Демилитаризованная зона (DMZ) — изолированный сегмент сети, в котором размещаются доступные из интернета сервисы и который отделяет их от внутренней сети организации.
Как работает DMZ
Серверы, которые должны быть доступны из интернета, — веб- и почтовые серверы, публичный DNS, обратные прокси, VPN-шлюзы — выносят в отдельный сегмент между интернетом и внутренней локальной сетью. Межсетевые экраны применяют строгие правила:
- из интернета доступны только конкретные порты, опубликованные в DMZ;
- хосты DMZ могут открывать лишь узко определённые соединения с внутренними системами, например веб-сервер — со своей базой данных;
- внутренние пользователи попадают в DMZ по контролируемым маршрутам.
Распространены две схемы: два межсетевых экрана последовательно (часто от разных производителей) или один экран с тремя интерфейсами — внешним, DMZ и внутренним. NIST называет эту концепцию «экранированной подсетью» (screened subnet). На домашних роутерах «DMZ-хост» означает другое: одно устройство, на которое перенаправляется весь входящий трафик, что фактически снимает с него защиту.
Почему DMZ важна
Публичные серверы — самая открытая часть поверхности атаки, и их регулярно взламывают через незакрытые уязвимости. DMZ ограничивает ущерб: атакующий, захвативший веб-сервер, всё равно отделён от контроллеров домена, файловых серверов и рабочих станций. Это затрудняет горизонтальное перемещение и даёт защитникам время обнаружить вторжение. В промышленных сетях тот же принцип применяют между IT- и OT-системами.
Рекомендации
- Запрещать всё по умолчанию и документировать каждое разрешённое соединение.
- Никогда не хранить на хостах DMZ конфиденциальные данные и доменные учётные данные администраторов.
- Внимательно отслеживать трафик DMZ, особенно соединения, инициированные в сторону внутренней сети.
- Укреплять системы DMZ и обновлять их в первую очередь.
