Ağ geçidi denetleyicisi düzeni

İstemcilerle uygulama veya hizmet arasında aracı işlevi gören, istekleri doğrulayan ve temizleyen, aralarında isteklerle verilerin geçişini yapan ayrılmış bir konak örneği kullanarak uygulamaları ve hizmetleri koruyun. Bu, ek bir güvenlik katmanı sağlayabilir ve sistemin saldırı yüzeyini sınırlayabilir.

Bağlam ve sorun

Uygulamalar, istekleri kabul ederek ve işleyerek işlevleri istemcilerin kullanımına sunar. Bulutta barındırılan senaryolarda, uygulamalar istemcilerin bağlandığı uç noktaları kullanıma sunar ve genellikle istemcilerden gelen istekleri işleyecek kodu içerir. Bu kod, kimlik doğrulaması ve doğrulama gerçekleştirir, istek işleme işlevinin bir kısmını veya tümünü tamamlar ve büyük olasılıkla istemci adına depolama alanına ve diğer hizmetlere erişir.

Kötü amaçlı bir kullanıcı sistemin güvenliğini tehlikeye atabilir ve uygulamanın barındırma ortamına erişim elde edebiliyorsa, kimlik bilgileri ve depolama anahtarları gibi kullandığı güvenlik mekanizmaları ve eriştiği hizmetler ve veriler gösterilir. Bunun sonucunda, söz konusu kötü amaçlı kullanıcı hassas bilgiler ve diğer hizmetler için sınırsız erişim elde edebilir.

Çözüm

İstemcilerin hassas bilgilere ve hizmetlere erişim elde etmesi riskini en aza indirmek için istekleri işleyen ve depolama alanına erişen koddan genel uç noktalarını kullanıma sunan konakları ve görevleri birbirinden ayırın. Bunu, istemcilerle etkileşime geçen bir façlade veya adanmış bir görev kullanarak elde edebilir ve isteği işleyecek konaklara veya görevlere (Belki de ayrılmış bir arabirim aracılığıyla) sahip olursunuz. Şekilde, bu düzene ilişkin üst düzey bir genel bakış sağlanmaktadır.

Ağ geçidi denetleyicisi düzeni yalnızca depolama alanının korunması için kullanılabilmesinin yanı sıra uygulamanın tüm işlevlerinin korunmasına yönelik daha kapsamlı bir cephe olarak da kullanılabilir. Önemli faktörler şunlardır:

• Denetlenen doğrulama. Ağ geçidi, tüm istekleri doğrular ve doğrulama gereksinimlerini karşılamayanları reddeder.
• Sınırlı risk ve pozlama. Ağ geçidi denetleyicisi, depolama alanına veya hizmetlere erişim için güvenilir konak tarafından kullanılan kimlik bilgilerine veya anahtarlara erişim sahibi değildir. Ağ geçidi denetleyicisi ele geçirilirse saldırgan bu kimlik bilgilerine veya anahtarlara erişim elde edemez.
• Uygun güvenlik. Ağ geçidi denetleyicisi sınırlı bir ayrıcalık modunda çalışırken uygulamanın diğer kısmı, depolama alanına ve hizmetlere erişim için gerekli olan tam güven modunda çalışır. Ağ geçidi denetleyicisi ele geçirilirse uygulama hizmetlerine veya verilerine doğrudan erişemez.

Bu düzen tipik bir ağ topografisindeki bir güvenlik duvarı işlevini görür. Ağ geçidi denetleyicisinin istekleri incelemesine ve isteğin gerekli görevleri gerçekleştiren güvenilir ana bilgisayara geçirilip geçemeyeceğini belirten bir karar vermesini sağlar. Bu karar genellikle ağ geçidi denetleyicisinin, isteği güvenilir konağa iletmeden önce istek içeriğini doğrulayıp temizlemesini gerektirir.

Sorunlar ve dikkat edilmesi gerekenler

Bu düzenin nasıl uygulanacağına karar verirken aşağıdaki noktaları göz önünde bulundurun:

• Ağ geçidi denetleyicisinin, istekleri ilettiği güvenilir konakların yalnızca iç veya korumalı uç noktaları kullanıma sunduğundan ve yalnızca ağ geçidi denetleyicisine bağlandığından emin olun. Güvenilen konaklar, herhangi bir dış uç noktayı veya arabirimi kullanıma sunmamalıdır.
• Ağ geçidi denetleyicisi, sınırlı ayrıcalık modunda çalışmalıdır. Genellikle bu, ağ geçidi denetleyicisinin ve güvenilir konağın ayrı barındırılan hizmetlerde veya sanal makinelerde çalıştırılması anlamına gelir.
• Ağ geçidi uygulama veya hizmetlerle ilgili herhangi bir işlem gerçekleştirmemeli ya da verilere erişmemelidir. Tek işlevi istekleri doğrulamak ve temizlemektir. Güvenilir konakların isteklerde ek doğrulama gerçekleştirmesi gerekebilir ancak çekirdek doğrulama işlemi, ağ geçidi denetleyicisi tarafından gerçekleştirilmelidir.
• Ağ geçidi denetleyicisi ile güvenilir konaklar veya görevler arasında mümkünse güvenli bir iletişim kanalı (HTTPS, SSL veya TLS) kullanın. Ancak, bazı barındırma ortamları iç uç noktalarında HTTPS’yi desteklemez.
• Ağ geçidi denetleyicisi düzeninin uygulanması için uygulamaya ek katman eklenmesi, bu işlem için gereken ek işlem ve ağ iletişimi nedeniyle performans üzerinde bazı etkiler doğurabilir.
• Ağ geçidi denetleyicisi örneği, tek hata noktası olabilir. Bir hatanın etkisini en aza indirmek için ek örnekler dağıtmayı ve kullanılabilirlik sağlamak açısından otomatik bir ölçeklendirme mekanizması kullanmayı deneyin.

Bu düzenin kullanılacağı durumlar

Bu düzen aşağıdakiler için kullanışlıdır:

• Hassas bilgiler işleyen, kötü amaçlı saldırılara karşı yüksek bir koruma derecesine sahip olması gereken hizmetleri kullanıma sunan veya kesintiye uğramaması gereken görev açısından kritik işlemler gerçekleştiren uygulamalar.
• Ana görevlerden ayrı olarak istek doğrulamasının gerçekleştirilmesi gereken veya bakım ve yönetimin basitleştirilmesi için bu doğrulamanın merkezileştirilmesi gereken dağıtılmış uygulamalar.

Örnek

Bu düzen; bulut tarafından barındırılan bir senaryoda, ağ geçidi denetleyicisi rolü veya sanal makine bir uygulamadaki güvenilir rollerden ve hizmetlerden ayrılarak uygulanabilir. Bunu bir iç uç nokta, sıra veya depolama alanını bir ara iletişim mekanizması şeklinde kullanarak gerçekleştirin. Şekilde bir iç uç noktanın kullanımı gösterilmektedir.

İlgili yönergeler

Ağ Geçidi Denetleyicisi düzeni uygulanırken Vale Anahtarı düzeni de kullanılabilir. Ağ geçidi denetleyicisi ve güvenilen roller arasında iletişim kurarken, kaynaklara erişim izinlerini sınırlayan anahtarları veya belirteçleri kullanarak güvenliği geliştirmek iyi bir uygulamadır. Bu düzende, istemcileri sınırlı, belirli bir kaynağa veya hizmete doğrudan erişim sağlayan bir belirteç veya anahtarın nasıl kullanılacağı açıklanmaktadır.