在局域網上通過SSL運行大型「內部」企業Web應用程序嗎？

在大公司內部，標準做法是使用SSL（例如https）通過LAN運行公司應用程序。我正在考慮ERP系統，SFA系統，人力資源系統等，但我也想到SOA ...... Web服務提供商和消費者。在局域網上通過SSL運行大型「內部」企業Web應用程序嗎？

換句話說，是否有任何擔心局域網上的東西可能會嗅探明文信息？如果不是SSL，這種安全威脅如何處理？

你有什麼經驗？

來源

2010-09-22 HDave

順便說一下，這應該是一個wiki。沒有辦法明確回答提出的問題。 – NotMe 2010-09-22 03:26:47

裏面的大公司，是標準的做法使用SSL（例如https）通過局域網運行企業應用程序。

一般來說，僅用於局域網內部應用程序的SSL並不常見。從歷史上看，局域網已被視爲「可信」網絡，因此局域網應用的SSL並不是優先事項。

此外，與內部應用程序服務器的連接通常是通過經過身份驗證的代理服務器進行的，這本身可以降低一些風險。

然而，隨着組織（通常）越來越少地信任局域網，這種情況正在慢慢發生變化。

如果不是SSL，這個安全威脅是如何處理的？

大多數企業都會監視連接到局域網的內容，並在添加新設備時記錄事件。

如果設備與計劃中的某些東西（即新的桌面或打印機）不相對應 - 則調查它。

未經授權的設備被視爲比不使用SSL更大的風險，因爲它們構成額外的威脅，如引入病毒，外部網絡連接或其他類型的攻擊媒介。

來源

2010-09-22 03:31:56 Rich

我瞭解代理，但是您能否詳細說明經過驗證的代理？它是SSO服務器/方法嗎？我問的原因是因爲沒有SSL，當用戶登錄時，用戶無法以純文本向服務器發送用戶名/密碼？ – HDave 2010-09-22 05:13:13

沒有什麼能阻止用戶以明文形式發送用戶名/密碼......只不過是有其他控制層阻止某人能夠使用這些憑證。通過代理服務器，我的意思是像微軟的ISA服務器，或者不管它現在叫什麼，Bluecoat是另一個。基本上，Web應用程序服務器位於防火牆網絡區域中。防火牆確保訪問Web應用程序服務器的唯一方法是通過經過批准的代理。所以你必須能夠對代理進行身份驗證（通常在這些環境中使用SPNEGO完成）。 – Rich 2010-09-22 10:01:59

順便說一句：你的問題問什麼是標準做法。這是標準的做法....它可能不是最安全的解決方案，但它是非常標準的做法，當然不是不專業。 – Rich 2010-09-22 10:04:39

不幸的是，不，這不是標準做法。

來源

2010-09-22 03:09:37 NotMe

什麼做，什麼應該做的不一定是同樣在這裏...

毫無疑問與機密信息的系統應確保，特別是在局域網中，因爲這是大多數攻擊的來源 - disgruntles員工等等

不幸的是，情況往往不是這樣。

來源

2010-09-22 03:10:51 Doobi

是的，在我見過的很多地方非常標準的做法。

我想原因應該是顯而易見的：

針對普通攻擊額外的安全
差不多沒有理由不爲

來源

2010-09-22 03:18:16 Justin

我不知道其中一個問題是，SSL總是看起來比它應該更復雜一點。如果可以通過一臺交換機啓用SSL而不必擔心證書，那麼至少加密部分可能會成爲默認值。

很顯然，如果不採取設置證書的額外步驟，您將無法獲得端點身份驗證，但至少在沒有加密的情況下沒有任何理由。

來源

2010-09-22 05:21:04 Boone

男孩我不能同意更多。旋轉信任鏈球拍...只需給我加密！ – HDave 2010-09-22 05:57:15

加密是沒有驗證的無用安全毯。它告訴你的是，你正在與* someone *安全地進行通信;不知道你在跟誰說話，你可以與偷聽者完全安全地溝通。 – caf 2010-09-22 06:00:06

在局域網上，您可以將您擁有的自簽名CA安裝在公司的機器上，並獲得SSL的好處，而無需真正的證書費用。 – HDave 2014-03-21 14:53:26

在大公司的內部，標準做法是使用SSL（例如https）通過LAN運行公司應用程序。我正在考慮ERP系統，SFA系統，人力資源系統等，但我也想到SOA ...... Web服務提供商和消費者。

如果這些應用程序不安全，我會覺得非常不舒服。在我工作過的很多地方，他們都是。在另一些情況下，他們不是，我認爲這是不專業的。

換句話說，有什麼擔心局域網上的東西可能會嗅探明文信息嗎？

對我來說，答案顯然是YES。

如果不是SSL，這個安全威脅是如何處理的？

一次性密碼（與RSA SecureID）。

來源

2010-09-22 05:41:43

這真的取決於你認爲的「大公司」。我工作的公司有超過5萬名員工;因此我們的公司網絡實際上不比互聯網更可靠。

我們在企業Intranet Web應用程序上使用SSL。我們在所有企業PC上安裝了自己的內部CA證書，因此我們可以在內部頒發自己的內部SSL證書。

來源

2010-09-22 06:02:41 caf

在局域網上通過SSL運行大型「內部」企業Web應用程序嗎？

回答

相關問題