За и против сервера прокси/шлюза
Да diabling контроль учётных записей является плохой идеей. Вы не должны отключать его на своих персональных машинах или своих серверах. Это - незначительный inconvienience с большой выплатой. Контроль учётных записей на сервере должен быть раздражающим как напоминание, что everythig, который Вы делаете, должен и мог быть сделан, не будучи зарегистрирован рабочий стол серверов.
Если Вы берете advive mfinni и помещаете Ваш сервер в демилитаризованную зону (Вы, конечно, должны, и с Вами имеющий достойный аппаратный брандмауэр, я сомневаюсь, что это окажется твердым), ответ все еще, "возможно".
Я соглашаюсь, что существует меньше соображения безопасности сделать это в эти дни, IIS намного лучше, чем это было. Однако, это бросит гаечный ключ в работы некоторых нападений, и Вы, несомненно, получите некоторую небольшую выгоду безопасности.
OTOH, уравновесьте это, у Вас теперь есть 3 объекта в критическом пути, не 2 (Брандмауэр, RProxy и веб-сервер) - если кто-либо идет поп, Вы теряете сервис.
Необходимо уравновесить маленькое усиление безопасности, по сравнению с риском надежности и управлением. Если бы Вы имели> 1 веб-сервер или делали acelleration на прокси, то я был бы более склонен сохранить его. В настоящий момент это кажется, что ответственный парень (thats Вы) не чрезвычайно увлечен, и возможно больше парень окон (я предполагаю здесь, не берите это в качестве пламени или чего-либо), и не имели бы администратору a.n.other другого сервера. Был бы, проводя больше времени, заботясь о веб-сервере быть лучшими инвестициями, чем переделывание прокси?
Так или иначе. Должен быть Ваш вызов - но я не думаю, что он предлагает Вам достаточно, чтобы быть классифицированным как важный больше.
-
1I' m один из программистов, работающих над вышеупомянутым веб-приложением в маленьком (почти вся Microsoft) магазин. Так как прокси-сервер является " non-windows" и I' m больше парня Linux, для меня определили задачу с выяснением этой главным образом недокументированной установки и наблюдением, чем должен был быть следующий шаг, когда время обновления настало. " маленькое усиление безопасности, по сравнению с управлением и надежностью risk" был тем, что я думал также, но я хотел некоторые дополнительные мнения. У меня есть свой ответ теперь все же. Благодаря всем те, кто считал & прокомментированный. – Curtis 22 March 2010 в 16:23
Meh. Безопасность моей компании и стандарты управления действительно требуют обратного прокси Apache перед любым веб-сервером, является ли это IIS или WebSphere или what-have-you.
Хотя для Вашей ситуации, Вы также не говорите, что Windows Server находится в демилитаризованной зоне. Если это не, то сделайте это сразу, независимо от того, сохраняете ли Вы свой прокси-сервер.
Простой ответ: Нет
Более длинный ответ: Нет - дни необходимости скрыть IIS позади *отклоняют прокси, находятся теперь твердо в средневековье, предполагая, что Ваше веб-приложение относительно безопасно и Вы брандмауэр машина окон хорошо затем нет никакого преимущества в помещении прокси перед машиной Windows с точки зрения безопасности. Единственное преимущество было бы с точки зрения производительности/выравнивания нагрузки, и оно не кажется, что это применяется здесь.
-
1Неаккуратные взгляды. It' s всегда хорошая практика для помещения прокси перед веб-сервером смущения. Почему делают это более уязвимым, чем Вы имеете к? *отклоните, хороший выбор для этого потому что it' s дешевый, стабильный, и работает хорошо на минимальных аппаратных средствах. – Satanicpuppy 19 March 2010 в 23:19
-
2И Вы заканчиваете с двумя отличными объектами, чтобы обновить/исправить и протестировать - сомнительное преимущество безопасности находится в моем уме, перевешиваемом дополнительными административными издержками. не говоря уже о Вас удвоили Вашу поверхность атаки. – Geraint Jones 19 March 2010 в 23:27
-
3с МКС история повторяется при рассмотрении bsd людей отношение к безопасности, it' s тело. Microsoft поместила вторую безопасность. Они доказали снова и снова что они don' t понимают проблемы безопасности, почему был бы это изменение быть будущим? Если Ваше соединение любого вида продукта Microsoft к Интернету без обширных инструментов укрепления и обнаружения проникновения, Ваша просто просьба быть базированным. Можете Вы действительно ожидать ' патч tuesday' когда Вы знаете, что там существует использование нулевого дня? – The Unix Janitor 20 March 2010 в 01:01