Os servidores principais do sistema devem poder se conectar à Internet para manutenção / suporte?

Alguns de nossos servidores possuem licenças de manutenção Oracle. Nosso fornecedor de hardware perguntou que havia conexão com a Internet na sala do servidor. Nossa política é que todas as máquinas nessa sala sejam isoladas da Internet por razões de segurança. Mas o técnico de manutenção perguntou: "como poderemos fazer trabalhos de manutenção em seus servidores?"

Minha pergunta é: nossos servidores precisam de conexão com a Internet para que a manutenção seja realizada como um sistema de verificação de licença. Ou ele pode fazer isso offline? Não é um risco por si só se houver uma conexão com a Internet para o nosso servidor de produção?

Você geralmente precisa baixar patches da Internet e aplicá-los ao servidor. No entanto, é razoável ter uma etapa intermediária de copiar os patches para um local intermediário (até um DVD) para ir entre a Internet e os servidores de banco de dados.

Se eles querem apenas uma máquina separada na sala do servidor que possa se conectar à Internet (por exemplo, para ler notas de correção), essa é outra opção.

Por fim, há uma diferença entre ter um navegador em execução no servidor que pode se conectar à Internet e ter o servidor realmente acessível como servidor da Internet.

Tudo depende de quão seguro você deseja / precisa ser.

Seus servidores estão conectados a uma rede que possui outros dispositivos com acesso à Internet. Corrigir? Tenho certeza de que outras pessoas vão discordar, mas acredito que a segurança oferecida por não permitir que esses servidores acessem diretamente a Internet é mais ilusória do que qualquer outra coisa.

Fazemos muita manutenção nos servidores dos clientes que não têm acesso à Internet. Temos que levar todas as atualizações / patches / software necessários para essa visita no CD / USB Stick. (Permitir que terceiros tragam pen drives / CDs é um risco à segurança)

Você sempre pode usar o iptables para configurar os pares IP / porta exatos de origem / destino que deseja manter abertos.

Dessa forma, mesmo quando o servidor é invadido pela WAN, você pode garantir que apenas IPs confiáveis ​​+ credenciais corretas tenham acesso a ele.

Além disso, você também pode usar um par de chaves ssh público-privado , que pode ser compartilhado apenas entre vocês dois.

Todos os seus servidores devem estar em uma DMZ ou pelo menos atrás de um firewall. Praticamente qualquer firewall pode ser configurado para permitir conexões de saída de qualquer um desses servidores (para que eles possam verificar e baixar patches de segurança e outras atualizações por conta própria). E então, cabe aos administradores do sistema configurar o firewall de forma que sejam permitidas algumas conexões de entrada muito específicas. Se forem necessários apenas para manutenção ocasional, poderão ser desativados assim que a manutenção for concluída.

Usamos gateways linux para este trabalho, com iptables para o firewall. No entanto, seus firewalls de hardware padrão farão exatamente o mesmo.

A questão é: existe o risco de permitir que os servidores de produção tenham conexões HTTP / S de saída para a Internet. A resposta curta é não. A resposta mais longa é que o risco à segurança é tão mínimo que supera o custo (em termos de tempo) para gerenciar esses servidores.

Considere os riscos de permitir acesso:

1. Um administrador baixa software malicioso da Internet para o servidor
2. Um servidor comprometido baixa código de vírus adicional ou carrega informações confidenciais na Internet

O primeiro ponto foi atenuado pela restrição do acesso à Internet a sites conhecidos e, idealmente, por não permitir a navegação na Web. Além disso, há uma certa confiança em seus administradores para não agir de maneira maliciosa.

No segundo ponto, considerando que o servidor já estava comprometido de alguma forma, se o acesso à Internet está ou não disponível é um ponto discutível. O invasor já encontrou uma maneira de obter código nos seus sistemas, o que significa que eles podem obter código adicional para esse sistema ou recuperar dados dele.

Obviamente, tudo isso depende de circunstâncias específicas (como atender a certos requisitos regulatórios ou do cliente).

Que tipo de conexão esses servidores precisam?

Se é apenas uma conexão HTTP ao site da Oracle, por que você não os faz usar proxies da web?

O acesso à VPN é a sua melhor aposta!

A resposta nº 1 é a melhor em termos teóricos - o nível de segurança da rede é igual ao nível de segurança do computador mais fraco conectado a essa rede

uma abordagem prática seria, no meu ponto de vista:

• rede interna dividida em sub-redes dot1q
• gateway linux -> todo o tráfego entre sub-redes passa por ele e pode ser controlado facilmente (e na verdade é, com acesso aos servidores principais apenas para as portas e clientes de aplicativos necessários)
• conexão externa feita apenas via vpn criptografada (pptp com mschap ou openvpn)
• os servidores principais têm acesso à Internet apenas com base na "necessidade de" (manutenção, atualizações de download etc.) - também é acessado através do gateway - com uma política DROP

Mesmo que você permita a conexão à Internet para alguns servidores, eles devem usar o OpenDNS como servidor DNS.