 제한하는 것이 중요하지 않습니다.

이 경우 입니다 전체 인터넷에 액세스 할 필요가없는 서버에서 사용 가능한 포트는, 그 소프트웨어는 1 단계에서 종료 될 필요하고, 공격자가 성공적으로 취약한 소프트웨어를 통해 서버에 침입해야 4 단계에 의해 확인되었다 포트 자체를 열면 공격자는 임의 포트에서 아웃 바운드 연결을 통해 방화벽을 쉽게 물리 칠 수 있습니다. 보안의 요점은 성공적인 공격 후에 자신을 방어하는 것이 아니라 이미 불가능한 것으로 입증 된 것이므로 공격자를 우선적으로 차단하는 것입니다.

열린 항구 외에 다른 보안 고려 사항이 있다고 제안되었지만, 그것은 단지 자신의 믿음을 변호하는 것처럼 들립니다. 포트가 해당 운영 체제 / TCP 스택으로 직접 전달된다는 사실에 기초하여 방화벽이 존재하는지 여부에 관계없이 모든 운영 체제 / TCP 스택 취약성은 동일하게 취약해야합니다. 마찬가지로, 라우터에서 방화벽을 사용하는 것과는 반대로 서버 자체에서 방화벽을 실행하면 (또는 두 곳에서 모두 더 나빠짐) 불필요한 복잡한 계층이 추가되는 것으로 보입니다. 나는 “보안은 층으로 나온다”는 철학을 이해하지만, X 개의 합판 층을 서로 쌓아 올린 다음 지붕을 뚫고 구멍을 뚫는 것과 같은 점이 있습니다. 합판의 다른 층은 그 구멍을 통한 누출을 막지 않을 것입니다.

솔직히 말해서, 방화벽이 서버에 사용되는 것을 보는 유일한 방법은 스팸에 대한 RBL과 같은 알려진 공격자의 모든 서버에 대한 모든 연결을 막는 동적 규칙이있는 경우입니다 (우연히 메일 서버가하는 일임) . 불행히도, 그렇게하는 방화벽을 찾을 수 없습니다. 다음으로 가장 좋은 방법은 IDS 서버이지만 공격자는 실제 서버를 먼저 공격하지 않으며 공격자는 공격 하기 전에 전체 네트워크를 조사하려고합니다 . 게다가, 이들은 많은 수의 오탐 (false positive)을 생성하는 것으로 알려져있다.

답변