- - PR -
DBサーバの配置場所
1
投稿者 | 投稿内容 | ||||||||
---|---|---|---|---|---|---|---|---|---|
|
投稿日時: 2003-11-05 20:17
お世話になっております。
ある、顧客に事務処理向けのシステムを導入を進めているのですが、DBサーバの配置場所で困っており皆様のお考えをお聞きしたく書き込ませていただきました。 システムは、DBサーバとWWWサーバを利用し、インターネットのブラウザを使って動作をするシステムで、事務所内の内部利用のシステムと、インターネットから一般の利用者が使える2つのものが存在します。システムは、内部システム用WWWサーバと一般利用者向けWWWサーバと分ける形にしますが、DBサーバは1台での運用を考えております。 内部WWWサーバは、LAN内に配置、一般利用者向けWWWサーバは、DMZへの配置を検討しておりますが、DBサーバをLAN/DMZのどちらにおくかで論議が分かれております。 DBサーバである以上、いろいろな個人情報等も取り扱うため、DMZゾーンにおけば、たとえF/Wで防御していたとしてもDMZゾーン内に進入されてしまえば非常に危険であるというのが私の見解です。 しかし、一方では、DMZに配置されたDBサーバからLAN内への通信が頻繁に起きるというのはセキュリティ上好ましくないという考え方もあります。 両者は共に正論であるとかんがえらるのですが、セキュリティポリシ−の違いであると考えれますが、みなさまは、どちらを好まれるでしょうか? ぜひご意見をお聞かせください。 構成等が、見えにくいかと思います。もしわかりにくい部分があればご指摘を織田抱ければと思います。 よろしくお願いいたします。 | ||||||||
|
投稿日時: 2003-11-05 22:47
> しかし、一方では、DMZに配置されたDBサーバからLAN内への通信が頻繁に起きるとい
> うのはセキュリティ上好ましくないという考え方もあります。 これは、「DMZに配置された***WWWサーバから***LAN内への・・・」ですよね? さて、お話の件ですがやはりDMZにDBサーバを置くことは良くないのではありませんか? 理由はDr.Doraemonさんがおっしゃるように、DBサーバ内に機密情報が置かれるからです。 DMZのWWWサーバからDBサーバへの通信が例えばNet8だとすれば(勝手にOracleだと 仮定しています)、DMZ->LANのF/Wにはその通信だけを通すセキュリティポリシーを 適用すればよいわけで、これは正しい使い方だと思いますよ。 WWWサーバにDBクライアントを置いておかなければ、とりあえずWWWサーバからDBを 覗く手段は無いわけですし。(クラッカーが自前でそのようなツールを用意してきたら しょうがないですが) | ||||||||
|
投稿日時: 2003-11-06 02:08
> DBサーバである以上、いろいろな個人情報等も取り扱うため、DMZゾーンにおけば、
> たとえF/Wで防御していたとしてもDMZゾーン内に進入されてしまえば非常に危険で > あるというのが私の見解です。 > しかし、一方では、DMZに配置されたDBサーバからLAN内への通信が頻繁に起きる > というのはセキュリティ上好ましくないという考え方もあります。 共に、「DMZ はまずい」と言っているように思いますが? ともかく個人情報のデーターベースは、最も安全な所に置くべきだと思います。 | ||||||||
|
投稿日時: 2003-11-06 09:01
DMZに配置されたWebサーバですよね、きっと。。。。。 最近の考え方ではLAN内に置くのも内部漏洩云々の話であまり好まれない様ですね。 と云うことで、DBアクセス専用のネットワークを作成し、アクセスするのが良いかも知れません。 DMZ及び、内部それぞれのWebサーバにDBアクセス専用のインタフェースを設け、ネットワークセグメントを新設、そこにDBサーバを置く。勿論、そこがバイパス経路にならないように、セキュリティを固める必要がありますが。 | ||||||||
|
投稿日時: 2003-11-07 00:08
お世話になります。
おばけさん、Keisukeさん、きょ〜じゅさん レスありがとうございます。 おっしゃるとおり、2点の問題ともに、DMZにDBを配置することに問題があるといわれれば、たしかにそうですね。 たしかに、内部LANにおくことでコンピュータを知っている人の内部からの攻撃・漏洩はいままであまり重視して異な話でありました。 当方の顧客ともいろいろな提案をしたのですが、最終的に、DMZにDBサーバを配置し、DBサーバの前に別途F/Wをおくことになりました。 きょ〜じゅさんが言われるように別のネットワークにしたといえばした形になるのですがどうも、すっきりしない構成です。3層のF/WのDMZゾーンの特定のサーバにまたF/Wがはさまるという形で、まあ、ありといえばありですが、セキュリティはとりあえず確保される形になりました。。。 | ||||||||
|
投稿日時: 2003-11-11 00:24
通りすがりのJUNといいます。
もう収束しつつある内容で申し訳ないのですが・・・
これ・・不思議です。変ですよ? どうせなら内部LANにDBサーバを配置してその前にFWを置く ようにすればいいのに・・・。 確かに・・
※きょ〜じゅさんのおっしゃる通りDBサーバでなくWEBサーバだと 思いますが・・・ という事をおっしゃっているのですが、DMZ層から内部にアクセスがある・・ ていう点ではメールサーバの配置とかで中継サーバをDMZに配置して スプールサーバを内部に配置するのと似たようなもんでしょう? (ちゃいまっか?) そんなに気にする事ですか?? DBサーバのメンテナンス性とかを考えたら内部に配置した方が 利便性が高いような気がしますが?? ※もちろんセキュリティも・・・。 DMZ内のFWに隠れたDBサーバなんて絶対に不自然ですよ。 FWの設定するの大変そう。変な所でトラブルとか起こったりしません? 内部の漏洩とかが怖ければそれこそ内部のDBサーバの前に FWをおくなり、レイヤー3とかうまく配置して制御すればいいと思うし・・・。 [ メッセージ編集済み 編集者: jun 編集日時 2003-11-11 00:28 ] [ メッセージ編集済み 編集者: jun 編集日時 2003-11-11 09:02 ] |
1