Una zona desmilitarizada (DMZ) es un segmento de red aislado que aloja los servicios expuestos a internet y los separa de la red interna de una organización.
Cómo funciona una DMZ
Los servidores que deben ser accesibles desde internet (servidores web y de correo, DNS público, proxies inversos, pasarelas VPN) se colocan en un segmento propio entre internet y la LAN interna. Los cortafuegos aplican reglas estrictas:
- desde internet solo se puede llegar a los puertos concretos publicados en la DMZ;
- los equipos de la DMZ solo pueden abrir conexiones muy acotadas hacia sistemas internos, como un servidor web hacia su base de datos;
- los usuarios internos acceden a la DMZ por rutas controladas.
Los diseños habituales usan dos cortafuegos en serie (a menudo de fabricantes distintos) o un único cortafuegos con tres interfaces: externa, DMZ e interna. El NIST describe el concepto como «screened subnet». En los routers domésticos, «host DMZ» significa otra cosa: un único dispositivo al que se reenvía todo el tráfico entrante, lo que en realidad elimina la protección.
Por qué importa una DMZ
Los servidores expuestos al público son la parte más vulnerable de la superficie de ataque y se comprometen con frecuencia a través de vulnerabilidades sin parchear. Una DMZ limita el daño: un atacante que toma un servidor web sigue separado de los controladores de dominio, los servidores de archivos y los puestos de trabajo, lo que dificulta el movimiento lateral y da tiempo a los defensores para detectar la intrusión. Las redes industriales aplican la misma idea entre los sistemas IT y OT.
Buenas prácticas
- Denegar por defecto y documentar cada conexión permitida.
- No guardar nunca datos sensibles ni credenciales de administrador del dominio en equipos de la DMZ.
- Vigilar de cerca el tráfico de la DMZ, sobre todo las conexiones iniciadas hacia la red interna.
- Bastionar los sistemas de la DMZ y parchearlos en primer lugar.
