如果必需的客户端应用程序必须在较旧的（易受攻击的）框架上运行，我该怎么办？

Question

客户端需要.NET Framework 4安装而不是打补丁，这样他们的软件才能Windows 2008 R2 Server正常运行。

这引发了以下问题：

1. 如果应用程序与最新框架版本不兼容，什么时候可以容纳易受攻击的框架？
2. 在这种情况下，最佳做法是什么？

也许这个问题应该在SE: Information Security 中？

Answer 1

“最佳实践”通常不是运行需要您使用易受攻击的框架（或者说旧版本的 Java）的软件，但不幸的是，这并不总是可以接受的答案。对于大多数企业（至少不是基于技术或 IT 的企业），IT 服务于业务需求，而不是相反，因此您并不总是能够使用该答案并将系统扔掉，因为它是安全风险。

在这些情况下，您唯一真正能做的就是尽可能多地包含易受攻击的服务器。尽可能限制用户访问。将防火墙中的最小 IP 或 IP 范围列入白名单。如果可行，请在服务器上使用防病毒软件，并提高日志记录级别（当然，还要花时间检查日志）。尽可能多地卸载，如果可能，使用不易接受客户端连接的代理。（例如，搭建一个RDS服务器，将易受攻击的服务器设置为只接受来自RDS服务器的网络连接，并让用户使用RDS服务器访问你易受攻击的服务器上的应用程序。）

而且，当然，请务必向 CYA - 通知管理层您已确定此系统存在安全风险，因此继续使用它的决定（以及可能出现的任何安全漏洞）是他们的责任，而不是您的责任。