最佳做法是禁止内部访问dmz中的公司网站

Question

我的客户的网络安全人员正在DMZ中建立其新网站以确保安全。 这对我完全有意义。 但是，她继续说，最佳做法是公司员工无法内部访问该网站。 例如，要检查网站是否正常运行，她建议他们使用手机。

这是新事物吗？ 有道理吗？ 我从未听说过不允许公司员工以前通过其内部网络访问公司网站。 我不是安全人员，我是开发人员，所以如果这笔钱正确的话，请告诉我，这对我来说似乎很不寻常。

这是公司目前正在实施的最佳实践吗？ 这是建议的方法吗？

任何信息都将不胜感激。 我只是感到困惑，有些震惊。

谢谢！

Answer 1

它们应阻止来自内部网络的Windows域，目录服务和未使用的端口，但应允许必要的Web端口进行管理。 dmz的目的是保护您的内部网络不受公共服务器的攻击，而不是相反。 您不必向网络安全人员证明风险太低，不足以证明与从外部监视服务器有关的额外费用是合理的。 如果您的安全人员在网络安全方面有任何经验，他会知道这是标准做法。 如果不是，请将其带给管理层，并告诉他们您需要他们支付其他互联网连接费用来监视服务器，或要求安全人员在其防火墙中更改1个访问列表。

Answer 2

DMZ中的计算机不应能够“连接”到内部网络中的任何计算机。 内部网络中的计算机始终可以连接到DMZ中的计算机。 通常，员工可以访问DMZ中运行的网站（和其他服务），因此没有理由限制员工连接到您自己的DMZ计算机。

因此，请回答您的问题：这是公司目前正在实施的最佳实践吗？
没有

这是建议的方法吗？
这并不能使您更加安全。 如果此限制背后的原理是防止您自己的网站分发的恶意软件可能感染内部计算机，那么它比被随机网站分发的恶意软件感染更安全。