DMZ 설계

DMZ(비무장 지대)는 신뢰할 수 없는 인터넷과 신뢰할 수 있는 내부 네트워크 사이에 위치하는 네트워크 세그먼트입니다.

외부에서 접근할 수 있어야 하는 서비스가 이곳에 위치합니다.

웹 서버와 메일 서버 같은 공개 서비스는 인터넷에서 들어오는 연결을 수락해야 합니다.

이들을 DMZ에 배치하면 한 서비스가 해킹되더라도 공격자가 내부 시스템에 직접 접근할 수 없도록 분리할 수 있습니다.

DMZ 설계에는 세 가지 신뢰 수준이 있습니다.

• 신뢰할 수 없음 - 인터넷
• 부분적으로 신뢰함 - DMZ
• 신뢰함 - 내부 LAN

일반적인 DMZ 구성 요소는 인터넷에 공개되는 서비스입니다.

• 웹 서버
• 메일 릴레이
• 공용 DNS
• 리버스 프록시

민감한 데이터베이스는 내부에 두며 DMZ에는 두지 않습니다.

일반적인 한 가지 배치는 3개 인터페이스 방화벽을 사용하는 것입니다. 하나의 방화벽에 인터넷, DMZ, 내부 네트워크용 인터페이스를 하나씩 둡니다.

더 단순하고 저렴하지만, 방화벽 하나가 단일 장애 지점이 됩니다.

더 강력한 배치는 방화벽 두 대를 사용하고 그 사이에 DMZ를 두는 것입니다.

외부 방화벽은 인터넷을 마주 보고, 내부 방화벽은 LAN을 보호합니다. 공격자는 내부에 도달하려면 두 방화벽을 모두 뚫어야 합니다.

인터넷에서는 정확히 필요한 공개 서비스만 허용합니다.

예를 들어 웹 서버로 들어오는 HTTPS는 허용하고, 직접적인 데이터베이스 접근을 포함한 나머지 모든 트래픽은 차단합니다.

가장 중요한 규칙은 DMZ에서 내부로 향하는 트래픽을 엄격하게 제한하는 것입니다.

DMZ의 웹 서버는 필요한 단 하나의 포트로만 내부 데이터베이스에 접근할 수 있어야 하며, 인터넷은 내부에 직접 접근할 수 없어야 합니다.

핵심 원칙은 인터넷이 내부 네트워크에 절대로 직접 연결되지 않아야 한다는 것입니다.

모든 외부 유입 트래픽은 DMZ에서 종료되고, DMZ가 통제된 요청을 내부로 보냅니다.

DMZ 호스트는 외부에 노출되므로 보안을 철저히 강화해야 합니다.

• 필요하지 않은 서비스를 제거합니다
• 신속하게 패치합니다
• 필요한 애플리케이션만 실행합니다

공격받을 것이라고 가정해야 합니다.

DMZ는 주요 공격 대상이므로 면밀히 감시해야 합니다.

DMZ 경계를 통과하는 모든 트래픽을 기록하고 침입 탐지를 사용하여 침해 시도를 조기에 발견합니다.

DMZ 설계 원칙은 다음과 같습니다.

• 인터넷과 LAN 사이의 부분적으로 신뢰할 수 있는 DMZ에 공개 서비스를 배치합니다
• 영역 간 규칙을 엄격하게 적용하는 단일 또는 이중 방화벽 배치를 사용합니다
• 인터넷에서 내부로 직접 접근하도록 허용하지 않으며, DMZ 호스트의 보안을 강화하고 모니터링합니다