Ich habe einen FTP-Server, der Filezilla Server unter Windows 2003 verwendet und der als Mitgliedsserver mit einer statischen IP-Adresse und demselben Subnetz wie der Domänencontroller zur Domäne hinzugefügt wurde. Ich habe die entsprechenden Ports am Router geöffnet, um den FTP-Server zu erreichen. Ich frage mich, ob dies die beste Einrichtungsmethode in Bezug auf die Sicherheit ist oder ob ich die Einrichtung verbessern könnte.
Ich mache mir Sorgen, dass der FTP-Server gehackt wird und Leute dann auf den Domänencontroller zugreifen können. Ursprünglich hatte ich geplant, den FTP-Server eigenständig in einem separaten Netzwerk zu betreiben, aber das hätte eine Software-Firewall zur Trennung der Netzwerke erforderlich gemacht und schien übertrieben. Ich suche nur nach einigen allgemeinen Ratschlägen aus infrastruktureller Sicht.
Antwort1
Sie könnten die Sicherheit verbessern, indem Sie sie durch einen SFTP- oder FTPS-Server ersetzen.
FTP ist unsicher, da die Anmeldedaten im Klartext übermittelt werden. Sie können es durch ein sicheres Protokoll ersetzen oder nur Konten verwenden, bei denen es Ihnen ehrlich gesagt egal ist, ob sie kaputt sind (z. B. nur anonym), oder verlangen, dass es über IPSec getunnelt wird, oder Verbindungen auf bekannte IP-Adressen beschränken (was eine ziemlich schlechte Sicherheit darstellt, aber hey, tun Sie, was Sie tun müssen.)
Dies sind allgemeine Vorschläge und einige bewährte Vorgehensweisen. „Beste Methode“ und „Sicherheit“ müssen wirklich berücksichtigen, was Sie sichern, was Ihre Anforderungen sind usw. Sie haben uns nicht eine einzige Ihrer Anforderungen oder Einschränkungen mitgeteilt. Fügen Sie weitere Details hinzu, und Sie erhalten möglicherweise eine nützlichere Antwort.
/edit: Du sagst
Ich befürchte, dass der FTP-Server gehackt werden könnte und Leute dann auf den Domänencontroller zugreifen könnten.
Damit dies passieren kann, müsste es einen Exploit im Code von Filezilla geben. Da es (soweit ich weiß) Closed Source ist, könnte es diese Art von Fehler geben. [Bearbeiten – das ist falsch, es ist GPL. Das bedeutet nicht, dass der Code keine Fehler enthält]. Wenn der Prozess (oder Dienst) jedoch als LOKALES SYSTEM ausgeführt wird, hat er absolut keine Rechte an der Domäne. Wenn er also ausgenutzt wird, können sie nur den Mitgliedsserver zerstören, auf dem Filezilla ausgeführt wird. Natürlich gibt ihnen das einen Brückenkopf, um Angriffe auf Ihre Domäne zu versuchen, aber es gibt ihnen nicht sofort den ganzen Picknickkorb.
Bedenken Sie, dass dies mit jeder Software passieren kann, nicht nur mit FTP. Wenn Sie den Zugriff aus dem Internet auf einen Computer in Ihrem LAN zulassen und der Code einen ausnutzbaren Fehler enthält, haben Sie einen Angreifer in Ihrem LAN.
Wenn Sie wirklich besorgt sind, installieren Sie es auf einem Nicht-Domänen-Rechner in einer DMZ. Sie sagten, es sei viel Arbeit; Sicherheit ist es im Allgemeinen auch.