为一个特定 IP 的所有程序和端口打开 Windows 2008 防火墙的风险有多大？

Question

为方便起见，我设置了我们客户之一的 Windows 2008 R2 服务器的防火墙规则，以便它对所有传入流量、所有端口和所有程序开放，但范围设置将其限制为一个特定的远程 IP 地址- 我们的. 原因是我们远程访问数据库和其他程序。

问题：这样的设置有风险吗？除了我们的固定 IP 地址之外，我是否应该努力为特定端口和程序建立单独的规则？

作为一名开发人员，我发现很难估计 IP 欺骗的危险性以及任何其他可能利用该设置的黑客技术。

Answer 1

一般来说，可攻击的表面积越小越好。您走在正确的轨道上，将其限制为特定的源 IP。遵循最低权限原则，您应该拒绝所有目标端口，只打开您实际需要的端口。然后，您必须权衡管理成本与风险。风险将取决于几个因素，例如您访问的数据的敏感程度、服务器是否受到威胁、量化的损失是多少等。

话虽如此，攻击者更有可能从他们自己的网络内部利用客户服务器上的漏洞，而不是他们执行中间人攻击并获取您的凭据、敏感的数据库材料等。实际应用中的 IP 欺骗在这里不必担心。它通常用于扫描网络或构建另一台机器/IP。当使用需要在源和目标之间建立会话的协议时，欺骗 IP 并执行任何功能变得非常复杂。有可能，但不大可能。（见arp或dns中毒）

另一个更可能的攻击向量（对 DB）可能是您自己的机器/网络受到损害，攻击者可以从那里转向并攻击 DB 机器。当然，在这一点上，你会遇到更大的问题。;） 希望这个对你有帮助。