Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Общие » Общение на SecurityLab
Страницы: Пред. 1 2 3 4 5 6 След.
RSS
а нужны ли файрволы?
 
#81
Это нравится:0Да/0Нет
20.11.2003 14:05:15
> Встроить минимальные функции файрволла можно в любую программу, не спорю, но когда их становится много, то принцип централизованного управления вообще уходит в даун.

чушь.


> Мое мнение -- Firewall на данный момент жизненно необходим. Без него -- каюк.

не каюк, просто надо будет отучаться все делать через ту жёпу, через которую сейчас модно делать. к слову, не только администрирование сейчас чере жёпу делается, но и разраьотка программ тоже. в идеале ошибки должен находить компилятор, в худшем случае - программист. а реально кто их находит? часть - бета-тестер, часть - пользователи, часть - хакеры :)
 
 
 
#82
Это нравится:0Да/0Нет
20.11.2003 14:09:14
а кто же будет искать ошибки в коде нахождения ошибок в компиляторе.
в сааааад!
 
 
 
#83
Это нравится:0Да/0Нет
20.11.2003 14:09:47
Цитата
buggzy пишет:
> не каюк, просто надо будет отучаться все делать через ту жёпу, через которую сейчас модно делать. к слову, не только администрирование сейчас чере жёпу делается, но и разраьотка программ тоже. в идеале ошибки должен находить компилятор, в худшем случае - программист. а реально кто их находит? часть - бета-тестер, часть - пользователи, часть - хакеры :)
Ну ты загнул.......Кто же из компании Майкрософт тебе обеспечит такую стабильноть...или предложи другую альтернативу
 
 
 
#84
Это нравится:0Да/0Нет
20.11.2003 14:16:59
Цитата
koras пишет:
Ну тогда держи живой пример: есть сервер Вынь2К на нем IIS и MSSQL. Инетные юзверя должны видеть только IIS, локальные должны своими прикладухами пополнять базу MSSQL, из которой IIS черпает инфу. Предложения?

Легко - убиваешь все сетевые библиотеки кроме "шаред мемори" на SQL и в одпц конекшен стринг для ииса гришь - сервер - локал. Всё. Секель в сети не свитится.

ЗЫ. А внутренние юзвери будут править базу через веб интерфес который будет разграничивать доступ по ипадресам\именам юзверей.
 
 
 
#85
Это нравится:0Да/0Нет
20.11.2003 14:17:29
Цитата
offtopic пишет:
а кто же будет искать ошибки в коде нахождения ошибок в компиляторе.
в сааааад!

компилятор. а что, тебя это смущает? фигня, некоторым вот сложно понять даже, как это компилятор может сам себя откомпилировать...
 
 
 
#86
Это нравится:0Да/0Нет
20.11.2003 14:21:11
> Ну ты загнул.......Кто же из компании Майкрософт тебе обеспечит такую стабильноть...или предложи другую альтернативу

проблема в отсутствии правильного языка программирования. а если он появится, уже будет не важно, какая компания его реализует.
 
 
 
#87
Это нравится:0Да/0Нет
20.11.2003 14:24:22
Цитата
buggzy пишет:
компилятор. а что, тебя это смущает? фигня, некоторым вот сложно понять даже, как это компилятор может сам себя откомпилировать...

А кто напишет этот компилятор? Багзи?
И в нем не будет ошибок в коде проверок ошибок на ошибки при компиляции компилятора?

Веселиться и ликует весь народ вопчем.

PS. Если багзи не пьет, то курит явно не табак  
 
 
 
#88
Это нравится:0Да/0Нет
20.11.2003 14:26:50
2buggzy: компилеры писать -- дело неблагодарное; языки программирования придумывать -- ещё более неблагодарное.



оффтопик в сторону offtopic-а: баггзи, похоже, курит шЫшки =)
 
 
 
#89
Это нравится:0Да/0Нет
20.11.2003 14:44:21
Цитата
offtopic пишет:
Легко - убиваешь все сетевые библиотеки кроме "шаред мемори" на SQL и в одпц конекшен стринг для ииса гришь - сервер - локал. Всё. Секель в сети не свитится.

ЗЫ. А внутренние юзвери будут править базу через веб интерфес который будет разграничивать доступ по ипадресам\именам юзверей.

Ты мой пост внимательно читал? Я же писал, что юзера работают через уже готовые прикладухи.
 
 
 
#90
Это нравится:0Да/0Нет
20.11.2003 14:51:26
Цитата
buggzy пишет:
посмотрел по ссылке пига, там цифирки порядка тысяч USD.
СУБД должна ставиться на сервер. Сколько по твоему стоит нормальный сервак (например Compaq Proliant ML370G3 в нормальной комплектации), это не выйдет в те же штуки зелени?

ЗЫ Только не надо говорить, что можно накупить деталюшек и собрать руками. Это не сервер, а censored какая-то :-)
 
 
 
#91
Это нравится:0Да/0Нет
20.11.2003 14:55:19
так что ж получается? чтобы обеспечить надежную защиту сервака в данный момент времени(при отсутсвии неглюкавого компилятора и ровнорукого программера) прийдется, по совам buggzy, переписать абсолютно все сервисы, торчащие куда-либо? а не слишком ли гемморойно? ИМХО проще поставить фаирвол и забить...
 
 
 
#92
Это нравится:0Да/0Нет
20.11.2003 14:57:25
Цитата
koras пишет:
 
Цитата
buggzy пишет:
посмотрел по ссылке пига, там цифирки порядка тысяч USD.
СУБД должна ставиться на сервер. Сколько по твоему стоит нормальный сервак (например Compaq Proliant ML370G3 в нормальной комплектации), это не выйдет в те же штуки зелени?

ЗЫ Только не надо говорить, что можно накупить деталюшек и собрать руками. Это не сервер, а censored какая-то :-)

раз уж у вас там такая ужастно сложная задача, что эффективность ее решения стоит штук зелени одного sql, то и на железках экономиибыть не должно.

вопрос "есть ли в этой локалке сервера, куда можно взгромоздить ms sql", ты обходишь стороной из каких соображений? :)
 
 
 
#93
Это нравится:0Да/0Нет
20.11.2003 15:00:53
Цитата
koras пишет:
Ты мой пост внимательно читал? Я же писал, что юзера работают через уже готовые прикладухи.

Готовые прикладнухи затунелить в ХТТП через локальные проксеры, стоящие у них на компах :-).
Типа ОДБЦ овер ХТТП. Реально. Я подобное писал, только для других целей. И в качестве тунелирующей софтины юзать IExplorer через COM, что бы он аутентифицироваться мог с текущим юзверем и по керберосу, а на принимающей стороне хватит ASP в 20 строк.

Но это так, из области "сделать то можно, тока нафиг" :-)
 
 
 
#94
Это нравится:0Да/0Нет
20.11.2003 15:05:25
>вопрос "есть ли в этой локалке сервера, куда можно взгромоздить ms sql", ты обходишь стороной из каких соображений? :)

Не обхожу, просто нагрузили меня сейчас... Есть задача: Информационно Управляющий Ресурс <censored>, под нее выделен сервер на который я поместил все ее компоненты. Другие сервера выделены под другие задачи. Так нахрена мне загружать их тем, для чего они не выделялись если я не испытываю органической неприязни к файрволам? :-)

Конкретно по вопросу: серверов есть и много :-)
 
 
 
#95
Это нравится:0Да/0Нет
20.11.2003 15:33:06
> Так нахрена мне загружать их тем, для чего они не выделялись

для удобства администрирования например. откуда проще делать бэкап, с двух разных mssql или с одного?

> Конкретно по вопросу: серверов есть и много :-)

вот видишь, не нужно для решения твоей задачи файрвола...

> по совам buggzy, переписать абсолютно все сервисы, торчащие куда-либо?

это был какой-то другой совам, не я.
 
 
 
#96
Это нравится:0Да/0Нет
20.11.2003 15:38:42
Цитата
buggzy пишет:
для удобства администрирования например. откуда проще делать бэкап, с двух разных mssql или с одного?
А когда этот "один" вдруг упадет, то на некоторое время остановится не один проект, а все, хранящие там свои базы. Я наверно оставлю как есть :-)
 
 
 
#97
Это нравится:0Да/0Нет
20.11.2003 17:39:55
Ну допустим что мы все станем работать через нат. То есть вообще никто не станет использовать реальные адреса нигде кроме НАТ-роутеров и абсолютно открытых серверов.

<offtop>
Как обычно, ты смог точно сформулировать свою мысль только после пяти страниц флейма, и формулировка эта нехило отличается от первоначальной.
</offtop>
тогда рассмотрим:

>ты не просек основную мысль:
>ВСЕ задачи по ограничению доступа,
>которые умеет решать файрвол, сумеет
>решить и сам сервис. все, которые не сумеет решить >сервис, не сумеет решить и файрвол. у сервиса >возможностей строго больше. так нафига файрвол?

Допустим, что _любой_ сервис будет включать в себя функциональность сравнимую с ipfw. (Хотя и верится в это с трудом :) - кто будет тратить на это деньги и рабсилу?). Но я не понял фразы "у сервиса возможностей строго больше". У сервиса возможностей для авторизации по IP строго больше чем у файрвола? Пояснишь свою мысль?

;-------
;NK
 
 
 
#98
Это нравится:0Да/0Нет
20.11.2003 19:05:53
> Как обычно, ты смог точно сформулировать свою мысль только после пяти страниц флейма, и формулировка эта нехило отличается от первоначальной.

я бы сказал иначе: КАК ОБЫЧНО :), только после пяти страниц флейма до тебя доперло, в чем была моя мысль :)

> Допустим, что _любой_ сервис будет включать в себя функциональность сравнимую с ipfw. (Хотя и верится в это с трудом :) - кто будет тратить на это деньги и рабсилу?).

наличие ACL - вполне даже нормальное требование к сервису. причем у сервиса эти ACL очевидно более гибкие, чем у файрвола. и наконец никто не запрещает сделать ACL, по функциям эквивалентным файрволу, дать ему какое-нибудь название (скажем, SYSTEM_IP_FILTER) и прописать по дефолту в конфигурацию всех сервисов - в результате у них без дополнительной настройки будут те же возможности, что были раньше у файрвола, а с дополнительной настройкой - сколь угодно более широкие.

> Но я не понял фразы "у сервиса возможностей строго больше". У сервиса возможностей для авторизации по IP строго больше чем у файрвола? Пояснишь свою мысль?

убери из фразы "по IP", которое ты туда непонятно зачем запихал, и все будет очевидно.
 
 
 
#99
Это нравится:0Да/0Нет
20.11.2003 19:19:43
По поводу возможностей понял. Дейсивительно, у фильтра работающего на уровне IP и на уровне приложения apriori больше возможностей чем у фильтра который работает только на уровне IP :)

Допустим что все программисты будут встраивать в свои сервисы IP-based ACL's . Допустим.
Не будет ли большим геморроем прописывать ACL'и в N конфигах разного формата, текстовых, гуевых, веб-бэйзд, чем прописать их сразу в одном конфиге файрвола?

PS: Как ты думаешь, когда все програмисты будут встраивать IP-based ACL's в свои программы? к 2010-му году? к 2100-му? :) Только честно.

;-------
;NK
 
 
 
#100
Это нравится:0Да/0Нет
20.11.2003 19:35:12
> Не будет ли большим геморроем прописывать ACL'и в N конфигах разного формата, текстовых, гуевых, веб-бэйзд, чем прописать их сразу в одном конфиге файрвола?

я про что говорю: нужно сделать ОДИН ACL-ключ, который эквивалентен выполнению всех глобальных IP ACL системы, и этот один ключ должен быть забит по дефолту во все программы (или даже в ядро). то есть настраиваться будет как и раньше, в одном месте. а если программисту и админу не лень, первый реализует, а второй использует возможность модифицировать ACL для конкретной программы, например, разрешив определенному пользователю логиниться с любого IP на ssh в обход глобальных ACL.
 
 
 
Страницы: Пред. 1 2 3 4 5 6 След.
Читают тему