Twoje stwierdzenie zawiera dwa błędne założenia:

1. Twoja zapora (e) jest / są w pełni poprawnie skonfigurowane i nie ma żadnych luk w zabezpieczeniach, które pozwoliłyby atakującemu na złamanie zabezpieczeń i ten idealny stan będzie kontynuowane.

2. Wszyscy w Twojej organizacji są godni zaufania i nie stanowią żadnego ryzyka.

Zawsze powinieneś operować obroną w głębi i zabezpieczać każdą warstwę, gdzie tylko możesz. Jeśli atakujący przekroczy granicę lub masz nieuczciwego aktora, ta luka w zabezpieczeniach Apache może zostać wykorzystana, jeśli zostanie usunięta.

To odwieczne pytanie i zawsze ma tę samą odpowiedź.

Nie możesz polegać na tym, że atakujący nie będą w stanie uzyskać dostęp do swojej sieci. Wystarczy, że jeden pracownik kliknie wiadomość phishingową, a osoba atakująca będzie miała kontakt z Twoją siecią. Jeśli zostawisz wszystko bez poprawki, będą mieli dzień wolny.

Raporty o zagrożeniach rutynowo wskazują, że Twoi współpracownicy są znacznie bardziej narażeni niż osoby z zewnątrz. Na przykład z tego raportu z 2015 r. mamy następujące dane:

74% naruszeń ma miejsce w rozszerzonym przedsiębiorstwie - albo wśród pracowników (40%), trzeci strony (22%) lub byli pracownicy (12%) - 26% pochodzi spoza organizacji

...

Dwie trzecie (67%) naruszeń bezpieczeństwa wewnętrznego ma miejsce z powodu nieumyślnego błędu - co trzeci (33%) jest spowodowany złym zamiarem

Tak więc 33% z 74% daje nam około jednej czwartej wszystkich naruszeń spowodowanych przez jednego z Twoich kolegów, który zdecydował oni cię nie lubią.

Ta konkretna luka musiałaby zostać wykorzystana przez złośliwe i technicznie zdolne zagrożenie wewnętrzne. Z jednej strony, kwalifikator „sprawny technicznie” dość znacząco zmniejsza prawdopodobieństwo ataku. Z drugiej strony „ta luka tylko naraża nas na dostęp do informacji poufnych” jest całkowicie niewystarczającym powodem, aby nie łatać.

Tak, musisz załatać systemy wewnętrzne.

Załóżmy, że prawda (a prawdopodobnie nie jest):

• Twój system wewnętrzny ma 100 % nieprzenikniony ze świata zewnętrznego (lub nie ma problemu z przejęciem każdego systemu wewnętrznego w przypadku naruszenia).
• ufasz w 100% wszystkim w Twojej organizacji (a dokładniej każdemu, kto ma dostęp do intranetu , które mogą również obejmować gości, pracowników tymczasowych itp.).

Wciąż istnieją luki w zabezpieczeniach sieci Web, które w ogóle nie wymagają dostępu do intranetu, w szczególności odzwierciedlone XSS i CSRF.

Jeśli podejmiesz takie samo podejście do braku aktualizacji za pomocą aplikacji internetowych, jak w przypadku serwerów internetowych, można założyć, że niektóre aplikacje będą podatne na ataki. Teraz osoba atakująca, która wie lub zgaduje, jakiego oprogramowania używasz, może być w stanie uzyskać wykonanie kodu za pośrednictwem XSS lub CSRF, jeśli ktoś w Twojej organizacji nie jest ostrożny podczas klikania linków lub odwiedzania witryn internetowych.

Aby wyjaśnić metaforycznie:

Zapora ogniowa, w zwykłym znaczeniu kierunkowego filtru pakietów / bramy maskującej NAT, powstrzyma resztę świata przed karmieniem trucizną twoich "ludzi".

Dzięki temu nie wyrządzą zbyt wiele szkód reszcie świata, jeśli oszaleją i będą agresywne, na wypadek, gdyby ktoś nadal je otruł.

Chyba że trzymasz ich na bardzo ścisłej diecie , nie powstrzymuje twoich ludzi przed sięganiem po żywność, którą ktoś otruł, i jedzeniem jej, czy to w wyraźnym celu, aby ich otruć, czy po prostu z czystego sadyzmu, by wywołać terror ... zaawansowany firewall (głęboka inspekcja pakietów, czarna lista / biała lista itp.) będzie nadzorować żywność, ale nadal będzie niewiarygodna. Może również stwarzać problemy, gdy myśli, że zmiękczacz do tkanin to gatorade, że śmierdzący ser jest próbą zagazowania wszystkich lub że zielone światło oznacza, że ​​butelka nasyconej solanki będzie bezpieczna do spożycia.

Niezabezpieczone usługi i aplikacje wyłącznie w intranecie są często końcowym celem naruszeń. Niestety, najczęściej zbyt pewni siebie (i ośmielę się powiedzieć naiwni) administratorzy systemu / sieci) zaniedbują ich zabezpieczenie.

A co, jeśli zwykle zaufany intranet maszyna użytkownika zaraża się wirusem, trojanem lub złośliwym oprogramowaniem typu botnet, lub co masz, co skanuje twój intranet od wewnątrz i wysyła te informacje do niezaufanej strony? Teraz niezaufana strona ma nie tylko wektor do Twojego intranetu, ale także zna układ i sposób uzyskiwania dostępu do niezabezpieczonych usług.

Aby przeciwdziałać wielu nieprzewidzianym lukom, należy mieć wiele warstw zabezpieczeń, a nie tylko jedną.

Luki w oprogramowaniu to problem, który jest trudny do złagodzenia za pomocą określonych pomiarów, chyba że zostanie w pełni przetestowany. Żaden dostawca nie może więc odpowiedzieć na takie pytanie, jeśli nie jest bardzo pewien metody ograniczania ryzyka przy użyciu zapory.

W rzeczywistości powinieneś zapytać, czy łatka zepsuje twoją bieżącą aplikację i proces, czy można ją wycofać .

Utrzymywanie aktualności firewalla i aktualizowanie oprogramowania to 2 niezależne linie obrony

Krótko mówiąc, odpowiedź na twoje pytanie nie może brzmieć tak lub nie, obie są błędne.

A oto kilka wyjaśnień, dlaczego:

• „Idealna” zapora ogniowa (ten model nie istnieje), a nawet całkowicie izolowany intranet (tj. bez połączenie z Internetem) nie chroni systemów przed połączeniem w ramach tego wysoce chronionego intranetu zainfekowanego lub zaatakowanego komputera. (To informacja zwrotna z życia: ~ jeden taki atak od wewnątrz / rok). Zobacz także Stuxnet (2010, analizowane przez Kaspersky Lab.).

  Krótko mówiąc, nawet „idealna” zapora ogniowa nie ochroni Cię przed głównym zagrożeniem z wnętrza.

• Na drugim krańcu spektrum złych wydarzeń, aktualizacja systemu operacyjnego lub oprogramowania nie jest gwarancją poprawy bezpieczeństwa. Większość aktualizacji oprogramowania to wzrost liczby wierszy kodu, a prawo prawdopodobieństwa mówi nam, że liczba błędów wzrasta proporcjonalnie. Aktualizacja systemu operacyjnego może otworzyć lukę na porcie 80 / tcp (http) wewnątrz Apache, która nie była obecna w poprzedniej wersji. I tak jak w przypadku wielu konfiguracji zapory, ten protokół może być legalnie dozwolony wejść do sieci. W takim przypadku aktualizacja systemu operacyjnego może spowodować poważną lukę w całej sieci. Zobacz także lukę w zabezpieczeniach zdalnego dostępu do roota poprzez aktualizację do MacOS High Sierra (2017, analizowana przez Lemi Orhan Ergin).

  Krótko mówiąc, nawet „doskonała” praktyka „zawsze aktualizuj” nie może uchronić Cię przed poważnym ryzykiem błędów edytora przed otwartym portem zapory.

Istnieje wiele innych scenariuszy, które pokazują, że żadne z tych dwóch podejść nie jest wystarczające: „doskonała” zapora ogniowa, „doskonała” praktyka aktualizacji.

Co więc powinienem zrobić?

Osobiście radzę, aby niezależnie aktualizować zapory ogniowe i oprogramowanie, po minimalnym sprawdzeniu, czy żaden z nich nie wprowadza luka, przed którą druga strona nie jest gotowa się bronić.