您应该在网络边界内运行防火墙吗？

Question

古老的问题。我已经看到对此的反应是双向的，但从来没有全面回答为什么要在受信任的网络中激活防火墙。当我说“受信任”时，我（通常）是指已经位于活动防火墙后面的 LAN。

我想有全面的理由来说明你为什么想要这个。我听说过的唯一一个论点是，在您的受信任网络中，防火墙处于非活动状态会导致“松脆”的安全安排，在这种情况下，破坏“松脆”的外部防火墙会暴露所有“软嚼”的内部机器。

Answer 1

我认为出于各种原因，在网络中安装防火墙是一件好事。

1. 保护您的敏感内部数据不被修改/窃取/删除。如果您公司的每个最终用户都可以通过网络访问您所有的生产数据库服务器，那么密码就可以保护您的数据。在某些情况下（sql 帐户与域帐户），整个开发人员对所有这些数据库都有写访问密码是很常见的。我所看到的大多数统计数据表明，与外部攻击者相比，您受到来自内部的攻击的可能性要大得多。心怀不满的员工可能会受到极大的激励。
2. 保护您的敏感内部数据不被意外修改/删除。意外地将 Stage Web 服务器指向生产数据库服务器的情况比您想象的要频繁得多。如果您将 Prod DB 服务器设置为防火墙，以便只有 prod Web 服务器和 DBA 可以访问它们，则可以显着降低这种风险。
3. 更强大的分层方法。您添加的合理安全层越多越好。有些人可能对此有点疯狂，但总的来说这是一个好主意。
4. 随着您的网络越来越大，您需要保护自己。无论是恶意接入点还是笔记本电脑，几乎不可能 100% 确信您网络上的所有内容都符合您的安全策略。

Answer 2

是的，仅仅因为在边界只有一个防火墙，你就有一个单点故障。如果该防火墙存在允许绕过的错误，那么您的安全性就消失了。

安全应该是一种分层方法，只要有可能，就在每一层应用安全，或者至少具有成本效益，并且适合于风险级别。

与所有安全建议一样，如果您的系统遭到入侵，您应该考虑所涉及的实际风险。如果您丢失的只是一个没有数据的非关键框，那么它可能没有那么重要。如果您要保护国家机密、银行账户或医疗保健信息，则需要使用更多层。

Answer 3

永远不要低估另一名员工从家里带来携带病毒的笔记本电脑并将其插入您的主干网的能力。