Web服务器前面的反向代理是否会提高安全性？

第三方安全专业人员建议我们在Web服务器(所有托管在DMZ中)之前运行反向代理作为最佳实践安全措施.

我知道这是一个典型的推荐架构,因为它在Web应用程序面前提供了另一层安全性来防止黑客入侵.

但是,由于反向代理在用户和内部Web服务器之间来回快速地来回切换HTTP,因此它不会提供任何防止Web服务器本身黑客攻击的措施.换句话说,如果您的Web应用程序存在安全漏洞,则代理不会提供任何有意义的安全性.

鉴于攻击Web应用程序的风险远高于对代理攻击的风险,通过在中间添加一个额外的框,真的有很多好处吗？我们不会使用反向代理的任何缓存功能 – 只是一个来回传送数据包的愚蠢工具.

还有什么我在这里不见了吗？反向代理HTTP数据包检查是否有如此之好,可以检测到有意义的攻击而没有严重的性能瓶颈,或者这只是安全影院的另一个例子？

反向代理是MS ISA fwiw.

解决方法

ISA Server能够查找并阻止各种HTTP攻击,并防止它们进入Web服务器.虽然大多数现代HTTP服务器不再可以被利用,但它确实具有不将此流量发送到Web服务器的额外好处.

此外,ISA可以更轻松地执行诸如添加SSL加速和用户对各种URL的预授权之类的操作.它甚至可以充当您的负载平衡器,因此您可以轻松添加更多Web服务器,而无需使用单独的硬件负载平衡器.

一定要考虑这个人在ISA上给予的专业人员,并与管理和运行ISA所需的额外管理费用相比,增加额度.