将Web服务器与数据库分离的好处

在包含 Web 服务器的服务器以外的服务器上安装 Web 应用程序数据库有哪些安全优势？

第一个明显的优势是，如果有人打破了放置web的服务器，就无法保证访问存放数据库的同一台服务器。分离此功能还可以更轻松地将代码更改对 IT（软件开发人员、管理员等）/策略更新对环境各个方面的影响降至最低。这不能解决糟糕的编码或不安全性（SQL 注入、默认用户名/密码）。然而，它促进了一个更好的安全系统作为一个整体。

• 面向 Internet 的 Web 服务器没有理由访问您的 LAN/域，应该完全禁止。理想情况下，它应该在 DMZ 上。
  • 这可以防止“拥有”面向 Internet 的 Web 服务器的攻击者攻击网络的其余部分。
  • 当然，出于 HA（高可用性）、DR（灾难恢复）和性能原因，您可以根据需要使用任意数量。
  • 中：WAN/DMZ 边界的严格规则和严格禁止“To LAN”DMZ/LAN 流量，以及“To DMZ”DMZ/LAN 流量的严格规则。
  • 详细信息：对“外部”DMZ WAN / 外部 DMZ 和外部 DMZ / 内部 DMZ 或类似的边界的严格规则。
• 内部 Web 服务主机可能需要限制访问 LAN/域（主要是数据库）
  • 不需要在域上，即使您没有对数据库使用域类型身份验证
  • 当然，出于 HA（高可用性）、DR（灾难恢复）和性能原因，您可以根据需要使用任意数量。如果你想使用一个非常好的密码哈希（PBKDF2、bcrypt、scrypt）和很多迭代，你需要在这里做更多或RAM。
  • 它是一个比面向互联网的Web服务器更好的攻击局域网的平台（除非它是同一个盒子，或者更糟的是同一个站点），但是通过数据库端口访问数据库盒子是非常高的。应该仅限于。能够拉取防病毒更新和推送防病毒警报等。
  • 基本：这是托管面向 Internet 等的 Web 服务器的相同操作系统实例。
  • 中：这也在 DMZ 中，它为来自 WAM 的入站流量提供完整保护，并对出站到 WAN WAN / DMZ 边界有严格的规则。DMZ/LAN 边界等严格规则。
  • 高级：这是“内部”DMZ = 外部 DMZ / 内部 DMZ 和内部 DMZ / LAN 边界都有严格的规则或相似。
• 数据库服务器很可能位于 LAN 上，这使其成为攻击者更有价值的目标。也许您需要备份它，从除 Web 之外的各种程序访问它，等等。
  • 与往常一样，SQL 注入直接从 Internet 访问数据库。参数化你的 SQL！
  • 该服务器在局域网和Internet以及其他服务器之间有多个定义良好的最小权限层，如果设计和实现得当，攻击数据库服务器的工作量会增加，攻击的成功率会大大降低。

从根本上说：

• Internet-> 网站 + 服务 + DB 意味着对操作系统的一次妥协使攻击者可以控制一切，包括直接检索或销毁数据库（或备份）中的所有数据。.. 您不必通过 Web 界面来执行此操作。..
• Internet-> 网站 + 服务-> DB 意味着攻击者可以通过 Web 服务锁孔破坏数据库或仅通过几个共享安全漏洞破坏多台机器。
• Internet-> 网站-> Web 服务-> DB Better-Attackers 需要从网站锁孔中看到通过 Web 服务锁孔破坏数据库或多个（或两个）！！) 有一些共享安全漏洞的机器，但不是全部。

不用说，在各个层面，包括最新补丁和杀毒、参数化SQL防止SQL注入、入口白名单、长加密随机密码、加密数据、加密连接等等，都需要尽可能安全。散列密码（PBKDF2、bcrypt、scrypt），选择合适的加密和散列算法，层间只开放最小的端口，攻击痕迹，IDS/IPS软件/应用程序的日志等。确认等。

它需要一些计划和一些播放（或两者）设置。