Elle héberge des services qui exigent une joignabilité externe sans fournir de chemin direct vers des systèmes plus fiables. Le trafic qui entre dans la DMZ ou en sort franchit des frontières de sécurité explicitement gérées et est limité aux flux requis.
Les frontaux web publics, les proxys inverses, le DNS autoritaire, les relais de messagerie et les passerelles d'accès à distance sont des résidents courants d'une DMZ. Une DMZ peut utiliser des pare-feux séparés ou plusieurs zones de politique sur une plateforme ; l'étiquette ne prescrit pas de topologie. L'administration, les mises à jour et les connexions backend exigent des chemins contrôlés.
Points clés
Placement des servicesGarder les composants exposés à Internet séparés des bases de données sensibles, des systèmes d'identité, des réseaux utilisateurs et des plans de gestion. N'y stocker que les données et identifiants nécessaires.
Contrôle des fluxRefuser par défaut le trafic dans les deux sens, puis autoriser des sources, destinations, protocoles et objectifs précis. Des hôtes compromis peuvent rappeler leur base ou pivoter vers l'intérieur.
Exploitation et disponibilitéUtiliser une gestion durcie, des journaux centralisés, des dépendances résilientes, une protection de capacité, des plans de correctifs et une récupération testée. Les pannes de DMZ peuvent interrompre des services.
Limite importanteUne DMZ contient le risque ; elle ne rend pas les services exposés dignes de confiance et ne crée pas d'air gap. Les flux permis peuvent porter des attaques, une administration partagée peut relier les zones, et une DMZ contournable offre peu d'isolation. Dans les technologies opérationnelles, une IDMZ est une frontière IT/OT distincte avec des contraintes de sûreté et de disponibilité, pas une DMZ Internet renommée.