Проектирование DMZ

DMZ (демилитаризованная зона) — это сегмент сети, расположенный между ненадёжным интернетом и доверенной внутренней сетью.

В нём размещаются службы, к которым необходимо обеспечить доступ извне.

Общедоступные службы, например веб-серверы и почтовые серверы, должны принимать соединения из интернета.

Размещение их в DMZ означает, что даже после взлома одной из них злоумышленник всё ещё будет отделён от внутренних систем.

Архитектура DMZ предусматривает три уровня доверия.

• Ненадёжная — интернет
• Частично доверенная — DMZ
• Доверенная — внутренняя LAN

Обычно в DMZ размещают службы, доступные из интернета.

• Веб-серверы
• Почтовые ретрансляторы
• Общедоступный DNS
• Обратные прокси

Чувствительные базы данных должны оставаться внутри сети, а не в DMZ.

В одной из распространённых схем используется брандмауэр с тремя интерфейсами: один брандмауэр с тремя интерфейсами — по одному для интернета, DMZ и внутренней сети.

Такая схема проще и дешевле, но один брандмауэр становится единственной точкой отказа.

Более надёжная схема использует два брандмауэра, между которыми находится DMZ.

Внешний брандмауэр обращён к интернету, а внутренний защищает LAN. Чтобы попасть внутрь, злоумышленнику необходимо обойти оба брандмауэра.

Из интернета разрешайте только конкретные общедоступные службы.

Например, разрешите входящие соединения HTTPS к веб-серверу и заблокируйте всё остальное, включая прямой доступ к базе данных.

Самое важное правило: строго ограничивайте трафик из DMZ во внутреннюю сеть.

Веб-сервер в DMZ может обращаться к внутренней базе данных только через один необходимый порт, а интернет ни при каких условиях не должен получать прямой доступ внутрь сети.

Основной принцип: интернет никогда не должен напрямую подключаться к внутренней сети.

Весь входящий трафик направляется в DMZ, откуда затем выполняются контролируемые запросы во внутреннюю сеть.

Поскольку узлы DMZ открыты для внешнего доступа, тщательно усильте их защиту.

• Удалите ненужные службы
• Своевременно устанавливайте исправления
• Запускайте только необходимое приложение

Исходите из того, что они подвергнутся атаке.

DMZ — одна из главных целей атак, поэтому внимательно следите за ней.

Ведите журнал всего трафика, пересекающего её границы, и используйте обнаружение вторжений, чтобы как можно раньше выявлять попытки взлома.

Проверьте своё понимание архитектуры DMZ.

Принципы архитектуры DMZ:

• Размещайте общедоступные службы в частично доверенной DMZ между интернетом и LAN
• Используйте схемы с одним или двумя брандмауэрами и строгими правилами между зонами
• Никогда не разрешайте прямой доступ из интернета во внутреннюю сеть; усиливайте защиту узлов DMZ и контролируйте их