Демілітаризована зона (DMZ) — ізольований сегмент мережі, у якому розміщують доступні з інтернету сервіси і який відокремлює їх від внутрішньої мережі організації.
Як працює DMZ
Сервери, що мають бути доступні з інтернету, — вебсервери й поштові сервери, публічний DNS, зворотні проксі, VPN-шлюзи — виносять в окремий сегмент між інтернетом і внутрішньою локальною мережею. Міжмережеві екрани застосовують суворі правила:
- з інтернету доступні лише конкретні порти, опубліковані в DMZ;
- хости DMZ можуть відкривати тільки вузько визначені з’єднання з внутрішніми системами, наприклад вебсервер — зі своєю базою даних;
- внутрішні користувачі потрапляють до DMZ контрольованими маршрутами.
Поширені дві схеми: два міжмережеві екрани послідовно (часто від різних виробників) або один екран із трьома інтерфейсами — зовнішнім, DMZ і внутрішнім. NIST називає цю концепцію «екранованою підмережею» (screened subnet). На домашніх роутерах «DMZ-хост» означає інше: один пристрій, на який переспрямовується весь вхідний трафік, що фактично знімає з нього захист.
Чому DMZ важлива
Публічні сервери — найвідкритіша частина поверхні атаки, і їх регулярно зламують через невиправлені вразливості. DMZ обмежує шкоду: зловмисник, який захопив вебсервер, однаково відокремлений від контролерів домену, файлових серверів і робочих станцій. Це ускладнює бічне переміщення й дає захисникам час виявити вторгнення. У промислових мережах той самий принцип застосовують між IT- та OT-системами.
Рекомендації
- Забороняти все за замовчуванням і документувати кожне дозволене з’єднання.
- Ніколи не зберігати на хостах DMZ конфіденційні дані й доменні облікові дані адміністраторів.
- Уважно відстежувати трафік DMZ, особливо з’єднання, ініційовані в бік внутрішньої мережі.
- Посилювати захист систем DMZ і оновлювати їх насамперед.
