![[dir]CPUを創る, 設計, 製作](https://logo-imagecluster.img.mixi.jp/photo/comm/96/25/3109625_67s.jpg){kind=logo}
|
|
|
|
コメント(39)
面です。
Web系のMLに投げられていた物ですが、興味深かったので。
タイトルは「Are Firewalls obsolete in an Enterprise Web Service Environment?」
以下、本文。
----------------------------------------------------------------------------------
Dear Web Application Experts,
Are Firewalls (Network Access Controls) obsolete in regard to Enterprise Web Service Environments?
This is a genuine request to pros and cons as I lack the years of experience of enterprise service deployment and security practices that you may have.
My argument is that it appears to me that (secure) Enterprise Web Service applications, particularly those involving access control, are typically focused at the application-domain only, rather than taking a more holistic approach to also include the underlying infrastructure (for example, firewalls). As a result, infrastructure configurations may unintentionally hinder and prohibit the normal operation of the Web Service.
Thus, the ideal firewall configuration is one that is aligned with the application supported by the system, that is, it permits valid application traffic, and, preferably, no more and no less.
While the Web Services may provide applications with security services, I ma arguing that firewalls still have a role to play in securing the low-level infrastructure. In particular as it is considered best practice to rely on multiple layers of security.
What I presume is that Web Service developers assume the underlying infrastructure is automatically available. Also there seems to be a tendency to tunnel (for example SOAP) over http or https. From this point of view, Web Service developers may form the opinion that firewalls are redundant as they typically have ports 80 and 443 accessible (and forward traffic to specialized user-space programs for further packet processing).
Maybe this is correct! What are your views as application experts?
In my opinion, deploying a network level firewall (such as Linux Netfilter) provisioned for Enterprise Web Services is not simply about opening port 80 on the server for all traffic; one may wish to deny certain nodes (IP addresses, etc.), only accept HTTP traffic from some nodes, require other nodes to use HTTPS and also deal with HTTP traffic that is tunneled through proxies available on other ports.
Comments?
While low level infrastructure such as network firewalls may not solve all security issues ( as a more suitable application based XML firewall would) in regard to Web Service applications, I believe they have a role to play in applying the belt-and-braces approach to security best practices.
Comments?
What I am really looking for is some concrete documents, publications, administrator experience that helps clarify the important role of Network Access Controls (firewalls, IPS etc) within an enterprise SOA environment, if any.
kind regards,
Will.
Web系のMLに投げられていた物ですが、興味深かったので。
タイトルは「Are Firewalls obsolete in an Enterprise Web Service Environment?」
以下、本文。
----------------------------------------------------------------------------------
Dear Web Application Experts,
Are Firewalls (Network Access Controls) obsolete in regard to Enterprise Web Service Environments?
This is a genuine request to pros and cons as I lack the years of experience of enterprise service deployment and security practices that you may have.
My argument is that it appears to me that (secure) Enterprise Web Service applications, particularly those involving access control, are typically focused at the application-domain only, rather than taking a more holistic approach to also include the underlying infrastructure (for example, firewalls). As a result, infrastructure configurations may unintentionally hinder and prohibit the normal operation of the Web Service.
Thus, the ideal firewall configuration is one that is aligned with the application supported by the system, that is, it permits valid application traffic, and, preferably, no more and no less.
While the Web Services may provide applications with security services, I ma arguing that firewalls still have a role to play in securing the low-level infrastructure. In particular as it is considered best practice to rely on multiple layers of security.
What I presume is that Web Service developers assume the underlying infrastructure is automatically available. Also there seems to be a tendency to tunnel (for example SOAP) over http or https. From this point of view, Web Service developers may form the opinion that firewalls are redundant as they typically have ports 80 and 443 accessible (and forward traffic to specialized user-space programs for further packet processing).
Maybe this is correct! What are your views as application experts?
In my opinion, deploying a network level firewall (such as Linux Netfilter) provisioned for Enterprise Web Services is not simply about opening port 80 on the server for all traffic; one may wish to deny certain nodes (IP addresses, etc.), only accept HTTP traffic from some nodes, require other nodes to use HTTPS and also deal with HTTP traffic that is tunneled through proxies available on other ports.
Comments?
While low level infrastructure such as network firewalls may not solve all security issues ( as a more suitable application based XML firewall would) in regard to Web Service applications, I believe they have a role to play in applying the belt-and-braces approach to security best practices.
Comments?
What I am really looking for is some concrete documents, publications, administrator experience that helps clarify the important role of Network Access Controls (firewalls, IPS etc) within an enterprise SOA environment, if any.
kind regards,
Will.
「Vistaは誰でも管理者権限で操作可能、新たなセキュリティーホールが見つかる」
http://www.technobahn.com/news/2008/200805261637.html
なんだこりゃ。。。。
"システムファイルを置き換える操作を行うためには「BackTrack」などのCDブートLinuxでVistaがインストールされているPCを起動する必要性があるが、こうした操作をすれば2〜3分で管理者権限を奪うことが可能になるということは、Vistaの脆弱性として、早急な修正が求められることとなりそうだ。"
この理屈で言うと、暗号化ファイルシステムと組み合わせていない限り、大抵のOSは
全部この手の脆弱性があると言う事になるよね。
LinuxやSolarisだって、インストールCDとかから起動すれば、/etc以下も書き換えられる
訳だし。。。
http://www.technobahn.com/news/2008/200805261637.html
なんだこりゃ。。。。
"システムファイルを置き換える操作を行うためには「BackTrack」などのCDブートLinuxでVistaがインストールされているPCを起動する必要性があるが、こうした操作をすれば2〜3分で管理者権限を奪うことが可能になるということは、Vistaの脆弱性として、早急な修正が求められることとなりそうだ。"
この理屈で言うと、暗号化ファイルシステムと組み合わせていない限り、大抵のOSは
全部この手の脆弱性があると言う事になるよね。
LinuxやSolarisだって、インストールCDとかから起動すれば、/etc以下も書き換えられる
訳だし。。。
「米Red Hatが仮想化を強化、KVMベースのハイパーバイザーなどを発表」
http://opentechpress.jp/enterprise/08/06/19/1042231.shtml
XenからKVMベースにビジネスを持って来るのでしょうかね。
あと、仮想化は正直聞きなれたニュースなのでびっくりしていませんが、
こっちのほうが気になっています。
FreeIPAプロジェクト
「これらに加え、運用環境における仮想化のセキュリティ・イニシアティブ「Security Infrastructure」も発表した。ここで同社は、Fedora、Fedora Directory Server、MIT Kerberos、NTP、DNSを組み合わせることができるセキュリティ情報管理技術プロジェクト「FreeIPA」を推進する。ID管理、ポリシー、監査などを統合でき、全社での仮想化導入を支援するという。」
Identity管理の分野にRedHatも参入して来るって事なのでしょうかねぇ。
OMO
http://opentechpress.jp/enterprise/08/06/19/1042231.shtml
XenからKVMベースにビジネスを持って来るのでしょうかね。
あと、仮想化は正直聞きなれたニュースなのでびっくりしていませんが、
こっちのほうが気になっています。
FreeIPAプロジェクト
「これらに加え、運用環境における仮想化のセキュリティ・イニシアティブ「Security Infrastructure」も発表した。ここで同社は、Fedora、Fedora Directory Server、MIT Kerberos、NTP、DNSを組み合わせることができるセキュリティ情報管理技術プロジェクト「FreeIPA」を推進する。ID管理、ポリシー、監査などを統合でき、全社での仮想化導入を支援するという。」
Identity管理の分野にRedHatも参入して来るって事なのでしょうかねぇ。
OMO
面です。
某人からのメールの転送ですが、情報共有のため。
---------------------------------------------------------------------------
[NIST/ITL/CSD 台頭しつつある技術についての研究]です。
NIST の CSD（コンピュータセキュリティ部門）の年次報告書（2007年）
* "Computer Security Division 2007 Annual Report"
http://csrc.nist.gov/publications/nistir/ir7442/NIST-IR-7442_2007CSDAnnualReport.pdf
CSD には Research in Emerging Technologies を扱うグループがあり、
昨年の活動としては、下記の事項が紹介されています。（p.30）
* Digital Handheld Device Forensics
* Grid Security
* Network Security Analysis Using Attack Graphs
* Policy Machine
---------------------------------------------------------------------------
某人からのメールの転送ですが、情報共有のため。
---------------------------------------------------------------------------
[NIST/ITL/CSD 台頭しつつある技術についての研究]です。
NIST の CSD（コンピュータセキュリティ部門）の年次報告書（2007年）
* "Computer Security Division 2007 Annual Report"
http://csrc.nist.gov/publications/nistir/ir7442/NIST-IR-7442_2007CSDAnnualReport.pdf
CSD には Research in Emerging Technologies を扱うグループがあり、
昨年の活動としては、下記の事項が紹介されています。（p.30）
* Digital Handheld Device Forensics
* Grid Security
* Network Security Analysis Using Attack Graphs
* Policy Machine
---------------------------------------------------------------------------
- mixiユーザー
- ログインしてコメントしよう！
|
|
|
|
OSセキュリティ談話室 更新情報
-
最新のイベント
-
まだ何もありません
-
-
最新のアンケート
-
まだ何もありません
-
OSセキュリティ談話室のメンバーはこんなコミュニティにも参加しています
人気コミュニティランキング
- 1位
- 写真を撮るのが好き
- 209894人
- 2位
- 食べ物写真をつい撮ってしまう人
- 20314人
- 3位
- 30代〜40代から友達作り【友活】
- 35861人