dmz - security - setup - firewall

[Verwijderd]

Hallo,

Ik heb een vraagje betreffende een dmz setup.

In ons netwerk (geografisch sterk verspreid) is er een dmz zone op de firewall aangemaakt waar een aantal servers in zitten.

Een aantal van deze 'DMZ-servers' zitten geografisch gezien niet bij de firewall maar in een serverroom op een andere locatie (samen met nog een aantal servers in het gewone LAN netwerk).

Blijkt nu dat deze DMZ servers 2 lan connecties hebben, eentje naar de DMZ zone en eentje naar de LAN zone. Deze connectie naar de LAN zone, is om te vermijden dat alle traffiek over de WAN moet lopen en dus de snelheid te verbeteren.

Ik stel me hier echter een aantal vragen bij gezien er geen firewall (ISA bijvoorbeeld) draait op deze DMZ servers.

=> Mijn vraag is : Kan dit effectief kwaad en hoe kun je dit risico inschatten?

Mij lijkt dit not done en ik zie het nut niet in dat deze servers in DMZ zone staan (routering is moeilijker en als men de server kan hacken zit men vrij op het LAN => dan kun je even goed de server in LAN plaatsen)
Als oplossing zie ik 2 mogelijkheden, ofwel alle verkeer die voor LAN bestemd is, sturen over de WAN, via de firewall. Ofwel een 2e firewall bij plaatsen, met als voordeel dat alle verkeer dan op LAN snelheid blijft en niet over de WAN gestuurd moet worden.

Klopt mijn redenering of zoek ik het te ver (in therorie klopt dit niet, maar in praktijk wordt dit misschien vaak zo geconfigureerd?)? Als dit klopt zoek ik nog een aantal redenen waarmee ik het management kan overtuigen dat de huidige setup niet veilig is. Hoe zouden jullie dit verwoorden?

Alvast bedankt voor de feedback!

[bazkar]

Het nut van een DMZ is zo inderdaad wel ongeveer teniet gedaan. Dan kun je de machines zoals je zelf al zegt net zo goed op je LAN zetten en de firewall ernaartoe goed dicht zetten.


Ik denk dat je inderdaad een 2e firewall aan wilt schaffen als het niet mogelijk is om de DMZ zone in de buurt van je FW te krijgen.

[Verwijderd]

bazkar schreef op dinsdag 23 augustus 2011 @ 16:55:
Het nut van een DMZ is zo inderdaad wel ongeveer teniet gedaan. Dan kun je de machines zoals je zelf al zegt net zo goed op je LAN zetten en de firewall ernaartoe goed dicht zetten.

Wel de redenering gelt dat je eerst moet kunnen inbreken op de webinterface vooraleer je verder geraakt.

Op zich klopt dit natuurlijk wel, zolang men niet binnengeraakt op de webserver kan men niet verder geraken.
Bij een pure DMZ zone, begint het dan pas, en moet je over andere poorten connectie maken over de firewall naar de LAN, in dit geval ben je vertrokken en heb je vrij spel...

Het is natuurlijk moeilijk argumenten aan te brengen hoe makkelijk je op een webserver kan inbreken, gezien er de laatste jaren nooit problemen zijn geweest (waar we op de hoogte van zijn toch)

[alt-92]

DMZ? Was dat niet een achterhaald concept qua 'firewallíng' ondertussen in deze tijd waar letterlijk alles connected is?

(denk daar maar eens over na )

[Verwijderd]

Dit vind ik wel een doordenker. Bedoel je hiermee dat DMZ achterhaald is en op vandaag geen zin meer heeft? Dat je met andere woorden mag vertrouwen op de services (vb web service) op de server dat deze in combinatie met de firewall alles kan tegenhouden?

Anno 2011 is alles connected, deze stelling kan ik volgen zolang je fysiek connected bedoelt. Virtueel wordt met ondermeer vlans, toch meer en meer een opsplitsing gemaakt en gezorgd dat het ene netwerksegment niet zomaar het andere segment ziet (of enkel via de poorten die nodig zijn).

Wordt een DMZ zone dan niet meer toegepast in de nieuwe concepten ?

[m_w_mol]

DMZ? Was dat niet een achterhaald concept qua 'firewallíng' ondertussen in deze tijd waar letterlijk alles connected is?

Alles is connected, maar zou dat natuurlijk niet moeten zijn. Een goed doordacht netwerkdesign bevat nog steeds DMZ's om direct verkeer van buiten naar binnen onmogelijk te maken.

[ik222]

Als je de servers die in de DMZ hangen ook zonder firewall ertussen aan het LAN koppelt heeft die DMZ inderdaad weinig zin meer. Immers als men dan binnen is op een DMZ server kan men toch zonder enige beperking via de tweede interface naar je LAN.

Maar in het algemeen heeft het natuurlijk wel degelijk zin je netwerk in te delen in zones op basis van functie. Alleen moet je dan natuurlijk wel zorgen dat verkeer tussen bijvoorbeeld DMZ en LAN door een firewall (en eventueel zelfs een IDS / IPS) gaat want anders schiet je er niets mee op.

[MindStorm]

Die servers met twee interfaces maken het DMZ overbodig. Je kunt het prima zo inrichten dat verkeer van en naar bepaalde poorten/services door een firewall heen je LAN op kan.

Dat kan prima zonder een extra firewall, een beetje firewall kun je namelijk gewoon verschillende 'zones' aan een interfaces toekennen. Dit alles overigens met de aanname dat je servers in de DMZ geen publiek adres hebben, dan moet je wel even knutselen..

[Verwijderd]

ok, jullie volgen dus grotendeels mijn redenering en mijn mening.

Ik heb nu nog een specifieke vraag.

Stel dat je een server (al dan niet in DMZ, doet er niet toe) aan het internet hangt via een firewall en dat je vanaf internet naar deze server bijvoorbeeld poort 80 open zet (kan evengoed poort 443 of 25 of ... zijn).

Iedereen kan dan eigenlijk vanaf internet rechtstreeks op poort 80 op deze server werken. Stel dat je wil hacken, is het dan zo eenvoudig om deze service op de server te hacken zodat je controle van de server kan overnemen en netwerkconnecties maken naar andere toestellen in hetzelfde subnet?

Dan moet je ergens bugs of dergelijke weten zijn. Kun je dan op een apache server bijvoorbeeld zo makkelijk binnen geraken?

Ik speel hiermee advocaat van de duivel, maar dit zijn de vragen die ik krijg en ik kan hier niet echt op antwoorden.

bedankt alvast!

[ik222]

Als de server goed geconfigureerd / beveiligd is en ook de webapplicaties op de server dat zijn is het uiteraard niet makkelijk om er op binnen te komen, het zou ook niet goed zijn als dat wel zo was. Echter zowel in de serverconfiguratie als in de webapplicaties kunnen altijd fouten of zero day lekken zitten die misbruikt kunnen worden.

De vraag die je jezelf moet stellen is dan ook meer wat er gebeurt als een server onverhoopt toch in handen valt van hackers? En juist dan heb je iets aan een goede scheiding tussen in dit geval je internet servers (DMZ) en de overige zones is je netwerk. Als dat goed gescheiden is kan een hacker met de gehackte server namelijk niet zomaar alle andere machines in je netwerk bereiken, machines waar bijvoorbeeld vertrouwelijke interne informatie op staat.

[ Voor 6% gewijzigd door ik222 op 24-08-2011 15:42 . Reden: typo ]

[Predator]

alt-92 schreef op woensdag 24 augustus 2011 @ 09:00:
DMZ? Was dat niet een achterhaald concept qua 'firewallíng' ondertussen in deze tijd waar letterlijk alles connected is?

(denk daar maar eens over na )

Ik denk niet dat er iemand het 'grapje' van backslash gesnapt heeft
Ofwel zie ik zelf iets anders.

Het klassieke DMZ concept is al jaren achterhaalt, maar bij het eerste DMZ concept hadden de servers in de DMZ een publiek IP, en stonden ze voor de firewall. Hence the name DMZ ...
Daarna kwamen designs met 2 firewalls, 1 voor en 1 achter, en 3-legged firewalls.

Nu hebben we zones en vlan interfaces op firewalls

[Foamy]

Predator schreef op donderdag 25 augustus 2011 @ 16:35:
[...]

Ik denk niet dat er iemand het 'grapje' van backslash gesnapt heeft
Ofwel zie ik zelf iets anders.

Het klassieke DMZ concept is al jaren achterhaalt, maar bij het eerste DMZ concept hadden de servers in de DMZ een publiek IP, en stonden ze voor de firewall. Hence the name DMZ ...
Daarna kwamen designs met 2 firewalls, 1 voor en 1 achter, en 3-legged firewalls.

Nu hebben we zones en vlan interfaces op firewalls

Zoiets dacht ik dus ook al .. Maar kan me uiteraard vergissen

[bazkar]

Call me old-school, maar onze DMZ is niet 'enkel' een afgeschermd VLAN maar toch echt een fysiek gescheiden netwerk, enkel te benaderen via een 3-legged firewall.

Ik heb teveel VLAN-hopping demo's gezien om enkel en alleen op een VLAN te vertrouwen.

Overigens, als je het (fysiek gescheiden) VLAN in je DMZ een zogenaamd private VLAN maakt, dan kunnen de hosts onderling in het VLAN elkaar ook niet benaderen. Dus hoef je niet bang te zijn dat als DMZ server 1 gehacked wordt, dat er dan makkelijk naar DMZ server 2 gesprongen wordt.

[Predator]

Ik ben ook vrij old-school hoor ... en daar trots op

Maar als je begint met een redundant datacenter over meer dan 1 lokatie waarbij je L2 adjacency moet hebben ... dan moet je soms wat water in de wijn doen ...

Ik had vroeger ook volledig fysiek gescheiden stukken voor enkele 'untrusted' zones ... maar als ik al die stukken ook nog moet via fysiek gescheiden glasvezels naar een 2de datacenter pompen ... dan is dat wat vervelend

Maar om te VLAN-hoppen moet je ook wel lokaal aan de desbetreffende poort hangen hé ... en alle untrusted segmenten zitten nog altijd op aparte firewall interfaces (met vlan's op). It's the next best thing ...
Dan is het nog de kwestie van wat verstandig om te springen met de allowed vlan's op trunks ...

[ Voor 59% gewijzigd door Predator op 25-08-2011 19:21 ]