DMZ ( Eng. Demilitarized Zone - demilitarized zone, DMZ) är ett nätverkssegment som innehåller offentliga tjänster och skiljer dem från privata [1] . Till exempel kan en webbtjänst fungera som en offentlig tjänst : servern som tillhandahåller den , som är fysiskt placerad på det lokala nätverket ( Intranät ), måste svara på alla förfrågningar från det externa nätverket ( Internet ), medan andra lokala resurser (t. till exempel filservrar , arbetsstation ) måste isoleras från extern åtkomst.
Syftet med DMZ är att lägga till ett extra lager av säkerhet till det lokala nätverket , vilket gör det möjligt att minimera skador i händelse av en attack mot en av de offentliga tjänsterna: en extern angripare har endast direkt tillgång till utrustningen i DMZ [2 ] .
Namnet kommer från den militära termen " demilitariserad zon " - territoriet mellan de krigförande staterna, där militära operationer inte är tillåtna. Med andra ord, åtkomst till DMZ är öppen för båda parter, förutsatt att besökaren inte har något uppsåt. I analogi är konceptet med DMZ (till exempel när man bygger en gateway till det offentliga Internet) att ett område tilldelas i det lokala nätverket som inte är säkert som resten av nätverket (internt) och inte farligt som offentligt (externt) ) [3] [4] [5] .
System som är öppna för direktåtkomst från externa nätverk är vanligtvis främsta mål för angripare och är potentiellt utsatta för hot. Som en följd av detta kan dessa system inte helt lita på. Därför är det nödvändigt att begränsa åtkomsten av dessa system till datorer som finns inuti nätverket [6] .
Även om det ger skydd mot externa attacker, har DMZ i allmänhet ingenting att göra med interna attacker som trafikavlyssning [5] [7] .
Separation av segment och kontroll av trafik mellan dem implementeras som regel av specialiserade enheter - brandväggar . Huvuduppgifterna för en sådan enhet är [8] :
I vissa fall räcker det med en router eller till och med en proxyserver för att organisera en DMZ [2] .
Servrar i DMZ kan ha begränsad möjlighet att ansluta till individuella värdar på det interna nätverket [K 1] vid behov . Kommunikation i DMZ mellan servrar och med det externa nätverket är också begränsad för att göra DMZ säkrare än Internet för värd för vissa tjänster.[ vad? ] . På servrar i DMZ bör endast nödvändiga program köras , onödiga inaktiveras eller tas bort helt och hållet [8] .
Det finns många olika DMZ-nätverksarkitekturalternativ. Två huvudsakliga - med en brandvägg och med två brandväggar [2] [9] . Baserat på dessa metoder är det möjligt att skapa både förenklade och mycket komplexa konfigurationer som motsvarar kapaciteten hos den utrustning som används och säkerhetskraven i ett visst nätverk [5] .
För att skapa ett nätverk med en DMZ kan en brandvägg användas som har minst tre nätverksgränssnitt: en för att ansluta till leverantören ( WAN ), den andra - till det interna nätverket ( LAN ), den tredje - till DMZ. Ett sådant schema är enkelt att implementera, men ställer ökade krav på utrustning och administration : brandväggen måste behandla all trafik som går både till DMZ och till det interna nätverket. Samtidigt blir det en enda felpunkt , och om den hackas (eller ett fel i inställningarna) kommer det interna nätverket att vara sårbart direkt från det externa [3] .
Ett säkrare tillvägagångssätt är när två brandväggar används för att skapa en DMZ: en av dem kontrollerar anslutningar från det externa nätverket till DMZ, den andra - från DMZ till det interna nätverket. I det här fallet, för en framgångsrik attack på interna resurser, måste två enheter äventyras [2] . Dessutom kan långsammare applikationslagerfiltreringsregler konfigureras på den yttre skärmen , vilket ger förbättrat skydd för det lokala nätverket utan att negativt påverka prestandan för det inre segmentet [3] .
En ännu högre skyddsnivå kan tillhandahållas genom att använda två brandväggar från två olika tillverkare och (helst) olika arkitektur - detta minskar sannolikheten för att båda enheterna har samma sårbarhet [10] . Till exempel är det mindre sannolikt att en slumpmässig felkonfiguration inträffar i konfigurationen av gränssnitt från två olika tillverkare; ett säkerhetshål som hittas i en leverantörs system är mindre sannolikt att hamna i en annan leverantörs system. Nackdelen med denna arkitektur är den högre kostnaden [11] .
Vissa routrar i SOHO -klassen har funktionen att ge åtkomst från det externa nätverket till interna servrar ( DMZ-värd eller exponerat värdläge ). I det här läget är de en värd som har alla portar öppna (inte skyddade), förutom de som är översatta på ett annat sätt. Detta uppfyller inte riktigt definitionen av en äkta DMZ, eftersom servern med öppna portar inte är separerad från det interna nätverket. Det vill säga, en DMZ-värd kan fritt ansluta till resurser i det interna nätverket, medan anslutningar till det interna nätverket från den verkliga DMZ:en blockeras av brandväggen som separerar dem, såvida det inte finns en speciell tillåtelseregel [K 1] . En DMZ-värd ger ingen av de säkerhetsfördelar som subnät ger, och används ofta som en enkel metod för att vidarebefordra alla portar till en annan brandvägg eller enhet [5] [11] .