Hostuje služby, které vyžadují externí dosažitelnost, aniž by poskytovaly přímou cestu do více důvěryhodných systémů. Provoz vstupující do DMZ či ji opouštějící překračuje explicitně spravované bezpečnostní hranice a je omezen na požadované toky.
Veřejné webové front-endy, reverzní proxy, autoritativní DNS, poštovní relaye a brány vzdáleného přístupu jsou běžní obyvatelé DMZ. DMZ může používat oddělené firewally nebo více zón politiky na jedné platformě; označení nepredpisuje topologii. Správa, aktualizace a backendová připojení vyžadují řízené cesty.
Klíčové body
Umístění služebUdržujte komponenty vystavené internetu oddělené od citlivých databází, systémů identit, uživatelských sítí a manažerských rovin. Ukládejte pouze nezbytná data a přihlašovací údaje.
Řízení tokůVe výchozím stavu zamítejte provoz oběma směry, poté povolte konkrétní zdroje, cíle, protokoly a účely. Kompromitovaní hostitelé se mohou hlásit domů nebo se pivotovat dovnitř.
Provoz a dostupnostPoužívejte zpevněnou správu, centralizované logy, odolné závislosti, ochranu kapacity, plány patchování a otestovanou obnovu. Selhání DMZ mohou přerušit služby.
Důležité omezeníDMZ zadržuje riziko; nečiní exponované služby důvěryhodnými ani nevytváří vzduchovou mezeru. Povolené toky mohou nést útoky, sdílená správa může přemostět zóny a obcházitelná DMZ nabízí malou izolaci. V provozních technologiích je IDMZ odlišná hranice IT/OT s omezeními bezpečnosti a dostupnosti — nikoli přejmenovaná internetová DMZ.