Služby v IDMZ zprostředkovávají nezbytné výměny — jako replikovaná data historianů, relace vzdáleného přístupu, přenos souborů, replikovaná či proxovaná podpora autentizace, staging aktualizací či aplikační proxy — zatímco oddělené vynucovací body omezují provoz na obou stranách.
IDMZ je užitečná, protože kompromitace jednoho prostředí by neměla poskytovat neomezenou cestu do druhého. Spojení by měla být tam, kde je to praktické, ukončena či přeposílána v zóně a pravidla by měla povolovat pouze požadovaný zdroj, cíl, protokol, směr a čas.
Klíčové body
Používejte dvě řízené hraniceOddělte IDMZ od podnikové i OT sítě, spravujte tyto hranice záměrně a zabraňte trasám obcházejícím zónu.
Umisťujte zprostředkovací služby pečlivěPoužívejte zpevněné jump služby, proxy, přenosové mechanismy, replikované datové služby či brány vzdáleného přístupu spíše než dual-homed univerzální hostitele přemosťující sítě.
Omezujte každý tokDokumentujte vlastnictví a účel, ve výchozím stavu odepírejte nepotřebný provoz, řiďte odchozí i příchozí komunikaci a promptně přezkoumávejte dočasná pravidla.
Monitorujte a obnovujteCentralizujte relevantní hraniční události, chraňte administrativní přístup, testujte zálohy a procedury přestavby a plánujte, jak esenciální operace pokračují při selhání služeb IDMZ.
Důležité omezeníIDMZ není air gap ani záruka bezpečnosti. Slabé přihlašovací údaje, zranitelné služby, permisivní pravidla, sdílená správa, přímé linky údržby či selhání dostupnosti kritického zprostředkovatele mohou hranici porazit či operace narušit.