web-services - 大型 "in-house"企业 Web 应用程序是否在 LAN 上通过 SSL 运行？

Question

在大公司内部，使用 SSL(例如 https)在 LAN 上运行公司应用程序是标准做法。我在考虑 ERP 系统、SFA 系统、HR 系统等。但我也在考虑 SOA...Web 服务提供商和消费者。

换句话说，是否有人担心 LAN 上的某些东西可能会四处嗅探明文信息？如果不是 SSL，如何处理这种安全威胁？

你的经验是什么？

Answer 1

Inside of large companies, is it standard practice to use SSL (e.g. https) for running corporate apps over the LAN.

一般而言，仅用于 LAN 内部应用程序的 SSL 并不常见。过去，LAN 一直被视为“可信”网络，因此 LAN 应用程序的 SSL 并不是优先事项。

此外，与内部应用程序服务器的连接通常是通过经过身份验证的代理进行的，这本身就降低了一些风险。

然而，随着组织(通常)越来越不信任 LAN，这种情况正在慢慢改变。

If not SSL, how is this security threat dealt with?

大多数企业确实会监控连接到其 LAN 的设备并在添加新设备时记录事件。

如果设备不符合计划(即新台式机或打印机)- 则会对其进行调查。

未经授权的设备被视为更大的风险(比不使用 SSL)，因为它们会带来额外的威胁，例如引入病毒、外部网络连接或某种其他类型的攻击媒介。