Newsgroup: it.comp.sicurezza.varie
Titolo: Database Sql e DMZ

Ciao a tutti,
In azienda abbiamo un firewall linux che gestisce 3 segmenti di rete: lan 
(server interni e clients), dmz (web server) e zona internet. Su uno dei 
server della lan è installato un database Sql utilizzato da una applicazione 
interna; ora questa applicazione deve essere resa accessibile anche 
dall'esterno tramite un'inerfaccia web. Come soluzione si pensava di 
installare il server sql sul web server e di spostare qui il nostro 
applicativo aprendo le porte usate da sql sul firewall (dalla lan al server 
in dmz) per poter permettere ai clients di continuare ad utilizzarla anche 
senza passare dall'interfaccia web. Questa soluzione può essere considerata 
valida ai fini della sicurezza? Possono esserci alternative migliori?
Grazie. 


Per quanto riguarda la sicurezza "pura" direi che spostare SQL
in DMZ è una buona mossa, anche se... il problema è che se il
database contiene dati "sensibili"; pubblicarlo in questo modo
potrebbe non essere un'ottima idea; un'alternativa da considerare
potrebbe essere quella di avere DUE databases, uno residente
sulla LAN e contenente *tutti* i dati, un secondo residente in DMZ
e contenente solo i dati necessari al funzionamento "remoto" poi
sarebbe necessario mettere in piedi un meccanismo di replica
pilotato ovviamente dal DB LAN il quale dovrebbe connettersi
al DB DMZ e replicare i dati come necessario
Ciao

 al DB DMZ e replicare i dati come necessario
In effetti avevo pensato anche io a questa soluzione... bisogna valutare se 
il gioco (la sincronizzazione dei db) vale la candela...
Comunque grazie per la risposta.
Ciao.

 il gioco (la sincronizzazione dei db) vale la candela...
Dipende dai dati che sono presenti, e da quanta parte e' indispensabile
pubblicare.
Io faccio cosi' per un B2B qui in azienda.
Non esporro' MAI la macchina con il gestionale, se non sotto la minaccia
delle armi.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net



Non capisco le seguenti cose:
1) L'applicazione interna come accede al DB?
2) Cosa vuol dire "ora questa applicazione deve essere resa accessibile
anche dall'esterno tramite un'inerfaccia web" ?
Ciao.


Che verrà sviluppata un'interfaccia web per rendere alcuni dati del database 
accessibili via internet tramite un browser. Cosa non ti è chiaro?
Ciao. 

valida ai fini della sicurezza? Possono esserci alternative migliori?
Un accesso remoto ad un database non è mai completamente sicuro,
dipende dal sistema che gestisce il database e il livello che vuoi
raggiungere.
Per esempio con Microsoft SQL potresti limitare ad un utente con
diritti limitati l'acceso dalla DMZ così che controlli quali tabelle
vede e per fare cosa. Con i diriti sulle view puoi limitare anche la
granularità delle informazioni. Se non limiti l'accessibilità ad un
utente specifico potresti avere problemi su un attacco a forza bruta o
da parte di qualcuno che conosce le password DB.. 
comunque un controllo elevato lo ottieni solo con un sistema a tre
livelli avendo un interfaccia applicativa che media le richieste.
Andrea
 



Quindi e' il database che deve essere accessibile, il termine
"applicazione" non centra nulla.
Se ti posso dare un cosiglio io non installere il DB sulla stessa macchina
del WEB server perche' se qualcuno riesce ad avere il controllo del WEB
sever di conseguenza avra' il controllo anche del DB.
bye.