DMZ (výpočetní) - DMZ (computing)
V oblasti počítačového zabezpečení je DMZ nebo demilitarizovaná zóna (někdy označovaná jako obvodová síť nebo prověřovaná podsíť ) fyzická nebo logická podsíť, která obsahuje a vystavuje externí služby organizace nedůvěryhodné, obvykle větší síti, jako je internet . Účelem DMZ je přidat další vrstvu zabezpečení do místní sítě (LAN) organizace: externí uzel sítě může přistupovat pouze k tomu, co je vystaveno v DMZ, zatímco zbytek sítě organizace je firewallován . DMZ funguje jako malá izolovaná síť umístěná mezi internetem a privátní sítí.
Název je z termínu demilitarizovaná zóna , oblast mezi státy, ve kterých nejsou povoleny vojenské operace.
Odůvodnění
Na DMZ se pohlíží tak, že nepatří do žádné ze sousedních sítí. Tato metafora platí pro výpočetní použití, protože DMZ funguje jako brána do veřejného internetu. Není ani tak bezpečný jako interní síť, ani tak nebezpečný jako veřejný internet.
V tomto případě se hostitelé nejvíce náchylné k útoku, jsou ty, které poskytují služby uživatelům vně z lokální sítě , jako je například e-mailu , webu a Domain Name System (DNS) serveru. Z důvodu zvýšeného potenciálu těchto hostitelů, kteří trpí útokem, jsou umístěni do této konkrétní podsítě, aby ochránili zbytek sítě, pokud by došlo k ohrožení kteréhokoli z nich.
Hostitelé v DMZ mají povoleno pouze omezené připojení ke konkrétním hostitelům v interní síti, protože obsah DMZ není tak bezpečný jako interní síť. Podobně je také omezena komunikace mezi hostiteli v DMZ a do externí sítě, aby byl DMZ bezpečnější než internet a vhodný pro ubytování těchto služeb zvláštního určení. To umožňuje hostitelům v DMZ komunikovat s interní i externí sítí, zatímco zasahující brána firewall řídí provoz mezi servery DMZ a klienty interní sítě a další brána firewall by prováděla určitou úroveň řízení, aby chránila DMZ před externí sítí .
Konfigurace DMZ poskytuje další zabezpečení před vnějšími útoky, ale obvykle nemá žádný vliv na vnitřní útoky, jako je čichání komunikace pomocí analyzátoru paketů, nebo spoofing, jako je e-mailový spoofing .
Někdy je také dobrým zvykem nakonfigurovat samostatnou klasifikovanou militarizovanou zónu (CMZ), vysoce monitorovanou militarizovanou zónu zahrnující převážně webové servery (a podobné servery, které propojují vnější svět, tj. Internet), které nejsou v DMZ, ale obsahují citlivé informace o přístupu k serverům v LAN (jako jsou databázové servery). V takové architektuře má DMZ obvykle aplikační firewall a FTP, zatímco CMZ je hostitelem webových serverů. (Databázové servery mohou být v CMZ, v LAN nebo celkem v samostatné VLAN.)
Do DMZ lze umístit jakoukoli službu poskytovanou uživatelům v externí síti. Nejběžnější z těchto služeb jsou:
Webové servery, které komunikují s interní databází, vyžadují přístup k databázovému serveru , který nemusí být veřejně přístupný a může obsahovat citlivé informace. Webové servery mohou z bezpečnostních důvodů komunikovat s databázovými servery buď přímo, nebo prostřednictvím aplikační brány firewall .
E-mailové zprávy a zejména databáze uživatelů jsou důvěrné, takže se obvykle ukládají na serverech, ke kterým nelze získat přístup z Internetu (alespoň ne nezabezpečeným způsobem), ale lze k nim přistupovat z e-mailových serverů vystavených internetu.
Poštovní server uvnitř DMZ předává příchozí poštu zabezpečeným / interním poštovním serverům. Zpracovává také odchozí poštu.
Z bezpečnostních důvodů, v souladu s právními normami, jako je HIPAA , a z důvodů monitorování v podnikatelském prostředí instalují některé podniky proxy server v rámci DMZ. To má následující výhody:
- Ukládá interním uživatelům (obvykle zaměstnancům) povinnost používat pro přístup k internetu proxy server.
- Snížené požadavky na šířku pásma přístupu k internetu, protože některý webový obsah může být uložen do mezipaměti serverem proxy.
- Zjednodušuje zaznamenávání a sledování aktivit uživatelů.
- Centralizované filtrování webového obsahu.
Reverzní proxy serveru, jako proxy server, je zprostředkovatelem, ale je používán obráceně. Místo poskytování služby interním uživatelům, kteří chtějí získat přístup k externí síti, poskytuje nepřímý přístup externí síti (obvykle k Internetu) k interním prostředkům. Například přístup k back-office aplikacím, jako je e-mailový systém, lze poskytnout externím uživatelům (ke čtení e-mailů, když jsou mimo společnost), ale vzdálený uživatel by neměl přímý přístup k jejich e-mailovému serveru (pouze reverzní proxy server fyzicky přistupovat k internímu e-mailovému serveru). Toto je další vrstva zabezpečení, která se zvláště doporučuje, když je třeba k interním prostředkům přistupovat zvenčí, ale stojí za zmínku, že tento design stále umožňuje vzdáleným (a potenciálně škodlivým) uživatelům komunikovat s interními prostředky pomocí proxy. Protože proxy funguje jako přenos mezi nedůvěryhodnou sítí a interním prostředkem: může také předávat škodlivý provoz (např . Zneužití na úrovni aplikace ) směrem k vnitřní síti; proto jsou funkce detekce a filtrování útoků serveru proxy zásadní v prevenci externích útočníků ve zneužití zranitelností přítomných v interních prostředcích, které jsou prostřednictvím serveru proxy vystaveny. Obvykle je takový mechanismus reverzního proxy poskytován pomocí brány firewall aplikační vrstvy, která se zaměřuje na konkrétní tvar a obsah provozu, nikoli pouze na řízení přístupu ke konkrétním portům TCP a UDP (jako by to dělal firewall s filtrem paketů ), ale reverzní proxy obvykle není dobrou náhradou za dobře promyšlený design DMZ, protože se musí spoléhat na průběžné aktualizace podpisů pro aktualizované vektory útoku.
Architektura
Existuje mnoho různých způsobů, jak navrhnout síť s DMZ. Dvě nejzákladnější metody jsou s jednou bránou firewall , známou také jako model se třemi nohami, a se dvěma branami firewall, známými také jako zády k sobě. Tyto architektury lze rozšířit a vytvořit tak velmi složité architektury v závislosti na požadavcích na síť.
Jeden firewall
Jeden firewall s alespoň 3 síťovými rozhraními lze použít k vytvoření síťové architektury obsahující DMZ. Vnější síť je vytvořena z ISP do brány firewall na prvním síťovém rozhraní, vnitřní síť je vytvořena z druhého síťového rozhraní a DMZ je vytvořena ze třetího síťového rozhraní. Firewall se stává jediným bodem selhání sítě a musí být schopen zvládnout veškerý provoz směřující do DMZ i vnitřní síť. Zóny jsou obvykle označeny barvami - například fialová pro LAN, zelená pro DMZ, červená pro internet (často se pro bezdrátové zóny používá jiná barva).
Duální firewall
Nejbezpečnějším přístupem je podle Coltona Fralicka použití dvou bran firewall k vytvoření DMZ. První firewall (nazývaný také „front-end“ nebo „perimetrový“ firewall) musí být nakonfigurován tak, aby umožňoval provoz určený pouze pro DMZ. Druhý firewall (nazývaný také „back-end“ nebo „interní“ firewall) umožňuje pouze přenos do DMZ z interní sítě.
Toto nastavení je považováno za bezpečnější, protože by bylo nutné kompromitovat dvě zařízení. Existuje ještě větší ochrana, pokud jsou tyto brány firewall poskytovány dvěma různými dodavateli, protože je tak méně pravděpodobné, že obě zařízení trpí stejnými chybami zabezpečení. Například je zjištěno, že v systému jednoho dodavatele existuje bezpečnostní díra v systému druhého dodavatele. Jednou z nevýhod této architektury je, že je nákladnější, a to jak na nákup, tak na správu. Praxe používání různých bran firewall od různých dodavatelů je někdy popisována jako součást bezpečnostní strategie „ hloubková ochrana“.
Hostitel DMZ
Některé domácí směrovače odkazují na hostitele DMZ , což je - v mnoha případech - ve skutečnosti nesprávné pojmenování . Hostitel domácího routeru DMZ je jedna adresa (např. IP adresa) v interní síti, která má veškerý provoz odeslaný do ní, který není jinak předáván jiným hostitelům LAN. Podle definice to není skutečná DMZ (demilitarizovaná zóna), protože samotný router neodděluje hostitele od interní sítě. To znamená, že hostitel DMZ se může připojit k jiným hostitelům ve vnitřní síti, zatímco hostitelům ve skutečném DMZ se brání v připojení k vnitřní síti pomocí brány firewall, která je odděluje, pokud brána firewall připojení nepovoluje.
Brána firewall to může povolit, pokud hostitel v interní síti nejprve požaduje připojení k hostiteli v rámci DMZ. Hostitel DMZ neposkytuje žádnou z bezpečnostních výhod, které podsíť poskytuje, a často se používá jako snadná metoda předávání všech portů na jiné zařízení firewall / NAT . Tato taktika (vytvoření hostitele DMZ) se používá také u systémů, které správně nereagují s normálními pravidly brány firewall nebo NAT. Důvodem může být, že nelze předem formulovat žádné pravidlo pro předávání (např. Různá čísla portů TCP nebo UDP, na rozdíl od pevného čísla nebo pevného rozsahu). To se také používá pro síťové protokoly, pro které router nemá žádné programování, které by bylo možné zpracovat ( prototypy 6v4 nebo GRE jsou prototypy).
Viz také
- Hostitel bašty
- Stíněná podsíť
- Science DMZ Network Architecture DMZ pro vysoce výkonné výpočty
Reference
Další čtení
- SolutionBase: Posílte obranu sítě pomocí DMZ od Deb Shinder na TechRepublic .
- Eric Maiwald. Zabezpečení sítě: Průvodce pro začátečníky. Druhé vydání. McGraw-Hill / Osborne, 2003.
- Internetové brány firewall: Často kladené otázky, sestavili Matt Curtin, Marcus Ranum a Paul Robertson
