क्या वेब सर्वर के सामने रिवर्स प्रॉक्सी सुरक्षा में सुधार करेगा?


14

तृतीय-पक्ष सुरक्षा पेशेवर की अनुशंसा है कि हम वेब सर्वर (DMZ में होस्ट किए गए) के सामने एक सर्वोत्तम प्रॉक्सी सुरक्षा उपाय के रूप में एक रिवर्स प्रॉक्सी चलाते हैं।

मुझे पता है कि यह एक विशिष्ट अनुशंसित वास्तुकला है क्योंकि यह हैकर्स को रोकने के लिए एक वेब एप्लिकेशन के सामने एक और स्तर की सुरक्षा प्रदान करता है।

हालांकि, एक रिवर्स प्रॉक्सी के रूप में उपयोगकर्ता और आंतरिक वेब सर्वर के बीच HTTP को आगे-पीछे करना है, यह वेब सर्वर पर हैकिंग की रोकथाम के किसी भी उपाय को प्रदान नहीं करेगा। दूसरे शब्दों में, यदि आपके वेब ऐप में एक सुरक्षा छेद है, तो प्रॉक्सी सुरक्षा की कोई सार्थक राशि प्रदान नहीं करने वाली है।

और यह देखते हुए कि एक वेब एप्लिकेशन पर हमले का जोखिम प्रॉक्सी पर हमले की तुलना में बहुत अधिक है, क्या वास्तव में बीच में एक अतिरिक्त बॉक्स जोड़कर बहुत कुछ हासिल हुआ है? हम रिवर्स प्रॉक्सी की किसी भी कैशिंग क्षमताओं का उपयोग नहीं कर रहे हैं - बस आगे और पीछे शटल पैकेट के लिए एक गूंगा उपकरण।

क्या यहाँ कुछ और है जो मुझे याद आ रहा है? क्या रिवर्स प्रॉक्सी HTTP पैकेट निरीक्षण इतना अच्छा है कि यह प्रमुख प्रदर्शन की बाधाओं के बिना सार्थक हमलों का पता लगा सकता है, या यह सुरक्षा थिएटर का सिर्फ एक और उदाहरण है?

रिवर्स प्रॉक्सी MS ISA fwiw है।

जवाबों:


9

अपाचे में mod_security है, जो सामान्य सुरक्षा हमलों का पता लगाएगा। इसमें mod_cband भी है, जो उपयोग किए गए बैंडविड्थ को प्रतिबंधित कर सकता है। मुझे आश्चर्य नहीं होगा अगर ISA में कुछ ऐसा ही था। कुछ के बिना वास्तव में HTTP ट्रैफ़िक पर चेक बना रहा है क्योंकि यह प्रॉक्सी के माध्यम से जाता है, यह सुरक्षा के दृष्टिकोण से थोड़ा कम है।

एक रिवर्स प्रॉक्सी जो आपको देगा, वह है लोड बैलेंसिंग, फेल-ओवर, कैशिंग, एसएसएल और फाइलिंग ऑफ-लोडिंग, जो आपके वेब सर्वर को छोड़ने के लिए वे क्या अच्छा कर रहे हैं: HTML की सेवा कर रहे हैं।


8

ISA सर्वर विभिन्न HTTP कारनामों को देखने और उन्हें वेब सर्वर पर आने से रोकने में सक्षम है। जबकि अधिकांश आधुनिक HTTP सर्वर अब इसके द्वारा शोषित नहीं होते हैं, लेकिन इस ट्रैफ़िक को वेब सर्वर पर नहीं भेजने का अतिरिक्त लाभ है।

इसके अलावा ISA विभिन्न उपयोगकर्ताओं के लिए SSL त्वरण और उपयोगकर्ताओं के पूर्व-प्राधिकरण को जोड़ने जैसे काम करना आसान बना सकता है। यह आपके लिए एक लोड बैलेंसर के रूप में भी कार्य कर सकता है ताकि आप एक अलग हार्डवेयर लोड बैलेंसर का उपयोग किए बिना आसानी से अधिक वेब सर्वर जोड़ सकें।

यह सुनिश्चित करें कि यह व्यक्ति आईएसए को दे रहा है और इसे इस बात से वंचित कर सकता है कि लाभ के मुकाबले आईएसए को प्रबंधित करने और चलाने में कितना अतिरिक्त खर्च होगा।


8

क्या वेब सर्वर के सामने रिवर्स प्रॉक्सी सुरक्षा में सुधार करेगा?

एक रिवर्स प्रॉक्सी आपको कुछ चीजें देता है जो आपके सर्वर को अधिक सुरक्षित बना सकता है।

  • वेब सर्वर से अलग क्या हो रहा है, इसकी निगरानी और लॉग इन करने का स्थान
  • यदि आप जानते हैं कि आपके सिस्टम का कुछ क्षेत्र असुरक्षित है, तो आपके वेब सर्वर से अलग फिल्टर या फ़ायरवॉल करने का स्थान। प्रॉक्सी के आधार पर आप एप्लिकेशन स्तर पर फ़िल्टर करने में सक्षम हो सकते हैं।
  • एसीएल और नियमों को लागू करने के लिए एक और जगह यदि आप अपने वेब सर्वर पर किसी कारण से पर्याप्त अभिव्यक्त नहीं कर सकते हैं।
  • एक अलग नेटवर्क स्टैक जो आपके वेब सर्वर की तरह ही असुरक्षित नहीं होगा। यह विशेष रूप से सच है यदि आपका प्रॉक्सी एक अलग विक्रेता से है।
    • अपाचे सर्वर के सामने एक प्रॉक्सी के रूप में अपाचे सेटअप का उपयोग करना शायद अपाचे के सामने स्क्विड की तरह कुछ सहायक नहीं है।

बिना किसी फ़िल्टरिंग के एक रिवर्स प्रॉक्सी स्वचालित रूप से आपको हर चीज़ से बचाता है, लेकिन अगर आपको जिस सिस्टम की सुरक्षा करनी है, वह उच्च-मूल्य वाला है, तो रिवर्स प्रॉक्सी जोड़ने से लागत समर्थन और प्रदर्शन लागत का मूल्य हो सकता है।


6

यह आपके एप्लिकेशन सर्वर को खराब HTTP अनुरोधों के आधार पर होने वाले हमलों से बचा सकता है ... विशेष रूप से यदि यह रिवर्स प्रॉक्सी (और एप्लिकेशन सर्वर पर नहीं) पर संभव है कि एक अच्छा अनुरोध कैसा दिखता है और इसके माध्यम से खराब अनुरोधों की अनुमति न दें। यदि आपको यह बताना है कि क्या खराब अनुरोध दिखते हैं, तो यह लगभग निश्चित रूप से बेकार होगा। दूसरे शब्दों में, यह बफर अतिप्रवाह हमलों से रक्षा कर सकता है, लेकिन SQL इंजेक्शन से नहीं।

ज्यादातर, यह सुरक्षा थिएटर की तरह लगता है। आपने एक सुरक्षा सलाहकार को काम पर रखा है, और उन्हें अपनी सुरक्षा में सुधार करने के लिए आपको कुछ बताना होगा। यह बहुत संभावना नहीं है कि एक हमलावर कभी भी रिवर्स प्रॉक्सी में टूट जाएगा और अगर वे बस इसे बायपास करते हैं तो वे हमेशा आपको दोष दे सकते हैं; तो यह एक सुरक्षित सिफारिश है।


3

मूल रूप से, रिवर्स परदे के पीछे दुनिया से आपके बुनियादी ढांचे को छिपाएगा। तो यह मुख्य रूप से अस्पष्टता से सुरक्षा का मामला है, जब तक कि आपका वेब सर्वर वास्तव में असहनीय और असुरक्षित नहीं है।

यह आपके webservers को कुछ प्रकार के DOS (सेवा से वंचित) से भी बचाता है, खासकर यदि आपकी वेबसाइट "भारी" है, तो अभिनय एक कैशिंग परत के रूप में।

इसके साथ कुछ गोचर्स भी हैं: यह आपके एप्लिकेशन से ग्राहक के वास्तविक आईपी को छिपा देगा। यह आपको अधिक सर्वर शक्ति का उपभोग करेगा, और उन चीजों की एक परत जोड़ देगा जो टूट सकती हैं। याद रखें कि आपके रिवर्स प्रॉक्सी को अधिक कनेक्शन (आमतौर पर दो गुना अधिक: ग्राहकों के कनेक्शन और आपके वेब सर्वर से कनेक्शन) को संभालना होगा।

दिन के अंत में, एक रिवर्स प्रॉक्सी आपको किसी भी तरह से सुरक्षित वेबसाइट रखने के लिए नहीं छोड़ेगा।


0

मुझे लगता है कि ज़ॉर्दाचे ने बहुत अच्छे उत्तर दिए हैं जो कि एक विपरीत प्रॉक्सी प्रदान कर सकते हैं। मैंने पाउंड का उपयोग किया है जो एक रिवर्स प्रॉक्सी, लोड-बैलेंसर और HTTPS फ्रंटएंड है।

http://www.apsis.ch/pound/


0

एक लाभ जो मुझे नहीं लगता कि किसी और ने बात की है वह यह है कि आपको अपने बाहरी फ़ायरवॉल के माध्यम से कोई भी बाहरी आईपी / पोर्ट नहीं खोलना है। एक अच्छा रिवर्स प्रॉक्सी सिस्टम आपके नेटवर्क के अंदर के संचार को डीएमजेड में सर्वर से सीधा हमलों के खिलाफ नेटवर्क की सुरक्षा के लिए आरंभ करेगा। हालांकि, यह और जैसा कि दूसरों ने कहा है, खराब लिखित आवेदन के खिलाफ आपकी रक्षा नहीं करेगा।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.