design DMZ Admin

robert a écrit :

salut,

Bonjour,

je voudrais avoir votre avis sur les différences en terme de
sécurité (s'il y en a) dans la mise en place d'une DMZ
d'administration pour une architecture de ce type (le nombre de DMZ
peut varier) :



DMZ1 DMZ3
| |
| |
internet --- Router --- FW1-------FW2----LAN Privé
| |
| |
DMZ2 DMZ4

- La première variante est de relier la DMZ Admin au FW2 uniquement :
évidement il y aura des "flux administratifs" (SSH, Syslog, SNMP et
éventuellement TSE) pour certains équipements / serveurs qui
passeront par les 2 FWs

C'est ce que j'aurais tendance à faire si on ne crée pas un réseau
d'administration indépendant et si les zones les plus critiques en terme
de sécurité sont celles protégées par FW2.
J'aurais même tendance à faire plus de séparation de sorte à
différencier les équipements qui se connecteront aux équipements
administrés (les équipements clients SSH/TSE par exemple) des
équipements aux les serveurs administrés se connectent (serveurs
Syslog/Serveurs TRAP SNMP). Après, comme d'habitude, c'est toujours un
compromis coût de la solution/valeur de ce qu'il y a protégé.

- L'autre variante est de relier cette DMZ Admin à toutes les DMZ (des
connexions sur leurs switchs)...plus "facile" à administrer, mais
relativement moins sécurisée à mon avis.

En effet :) puisqu'on peut « contourner » le filtrage de FW1 et FW2,
il faudrait remettre des firewalls, ce qui peut être une solution dans
certain cas pour dissocier les zones de production des zones
d'administration.

Une question subsidiaire, qui peut dégénérer sur une autre
discussion :) est l'intérêt de mettre des cartes additionnelles au
serveurs pour créer un LAN administration à part

L'idée, la plupart du temps, quand on crée un réseau d'administration
séparé c'est qu'on veut séparer les flux de production et
d'administration. En général, ce réseau d'administration peut avoir ces
propres équipements et infrastructure. Cela a de nombreux intérêts,
entre autres :
- il est possible d'avoir un réseau physiquement différent totalement
indépendant (on peut faire des modifications de la production avec
moins de risque de ce couper la main) ;
- de pouvoir gérer les flux d'administration indépendememt des flux de
production (la qualité de service sur les flux d'administration est
esssentielle pour pouvoir asurer une bonne sécurité et cela est
souvent mis de côté, il est génant de ne plus pouvoir administrer un
équipement quand cela est nécessaire...), la séparation physique n'est
pas la seule solution mais elle assez simple à gérer ;
- s'assurer que les informations d'administration sont transportées
séparément des informations de production, comme les flux
d'administration sont souvent plus critiques que les flux des
équipements administrés ;
- la possibilité d'assurer la protection des équipements qui assurent
l'administration s'ils doivent servir à plusieurs sites ou
architectures de productions indépendants.

La construction d'un réseau d'administration qui répond aux contraintes
de sécurité d'un réseau de production, n'est pas forcément si simple en
effet certains équipements ne permettent pas forcément une séparation de
ce type et il faut en tenir compte assez tôt dans la conception.


--
Julien

robert a émis l'idée suivante :

salut,

je voudrais avoir votre avis sur les différences en terme de
sécurité (s'il y en a) dans la mise en place d'une DMZ
d'administration pour une architecture de ce type (le nombre de DMZ
peut varier) :



DMZ1 DMZ3
| |
| |
internet --- Router --- FW1-------FW2----LAN Privé
| |
| |
DMZ2 DMZ4

- La première variante est de relier la DMZ Admin au FW2 uniquement :
évidement il y aura des "flux administratifs" (SSH, Syslog, SNMP et
éventuellement TSE) pour certains équipements / serveurs qui
passeront par les 2 FWs

- L'autre variante est de relier cette DMZ Admin à toutes les DMZ (des
connexions sur leurs switchs)...plus "facile" à administrer, mais
relativement moins sécurisée à mon avis.
Une question subsidiaire, qui peut dégénérer sur une autre
discussion :) est l'intérêt de mettre des cartes additionnelles au
serveurs pour créer un LAN administration à part

perso je ferais partir toutes les dmz du / d'un firewall
et a partir du firewall je fais les regles adequates

Julien Salgado wrote:

J'aurais même tendance à faire plus de séparation de sorte à
différencier les équipements qui se connecteront aux équipements
administrés (les équipements clients SSH/TSE par exemple) des
équipements aux les serveurs administrés se connectent (serveurs
Syslog/Serveurs TRAP SNMP).

Oui...je suis d'accord, c'est une bonne idée de séparer ces stations.
Dans ce cas je verais LA station admin (SSH, TSE) reliée à FW2 et
dèlà administer tout les équipements /serveurs des différentes
zones.
Et la zone admin (Syslog, SNMP) sera concrètement un réseau derrière
un FW3 relié par autant d'interfaces aux différentes zones (au niveau
de leur switchs), schématiquement par exemple :

DMZ1
|
DMZ2-----FW3-------DMZ3
|
Admin

cc wrote:

perso je ferais partir toutes les dmz du / d'un firewall
et a partir du firewall je fais les regles adequates

oui..c'est plus "secure" amha..mais le problème c'est si on a
beaucoups de flux administratifs, ça surcharge les FWs

Le 31-05-2006, robert <rdavid42@gmail.com> a écrit :

salut,

je voudrais avoir votre avis sur les différences en terme de
sécurité (s'il y en a) dans la mise en place d'une DMZ
d'administrationr

Je ne suis pas sur de bien saisir ce que tu veux dire par DMZ admin.

pour une architecture de ce type (le nombre de DMZ
peut varier) :


DMZ1 DMZ3
| |
| |
internet --- Router --- FW1-------FW2----LAN Privé
| |
| |
DMZ2 DMZ4

Deux DMZ par firewall, ou c'est juste une maniere de voir?

- La première variante est de relier la DMZ Admin au FW2 uniquement :
évidement il y aura des "flux administratifs" (SSH, Syslog, SNMP et
éventuellement TSE) pour certains équipements / serveurs qui
passeront par les 2 FWs

- L'autre variante est de relier cette DMZ Admin à toutes les DMZ (des
connexions sur leurs switchs)...plus "facile" à administrer, mais
relativement moins sécurisée à mon avis.
Une question subsidiaire, qui peut dégénérer sur une autre
discussion :) est l'intérêt de mettre des cartes additionnelles au
serveurs pour créer un LAN administration à part

Je ne suis pas persuade de l'avantage au niveau securite.
Part du principe que chacune de tes machines sera rootee un jour ou
l'autre.
Une fois que l'assaillant a la main sur une machine, il remontera
via le LAN administration vers toutes les autres machines. Et je
suis pret a parier que ce LAN administration sera ouvert en grand
pour justement faciliter l'administration.

En fait, je suis en train de reflechir a un moyen de securiser
ces flux admins (commentaires welcome de everybody).

L'ideal est d'avoir les machines a dispo proches. On peut prendre la main
en direct dessus. Pour la securite reseau, c'est le top car pour le coup
il n'y a pas de reseau.
Mais les machines sont en general dans un centre d'hebergement (loin,
quoi).

Mon idee, c'est d'ajouter un materiel qui va recuperer les sorties
series, clavier/ecran, et donner acces a distance.
Cela permet d'avoir un acces par lequel jamais ne remontera
un pirate.

Sur un linux, on peut imaginer un simple cable serie relie a un
autre PC. Prise de main possible en permanence, meme si on descend
les interfaces. Impossibilite a un attaquant de remonter sur la
machine d'administration (qui elle est bien entendue sur un reseau
dedie, separe physiquement des autres reseaux).
Pour du windows, ca existe en materiel, mais c'est plus cher.
(par exemple chercher "raritan" sous google)
--
Kevin

Je ne suis pas sur de bien saisir ce que tu veux dire par DMZ admin.

Un réseau séparé pour l'administration à distance (SSH, TSE...) et la
récupération des logs (Syslog) et trappes SNMP

Deux DMZ par firewall, ou c'est juste une maniere de voir?

on peut avoir même plusieurs DMZ...

Je ne suis pas persuade de l'avantage au niveau securite.
Part du principe que chacune de tes machines sera rootee un jour ou
l'autre.
Une fois que l'assaillant a la main sur une machine, il remontera
via le LAN administration vers toutes les autres machines. Et je
suis pret a parier que ce LAN administration sera ouvert en grand
pour justement faciliter l'administration.

C'est pour ça que je considère la première solution (connexion
uniquement au deuxième FW) comme plus secure. Même que mettre un
Firewall dédié pour cette zone rendra la compromission plus ardue

Concernant le risque d'être rootée, je crois que toute machine est
potentiellement apte à être rootée....le risque est alors fonction de
quelle machine est compromise...imagine que c'est le FW ? le proxy ?

L'ideal est d'avoir les machines a dispo proches. On peut prendre la main
en direct dessus. Pour la securite reseau, c'est le top car pour le coup
il n'y a pas de reseau.

d'acord, mais quelle solution tu préconise pour la récupération des logs
autre que localement ?

Le 05-06-2006, robert david <rdavid42@gmail.com> a écrit :

Je ne suis pas sur de bien saisir ce que tu veux dire par DMZ admin.

Un réseau séparé pour l'administration à distance (SSH, TSE...) et la
récupération des logs (Syslog) et trappes SNMP

un reseau plus secure en fait, pour les flux sensibles?

Deux DMZ par firewall, ou c'est juste une maniere de voir?

on peut avoir même plusieurs DMZ...

Je ne suis pas persuade de l'avantage au niveau securite.
Part du principe que chacune de tes machines sera rootee un jour ou
l'autre.
Une fois que l'assaillant a la main sur une machine, il remontera
via le LAN administration vers toutes les autres machines. Et je
suis pret a parier que ce LAN administration sera ouvert en grand
pour justement faciliter l'administration.

C'est pour ça que je considère la première solution (connexion
uniquement au deuxième FW) comme plus secure. Même que mettre un
Firewall dédié pour cette zone rendra la compromission plus ardue

Je ne crois pas non plus qu'ajouter des rideaux de firewall augmente

vraiment la securite.
A partir du moment ou un flux, quel qu'il soit doit passer d'un
point exterieur a une machine interieure, ce flux est a surveiller.
Si tu mets 8 firewall, ce flux devra traverser les 8 firewalls.
Pourquoi le 7e deviendrait il subitement plus secure que le 2e?

Concernant le risque d'être rootée, je crois que toute machine est
potentiellement apte à être rootée....le risque est alors fonction de
quelle machine est compromise...imagine que c'est le FW ? le proxy ?

donc tu agis en ce sens. Si dans ta DMZ chacune des machines est grande

ouverte a ses voisines, ca me parait etre un risque.

L'ideal est d'avoir les machines a dispo proches. On peut prendre la main
en direct dessus. Pour la securite reseau, c'est le top car pour le coup
il n'y a pas de reseau.

d'acord, mais quelle solution tu préconise pour la récupération des logs
autre que localement ?

Est-ce un probleme? Tu peux avoir un reseau de remontees d'alertes (snmp,
logs) et une autre methode pour l'administration a distance.

--
Kevin

Je ne suis pas sur de bien saisir ce que tu veux dire par DMZ admin.
Un réseau séparé pour l'administration à distance (SSH, TSE...) et la

récupération des logs (Syslog) et trappes SNMP

un reseau plus secure en fait, pour les flux sensibles?

en gros, je veux administrer les FWs, proxy, DNS.... à distance
et centraliser les logs de ces même machines sur un syslog centrale
Alors, je considère que ça est une zone (DMZ !) que j'ai appelé "admin"

Peut-être que c'est pas la meilleure solution ! je suis preneur de toute
proposition de autre / amélioration solution :)

Je ne crois pas non plus qu'ajouter des rideaux de firewall augmente
vraiment la securite.

ça permet de se protéger d'une éventuelle compromission d'une machine
d'une des DMZ qui remontera sur la zone admin en contournant les
premiers firewalls

A partir du moment ou un flux, quel qu'il soit doit passer d'un
point exterieur a une machine interieure, ce flux est a surveiller.
Si tu mets 8 firewall, ce flux devra traverser les 8 firewalls.
Pourquoi le 7e deviendrait il subitement plus secure que le 2e?

entièrement d'accord

donc tu agis en ce sens. Si dans ta DMZ chacune des machines est grande
ouverte a ses voisines, ca me parait etre un risque.

le fait que deux machines soient sur le méme lan (zone) fait que c'est
"naturellement" plus risqué que si c'est séparé par un FW.....
l'idéal est de mettre chaque machine dans une DMZ :)

Est-ce un probleme? Tu peux avoir un reseau de remontees d'alertes
(snmp,

logs)

tu veux dire réseau séparé ? mais à un moment, il y a connexion avec les
machines des DMZ...et le fait d'avoir une interface dédiée pour
l'administration, quoique plus secure, n'isole pas "completement" .. non ?

et une autre methode pour l'administration a distance.

par port console, série....? oui c'est mieux, mais j'ai pas encore vu de
solution libre (à la limite à moindre coût) pour sa mise en oeuvre

Le 08-06-2006, robert david <rdavid42@gmail.com> a écrit :

Je ne suis pas sur de bien saisir ce que tu veux dire par DMZ admin.
Un réseau séparé pour l'administration à distance (SSH, TSE...) et la

récupération des logs (Syslog) et trappes SNMP

un reseau plus secure en fait, pour les flux sensibles?

en gros, je veux administrer les FWs, proxy, DNS.... à distance
et centraliser les logs de ces même machines sur un syslog centrale
Alors, je considère que ça est une zone (DMZ !) que j'ai appelé "admin"

Ok

Peut-être que c'est pas la meilleure solution ! je suis preneur de toute
proposition de autre / amélioration solution :)

Je ne crois pas non plus qu'ajouter des rideaux de firewall augmente
vraiment la securite.

ça permet de se protéger d'une éventuelle compromission d'une machine
d'une des DMZ qui remontera sur la zone admin en contournant les
premiers firewalls

Fondamentalement qu'est ce qui l'empechera? Je compromets une machine

de la DMZx. Puis j'entre dans la DMZ admin. Depuis la DMZ admin, je
redescends sur chacune des DMZ. Chaque firewall doit autoriser une
machine de la DMZ admin a administrer les autres. C'est ceci qui
me pose probleme.

donc tu agis en ce sens. Si dans ta DMZ chacune des machines est grande
ouverte a ses voisines, ca me parait etre un risque.

le fait que deux machines soient sur le méme lan (zone) fait que c'est
"naturellement" plus risqué que si c'est séparé par un FW.....
l'idéal est de mettre chaque machine dans une DMZ :)

ou un filtrage strict sur chacune des machines. Un firewall en entree

pour separer les flux. Un sur chaque machine pour eviter qu'un voisin
vienne la chatouiller.

Est-ce un probleme? Tu peux avoir un reseau de remontees d'alertes
(snmp, logs)

tu veux dire réseau séparé ? mais à un moment, il y a connexion avec les
machines des DMZ...et le fait d'avoir une interface dédiée pour
l'administration, quoique plus secure, n'isole pas "completement" .. non ?

non. Mais je reste convaincu qu'un machine qui ne propose qu'un syslogd

depuis l'exterieur est un bastion difficile a passer.
Scenario: le pirate prend le controle d'une machine sur une DMZ. Il
rentre sur la machine syslogd. Depuis la machine syslogd il est confine
par un firewall (pas de flux sortant..). impact limite.

et une autre methode pour l'administration a distance.

par port console, série....? oui c'est mieux, mais j'ai pas encore vu de
solution libre (à la limite à moindre coût) pour sa mise en oeuvre

Une deuxieme machine sur un reseau completement separe et des cables
series/series. Je ne sais pas combien on peut brancher de port series
sur un PC ni sa facilite d'utilisation. Mais pour une interface
d'administration, le port serie reste quand meme une liaison sure. Tu
y accedes, mais la machine ne peut pas remonter a toi. Tu peux booter
en single user sans reseau pour des maj.

--
Kevin

Je ne crois pas non plus qu'ajouter des rideaux de firewall augmente
vraiment la securite.
ça permet de se protéger d'une éventuelle compromission d'une machine

d'une des DMZ qui remontera sur la zone admin en contournant les
premiers firewalls

Fondamentalement qu'est ce qui l'empechera? Je compromets une machine

de la DMZx. Puis j'entre dans la DMZ admin. Depuis la DMZ admin, je
redescends sur chacune des DMZ. Chaque firewall doit autoriser une
machine de la DMZ admin a administrer les autres. C'est ceci qui
me pose probleme.

ça me pose le même problème, d'où ma préférence pour la solution qui
oblige les machines de la zone Admin à passer par plusieurs firewalls
(rideau :)) pour pouvoir administrer

ou un filtrage strict sur chacune des machines. Un firewall en entree
pour separer les flux. Un sur chaque machine pour eviter qu'un voisin
vienne la chatouiller.

un Firewall sur chaque machine ?! j'ai pas pensé à ça...mais ça c'est de
l'extrème :) des DMZs imbriquées !!

non. Mais je reste convaincu qu'un machine qui ne propose qu'un syslogd
depuis l'exterieur est un bastion difficile a passer.
Scenario: le pirate prend le controle d'une machine sur une DMZ. Il
rentre sur la machine syslogd. Depuis la machine syslogd il est confine
par un firewall (pas de flux sortant..). impact limite.

Ok

Une deuxieme machine sur un reseau completement separe et des cables
series/series. Je ne sais pas combien on peut brancher de port series
sur un PC ni sa facilite d'utilisation. Mais pour une interface
d'administration, le port serie reste quand meme une liaison sure. Tu
y accedes, mais la machine ne peut pas remonter a toi. Tu peux booter
en single user sans reseau pour des maj.

ok, mais je ne sais plus où j'ai vu ça...n'y a t-il pas vraiment de

moyen pour remonter par port série ?!! .... non laisse tomber, je
deviens parano :)