WEBサーバとDBサーバ

質問

お世話になっております。
WEBサーバは不特定多数が接続できる公開サーバです。
このサーバでIISを動かしASP.NETで構築するのですが、非公開のDBサーバとの通信をするわけですが、この時注意する点はないでしょうか。
イントラネットなどだと、VS2005や2008でのサーバエクスプローラで接続情報を作れますが、こういったことが公開サーバと非公開のDBサーバで間で簡単にできるものでしょうか？
実機には、まだ移せないのですが、前もってある程度予想される問題を知っておきたいので質問させて頂きました。

わかりづらい文章かとおもいますが、よろしくお願いいたします。

回答No.2

shukugawa

動作しなければ、動作するように努力しようがありますが、
怖いのはセキュリティホールが存在してしまうことです。
正常に動作しているで、ハッキングされて初めて気づくことが多いです。

SQLインジェクションという言葉を聞いたことありませんか？
幾らDBサーバーを非公開にしてもこのような手法でハッキングされた例は沢山あります。

名前などの入力項目に、データベースを操作するようなコードが書かれたときに、それを削除しなければありません。
URL 後ろに ?XXX=YYY 等の文字が加えれて特定のフラグが POST されたよう仕向けられても、阻止しなければなりません。

そういうことに気を配る必要があると思います。

参考URL：

http://ja.wikipedia.org/wiki/SQL%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3

お礼

回答ありがとうございます。
SQLはパラメータクエリか、ストアドになるのではないかなと思っています。
それ以外にも対処が必要でしょうか？
一つ気になるのですが、WEBサーバーはDBサーバーの名前解決はどういう風になるのでしょうか？
つまり、WEBサーバーは、おそらくファイアーウオールの外になると思うのですが、DBサーバーと同じLANになるのでしょうか？

回答No.1

inu2

DBサーバーをネットワーク的に外部から直接接続できないように設定すればいいだけの事です。
つまり、LAN内やwebサーバーからのみのアクセスを許可するように設定する。

お礼

回答ありがとうございます。
そうですね、DBサーバーのアクセス制限をしないとだめですね。
一つ気になるのですが、WEBサーバーはDBサーバーの名前解決はどういう風になるのでしょうか？
つまり、WEBサーバーは、おそらくファイアーウオールの外になると思うのですが、DBサーバーと同じLANになるのでしょうか？