O zonă demilitarizată este un segment de rețea situat între internet și rețeaua internă. Acolo se află servere publice: servere web, gateway-uri de e-mail și proxy-uri inverse. Dacă un atacator compromite unul dintre aceste servere, DMZ limitează cât de departe poate ajunge. Rețeaua internă se află în spatele unui alt firewall. DMZ este tamponul.

Designul provine din gândirea militară. Puneți o fâșie neutră între linia frontului și bază. În termeni de rețea, DMZ conține sisteme care trebuie accesibile de pe internet, dar nu ar trebui să aibă acces direct la resursele interne. Un server web din DMZ poate comunica cu o bază de date din rețeaua internă printr-o regulă controlată. Nu poate răsfoi fișierele partajate ale companiei sau ajunge la sistemul de resurse umane. Regulile firewall-ului sunt stricte și unidirecționale. DMZ absoarbe atacurile. De asemenea, adaugă complexitate. Mai multe segmente înseamnă mai multe reguli de gestionat și mai multe locuri de configurat greșit. O DMZ cu un set de reguli permisiv anulează scopul. Valoarea constă în restricție, nu în arhitectură.

Gazde DMZ tipice

• Servere web — site-uri web și aplicații orientate spre public
• Gateway-uri de e-mail — filtrează e-mailurile primite și trimise
• Servere DNS — rezolvă nume externe
• Proxy-uri inverse — termină TLS și transmit cereri

O DMZ nu este un scut magic. Un server compromis în DMZ oferă în continuare unui atacator un punct de sprijin. Scopul este de a face acel punct de sprijin mai puțin util.