Projektowanie DMZ

DMZ (strefa zdemilitaryzowana) to segment sieci znajdujący się między niezaufanym internetem a zaufaną siecią wewnętrzną.

Umieszcza się w nim usługi, które muszą być dostępne z zewnątrz.

Usługi publiczne, takie jak serwery WWW i pocztowe, muszą przyjmować połączenia z internetu.

Umieszczenie ich w DMZ oznacza, że nawet jeśli jedna z nich zostanie zaatakowana, atakujący nadal będzie oddzielony od systemów wewnętrznych.

Projekt DMZ obejmuje trzy poziomy zaufania.

• Niezaufana – internet
• Częściowo zaufana – DMZ
• Zaufana – wewnętrzna sieć LAN

W DMZ znajdują się zwykle usługi dostępne z internetu.

• Serwery WWW
• Przekaźniki poczty
• Publiczne serwery DNS
• Odwrotne serwery proxy

Wrażliwe bazy danych powinny pozostać wewnątrz sieci, a nie w DMZ.

Jeden z typowych układów wykorzystuje zaporę sieciową z trzema interfejsami: pojedynczą zaporę z trzema interfejsami, po jednym dla internetu, DMZ i sieci wewnętrznej.

Jest to rozwiązanie prostsze i tańsze, ale ta jedna zapora stanowi pojedynczy punkt awarii.

Bezpieczniejszy układ wykorzystuje dwie zapory sieciowe, między którymi znajduje się DMZ.

Zewnętrzna zapora jest skierowana w stronę internetu, a wewnętrzna chroni sieć LAN. Aby dostać się do środka, atakujący musi pokonać obie zapory.

Z internetu należy zezwalać wyłącznie na dostęp do dokładnie określonych usług publicznych.

Na przykład należy zezwolić na przychodzące połączenia HTTPS z serwerem WWW i zablokować wszystko inne, w tym bezpośredni dostęp do bazy danych.

Najważniejsza reguła: należy ściśle ograniczyć ruch z DMZ do sieci wewnętrznej.

Serwer WWW w DMZ może łączyć się z wewnętrzną bazą danych wyłącznie przez jeden wymagany port, a internet nigdy nie może uzyskać bezpośredniego dostępu do sieci wewnętrznej.

Podstawowa zasada: internet nigdy nie może łączyć się bezpośrednio z siecią wewnętrzną.

Cały przychodzący ruch kończy się w DMZ, która następnie wykonuje własne, kontrolowane żądania do wewnątrz.

Hosty DMZ są narażone na ataki, dlatego należy je odpowiednio zabezpieczyć.

• Usunąć niepotrzebne usługi
• Niezwłocznie instalować poprawki
• Uruchamiać wyłącznie wymaganą aplikację

Należy zakładać, że będą atakowane.

DMZ jest głównym celem ataków, dlatego należy ją uważnie monitorować.

Należy rejestrować cały ruch przekraczający jej granice i używać systemu wykrywania włamań, aby wcześnie wykrywać próby przejęcia kontroli.

Proszę sprawdzić, czy rozumieją Państwo projekt DMZ.

Zasady projektowania DMZ:

• Umieszczanie usług publicznych w częściowo zaufanej strefie DMZ między internetem a siecią LAN
• Stosowanie układu z jedną lub dwiema zaporami i ścisłymi regułami między strefami
• Nigdy nie zezwalać na bezpośredni dostęp z internetu do sieci wewnętrznej, a hosty DMZ odpowiednio zabezpieczać i monitorować