Бастионный хозяин - Bastion host

А хозяин бастиона - это специальный компьютер в сети, специально разработанный и настроенный для защиты от атак. На компьютере обычно размещается одно приложение, например Прокси сервер, и все другие службы удалены или ограничены, чтобы уменьшить угрозу для компьютера. Таким образом, он затвердевает в первую очередь из-за своего местоположения и назначения, которые находятся либо снаружи брандмауэр или в демилитаризованной зоне (DMZ ) и обычно включает доступ из ненадежных сетей или компьютеров.

Определения

Этот термин обычно относят к статье 1990 года, в которой обсуждались брандмауэры к Маркус Дж. Ранум. Ранум определил хозяина Бастиона как

... система, определенная администратором брандмауэра как критическая сильная точка в сетевая безопасность. Как правило, хостам-бастионам будет уделяться некоторое дополнительное внимание их безопасности, они могут проходить регулярные проверки и могут иметь модифицированное программное обеспечение.[1]

Крутц и Вайнс описали хост-бастион как «любой компьютер, который полностью подвержен атаке, поскольку находится на публичной стороне DMZ, незащищенные брандмауэром или фильтрующим маршрутизатором. Брандмауэры и маршрутизаторы, все, что обеспечивает безопасность контроля доступа по периметру, можно считать узлами-бастионами. Другие типы хостов-бастионов могут включать в себя веб-серверы, почтовые, DNS и FTP-серверы ... Из-за их уязвимости необходимо приложить немало усилий для разработки и настройки хостов-бастионов, чтобы минимизировать вероятность проникновения ».[2]

В Amazon Web Services (AWS) В контексте хоста-бастиона определяется как «сервер, целью которого является предоставление доступа к частной сети из внешней сети, такой как Интернет. Из-за подверженности потенциальной атаке хост-бастион должен минимизировать шансы проникновения».[3]. Еще одно определение, связанное с AWS, заключается в том, что хосты-бастионы - это «экземпляры, которые находятся в вашей общедоступной подсети и обычно доступны по SSH или RDP. После того, как удаленное соединение установлено с хостом-бастионом, он действует как Сервер "прыжка", что позволяет вам использовать SSH или RDP для входа в другие экземпляры (в частных подсетях), находящиеся в глубине вашего VPC. При правильной настройке с использованием групп безопасности и сетевых списков контроля доступа (NACL) бастион, по сути, действует как мост к вашим частным экземплярам через Интернет ».[4]

Размещение

Есть две распространенные конфигурации сети, которые включают хосты-бастионы и их размещение. Для первого требуются два брандмауэра, причем хосты-бастионы располагаются между первым брандмауэром «внешнего мира» и внутренним брандмауэром в DMZ. Часто небольшие сети не имеют нескольких брандмауэров, поэтому, если в сети существует только один брандмауэр, хосты-бастионы обычно размещаются за пределами брандмауэра.[5]

Хозяева бастиона связаны с многодомный хозяева и проверенные хозяева. Хотя двухкомпонентный хост часто содержит брандмауэр он также используется для размещения других служб. Экранированный хост - это хост с двумя сетями, который предназначен для работы брандмауэра. Сервер-бастион также можно настроить с помощью ProxyCommand с OpenSSH.[6]

Примеры

Вот несколько примеров хост-систем / сервисов бастиона:

Смотрите также

Рекомендации

  1. ^ «Размышляя о брандмауэрах». Vtcif.telstra.com.au. 1990-01-20. Получено 2012-01-19.
  2. ^ Крутц, Рональд; Вайнс, Рассел (май 2003 г.). Руководство по подготовке к CISM: освоение пяти областей управления информационной безопасностью. Вайли. п. 12. ISBN  9780471455981.
  3. ^ Малаваль, Николас (14.06.2016). «Как записывать сеансы SSH, установленные через хост Bastion». AWS.
  4. ^ Скотт, Стюарт (27.12.2017). «Эффективная безопасность требует тщательного контроля над вашими данными и ресурсами. Хосты Bastion, инстансы NAT и пиринг VPC могут помочь вам защитить вашу инфраструктуру AWS». Блог Cloud Academy.
  5. ^ «Создание хоста Bastion с использованием HP-UX 11». windowsecurity.com. 2002-10-16. Получено 2016-04-09.
  6. ^ «Использование ProxyCommand с OpenSSH и сервером Bastion. | Блог Chmouel». Chmouel.com. 2009-02-08. Получено 2012-01-19.