Zunächst ist es möglicherweise am besten, die Bedürfnisse des Kunden (Ihres Chefs) vollständig zu verstehen. Möglicherweise benötigt er oder sie nur Zugriff auf eine kleine Teilmenge der Daten Dieser Server von überall und nicht unbedingt von allen.

Wenn möglich, anstatt in dieser Situation Nein zu sagen, kommen Sie mit einigen Optionen zurück.

1. Starke Authentifizierung und Verschlüsselung auf einem separaten Server, der eine kleine Teilmenge der Daten enthält, möglicherweise jedoch nicht alle vertraulichen Daten. Härten Sie nach Bedarf zusätzliche Steuerelemente aus und fügen Sie sie hinzu. Es kann hilfreich sein, nur dem Server mit den vertraulichen Daten zu erlauben, Daten an den Server zu senden, auf den öffentlich zugegriffen werden kann, und alle Pakete vom öffentlich zugänglichen Server zu blockieren, der auf den Server zurückgreift, der die vertraulichen Daten enthält (Einweg-Firewall-Regel).

2. Erstellen Sie einen sicheren Front-End-Server, auf den von überall aus zugegriffen werden kann und der den Zugriff auf den Back-End-Server kontrolliert. Härten Sie hier nach Bedarf zusätzliche Steuerelemente ab und fügen Sie sie hinzu.

3. Härten Sie den Server selbst und stellen Sie gegebenenfalls eine WAF oder andere Steuerelemente davor bereit.

4. Denken Sie an andere kreative Lösungen, die von den tatsächlichen Bedürfnissen Ihres Chefs abhängen (Ihre Frage ist nicht spezifisch für die tatsächlichen Bedürfnisse).

ol>

Unabhängig davon, welche Option ausgewählt ist, müssen Sie den Zugriff auf das System protokollieren und überwachen. Es ist ratsam, sich mit Ihrem Chef in Verbindung zu setzen, nachdem das System Verbindungen aus anderen Ländern (oder zumindest IPs, die offensichtlich nicht von Personen stammen, die mit Ihnen zusammenarbeiten) erhalten hat, und ihm die globalen Verbindungen zum System zu zeigen. Manchmal ist dieses reale Feedback erforderlich, damit die Menschen das Risiko verstehen.

Nutzen Sie dies als Gelegenheit, Ihren Chef zu erziehen , aber tun Sie dies auf sehr bescheidene Weise, indem Sie sich strikt an reale Daten halten. Möglicherweise hatte er zu viele Leute, die ihm mit Angst, Unsicherheit und Sicherheit Sicherheit verkauften Zweifel (FUD) und hören möglicherweise einfach nichts, was ähnlich klingt, unabhängig davon, wie legitim diese Informationen sind. Vorsicht vor FUD-Müdigkeit. Wenn er oder sie ihre Grenze erreicht hat, hat alles, was Sie in dieser Hinsicht sagen, den gewünschten gegenteiligen Effekt. In diesem Fall besteht Ihre beste Lösung darin, sachliche Daten zu liefern und ihm zu ermöglichen, zu eigenen Schlussfolgerungen zu gelangen.

Seien Sie hier ein Problemlöser, geben Sie Ihrem Chef Lösungen und nicht nur Gründe, nein zu sagen. Haben Sie keine Angst, teure Lösungen vorzuschlagen, die Sie für zu teuer halten Für das Unternehmen ist Ihr Chef möglicherweise in Ordnung, wenn er die Funktionalität für ihn oder sie schnell weiterentwickelt. Halten Sie die Sicherheit jedoch nach Möglichkeit langfristig so kostengünstig wie möglich (vermeiden Sie wiederkehrende Kosten, die in wirtschaftlich schwierigen Zeiten gesenkt werden können). Betrachten Sie dies als eine Gelegenheit für Sie, mehr Sicherheit zu schaffen, indem Sie das Geschäft aktivieren, anstatt es zu bekämpfen. Wenn Sie zeigen, dass Sie das Geschäft stärken und die Anforderungen in Bezug auf die Fortschritte des Geschäfts oder des Geschäfts stärken können Wie sich die Dinge auf das Geschäft auswirken könnten, erhalten Sie von Menschen wie Ihrem CEO eine viel bessere Antwort. Es ist auch wichtig zu verstehen, wann das Unternehmen in Eile ist. Es ist nicht ungewöhnlich, dass ein Unternehmen mehr Geld für eine Lösung zahlt oder Dinge genehmigt, die es sonst möglicherweise nicht genehmigt, wenn es einen Mehrwert bietet und schnell bereitgestellt werden kann. Zu diesem Zweck hilft es Ihnen auch, zu wissen, wann Anfragen zeitlich festgelegt werden müssen, und die Dringlichkeit der Projekte im Flug zu verstehen.

Stellen Sie sich diesen Teil des Geschäfts als Kampfkunst vor. Sie möchten die Energie Ihres Gegners nutzen und an einen Ort umleiten, an den er gehen soll, während Sie gleichzeitig Ihren eigenen Energieverbrauch minimieren. Wenn Sie schnell den Wunsch erfüllen können, dies zugänglich zu machen, ist jetzt möglicherweise ein guter Zeitpunkt, um viel mehr Sicherheit zu schaffen. Geschwindigkeit ist hier wichtig und Sie müssen sich einkaufen, solange es sozusagen heiß ist.

Schließlich sollten Sie sich darüber im Klaren sein, dass Sie dies als Geschäftsproblem, bei dem Sie helfen können, viel besser angehen können und nicht nur ein technisches Sicherheitsproblem. Beginnen Sie ebenfalls damit, zusätzliche Sicherheitsanforderungen zu suchen und zu antizipieren, und bringen Sie sie frühzeitig zu Ihrem Chef, damit Sie wie jemand aussehen, der dem Unternehmen hilft, anstatt als Hindernis für den Fortschritt. Dieses Framing erreicht das gleiche Ziel, sorgt jedoch für schnellere und konfliktärmere Sicherheit.

Ergänzung nach dem ursprünglichen Beitrag: Eine Sache, die auch für Sie hilfreich sein kann, ist, eine langfristige Sicherheits-Roadmap zu erstellen und diese mit Ihrer Organisation zu teilen. Was dies bedeutet, ist für jede Organisation unterschiedlich, aber es ist sehr wichtig, die Arbeit zu zeigen, die Sie derzeit nicht ausführen, und auch die Arbeit, die Ihre Organisation möglicherweise niemals intern erledigt (kleine Start-ups haben weniger wahrscheinlich forensische Teams im Haus ). Der Grund dafür ist, dass Sie dazu beitragen, sich weiterzubilden und Erwartungen an Ihr Führungsteam zu setzen. Dies ist etwas, was viele Sicherheitsteams im Kopf haben, aber wenn Sie einen Plan formalisieren und einen Weg nach vorne aufzeigen, können Sie sich mehr für Ihr Sicherheitsprogramm einkaufen. Ein großer Teil davon befasst sich mit Kommunikation und einer gemeinsamen geschäftlichen Vision, ein anderer Teil mit der Aufklärung der Geschäftsleitung darüber, wo sie risikobehaftet sind. Ich finde, dass die Visualisierung der Sicherheitsschulden Ihres Unternehmens den Menschen hilft, automatisch nachdenklichere Entscheidungen zu treffen.

Gibt es Gründe, warum es schlecht ist, interne Systeme direkt mit dem Internet zu verbinden?

Sie vergrößern die Angriffsfläche unnötig. Folgende Probleme sind zu berücksichtigen:

• Ein Angreifer, der die Kontrolle über diesen einzelnen exponierten Dienst erlangt, kann diesen Zugriff möglicherweise nutzen, um andere Dienste im Intranet zu infiltrieren.

• Möglicherweise fällt es Ihnen schwer, die Protokolle auf unbefugten Zugriff zu überwachen. Angreifer von überall versuchen, sich anzumelden und den Dienst auszunutzen, wodurch ständig Fehlalarme ausgelöst werden.

• Angreifer können den Server ausführen und ihn nicht verfügbar machen - auch unbeabsichtigt, indem sie automatisierte Scan-Tools zum Testen der Anwendung verwenden für Schwachstellen oder bei dem Versuch, Brute-Force-Anmeldungen zu erzwingen.
• Wenn ein Fremder die Anmeldeinformationen eines Mitarbeiters erfasst, der sich von einem Pulic-Hotspot aus anmeldet (Sie verwenden hoffentlich HTTPS, aber möglicherweise nur Schulter-). Surfen) können sie sich direkt von ihrem eigenen Browser aus anmelden, ohne sich zunächst in das Unternehmensnetzwerk einarbeiten zu müssen.

• Selbst wenn der Dienst HTTPS verwendet, weiß der Hotspot-Besitzer, dass der Mitarbeiter haben auf internal.yourcompany.com zugegriffen und könnten interessiert werden.

• Wenn Sie ein bekanntes Framework, CMS oder eine andere beliebte Software verwenden, haben Sie um schnell mit Updates umzugehen, wenn ein Sicherheitsproblem mit dieser Software öffentlich wird. Sie müssen damit rechnen, dass Angreifer Massenscanner für nicht gepatchte Instanzen sind.

• Sie legen offen, welche Technologien Sie intern verwenden. Das ist nicht unbedingt eine schlechte Sache, aber es könnte als Argument für Ihren Chef dienen.

• Sie sagen, der Dienst hat eine Sicherheitsüberprüfung durchgeführt - vertraut Ihr Chef der Bewertung bis zu einem gewissen Grad? dass ein Fremder im Internet es herausfordern kann?

Die meisten dieser Probleme könnten mit einer VPN-Lösung für den Remotezugriff von Mitarbeitern behoben werden, anstatt Teile des Intranets direkt verfügbar zu machen. Ein VPN gibt Ihrem Chef die Möglichkeit, den Fernzugriff direkt am Gateway schnell zu aktivieren, zu blockieren und zu überwachen.

In kommerziellen Anwendungen / Systemen / Bereitstellungen führen Sie niemals ein System außerhalb der offiziellen Spezifikationen aus.

Die Tatsache, dass das System entwickelt und auf Penetration getestet wurde Unter der Annahme, dass es nur im internen Netzwerk bereitgestellt wird, sollte ausreichen, um Ihren Chef zu überzeugen. Entwickler und Hausmeister (Sie sind die letzteren) eines solchen Systems werden und können die Schuld für keine Konsequenzen akzeptieren, die schwerwiegend sein können oder nicht.

Wenn Sie Analogien benötigen, um Ihren Chef zu überzeugen, sind hier die folgenden Einige:

• Lkw des Unternehmens über die Drehzahl der roten Linie hinaus fahren, um Lieferungen zu beschleunigen >
• Landung eines Flugzeugs mit einer Geschwindigkeit, die über der maximalen Landegeschwindigkeit liegt

Ich bin sicher, der Chef würde es nicht wagen, eine der oben genannten Aktionen vorzuschlagen. Das ist alles was Sie brauchen, um ihn zu überzeugen. Viele Leute haben wertvolle detaillierte Informationen zu diesem Thread beigetragen, aber der Kern des Arguments ist in meinem ersten Satz fett gedruckt.

Einige gute Antworten hier. Im Folgenden finden Sie einige Aufzählungszeichen.

• Wenn Sie die Anwendung im Internet platzieren, stellen Sie diese Anwendung nicht nur zur Verfügung, sondern erhöhen auch die Sichtbarkeit Ihrer internen Anwendungen. Wenn Ihre Rechnungsanwendung kompromittiert ist, kann ein Hacker sie möglicherweise verwenden, um auf Ihre anderen internen Systeme zuzugreifen.

• Rechnungsdaten enthalten vermutlich Informationen über Ihre Kunden. Sie sind dafür verantwortlich, wenn vertrauliche Daten offengelegt werden.

• Wenn Sie Ihre Anwendung ins Internet stellen, kann dies zu einer zusätzlichen regulatorischen Belastung führen. Wenn Sie beispielsweise mit Gesundheitsinformationen umgehen, müssen Sie die Cybersicherheitsstandards der HIPAA erfüllen. Wenn einige Ihrer Kunden Regierungsbehörden sind, gilt möglicherweise ISO-27000.

• Wenn Sie denselben Authentifizierungsmechanismus verwenden möchten, sind Ihre Regeln für die Kennwortkomplexität möglicherweise nicht gut genug. Möglicherweise müssen Sie für alle Benutzer das Kennwort-Zurücksetzen-Flag setzen und sie unter neuen Komplexitätsregeln neue Kennwörter einrichten lassen.

• Wenn Sie eine Site ins Internet stellen, können Sie dies tun erfordern mehr Hardware. Sie benötigen mindestens eine Perimeter-Firewall und möglicherweise eine zusätzliche Firewall, um eine DMZ einzurichten. Dies kann bedeuten, dass Ihre Webserver jeweils zwei Netzwerkkarten benötigen.

• Möglicherweise müssen Sie ein öffentliches SSL-Zertifikat erwerben, das kostenpflichtig ist.

Mit den begrenzten Informationen, die Sie bereitgestellt haben, sind hier meine Eingaben.

Das Aussetzen eines derzeit internen Systems gegenüber dem Internet kann abhängig von verschiedenen anderen Faktoren eine schlechte Idee sein oder auch nicht. Die Frage, die Sie sich stellen müssen, bevor Sie sie der Öffentlichkeit zugänglich machen, lautet wie folgt:

1. Wer sind die potenziellen Benutzer der Systeme und Dienste?
ol>

Wenn Die Anwendung wird nur von Mitarbeitern verwendet. Der kluge Schritt besteht darin, sie über VPN zugänglich zu machen. Sie können es jedoch auch öffentlich machen, nachdem Sie eine Architekturüberprüfung durchgeführt haben.

2. Wie ist das aktuelle Risikoprofil der Anwendung?
ol>

Ich verstehe, dass die Anwendung vertrauliche Daten verarbeitet. Aber wie ist das Risikoprofil der Anwendung je nach Organisation? Dies zu verstehen ist wichtig, da sich einer der Faktoren, die das Risikoprofil beeinflussen, nach dieser Änderung erheblich ändern wird - der Internet-Fußabdruck.

3. Wie oft testen Sie die Anwendung mit einem Stift?
ol>

Das aktuelle Risikoprofil Ihrer Anwendung ist möglicherweise nicht hoch genug, um regelmäßig ausgeführt zu werden Stifttests. Die Wahrscheinlichkeit neuer Sicherheitslücken, Null Tage usw. muss ebenfalls berücksichtigt werden, wenn sie einem externen Netzwerk ausgesetzt werden.

4. Authentifizierungsmechanismus.
ol>

Verwendet die Anwendung Domänenanmeldeinformationen? Verwendet es verschlüsselten Verkehr? Verwendet es 2FA? Hat es eine Sperrrichtlinie? Viele dieser Fragen wurden möglicherweise als risikoarm ignoriert, während ein Pen-Test durchgeführt wurde, bei dem die Anwendung als intern betrachtet wurde. Möglicherweise ist ein neuer Perspektiventest für die Anwendung als externe Anwendung erforderlich, bevor sie für die Öffentlichkeit bereitgestellt wird.

1. Alles, was im Internet ist, kann kompromittiert werden und sollte als unsicher behandelt werden.
2. Alles, was nicht im Internet ist, ist schwerer zu kompromittieren, kann aber dennoch kompromittiert werden und sollte so behandelt werden, als ob es so wäre im Internet.
ol>

Mit anderen Worten: Wenn Sie ein System vom Internet fernhalten, wird es sicherer, ist jedoch keine Entschuldigung für schlechte Sicherheit an anderer Stelle im System. Ich bin besorgt über Ihren Teil "Dies wurde alles auf der Grundlage gemacht, dass das System nur über die interne Domäne zugänglich war" - ein System, das nicht im Internet ist, sollte so sicher gemacht werden wie ein System, das im Internet ist, und als Was das Entwerfen / Prüfen / Pentesting betrifft, sollte es so behandelt werden, als ob es im Internet wäre. Ein sensibles System sollte jedoch immer vom Internet ferngehalten werden, es sei denn, es gibt einen sehr wichtigen Grund, warum es im Internet sein muss (z. B. gibt es Büros an einem entfernten Standort).

Eine ähnliche Situation gilt für VPNs. Proxys, Gateways und so weiter. Sie machen ein System sicherer, aber sie sind keine Entschuldigung für schlechte Sicherheit an anderer Stelle und können dennoch kompromittiert werden. Es ist, als würde man ein weiteres Schloss an der Tür anbringen - es könnte einen Angreifer verlangsamen, aber es kann ihn nicht aufhalten, und Ihr System ist immer noch weit weniger sicher, als wenn es vom Internet ferngehalten würde.

Es gibt eine rationale Formel für das Risiko. Risiko = Bedrohung x Verwundbarkeit

Was ist der Wert des Vermögenswerts? (Was kostet die Wiederherstellung, wenn die Daten verloren gehen, gestohlen oder beschädigt werden? Werden Kundendaten bei Diebstahl strafrechtlich verfolgt? Wie wertvoll sind diese Daten für Hacker oder Konkurrenten?)

Wenn Sie den Wert des Assets ermitteln, können Sie feststellen, wie wahrscheinlich es ist, dass eine Bedrohung eine Sicherheitsanfälligkeit ausnutzt, um einen Verlust zu verursachen.

Was sind die Sicherheitsanfälligkeiten? (Sie versuchen bereits, die Sicherheitsanfälligkeiten mit dem Stifttest festzustellen.)

Was kostet eine Sicherheitskontrolle, um eine Sicherheitsanfälligkeit zu verringern? Wenn die Kosten der Kontrolle die Kosten des Assets übersteigen, lohnt es sich nicht, die Schwachstellenminderung zu installieren.

Wenn Sie diese Daten von Ihrem Chef ausführen, kann er / sie über die Kosten der Benutzerfreundlichkeit nachdenken. Einige Leute denken, dass die Kosten für Bequemlichkeit das Risiko wert sind, während andere kein Risiko wollen und sich nicht für Bequemlichkeit interessieren. Denken Sie daran, dass die Risikominderung der Schlüsselfaktor ist.

Das Hauptsicherheitsrisiko sind nicht die VPNs. Alle von ihnen sind sehr gut gegen mögliche Risse geschützt.

Das Sicherheitsrisiko ist der Inhalt, den Sie durch diese VPNs bewegen, und die falsche Überzeugung, dass die VPNs Ihr System verteidigen. Ja, sie werden sich mit ziemlicher Sicherheit verteidigen - gegen die Angriffe auf das VPN. Aber nicht gegen die Angriffe Ihres Buchungssystems, das sicherlich weitaus komplexer und weitaus weniger sicherheitsrelevant ist.

Der Datenverkehr zwischen Ihren externen Hosts und dem lokalen Netzwerk ist aus Sicht des VPN vollkommen legal.

Wenn Sie eine andere Lösung verwenden und keine VPN-basierte (z. B. durch Verwendung einer Datensynchronisierung), können Sie Ihr internes Netzwerk weitaus besser schützen, aber das Wesentliche von nicht lösen Dieses Problem.

Wenn es sich meiner Meinung nach um eine Buchungssoftware handelt, kann es sich um finanzielle, also hochsensible und private Daten der Kunden handeln. Die meisten Unternehmen, die ich kenne, verteidigen die Daten ihrer Kunden tatsächlich stärker als ihre eigenen, und es ist ein recht rationales Verhalten von ihrer Seite. Ohne etwas von Ihrem System zu wissen, halte ich es für durchaus möglich, dass diese Daten für Ihren Arbeitgeber tatsächlich wichtiger sind, da Ihr gesamtes lokales Netzwerk et al. Ihr Chef weiß das sicherlich, und ich denke, wenn Sie ihn überzeugen wollen, argumentieren Sie in diese Richtung und nicht in technische.

Ihre Frage enthält den Hauptgrund ... Sie wurde unter der Annahme einer Penetrationstestung unterzogen, dass das System von außen nicht zugänglich ist. Beginnen Sie also mit den Kosten für die Durchführung des Pentests ohne diese Annahme, und das Testen bringt alle Risiken mit sich.

Wenn Sie die App ohne ordnungsgemäßes Pentesting extern zugänglich machen, sollten Sie nicht einmal als Sie und Ihr Unternehmen betrachtet werden. Sie sind kein Fachexperte bei der Beurteilung des Risikos, einen Dienst bereitzustellen, der für den internen Internetzugang konzipiert wurde.

Wir alle können die zahlreichen Möglichkeiten erraten, mit denen diese Anwendung Ihr Unternehmen bloßstellen würde, aber das ist nur eine Vermutung. Sie müssen den schlimmsten Fall annehmen, nämlich dass jemand den Hosting-Server verletzt und Root-Zugriff auf den Server erhält und diesen dann verwendet, um Zugriff auf alle Ihre anderen Server zu erhalten. WENN Ihr Geschäft von Ihren IT-Systemen abhängt, kann Ihr Geschäft so weit gestört werden, dass Sie nicht mehr in der Lage sind, Geschäfte zu tätigen, an Glaubwürdigkeit in Ihrer Branche verlieren und möglicherweise rechtliche Konsequenzen haben.

In einer Sprache, die Ihr Chef verstehen wird: Der Nachteil ist, dass er sich um die Sicherheit sorgen muss, höchstwahrscheinlich in Form der Einstellung einiger externer Experten, und Junge, sind wir teuer.

Sobald Sie sagen Mit dem System im Internet kann jeder gelangweilte Hacker aus China einbrechen, nur für die Lolz. Wenn Sie nicht glauben, dass sie es tun werden (Standardargument "Wir haben nichts, was es wert ist, gestohlen zu werden"), schauen Sie zurück auf das, was ich geschrieben habe: The lolz. Sie brauchen keinen Grund, in ein System einzudringen. Die meisten Angriffe sind heutzutage ungerichtet, d. H. Sie werfen einfach eine Reihe von Standard-Exploits auf ein ganzes Netzwerk und sehen, wer umfällt. Erst wenn sie eingebrochen sind, werden sie sogar überprüfen, was oder wer es ist. Und wenn Sie nichts zu stehlen haben, gibt es immer noch CPU-Leistung, Bandbreite und die Zugehörigkeit zu einem Botnetz.

Ein System nicht im Internet zu haben, ist sogar die Sicherheitsmaßnahme Nr. 1 für Internet-Systeme. Das heißt, wenn er es im Internet will, gut. Davor sollte sich jedoch eine Firewall und / oder eine WAF und / oder ein Anwendungsgateway und eine DMZ befinden. Natürlich können Sie es ins Internet stellen, wenn er möchte. Aus Ihrer Frage geht nicht hervor, dass Ihr Chef versteht, dass dies mehr bedeutet, als ein anderes Kabel in den Netzwerkanschluss zu stecken.

Wenn Ihr System für den öffentlichen Zugriff ausgelegt wäre, wäre dies sehr klug.

Es gibt Dienste, mit denen Sie beispielsweise Rechnungen direkt im Internet verwalten können.

Wenn ein Dienst für das Internet geöffnet wird, ist er von Natur aus nicht mehr oder weniger sicher. Das Wissen, dass es exponierter ist, sollte jedoch ein sehr guter Anreiz sein, es so kugelsicher wie möglich zu machen.

Mit anderen Worten, wenn Sie wissen, dass Ihre Apps an dem Tag, an dem jemand einbricht, hinter Ihrem internen Netzwerk versteckt sind, ist dies sehr fragil. Die meisten Systeme sind heutzutage nicht für immer zu 100% von der Außenwelt isoliert: WLAN-Zugang, Firewall-Brüche, Viren, VPNs, ...

Es ist daher empfehlenswert, die Sicherheit gründlich zu gewährleisten.

Wenn es von Natur aus sicher ist, verstehe ich nicht, warum es nicht im Internet geöffnet werden konnte. Heutzutage wird über das Internet auf Bankgeschäfte, Online-Glücksspiele und sogar das Gesundheitswesen zugegriffen.

So ist es machbar.