Usługi w IDMZ pośredniczą w niezbędnych wymianach — takich jak replikowane dane systemów historycznych, sesje dostępu zdalnego, transfer plików, replikowane lub proxyowane wsparcie uwierzytelniania, przygotowywanie aktualizacji lub proxy aplikacyjne — podczas gdy osobne punkty egzekwowania ograniczają ruch po każdej stronie.
IDMZ jest użyteczna, ponieważ kompromitacja jednego środowiska nie powinna dawać nieograniczonej ścieżki do drugiego. Połączenia powinny kończyć się lub być przekazywane w strefie tam, gdzie praktyczne, a reguły powinny zezwalać tylko na wymagane źródło, cel, protokół, kierunek i czas.
Najważniejsze punkty
Użyj dwóch kontrolowanych granicOddziel IDMZ zarówno od sieci korporacyjnej, jak i OT, administruj tymi granicami celowo i zapobiegaj trasom omijającym strefę.
Umieszczaj usługi pośredniczące ostrożnieUżywaj wzmocnionych hostów pośredniczących (jump), proxy, mechanizmów transferu, replikowanych usług danych lub bram dostępu zdalnego zamiast dwuinterfejsowych hostów ogólnego przeznaczenia łączących sieci.
Ograniczaj każdy przepływDokumentuj własność i cel, domyślnie odmawiaj niepotrzebnego ruchu, kontroluj komunikację wychodzącą jak i przychodzącą oraz niezwłocznie przeglądaj tymczasowe reguły.
Monitoruj i odtwarzajCentralizuj istotne zdarzenia graniczne, chroń dostęp administracyjny, testuj kopie zapasowe i procedury odbudowy oraz planuj, jak niezbędne operacje będą kontynuowane, gdy usługi IDMZ zawiodą.
Istotne ograniczenieIDMZ nie jest air gapem ani gwarancją bezpieczeństwa. Słabe poświadczenia, podatne usługi, liberalne reguły, współdzielona administracja, bezpośrednie łącza serwisowe lub awaria dostępności krytycznego brokera mogą pokonać granicę lub zakłócić operacje.