Hostuje usługi wymagające zewnętrznej osiągalności bez zapewniania bezpośredniej ścieżki do bardziej zaufanych systemów. Ruch wchodzący do DMZ lub z niej wychodzący przekracza jawnie zarządzane granice bezpieczeństwa i jest ograniczany do wymaganych przepływów.
Publiczne frontony webowe, reverse proxy, autorytatywne DNS, przekaźniki pocztowe i bramy zdalnego dostępu to typowi mieszkańcy DMZ. Strefa może używać osobnych zapór lub wielu stref polityki na jednej platformie; etykieta nie narzuca topologii. Administracja, aktualizacje i połączenia backendowe wymagają kontrolowanych ścieżek.
Najważniejsze punkty
Umieszczanie usługTrzymaj komponenty eksponowane w internecie osobno od wrażliwych baz danych, systemów tożsamości, sieci użytkowników i płaszczyzn zarządzania. Przechowuj tylko niezbędne dane i poświadczenia.
Kontrola przepływówDomyślnie odmawiaj ruchu w obu kierunkach, następnie zezwalaj na konkretne źródła, miejsca docelowe, protokoły i cele. Skompromitowane hosty mogą komunikować się z infrastrukturą atakującego lub pivotować do wewnątrz.
Operacje i dostępnośćUżywaj wzmocnionego zarządzania, scentralizowanych logów, odpornych zależności, ochrony pojemności, planów aktualizacji i testowanej odbudowy. Awarie DMZ mogą przerywać usługi.
Istotne ograniczenieDMZ ogranicza ryzyko; nie czyni eksponowanych usług godnymi zaufania ani nie tworzy air gap. Dozwolone przepływy mogą przenosić ataki, współdzielona administracja może łączyć strefy, a obejście DMZ daje niewielką izolację. W technologii operacyjnej IDMZ to odrębna granica IT/OT z ograniczeniami bezpieczeństwa i dostępności, a nie przemianowana internetowa DMZ.