web-dev-qa-db-ja.com

コアシステムサーバーは、メンテナンス/サポートのためにインターネットに接続できる必要がありますか？

いくつかのサーバーには、Oracleメンテナンスライセンスがあります。私たちのハードウェアベンダーは、サーバールームにインターネット接続があるかどうか尋ねました。私たちのポリシーは、その部屋のすべてのマシンがセキュリティ上の理由からインターネットから隔離されていることです。しかし、保守担当者は「それでは、サーバーの保守作業をどのように行えるようになるのか」と尋ねました。

私の質問は、ライセンス検証システムのようにメンテナンスを実行するために、サーバーにインターネット接続が必要かどうかです。それとも彼はそれをオフラインで行うことができますか？本番サーバーへのインターネット接続があった場合、それ自体がリスクではありませんか？

oraclemaintenancesecurity
18
Ludwi

通常、インターネットからパッチをダウンロードして、サーバーに適用する必要があります。ただし、インターネットとデータベースサーバー間を移動するために、パッチを中間の場所（DVDでも）にコピーする中間ステップを用意することは合理的です。

インターネットに接続できるサーバールームに別のマシンが必要な場合（パッチノートを読む場合など）、それは別のオプションです。

最後に、インターネットに接続できるサーバーでブラウザーを実行することと、サーバーをインターネットからサーバーとして実際にアクセスできるようにすることには違いがあります。

それはすべて、あなたがどれだけ安全であるか/必要であるかに依存します。

9
Gary

サーバーは、インターネットにアクセスできる他のデバイスがあるネットワークに接続されています。正しい？他の人は同意しないと思いますが、それらのサーバーに直接インターネットアクセスを許可しないことによって提供されるセキュリティは、他の何よりも幻想的だと思います。

11
John Gardeniers

インターネットにアクセスできないお客様のサーバーでは、多くのメンテナンスを行っています。その訪問に必要なすべてのアップデート/パッチ/ソフトウェアをCD/USBスティックで取得する必要があります。 （サードパーティにUSBスティック/ CDの持ち込みを許可することは、それ自体がセキュリティリスクです）

3
Simon Hodgson

いつでもiptablesを使用して、開いたままにしておきたい正確な送信元/宛先IP：ポートペアを構成できます。

そうすれば、サーバーがWANを介して展開された場合でも、信頼できるIPと正しい資格情報のみがサーバーにアクセスできるようにすることができます。

さらに、private-public ssh key pairも使用できます。これは、2人の間でのみ共有できます。

3
M.N

問題は、本番サーバーがインターネットへのアウトバウンドHTTP/S接続を許可することにリスクがありますか。簡単な答えはNOです。セキュリティリスクが非常に小さいため、これらのサーバーを管理するためのコスト（時間の観点から）を上回るという長い回答。

アクセスを許可するリスクを考慮してください。

  1. 管理者が悪意のあるソフトウェアをインターネットからサーバーにダウンロードする
  2. 侵害されたサーバーは、追加のウイルスコードをダウンロードするか、機密情報をインターネットにアップロードします

最初のポイントは、既知のサイトへのインターネットアクセスを制限し、理想的にはWebブラウジングをまったく許可しないことによって緩和されました。さらに、悪意のある方法で行動しないように管理者に一定の信頼があります。

2つ目のポイントは、サーバーがすでに何らかの形で侵害されていることを考えると、インターネットアクセスが利用可能かどうかは重要なポイントです。攻撃者は、システムにコードを取得する方法をすでに見つけています。つまり、システムに追加のコードを取得したり、システムからデータを取得したりできます。

明らかに、これはすべて特定の状況（特定の顧客または規制要件を満たすなど）に依存する場合があります。

2
Doug Luxem

すべてのサーバーは、DMZまたは少なくともファイアウォールの背後にある必要があります。これらのサーバーのいずれかからの発信接続を許可するように（サーバーがチェックしてダウンロードできるように）ほぼすべてのファイアウォールを構成できます。セキュリティパッチやその他の更新を独自に）そして、いくつかの非常に具体的な接続が許可されるようにファイアウォールを構成するのはシステム管理者の責任です。それらが不定期のメンテナンスにのみ必要な場合は、メンテナンス後に無効にすることができます。終了しました。

このジョブにはLinuxゲートウェイを使用し、ファイアウォールにはiptablesを使用します。ただし、標準のハードウェアファイアウォールはまったく同じように機能します。

2
wolfgangsz

VPNアクセスが最善の策です！

0
Antoine Benkemoun

答え＃1は理論的には最高です-ネットワークのセキュリティレベルは、そのネットワークに接続されている最も弱いコンピュータのセキュリティレベルと同じです

私の見解では、実践的なアプローチは次のようになります。

  • dot1qサブネットで分割された内部ネットワーク
  • linuxゲートウェイ->サブネット間のすべてのトラフィックはそれを通過し、簡単に制御できます（実際には、必要なアプリケーションポートとクライアントに対してのみコアサーバーにアクセスできます）
  • 暗号化されたVPN（mschapまたはopenvpnを使用したpptp）を介してのみ行われる外部接続
  • コアサーバーは、「必要」ベース（メンテナンス、ダウンロードアップグレードなど）でのみインターネットにアクセスできます。また、アクセスはゲートウェイを介して制御されます。DROPポリシーを使用します。
0
quaie

それらのサーバーにはどのような種類の接続が必要ですか？

Oracle WebサイトへのHTTP接続のみの場合は、Webプロキシを使用させてみませんか？

0
Benoit