אבטחת מידע

[Uteam]

אבטחת מידע

שלום רב, אני בונה מערכת לניהול משאבי אנוש. המערכת צריכה להתעדכן ממספר מקומות ברחבי הארץ אונליין לכן הדרך היחידה לעשות את זה הינה באמצעות האינטרנט (בהתחשב ביחס לעלות תועלת של הקמת רשת פנימית). המערכת מבוססת ASP ועל מסד הנתונים של אקסס. דרכי האבטחה שאני הולך לנקוט במערכת: 1. סיסמא לספרייה שבה נמצאים כל קבצי ה-ASP של המערכת. 2. סיסמא לעמוד הכניסה של המערכת (סיסמת ASP) וכאשר הסיסמא נכונה אני מגדיר את המשתמש בתוך ה-SESSION הרשאה כניסה לכל שאר דפי ה-ASP בספרייה, יוגדר בגלובל אסא - הבנתי שזה בטוח יותר? 3. כמובן שיהיה פיירוול וכל שאר הפיצ´רים שחברון לאכסון אתרים נותנות (נטויז´ן). 4. הבנתי שמסד נתונים של SQL מאובטח יותר במה זה מתבטא? 5. האם קיימים עוד דרכים לאבטח מסד נתונים ודפי ASP? 6. מה זה RPC ו-Named Pipes? מסד הנתונים של החברה כולל משכורות ופרטים אישיים (מידע מאוד חסוי), הייתי מעוניין לדעת האם זה נשמע "הגיוני" לשים מידע כזה באינטרנט (בהתחשב שקיימת רמת אבטחה גבוהה). המון המון תודה! איתן

 

[antidot]

הםםם

מערכות כאלה חייבות לעבוד דרך SSL ולא דרך HTTP . אתה חייב לדאוג להצפנת התעבורה באינטרנט או שכל ילד עם קצת ידע יוכל בעזרת SNIFFER לקבל את כל המידע האפשרי מהבסיס נתונים. אני אישית ממליץ לך להתייעץ עם איש אבטחת מידע או לפחות מנהל רשת לפני שאתה מתחיל לממש משהו. אם אתה משתמש רק בUSER/PASSWORD ולא בUSER/PASSWORD/DOMAIN (אני מניח שזה ירוץ על IIS) מה שקורה בפועל זה שאתה משתמש בBASIC AUTHENTICATION שמעביר סיסמאות ברשת בCLEAR TEXT. איך אתה קובע הרשאות ? על בסיס רשימת משתמשים ששמורה בACCESS או על בסיס הרשאות NTFS ? Antid0t

 

[p0ly]

הערה קטנה

באינרנט כל דבר אפשר לפרוץ. כמה שלא תגן על זה עם ASP ומה שבא לך, אם יהיה האקר שמבין משהו וממש רוצה לפרוץ את זה, הוא יצליח. זאת הבעיה עם האינרנט, הפושעים באינרנט הם אנשים מאוד חכמים, בניגוד לפושעים אמיתיים שבדרך כלל מאוד טיפשים. בדרך כלל מי שמבין במחשבים (בדרך כלל) הוא חכם ויש לו ציונים גבוהים והוא לא בריון שבא לבצפר ומביא מכות לילדים לכיף, אבל זה שכן מביא לילדים מכות בשביל הכיף, יש לו יותר סיכוי להיות רוצח או שודד או גנב או משהו כזה נכון? (אל תדאגו אני לא זה חננה שמקבל מכות כל היום בבצפר וחורש על השיעורים)...