Desain DMZ

DMZ (zona demiliterisasi) adalah segmen jaringan yang berada di antara internet yang tidak tepercaya dan jaringan internal yang tepercaya.

DMZ menampung layanan yang harus dapat dijangkau dari luar.

Layanan publik seperti server web dan server surat harus menerima koneksi dari internet.

Menempatkannya di DMZ berarti jika salah satunya diretas, penyerang tetap terpisah dari sistem internal Anda.

Rancangan DMZ memiliki tiga tingkat kepercayaan.

• Tidak tepercaya - internet
• Semitepercaya - DMZ
• Tepercaya - LAN internal

Layanan yang biasanya ditempatkan di DMZ adalah layanan yang menghadap internet.

• Server web
• Relai surat
• DNS publik
• Proksi terbalik

Basis data sensitif tetap berada di dalam, bukan di DMZ.

Salah satu tata letak yang umum menggunakan firewall berkaki tiga: satu firewall dengan tiga antarmuka, masing-masing untuk internet, DMZ, dan jaringan internal.

Rancangan ini lebih sederhana dan murah, tetapi satu firewall tersebut menjadi satu titik kegagalan.

Tata letak yang lebih kuat menggunakan dua firewall, dengan DMZ di antara keduanya.

Firewall luar menghadap internet, sedangkan firewall dalam melindungi LAN. Penyerang harus menembus keduanya untuk mencapai jaringan internal.

Dari internet, izinkan hanya layanan publik yang benar-benar diperlukan.

Misalnya, izinkan HTTPS masuk ke server web dan blokir segala sesuatu lainnya, termasuk akses langsung ke basis data.

Aturan yang paling penting adalah membatasi lalu lintas dari DMZ ke jaringan internal dengan ketat.

Server web di DMZ mungkin perlu mengakses basis data internal hanya melalui satu porta yang diperlukan, dan internet tidak boleh mengakses jaringan internal secara langsung.

Prinsip utama: internet tidak boleh pernah terhubung langsung ke jaringan internal.

Semua lalu lintas masuk berakhir di DMZ, yang kemudian membuat permintaannya sendiri ke dalam secara terkendali.

Karena host DMZ terekspos, amankan host tersebut dengan baik.

• Hapus layanan yang tidak diperlukan
• Segera pasang pembaruan
• Jalankan hanya aplikasi yang diperlukan

Anggaplah host tersebut akan diserang.

DMZ merupakan sasaran utama, jadi pantau dengan saksama.

Catat semua lalu lintas yang melintasi batasnya dan gunakan deteksi penyusupan untuk mendeteksi upaya penyusupan sejak dini.

Prinsip rancangan DMZ:

• Tempatkan layanan publik di DMZ semitepercaya antara internet dan LAN
• Gunakan tata letak satu atau dua firewall dengan aturan antarzona yang ketat
• Jangan pernah mengizinkan akses langsung dari internet ke jaringan internal; perkuat keamanan dan pantau host DMZ