SFTP 服务器 dmz 与受信任

Question

我们希望放弃我们现有的解决方案，并使用更简单（便宜得多）的 SFTP 服务器来允许与客户端交换文件。我们的网络由 Trusted 和 DMZ 网络组成。当前的产品通过在两侧托管服务器并自行处理桥接来实现这一点。我们希望切换到 WinSSHD，但不确定服务器的位置，DMZ 与 Trusted。我们在金融领域寻找有关最佳实践的指导，或者寻找满足我们要求的良好替代方案。

感觉就像我们应该把它放在 DMZ 中，但是我们必须弄清楚如何将文件从那里移动到 Trusted。

Answer 1

如果它是可公开访问的服务器，则应将其放置在 DMZ 中 - 这就是分区的全部内容。设置具有两个接口的服务器 - 一个在 DMZ 中，一个在受信任的网络中 - 只是绕过了单独 DMZ 的想法，使其完全是多余的。

使用 DMZ 中的服务器，通常您应该

1. 确定放置在其上的数据在“受信任”网络中复制和使用是否通常是安全的
2. 如果是，则允许在服务器和受信任网络之间使用数据传输机制

您可以轻松实现 2. 只需使用与您的客户端相同的协议 - 通过 SFTP 连接并提取数据。这样，您就可以省去为附加协议套件进行风险评估的麻烦。

编辑：我将尝试采用类似 wiki 的风格，并将您的反对意见纳入此答案并对其进行评论：

数据现在位于 DMZ 中，我必须在内部为此寻求答案，以查看是否允许。当前的解决方案没有将数据物理存储在 DMZ 中，它只有一个 DMZ 接口。

当然，这取决于谁设计您的安全策略，以平衡“居住”在 DMZ 中的数据的数据盗窃风险与在您的受信任网络中虚拟托管的可公开访问的服务。在大多数情况下，您会采用更早的方法，同时通过将数据仅保留在 DMZ 中有限的时间来最大限度地降低数据被盗的风险。

另一种选择是在您的 DMZ 中为 SFTP实施代理解决方案并将连接转发到您的“受信任”服务器 - 但这将有一个不同的攻击面，因此它再次以平衡风险告终。

这比简单地将 SFTP 托管在受信任的环境中并允许直接连接更安全吗？

代理通常设置为具有“行为良好”的协议交换。这减轻了基于利用服务器端协议实现中的弱点（例如缓冲区溢出）的一整类攻击向量。某些代理设置可能允许您指定对用户可以做什么或不能做什么的限制——一种用于通过只允许必要的操作来减少攻击面的功能。

但是代理只是一段容易出错的代码，就像其他所有代码一样——它会有自己的攻击向量。具有两个服务器和轮询的“水门”设置的威胁建模和风险评估更容易评估。

我需要自动化该过程，因此我必须使用某种文件监视服务来监视 DMZ 中的传入文件，然后转发到 Trusted 中的另一个 SFTP 服务器。

是的，这将是一个合理的做法。

现在我真的必须在围栏的每一侧管理 2 个 SFTP 服务器。

正确，但它们中的每一个本身都可以是一个安全边界 - 如果您非常关心存储在那里的数据的安全性，这可能是一个要求。