企业里面暴露内网服务到公网怎么做安全？

[gvdlmjwje]

公司有很多应用在出口防火墙上面做了端口转发暴露在公网（来的时候就这样了），没有 WAF 、反代、DMZ 、NGFW ，只有 EDR 和 SEP 装在服务器上，这是前提。

然后去年中过一次勒索病毒，今年被抽中做渗透测试的蓝方，两次都暴露了很多网络安全问题；上面的 EDR 就是去年中勒索后批的，防火墙很老的 juniper ，这次护网后报上去一个深信服 NGFW 没批。- -|||那我特么也没办法了，只能问问老哥们还有啥招了？

PS：坛里看到有人提一嘴 DMZ 、NGINX 。但我这半吊子没搞过，有没有人指点一下具体怎么做的？ THX

[zhangeric]

感觉你们公司业务啥的都是公司自己人在用,不对公众开放,这个应该上 vpn 而不是把服务暴露在公网上.

[gvdlmjwje]

@zhangeric 也不是，有些 QMS SRM 什么的系统还要给合作伙伴用- -|||

[SchwarzeR]

@gvdlmjwje 我自己的小服务器放了一个开源版布着玩的，跑团队的周报管理/git 仓库，感觉真要靠它来挡攻击也就图一乐，企业级防护光靠这个恐怕也就比没有好那么一点。
不过拉一个放上去配好了能证明你干活了，以后再出问题就是：我干了啊，你们不批钱买服务我也很难办

[Ipsum]

@gvdlmjwje 域名分流，path 分流都可以，这不是个问题

[guanzhangzhang]

先梳理下哪些核心数据是最终的，有无备份恢复方案，走一遍备份的恢复看看可以用不，然后自动备份的机器是否足够安全。
然后再考虑怎么把业务安全整起来

[NGGTI]

别买设备了，不是设备不够的问题了，从管理上下手，没必要的收拢到内网。招个搞渗透测试的，做做渗透。现在开源的产品已经很好用了。

[netblue]

在公网开一个端口，frp 内网穿透到内网，客户端采用 STCP 访问，相当于客户端必需运行 frpc 程序且有密码才能访问。

[Chrisone]

等保来一下基本就知道差距了