회사사정으로 인하여, cloud에 있는 일부 서버를 on-premise 방식으로 전환하려 합니다..
그런데, 네트웍 보안에 대하여 잘 아는 분이 없어서 문의를 드립니다..
현재 사내 네트웍 구성은 다음과 같습니다.
회선 - 방화벽 - 사내 네트웍(공인 및 사설 게이트웨이 구성)
방화벽 하단에서 공인ip로 서비스 하고 있는 일부 서버도 있습니다..
이런 구조에서 방화벽 하단에
추가적으로 공인ip를 이용한 웹서비스를 하려고 합니다..
우려하는 것은 웹서버를 통한, 사내 네트웍 침투입니다..
그리하여, 회선을 하나 더 까는게 나을지도 고려했습니다만,
그건 무리인것 같고요..
방화벽에서 port 정책수립만으로도 충분히 해결할 수 있는 일인지요..
아니면, 완벽하게 하기 위해서는 추가 장비가 필요한 것일까요..
담당자로서 책임질 일을 만들고 싶지 않습니다.
어떠한 방법들이 있는 지 궁금합니다.
호스팅 업체도 서비스를 위해서는 방화벽으로 기본적인 보안은 다 합니다..
그러나 그렇게 하였을때 방화벽이나 인터넷 장비가 재대로 받아 드릴수 있는지
그리고 그렇게 하였을때 불편없이 사용이 가능한지 등등 채크할 것이 많아질 듯합니다..
방화벽은 100% 완벽한 것은 없고 상황에 따라서는 항상 뚫릴수 있다는 것을 생각해야 합니다..
어떤 방화벽을 사용하시는지 모르겠지만 방화벽 제조나 서비스 업체에서 사용기간내에서는 꾸준히 보안 업데이트 해주고 관리해주는 것이 재일 좋습니다..
그래야 신종 해킹에 100%는 아니지만 대비가 가능합니다..
홈페이지 소스코드에 대한 시큐어코딩이 이루어져야 합니다.
어짜피 모든 사람이 접근가능한 80번(443) 포트이므로...
홈페이지 소스코드 즉, 웹서버의 웹어플리케이션이 취약할 경우
얼마든지 침투 가능합니다.
사내 네트웍 침투를 막을 수 있는가에 관심이 있습니다..
"웹서버를 통한, 사내 네트웍 침투" 가 되려면 웹서버가 우선 뚫려야겠죠
뚫는 방식은 웹소스 취약점통해서 일반계정 (아파치 nobody계정) 을 먼저 취득하구요,
거기서 루트로 권한상승할수있는 방법찾기위해 웹쉘등 이용하구요
이렇게 해서 웹서버 루트권한까지 획득하면 웹서버로 접근한뒤 사내 네트웍 스캔해서 뚫는시도 할수있겠죠
웹서버 보안을 우선으로 하시고, 웹서버에서 사내 네트웍으로 통신하는 구간에 대한 접근제어 (허용할 아이피만, 포트만)
를 기본적으로 해야할것 같네요
뚫렸을때 대비한 백업에 더욱 신경쓰시구요, 웹소스코드 수정이 불가능할경우 웹방화벽 장비도입도 권장할만합니다.
아무리 보안 조치해도 외부에 노출되는 서버는 항상 털린다고 상정하고 배치해야 합니다
외부 서버는 가져와야 하고
별도 네트워크 구성 못하고
웹 서비스는 해야하고
보안 전문가는 없고
질문1
뚤릴 수 있나요?
답1 (아마도)
100% 뚤릴 수 있죠
뭐 생각하고 자시고 할 것도 없는거 아닌가 싶은데요
질문2
추가장비?
개인적인 생각으론 보안담당자 없는 방화벽이나 추가장비가 무슨 소용이 있나 싶습니다.