Μια αποστρατιωτικοποιημένη ζώνη είναι ένα τμήμα δικτύου που βρίσκεται ανάμεσα στο διαδίκτυο και το εσωτερικό δίκτυο. Εκεί βρίσκονται δημόσιοι διακομιστές: διακομιστές ιστού, πύλες αλληλογραφίας και αντίστροφοι διακομιστές μεσολάβησης. Εάν ένας εισβολέας παραβιάσει έναν από αυτούς τους διακομιστές, η DMZ περιορίζει την εμβέλειά του. Το εσωτερικό δίκτυο βρίσκεται πίσω από ένα άλλο τείχος προστασίας. Η DMZ είναι το buffer.

Ο σχεδιασμός προέρχεται από στρατιωτική σκέψη. Τοποθετήστε μια ουδέτερη λωρίδα μεταξύ της πρώτης γραμμής και της βάσης. Σε όρους δικτύου, η DMZ περιέχει συστήματα που πρέπει να είναι προσβάσιμα από το διαδίκτυο, αλλά δεν θα πρέπει να έχουν άμεση πρόσβαση σε εσωτερικούς πόρους. Ένας διακομιστής ιστού στην DMZ μπορεί να επικοινωνήσει με μια βάση δεδομένων στο εσωτερικό δίκτυο μέσω ενός ελεγχόμενου κανόνα. Δεν μπορεί να περιηγηθεί στα κοινόχρηστα αρχεία της εταιρείας ή να φτάσει στο σύστημα ανθρώπινου δυναμικού. Οι κανόνες του τείχους προστασίας είναι αυστηροί και μονόδρομοι. Η DMZ απορροφά τις επιθέσεις. Προσθέτει επίσης πολυπλοκότητα. Περισσότερα τμήματα σημαίνουν περισσότερους κανόνες προς διαχείριση και περισσότερα σημεία για λανθασμένη διαμόρφωση. Μια DMZ με ένα επιτρεπτικό σύνολο κανόνων ακυρώνει τον σκοπό. Η αξία έγκειται στον περιορισμό, όχι στην αρχιτεκτονική.

Τυπικοί οικοδεσπότες DMZ

• Διακομιστές ιστού — ιστότοποι και εφαρμογές που απευθύνονται στο κοινό
• Πύλες αλληλογραφίας — φιλτράρισμα εισερχόμενων και εξερχόμενων email
• Διακομιστές DNS — επίλυση εξωτερικών ονομάτων
• Αντίστροφοι διακομιστές μεσολάβησης — τερματισμός TLS και προώθηση αιτημάτων

Μια DMZ δεν είναι μαγική ασπίδα. Ένας παραβιασμένος διακομιστής στην DMZ εξακολουθεί να παρέχει στον εισβολέα ένα στήριγμα. Ο στόχος είναι να καταστεί αυτό το στήριγμα λιγότερο χρήσιμο.