第三方安全专业人员建议我们在Web服务器(所有托管在DMZ中)之前运行反向代理作为最佳实践安全措施.
我知道这是一个典型的推荐架构,因为它在Web应用程序面前提供了另一层安全性来防止黑客入侵.
但是,由于反向代理在用户和内部Web服务器之间来回快速地来回切换HTTP,因此它不会提供任何防止Web服务器本身黑客攻击的措施.换句话说,如果您的Web应用程序存在安全漏洞,则代理不会提供任何有意义的安全性.
鉴于攻击Web应用程序的风险远高于对代理攻击的风险,通过在中间添加一个额外的框,真的有很多好处吗？我们不会使用反向代理的任何缓存功能 – 只是一个来回传送数据包的愚蠢工具.
还有什么我在这里不见了吗？反向代理HTTP数据包检查是否有如此之好,可以检测到有意义的攻击而没有严重的性能瓶颈,或者这只是安全影院的另一个例子？
反向代理是MS ISA fwiw.
